Magsimula sa tatlong magkahiwalay na tanong
Sinasabi ng hosting location kung saan nilalayong tumakbo ang isang makina. Hindi nito inilalarawan ang bawat partidong humahawak ng account, backup o kahilingan sa suporta. Maaaring magkaiba ang legal na responsibilidad ng operator, mga supplier ng infrastructure at customer. Sinusundan ng kapaki-pakinabang na pagtatasa ang buong serbisyo sa halip na ituring ang label ng bansa bilang sagot sa bawat legal na tanong.
- Operator: sino ang nagbibigay ng serbisyo at pumapasok sa kasunduan?
- Placement: nasaan ang pangunahing system, mga nakaimbak na kopya at operational records?
- Access: sinong mga partido ang maaaring mangasiwa sa serbisyo o tumanggap ng data?
Ang service operator ay KoalaVPS
Ang KoalaVPS ang operator na pinangalanan para sa serbisyong ito. Ipinapaliwanag ng mga tuntunin ang relasyon sa serbisyo; ipinapaliwanag ng patakaran sa privacy ang paghawak ng impormasyon sa account at operasyonal. Ang pagpili ng rehiyon ay tungkol sa paglalagay ng imprastruktura. Hindi nito, sa sarili nito, tinutukoy ang rehistradong opisina ng isang kumpanya o nagpapasya sa lahat ng obligasyong maaaring malapat sa operator, customer o workload.
Apat na rehiyon, bawat isa may sariling pambansang konteksto
Ang katalogo ay naglalaman ng Stockholm, Helsinki, Oslo at Reykjavík. Ang Sweden at Finland ay mga miyembrong estado ng EU. Ang Norway at Iceland ay kabilang sa European Economic Area sa pamamagitan ng EFTA. Isinama ang GDPR sa EEA Agreement, kaya ang pagpili ng lokasyon sa EEA EFTA ay hindi nag-aalis ng European data-protection framework. Kailangan pa ring bigyang-pansin ang pambansang batas at pamamaraan sa bawat bansa.
- STO / Stockholm / Sweden / EU
- HEL / Helsinki / Finland / EU
- OSL / Oslo / Norway / EEA EFTA
- RKV / Reykjavík / Iceland / EEA EFTA
Opisyal na dokumentasyon: EFTA: ang European Economic Area · EFTA: Pagsasama ng GDPR at legal na katayuan
Stockholm: ang rehiyon ng Sweden
Tinutukoy ng Stockholm ang opsyong paglalagay sa Sweden. Miyembro ng EU ang Sweden, at ang pambansang awtoridad nito sa proteksyon ng datos ay ang Integritetsskyddsmyndigheten, na karaniwang tinatawag na IMY. Para sa order na gumagamit ng rehiyong ito, suriin ang napiling serbisyo, ang mga nakaimbak na kopya nito at ang mga partidong may access kasabay ng Swedish at naaangkop na balangkas ng Europa. Ang lungsod lamang ay hindi nagpapatunay kung saan naroroon ang bawat talaan ng account o panlabas na dependency ng aplikasyon.
- Region code: STO
- Bansa: Sweden
- Balangkas ng Europa: miyembrong estado ng EU
- Pambansang awtoridad sa data-protection: IMY
Opisyal na dokumentasyon: European Union: Sweden · EDPB: mga pambansang awtoridad sa pangangasiwa
Helsinki: ang rehiyon ng Finland
Tinutukoy ng Helsinki ang opsyon sa paglalagay sa Finland. Miyembro ng EU ang Finland, at ang pambansang supervisory authority nito ay ang Office of the Data Protection Ombudsman. Isama ang mga database replica, backup destination at administrative access sa isang desisyon sa paglalagay sa Finland. Kung nagpapadala ang isang application ng impormasyon sa isang hiwalay na serbisyo, ang karagdagang pagproseso ay dapat isaalang-alang sa sarili nitong mga tuntunin.
- Region code: HEL
- Bansa: Finland
- Balangkas ng Europa: miyembrong estado ng EU
- Pambansang awtoridad sa proteksyon ng data: Office of the Data Protection Ombudsman
Opisyal na dokumentasyon: European Union: Finland · EDPB: mga pambansang awtoridad sa pangangasiwa
Oslo: ang rehiyon ng Norway
Ang Oslo ay ang rehiyon ng katalogo ng Norway. Ang Norway ay isang EEA EFTA state sa labas ng EU, at ang Datatilsynet ang pambansang awtoridad nito sa proteksyon ng data. Ang paglahok sa EEA at pagsasama ng GDPR ay mga kaugnay na bahagi ng pagtatasa. Hindi ito nangangahulugan na ang bawat instrumento ng EU o bawat pambansang legal na pamamaraan ay magkapareho sa apat na rehiyon.
- Region code: OSL
- Bansa: Norway
- Balangkas ng Europa: EEA EFTA
- Pambansang awtoridad sa data-protection: Datatilsynet
Opisyal na dokumentasyon: EFTA: Paglahok at saklaw ng EEA · EDPB: mga pambansang awtoridad sa pangangasiwa
Reykjavík: ang rehiyon ng Iceland
Tinutukoy ng Reykjavík ang opsyon sa paglalagay sa Iceland. Ang Iceland ay kabilang sa EEA sa pamamagitan ng EFTA, at ang Persónuvernd ang pambansang awtoridad nito sa data-protection. Ang pisikal na paghihiwalay nito mula sa mainland Europe ay isang heograpikong katotohanan; ang legal na saklaw, mga kaayusan sa access at paglalagay ng recovery copy ay nangangailangan ng sariling pagtatasa. Ang napiling serbisyo at ang aktwal na daloy ng data ang nananatiling kapaki-pakinabang na panimulang punto.
- Region code: RKV
- Bansa: Iceland
- Balangkas ng Europa: EEA EFTA
- Pambansang awtoridad sa proteksyon ng data: Persónuvernd
Opisyal na dokumentasyon: EFTA: GDPR sa EEA · EDPB: mga pambansang awtoridad sa pangangasiwa
Ang napiling rehiyon ay dapat manatiling nakikitang desisyon
Ang prinsipyo ng placement ay panatilihing hayag ang napiling rehiyon sa buong lifecycle ng serbisyo. Ang planong paglipat sa ibang bansa ay dapat ilarawan bago ito mangyari at sumang-ayon ang customer. Ang replication, restore at emergency recovery ay nangangailangan ng pantay na malinaw na pagtrato sa mga tuntunin ng serbisyo. Ang pangunahing rehiyon, destinasyon ng anumang recovery copy at bansa ng susunod na migration ay hindi dapat tahimik na ituring na mapagpapalit.
- Itala ang napiling rehiyon kasama ng order
- Tukuyin ang destinasyon bago ang planong cross-border migration
- Ilarawan ang anumang recovery exception at ang proseso ng notification nito
- Panatilihing nakaayon sa aktwal na serbisyo ang placement record ng customer
Ang legal na saklaw ay maaaring lumampas sa bansa ng imbakan
Ang mga naaangkop na tuntunin ay maaaring depende sa establishment ng isang organisasyon, ang aktibidad ng pagproseso, ang mga taong apektado at ang legal na instrumentong ginagamit. Kaya ang teritoryal na saklaw ng GDPR ay nangangailangan ng higit pa sa isang pin sa mapa. Mayroon ding mga cross-border na mekanismo para sa electronic evidence; ang balangkas ng EU ay isang halimbawa para sa mga provider at kahilingan sa loob ng saklaw nito. Ang bawat kahilingan ay nangangailangan ng pagtatasa ng mga katotohanan at ng kaugnay na pamamaraan.
Opisyal na dokumentasyon: EDPB: teritoryal na saklaw ng GDPR · European Commission: cross-border na elektronikong ebidensya
Suriin ang awtoridad, paliitin ang saklaw, idokumento ang tugon
Ang prinsipyo sa paghawak ay i-verify kung sino ang humihiling ng impormasyon, ang legal na awtoridad na pinagbatayan at ang partikular na data o serbisyong sangkot. Ang isang kahilingan ay dapat makatanggap ng kwalipikadong pagsusuri, na may mga hindi sinusuportahan o labis na kahilingan na kinukuwestiyon sa pamamagitan ng available na pamamaraan. Anumang paghahayag ay dapat limitado sa kung ano ang legal na kinakailangan o kung hindi man ay legal na makatwiran. Ang abiso sa customer ay dapat sumunod sa mga naaangkop na paghihigpit.
- I-verify ang nag-request at ang legal na batayan
- Tukuyin ang apektadong account, serbisyo, panahon at mga kategorya ng data
- Suriin ang hurisdiksyon, pamamaraan at anumang magkakasalungat na obligasyon
- Humingi ng paglilinaw o hamunin ang isang masyadong malawak na kahilingan kung naaangkop
- Panatilihin ang naaangkop na talaan at ibunyag lamang ang makatarungang saklaw
Ang mga dayuhang kahilingan ay nangangailangan ng sariling pagsusuri sa paglilipat
Ang kahilingan ng awtoridad ng ikatlong bansa ay hindi awtomatikong pahintulot na ibunyag ang personal na data mula sa EU. Tinutukoy ng gabay ng EDPB sa Artikulo 48 ang pagkakaiba ng pagkilala sa dayuhang desisyon at ng legal na batayan para sa pagproseso at ng batayan para sa internasyonal na paglilipat. Dapat tasahin sa konteksto ang naaangkop na kasunduan o iba pang pinapayagang ruta; hindi mabuting patakaran ang awtomatikong pagtanggap o ang pangkalahatang pangako ng pagtanggi.
Opisyal na dokumentasyon: EDPB: Artikulo 48 at mga kahilingan ng awtoridad ng third-country
Sundin ang data lampas sa pangunahing disk
Ang pangunahing storage, mga snapshot, mga backup, mga log, mga talaan ng account at mga attachment ng suporta ay maaaring sumunod sa magkakaibang landas. Ang pagpili ng rehiyon ay makabuluhan lamang kapag nauunawaan ang mga landas na iyon. Dapat ipakita ng talaan ng serbisyo at impormasyon sa privacy ang bawat kategorya at ipaliwanag ang mga partidong pinapayagang ma-access ito. Ang remote administration at mga external processor ay bahagi rin ng imbentaryong iyon.
- Pangunahing system at application data
- Mga snapshot, independiyenteng backup at recovery replica
- Mga rekord ng account, billing, seguridad at suporta
- Administratibong pag-access at mga panlabas na service provider
Protektahan ang mga rehiyonal na paglilipat pati na rin ang rehiyonal na paglalagay
Ang replication at migration ay dapat gumamit ng authenticated encryption, limitadong credentials at tinukoy na endpoints. Panatilihing hiwalay ang mga key at access permission sa transfer job kung naaangkop. Ang retention at pagtanggal ng dating kopya ay dapat bahagi ng paglipat. Ang routing sa pribadong koneksyon at pag-encrypt ng data ay magkahiwalay na kontrol; ni ang heograpiya ni ang network label lamang ay hindi nagpapakita ng confidentiality.
Bawasan ang pagkolekta nang hindi nangangako ng legal na immunity
Iniiwasan ng account model ang routine na pangongolekta ng identity document. Nililimitahan nito ang hindi kinakailangang impormasyong nakukuha sa signup; hindi nito binubura ang payment, security, infrastructure o support records na maaaring kailanganin ng isang serbisyo. Dapat tasahin ang retention at preservation duties sa ilalim ng mga naaangkop na tuntunin. Inilalarawan ng privacy at transparency pages ang mga prinsipyong iyon, habang ang acceptable-use policy ay nalalapat sa bawat rehiyon.
Gawing operational checklist ang isang kagustuhan sa lokasyon
Bago maglagay ng sensitibong workload, idokumento ang mga partido sa serbisyo, pangunahing lokasyon, mga destinasyon ng recovery, modelo ng pag-access at mga kinakailangan sa kontrata. Panatilihing napapanahon ang rekord kapag nagpalit ka ng provider o mga dependency ng application. Ipinapaliwanag ng pahinang ito ang pangkalahatang balangkas; ang isang partikular na regulated na aktibidad o hindi pagkakaunawaan ay nangangailangan ng sariling pagtatasa ng mga katotohanan nito.
- Itugma ang napiling rehiyon sa order at paglalarawan ng serbisyo
- Suriin ang placement ng backup at log sa halip na ipagpalagay na tumutugma ito
- Suriin nang sabay ang privacy, acceptable-use at mga tuntunin ng serbisyo
- Tukuyin ang anumang pagproseso sa labas ng napiling rehiyon o EEA
- Gamitin ang naka-link na pangunahing mga pinagmulan para sa legal na balangkas at sa kasalukuyang saklaw nito
Kaunting dagdag na kalinawan.
Ang pagpili ng server region ba ay pumipili ng bansa ng registration ng operator?
Hindi. Ang operator at ang paglalagay ng imprastruktura ay magkaibang tanong. Ang napiling rehiyon ay tumutukoy sa inilaan na lokasyon ng server; hindi nito tinutukoy sa sarili nito ang isang rehistradong opisina o inaayos ang bawat naaangkop na obligasyon.
Lahat ba ng apat na bansa ay nasa European Union?
Ang Sweden at Finland ay miyembro ng EU. Ang Norway at Iceland ay EEA EFTA state sa labas ng EU. Ang pagsasama ng GDPR sa EEA Agreement ay may kaugnayan sa lahat ng apat na lokasyon, habang maaaring magkaiba ang mga pambansang pamamaraan at iba pang legal na instrumento.
Ang rehiyon ng Norway o Iceland ba ay nasa labas ng balangkas ng GDPR?
Hindi. Isinama na ang GDPR sa EEA Agreement. Nakadepende pa rin ang applicability sa processing at mga partidong sangkot; ang EEA EFTA label ay hindi pangkalahatang exemption mula sa mga obligasyon sa data-protection.
Maaari bang maabot ng dayuhang awtoridad ang data na hawak sa ibang bansa?
May mga cross-border legal na mekanismo. Kung may epekto ang isang kahilingan ay nakadepende sa kaugnay na batas, pamamaraan, mga partido at mga katotohanan. Ang bansa ng imbakan lamang ay hindi makapagpapatunay na walang epekto ang bawat dayuhang kahilingan.
Makikita ko ba ang planong paglipat sa ibang bansa?
Ang placement principle ay nangangailangan na ang destinasyon at epekto ng planong cross-border move ay ihayag at pagkasunduan bago ang paglipat. Ang mga recovery exception at notification procedure ay nabibilang sa mga tuntunin ng serbisyo.
Awtomatiko bang nananatili ang mga backup sa parehong bansa ng server?
Ang pangunahing lokasyon ay hindi nagtatakda nang mag-isa sa paglalagay ng backup. Suriin nang hiwalay ang snapshot, backup at recovery destinations ng serbisyo, kabilang ang retention at access.
Ang ibig bang sabihin ng pribadong koneksyon sa pagitan ng mga rehiyon ay naka-encrypt ang data?
Magkahiwalay na kontrol ang routing at encryption. Ang isang transfer ay dapat gumamit ng authenticated encryption at malinaw na access policy; ang paglalarawan ng private network lamang ay hindi patunay ng alinman sa dalawa.
Pinipigilan ba ng no-KYC na makatanggap ang provider ng legal na kahilingan?
Hindi. Inilalarawan nito ang modelo ng pagpapatunay ng pagkakakilanlan. Maaari pa ring magkaroon ng mga rekord sa operasyon at mga legal na obligasyon ang isang provider. Kailangang tasahin nang tumpak ang mga limitasyon sa pagkolekta, pagpapanatili at saklaw ng isang kahilingan.
Nagbabago ba ang patakaran sa katanggap-tanggap na paggamit ayon sa napiling bansa?
Nalalapat ang KoalaVPS acceptable-use policy sa buong katalogo. Ang pagpili ng rehiyon ay hindi nag-aalis ng sariling obligasyon ng customer sa ilalim ng naaangkop na batas.