Commencez par trois questions distinctes
Un emplacement d'hébergement indique où une machine est censée fonctionner. Il ne décrit pas toutes les parties traitant un compte, une sauvegarde ou une demande d'assistance. L'exploitant, les fournisseurs d'infrastructure et le client peuvent avoir des responsabilités juridiques différentes. Une évaluation utile suit le service complet plutôt que de traiter un label de pays comme la réponse à toute question juridique.
- Opérateur : qui fournit le service et conclut l'accord ?
- Placement : où se trouvent le système principal, les copies stockées et les enregistrements opérationnels ?
- Accès : quelles parties peuvent administrer le service ou recevoir des données ?
L'opérateur du service est KoalaVPS
KoalaVPS est l'opérateur désigné pour ce service. Les conditions expliquent la relation de service ; la politique de confidentialité explique le traitement des informations de compte et d'exploitation. Le choix d'une région concerne l'emplacement de l'infrastructure. Il ne précise pas, à lui seul, le siège social d'une entreprise ni ne détermine toutes les obligations susceptibles de s'appliquer à l'opérateur, au client ou à la charge de travail.
Quatre régions, chacune avec son propre contexte national
Le catalogue contient Stockholm, Helsinki, Oslo et Reykjavík. La Suède et la Finlande sont des États membres de l'UE. La Norvège et l'Islande participent à l'Espace économique européen via l'AELE. Le RGPD a été intégré à l'accord EEE, de sorte que choisir un emplacement EEE AELE ne supprime pas le cadre européen de protection des données. Le droit et les procédures nationales exigent toujours une attention particulière dans chaque pays.
- STO / Stockholm / Suède / UE
- HEL / Helsinki / Finlande / UE
- OSL / Oslo / Norvège / EEE AELE
- RKV / Reykjavík / Islande / EEE AELE
Documentation officielle : AELE : l'Espace économique européen · AELE : intégration du RGPD et statut juridique
Stockholm : la région suédoise
Stockholm désigne l'option d'implantation suédoise. La Suède est membre de l'UE et son autorité nationale de protection des données est Integritetsskyddsmyndigheten, généralement appelée IMY. Pour une commande utilisant cette région, évaluez le service sélectionné, ses copies stockées et les parties ayant accès, au regard du cadre suédois et européen applicable. La ville seule n'établit pas où réside chaque enregistrement de compte ou dépendance applicative externe.
- Code de région : STO
- Pays : Suède
- Cadre européen : État membre de l'UE
- Autorité nationale de protection des données : IMY
Documentation officielle : Union européenne : Suède · CEPD : autorités de contrôle nationales
Helsinki : la région finlandaise
Helsinki identifie l'option de placement finlandaise. La Finlande est membre de l'UE et son autorité de contrôle nationale est le Bureau du médiateur pour la protection des données. Incluez les réplicas de base de données, les destinations de sauvegarde et les accès administratifs dans une décision de placement en Finlande. Si une application envoie des informations à un service distinct, ce traitement supplémentaire doit être examiné de manière autonome.
- Code de région : HEL
- Pays : Finlande
- Cadre européen : État membre de l'UE
- Autorité nationale de protection des données : Bureau du médiateur de la protection des données
Documentation officielle : Union européenne : Finlande · CEPD : autorités de contrôle nationales
Oslo : la région norvégienne
Oslo est la région catalogue norvégienne. La Norvège est un État EEE-AELE hors UE, et Datatilsynet est son autorité nationale de protection des données. La participation à l'EEE et l'incorporation du RGPD sont des éléments pertinents de l'évaluation. Ils ne signifient pas que chaque instrument de l'UE ou chaque procédure juridique nationale soit identique dans les quatre régions.
- Code de région : OSL
- Pays : Norvège
- Cadre européen : EEE AELE
- Autorité nationale de protection des données : Datatilsynet
Documentation officielle : AELE : participation et portée de l'EEE · CEPD : autorités de contrôle nationales
Reykjavík : la région islandaise
Reykjavík identifie l'option d'implantation islandaise. L'Islande participe à l'EEE via l'AELE, et Persónuvernd est son autorité nationale de protection des données. Sa séparation physique du continent européen est un fait géographique ; la portée juridique, les modalités d'accès et l'emplacement des copies de récupération nécessitent leur propre évaluation. Le service choisi et les flux de données réels restent le point de départ utile.
- Code de région : RKV
- Pays : Islande
- Cadre européen : EEE AELE
- Autorité nationale de protection des données : Persónuvernd
Documentation officielle : AELE : le RGPD dans l’EEE · CEPD : autorités de contrôle nationales
Une région choisie doit rester une décision visible
Le principe de placement consiste à maintenir la région choisie explicite tout au long du cycle de vie du service. Un déménagement prévu vers un autre pays doit être décrit avant qu'il n'ait lieu et convenu avec le client. La réplication, les restaurations et le rétablissement d'urgence nécessitent un traitement tout aussi clair dans les conditions de service. La région principale, la destination de toute copie de rétablissement et le pays d'une migration ultérieure ne doivent jamais être traités silencieusement comme interchangeables.
- Enregistrez la région sélectionnée avec la commande
- Identifiez la destination avant une migration transfrontalière planifiée
- Décrivez toute exception de récupération et son processus de notification
- Maintenez le dossier de placement du client aligné sur le service réel
La portée juridique peut dépasser le pays de stockage
Les règles applicables peuvent dépendre de l’établissement d’une organisation, de l’activité de traitement, des personnes concernées et de l’instrument juridique utilisé. La portée territoriale du RGPD nécessite donc plus qu’une épingle sur une carte. Des mécanismes transfrontaliers existent aussi pour les preuves électroniques ; le cadre de l’UE en est un exemple pour les fournisseurs et les demandes relevant de son champ. Chaque demande exige une évaluation des faits et de la procédure applicable.
Documentation officielle : EDPB : champ d'application territorial du RGPD · Commission européenne : preuves électroniques transfrontalières
Examinez l'autorité, réduisez le périmètre, documentez la réponse
Le principe de traitement consiste à vérifier qui demande des informations, l'autorité légale invoquée et les données ou le service particuliers concernés. Une demande doit faire l'objet d'un examen qualifié, les exigences non étayées ou excessives étant contestées selon la procédure disponible. Toute divulgation doit se limiter à ce qui est légalement requis ou autrement légalement justifié. La notification au client doit respecter les restrictions applicables.
- Vérifiez le demandeur et la base juridique
- Identifiez le compte, le service, la période et les catégories de données concernés
- Vérifiez la juridiction, la procédure et toute obligation contradictoire
- Demandez des précisions ou contestez une demande trop large lorsque cela est approprié
- Tenez un registre proportionné et ne divulguez que le périmètre justifié
Les demandes étrangères nécessitent leur propre analyse de transfert
L'exigence d'une autorité d'un pays tiers ne constitue pas une autorisation automatique de divulguer des données personnelles depuis l'UE. Les orientations de l'EDPB relatives à l'article 48 distinguent la reconnaissance d'une décision étrangère de la base légale du traitement et du fondement d'un transfert international. Un accord applicable ou une autre voie autorisée doit être évalué en contexte ; ni l'acceptation automatique ni une promesse générale de refus ne constituent une politique solide.
Documentation officielle : EDPB : Article 48 et demandes des autorités de pays tiers
Suivez les données au-delà du disque principal
Le stockage principal, les instantanés, les sauvegardes, les journaux, les dossiers de compte et les pièces jointes au support peuvent suivre des chemins différents. Un choix régional n'a de sens que si ces chemins sont compris. Le registre de service et les informations de confidentialité doivent distinguer chaque catégorie et préciser les parties autorisées à y accéder. L'administration à distance et les sous-traitants externes font aussi partie de cet inventaire.
- Données système et applicatives principales
- Instantanés, sauvegardes indépendantes et réplicas de récupération
- Enregistrements de compte, de facturation, de sécurité et d’assistance
- Accès administratif et prestataires externes
Protégez les transferts régionaux ainsi que le placement régional
La réplication et la migration doivent recourir à un chiffrement authentifié, des identifiants restreints et des points de terminaison définis. Séparez les clés et les autorisations d'accès de la tâche de transfert lorsque cela est approprié. La conservation et la suppression de la copie précédente doivent faire partie du déplacement. Le routage sur une connexion privée et le chiffrement des données sont des contrôles distincts ; ni la géographie ni une étiquette de réseau ne suffisent à démontrer la confidentialité.
Minimisez la collecte sans promettre une immunité juridique
Le modèle de compte évite la collecte systématique de documents d'identité. Cela limite les informations inutiles recueillies à l'inscription ; cela n'efface pas les enregistrements de paiement, de sécurité, d'infrastructure ou de support dont un service peut avoir besoin. Les obligations de conservation et de préservation doivent être évaluées selon les règles applicables. Les pages de confidentialité et de transparence décrivent ces principes, tandis que la politique d'utilisation acceptable s'applique dans toutes les régions.
Transformez une préférence de localisation en liste de contrôle opérationnelle
Avant de placer une charge de travail sensible, documentez les parties au service, l'emplacement principal, les destinations de récupération, le modèle d'accès et les exigences contractuelles. Tenez ce registre à jour lorsque vous changez de fournisseur ou de dépendances applicatives. Cette page explique le cadre général ; une activité réglementée ou un litige spécifique nécessite une évaluation de ses propres faits.
- Faites correspondre la région sélectionnée à la commande et à la description du service
- Vérifiez l'emplacement des sauvegardes et des journaux plutôt que de supposer qu'il correspond
- Examinez ensemble les conditions de confidentialité, d'usage acceptable et de service
- Identifiez tout traitement en dehors de la région choisie ou de l'EEE
- Utilisez les sources primaires liées pour le cadre juridique et son périmètre actuel
Un peu plus de clarté.
Le choix d'une région de serveur détermine-t-il le pays d'enregistrement de l'opérateur ?
Non. L'exploitant et l'emplacement de l'infrastructure sont deux questions distinctes. Une région sélectionnée indique l'emplacement prévu du serveur ; elle ne précise pas à elle seule un siège social ni ne règle toutes les obligations applicables.
Les quatre pays font-ils partie de l'Union européenne ?
La Suède et la Finlande sont membres de l'UE. La Norvège et l'Islande sont des États de l'AELE membres de l'EEE hors UE. L'intégration du RGPD dans l'accord EEE concerne ces quatre emplacements, tandis que les procédures nationales et d'autres instruments juridiques peuvent différer.
Une région norvégienne ou islandaise se situe-t-elle en dehors du cadre du RGPD ?
Non. Le RGPD a été intégré à l'accord EEE. L'applicabilité dépend toujours du traitement et des parties concernées ; un label EEE AELE ne constitue pas une exemption générale des obligations en matière de protection des données.
Une autorité étrangère peut-elle accéder à des données détenues dans un autre pays ?
Des mécanismes juridiques transfrontaliers existent. L'effet d'une demande dépend du droit applicable, de la procédure, des parties et des faits. Le seul pays de stockage ne permet pas d'établir que toute demande étrangère est sans effet.
Un déménagement prévu vers un autre pays me sera-t-il visible ?
Le principe de placement exige que la destination et l'effet d'un transfert transfrontalier prévu soient divulgués et acceptés avant le transfert. Les exceptions de récupération et les procédures de notification relèvent des conditions de service.
Les sauvegardes restent-elles automatiquement dans le même pays que le serveur ?
L'emplacement principal ne détermine pas à lui seul l'emplacement des sauvegardes. Examinez séparément les destinations d'instantanés, de sauvegardes et de récupération du service, y compris la rétention et l'accès.
Une connexion privée entre régions signifie-t-elle que les données sont chiffrées ?
Le routage et le chiffrement sont des contrôles distincts. Un transfert doit utiliser un chiffrement authentifié et une politique d'accès explicite ; une simple description de réseau privé ne prouve ni l'un ni l'autre.
L'absence de KYC empêche-t-elle un fournisseur de recevoir une demande légale ?
Non. Cela décrit le modèle de vérification d'identité. Un fournisseur peut toujours avoir des registres opérationnels et des obligations légales. Les limites de collecte, la conservation et la portée d'une demande doivent être évaluées avec précision.
La politique d'utilisation acceptable change-t-elle selon le pays sélectionné ?
La politique d'utilisation acceptable de KoalaVPS s'applique à l'ensemble du catalogue. Le choix d'une région ne dispense pas le client de ses propres obligations au titre de la législation applicable.