स्थान चुनें। कानूनी परतें समझें।

तीन अलग प्रश्नों से शुरू करें

एक होस्टिंग स्थान बताता है कि मशीन कहाँ चलाने का इरादा है। यह हर उस पक्ष का वर्णन नहीं करता जो खाता, बैकअप या सहायता अनुरोध संभालता है। ऑपरेटर, इंफ्रास्ट्रक्चर आपूर्तिकर्ता और ग्राहक की अलग-अलग कानूनी जिम्मेदारियाँ हो सकती हैं। एक उपयोगी मूल्यांकन पूरी सेवा का अनुसरण करता है, न कि देश के लेबल को हर कानूनी प्रश्न का उत्तर मानता है।

• ऑपरेटर: सेवा कौन प्रदान करता है और समझौते में कौन प्रवेश करता है?
• स्थान: प्राथमिक सिस्टम, संग्रहीत प्रतियाँ और परिचालन रिकॉर्ड कहाँ हैं?
• पहुँच: कौन-से पक्ष सेवा का प्रशासन कर सकते हैं या डेटा प्राप्त कर सकते हैं?

सेवा ऑपरेटर KoalaVPS है

KoalaVPS इस सेवा के लिए नामित ऑपरेटर है। शर्तें सेवा संबंध की व्याख्या करती हैं; गोपनीयता नीति खाता और परिचालन जानकारी के प्रबंधन की व्याख्या करती है। क्षेत्र चुनना इन्फ्रास्ट्रक्चर के स्थान से संबंधित है। यह अपने आप में किसी कंपनी का पंजीकृत कार्यालय निर्दिष्ट नहीं करता और न ही ऑपरेटर, ग्राहक या वर्कलोड पर लागू हो सकने वाले सभी दायित्वों का निर्धारण करता है।

चार क्षेत्र, अपने स्वयं के राष्ट्रीय संदर्भ के साथ

कैटलॉग में Stockholm, Helsinki, Oslo और Reykjavík शामिल हैं। स्वीडन और फ़िनलैंड EU सदस्य राज्य हैं। नॉर्वे और आइसलैंड EFTA के माध्यम से यूरोपीय आर्थिक क्षेत्र में भाग लेते हैं। GDPR को EEA समझौते में शामिल किया गया है, इसलिए EEA EFTA स्थान चुनने से यूरोपीय डेटा-संरक्षण ढाँचा हटता नहीं है। प्रत्येक देश में राष्ट्रीय कानून और प्रक्रियाओं पर अभी भी ध्यान देने की आवश्यकता है।

• STO / Stockholm / स्वीडन / EU
• HEL / Helsinki / फ़िनलैंड / EU
• OSL / Oslo / नॉर्वे / EEA EFTA
• RKV / Reykjavík / Iceland / EEA EFTA

आधिकारिक दस्तावेज़: EFTA: यूरोपीय आर्थिक क्षेत्र · EFTA: GDPR समावेशन और कानूनी स्थिति

Stockholm: स्वीडिश क्षेत्र

Stockholm स्वीडिश प्लेसमेंट विकल्प को नामित करता है। स्वीडन यूरोपीय संघ का सदस्य है, और इसका राष्ट्रीय डेटा-संरक्षण प्राधिकरण Integritetsskyddsmyndigheten है, जिसे आमतौर पर IMY कहा जाता है। इस क्षेत्र का उपयोग करने वाले ऑर्डर के लिए, चयनित सेवा, उसकी संग्रहीत प्रतियाँ और पहुँच रखने वाले पक्षों का स्वीडिश और लागू यूरोपीय ढाँचे के साथ मूल्यांकन करें। केवल शहर यह स्थापित नहीं करता कि प्रत्येक खाता रिकॉर्ड या बाहरी एप्लिकेशन निर्भरता कहाँ स्थित है।

• क्षेत्र कोड: STO
• देश: स्वीडन
• यूरोपीय ढाँचा: EU सदस्य राज्य
• राष्ट्रीय डेटा-संरक्षण प्राधिकरण: IMY

आधिकारिक दस्तावेज़: यूरोपीय संघ: स्वीडन · EDPB: राष्ट्रीय पर्यवेक्षी प्राधिकरण

Helsinki: फ़िनिश क्षेत्र

Helsinki फ़िनिश प्लेसमेंट विकल्प की पहचान करता है। फ़िनलैंड एक EU सदस्य है, और इसका राष्ट्रीय पर्यवेक्षी प्राधिकरण डेटा संरक्षण ऑम्बुड्समैन का कार्यालय है। फ़िनिश प्लेसमेंट निर्णय में डेटाबेस प्रतिकृतियाँ, बैकअप गंतव्य और प्रशासनिक पहुँच शामिल करें। यदि कोई एप्लिकेशन किसी अलग सेवा को जानकारी भेजता है, तो उस अतिरिक्त प्रसंस्करण पर उसके अपने नियमों के अनुसार विचार करना होगा।

• क्षेत्र कोड: HEL
• देश: फ़िनलैंड
• यूरोपीय ढाँचा: EU सदस्य राज्य
• राष्ट्रीय डेटा-संरक्षण प्राधिकरण: Office of the Data Protection Ombudsman

आधिकारिक दस्तावेज़: यूरोपीय संघ: फ़िनलैंड · EDPB: राष्ट्रीय पर्यवेक्षी प्राधिकरण

Oslo: नॉर्वेजियन क्षेत्र

Oslo नॉर्वेजियन कैटलॉग क्षेत्र है। नॉर्वे EU के बाहर एक EEA EFTA राज्य है, और Datatilsynet इसका राष्ट्रीय डेटा-संरक्षण प्राधिकरण है। EEA भागीदारी और GDPR समावेशन मूल्यांकन के प्रासंगिक हिस्से हैं। इनका अर्थ यह नहीं है कि हर EU उपकरण या हर राष्ट्रीय कानूनी प्रक्रिया चारों क्षेत्रों में समान है।

• क्षेत्र कोड: OSL
• देश: नॉर्वे
• यूरोपीय ढाँचा: EEA EFTA
• राष्ट्रीय डेटा-संरक्षण प्राधिकरण: Datatilsynet

आधिकारिक दस्तावेज़: EFTA: EEA भागीदारी और दायरा · EDPB: राष्ट्रीय पर्यवेक्षी प्राधिकरण

Reykjavík: आइसलैंडिक क्षेत्र

Reykjavík आइसलैंडिक प्लेसमेंट विकल्प को दर्शाता है। आइसलैंड EFTA के माध्यम से EEA में भाग लेता है, और Persónuvernd इसका राष्ट्रीय डेटा-संरक्षण प्राधिकरण है। मुख्य भूमि यूरोप से इसका भौतिक पृथक्करण एक भौगोलिक तथ्य है; कानूनी पहुँच, अभिगम व्यवस्थाएँ और रिकवरी-प्रतिलिपि प्लेसमेंट के लिए अपना अलग मूल्यांकन आवश्यक है। चयनित सेवा और वास्तविक डेटा प्रवाह ही उपयोगी प्रारंभिक बिंदु हैं।

• क्षेत्र कोड: RKV
• देश: आइसलैंड
• यूरोपीय ढाँचा: EEA EFTA
• राष्ट्रीय डेटा-संरक्षण प्राधिकरण: Persónuvernd

आधिकारिक दस्तावेज़: EFTA: EEA में GDPR · EDPB: राष्ट्रीय पर्यवेक्षी प्राधिकरण

चुना गया क्षेत्र एक दृश्यमान निर्णय बना रहना चाहिए

प्लेसमेंट सिद्धांत यह है कि सेवा जीवनचक्र के दौरान चयनित क्षेत्र स्पष्ट रहे। किसी अन्य देश में नियोजित स्थानांतरण का वर्णन उसके होने से पहले किया जाना चाहिए और ग्राहक से सहमति ली जानी चाहिए। प्रतिकृति, पुनर्स्थापन और आपातकालीन रिकवरी को सेवा शर्तों में समान रूप से स्पष्ट व्यवहार मिलना चाहिए। प्राथमिक क्षेत्र, किसी भी रिकवरी प्रति का गंतव्य और बाद के माइग्रेशन का देश कभी भी चुपचाप विनिमेय नहीं माने जाने चाहिए।

• ऑर्डर के साथ चयनित क्षेत्र दर्ज करें
• नियोजित सीमा-पार माइग्रेशन से पहले गंतव्य की पहचान करें
• किसी भी रिकवरी अपवाद और उसकी सूचना प्रक्रिया का वर्णन करें
• ग्राहक के प्लेसमेंट रिकॉर्ड को वास्तविक सेवा के अनुरूप रखें

कानूनी पहुँच में भंडारण देश से अधिक शामिल हो सकता है

लागू नियम किसी संगठन की स्थापना, प्रसंस्करण गतिविधि, संबंधित व्यक्तियों और उपयोग किए जा रहे कानूनी साधन पर निर्भर हो सकते हैं। इसलिए GDPR के क्षेत्रीय दायरे के लिए मानचित्र पर एक पिन से अधिक की आवश्यकता है। इलेक्ट्रॉनिक साक्ष्य के लिए सीमा-पार तंत्र भी मौजूद हैं; EU ढाँचा अपने दायरे के भीतर प्रदाताओं और अनुरोधों के लिए एक उदाहरण है। प्रत्येक अनुरोध के लिए तथ्यों और प्रासंगिक प्रक्रिया का आकलन आवश्यक है।

आधिकारिक दस्तावेज़: EDPB: GDPR क्षेत्रीय दायरा · यूरोपीय आयोग: सीमा-पार इलेक्ट्रॉनिक साक्ष्य

अधिकार की समीक्षा करें, दायरा संकीर्ण करें, प्रतिक्रिया का दस्तावेज़ीकरण करें

हैंडलिंग सिद्धांत यह सत्यापित करना है कि जानकारी कौन मांग रहा है, किस कानूनी अधिकार पर निर्भर है और कौन सा विशेष डेटा या सेवा शामिल है। किसी अनुरोध को योग्य समीक्षा मिलनी चाहिए, असमर्थित या अत्यधिक मांगों पर उपलब्ध प्रक्रिया के माध्यम से प्रश्न उठाए जाने चाहिए। कोई भी प्रकटीकरण केवल उतने तक सीमित होना चाहिए जितना कानूनी रूप से आवश्यक या अन्यथा कानूनी रूप से उचित हो। ग्राहक अधिसूचना लागू प्रतिबंधों का पालन करनी चाहिए।

• अनुरोधकर्ता और कानूनी आधार की पुष्टि करें
• प्रभावित खाते, सेवा, अवधि और डेटा श्रेणियों की पहचान करें
• क्षेत्राधिकार, प्रक्रिया और किसी भी परस्पर विरोधी दायित्व की जाँच करें
• जहाँ उपयुक्त हो, स्पष्टीकरण माँगें या अति-व्यापक माँग को चुनौती दें
• आनुपातिक रिकॉर्ड रखें और केवल उचित दायरा ही प्रकट करें

विदेशी अनुरोधों के लिए उनका अपना स्थानांतरण विश्लेषण आवश्यक है

किसी तीसरे देश के प्राधिकरण की माँग EU से व्यक्तिगत डेटा प्रकट करने की स्वतः अनुमति नहीं है। EDPB का अनुच्छेद 48 मार्गदर्शन किसी विदेशी निर्णय की मान्यता को प्रसंस्करण के वैध आधार और अंतर्राष्ट्रीय स्थानांतरण के आधार से अलग करता है। लागू समझौते या किसी अन्य अनुमत मार्ग का संदर्भ में मूल्यांकन किया जाना चाहिए; न तो स्वतः स्वीकृति और न ही इनकार का व्यापक वादा उचित नीति है।

आधिकारिक दस्तावेज़: EDPB: अनुच्छेद 48 और तृतीय-देश प्राधिकरण अनुरोध

प्राथमिक डिस्क से आगे के डेटा का पालन करें

प्राथमिक स्टोरेज, स्नैपशॉट, बैकअप, लॉग, खाता रिकॉर्ड और सहायता अनुलग्नक अलग-अलग पथों पर जा सकते हैं। क्षेत्रीय विकल्प तभी अर्थपूर्ण होता है जब उन पथों को समझा जाए। सेवा रिकॉर्ड और गोपनीयता जानकारी को प्रत्येक श्रेणी को अलग करना चाहिए और बताना चाहिए कि किन पक्षों को उस तक पहुँच की अनुमति है। रिमोट प्रशासन और बाहरी प्रोसेसर भी उस सूची में शामिल होने चाहिए।

• प्राथमिक सिस्टम और एप्लिकेशन डेटा
• स्नैपशॉट, स्वतंत्र बैकअप और रिकवरी प्रतिकृतियां
• खाता, बिलिंग, सुरक्षा और सहायता रिकॉर्ड
• प्रशासनिक पहुँच और बाहरी सेवा प्रदाता

क्षेत्रीय स्थानांतरणों के साथ-साथ क्षेत्रीय प्लेसमेंट की भी सुरक्षा करें

प्रतिकृति और माइग्रेशन में प्रमाणित एन्क्रिप्शन, प्रतिबंधित क्रेडेंशियल और परिभाषित एंडपॉइंट का उपयोग होना चाहिए। जहाँ उपयुक्त हो, कुंजियों और पहुँच अनुमतियों को स्थानांतरण कार्य से अलग रखें। पिछली प्रति का प्रतिधारण और विलोपन स्थानांतरण का हिस्सा होना चाहिए। निजी कनेक्शन पर रूटिंग और डेटा एन्क्रिप्ट करना अलग-अलग नियंत्रण हैं; न तो भूगोल और न ही अकेले नेटवर्क लेबल गोपनीयता प्रदर्शित करता है।

कानूनी प्रतिरक्षा का वादा किए बिना संग्रह न्यूनतम करें

खाता मॉडल नियमित पहचान-दस्तावेज़ संग्रह से बचता है। यह साइनअप पर एकत्र की जाने वाली अनावश्यक जानकारी को सीमित करता है; यह उन भुगतान, सुरक्षा, अवसंरचना या सहायता रिकॉर्ड को नहीं मिटाता जिनकी किसी सेवा को आवश्यकता हो सकती है। प्रतिधारण और संरक्षण कर्तव्यों का मूल्यांकन लागू नियमों के अंतर्गत किया जाना चाहिए। गोपनीयता और पारदर्शिता पृष्ठ उन सिद्धांतों का वर्णन करते हैं, जबकि स्वीकार्य-उपयोग नीति हर क्षेत्र में लागू होती है।

स्थान प्राथमिकता को परिचालन चेकलिस्ट में बदलें

संवेदनशील वर्कलोड रखने से पहले, सेवा पक्षों, प्राथमिक स्थान, रिकवरी गंतव्यों, पहुँच मॉडल और संविदात्मक आवश्यकताओं का दस्तावेज़ीकरण करें। जब आप प्रदाता या एप्लिकेशन निर्भरताएँ बदलें तो रिकॉर्ड को अद्यतन रखें। यह पृष्ठ सामान्य ढाँचा समझाता है; किसी विशिष्ट विनियमित गतिविधि या विवाद के लिए उसके अपने तथ्यों का आकलन आवश्यक है।

• चयनित क्षेत्र को ऑर्डर और सेवा विवरण से मिलाएँ
• बैकअप और लॉग स्थान की समीक्षा करें, यह मानकर न चलें कि वह मेल खाता है
• गोपनीयता, स्वीकार्य-उपयोग और सेवा शर्तों को एक साथ जांचें
• चुने गए क्षेत्र या EEA के बाहर किसी भी प्रसंस्करण की पहचान करें
• कानूनी ढांचे और उसके वर्तमान दायरे के लिए लिंक किए गए प्राथमिक स्रोतों का उपयोग करें

थोड़ी और स्पष्टता।