Mulai dari entitas yang sebenarnya
Identifikasi penyedia kontrak, operator infrastruktur, dan subprosesor terkait. Sebuah perusahaan dapat memiliki domisili hukum yang berbeda dari lokasi fisik server. Lokasi Anda sendiri dan orang-orang dalam data Anda juga dapat berpengaruh.
Pahami kerangka regional
Swedia dan Finlandia termasuk dalam UE; Norwegia dan Islandia berpartisipasi dalam EEA. Kewajiban spesifik tetap bergantung pada layanan, aktivitas, dan pihak-pihak terkait. Gunakan nasihat yang berkualifikasi untuk persyaratan hukum atau peraturan yang konkret.
Periksa peta data
Catat lokasi server utama, cadangan, log, dan akses dukungan. Server di UE atau EEA tidak otomatis berarti setiap pemroses dan administrator tetap berada di tempat yang sama.
Utamakan komitmen yang terdokumentasi
Kontrak yang selesai, ketentuan pemrosesan, dan kebijakan yang jelas adalah bukti yang lebih kuat daripada pernyataan bahwa suatu wilayah bersifat privat secara alami. Konfirmasi operator, perjanjian yang berlaku, dan fasilitas sebenarnya untuk pesanan yang Anda evaluasi.
Jangan mewarisi klaim hukum dari penyedia lain
Pernyataan tentang satu perusahaan, fasilitas, atau proses pengadilan tidak berlaku untuk layanan yang baru diberi merek. Verifikasi operator sebenarnya dan minta kebijakan yang relevan ditinjau untuk pengaturan tersebut. Konfirmasi informasi operator KoalaVPS secara langsung alih-alih mengaitkan identitas, registrasi, atau riwayat penyedia lain kepadanya.
Jaga tinjauan tetap mutakhir
Catat tanggal dan versi perjanjian serta kebijakan yang Anda andalkan. Tinjau kembali peta data setelah mengubah lokasi, pemroses pembayaran, alat dukungan atau tujuan cadangan. Tinjauan kepatuhan harus menggambarkan sistem yang ada saat ini.
Gunakan keempat negara sebagai titik awal peninjauan
Swedia dan Finlandia adalah negara UE; Norwegia dan Islandia adalah negara EEA di luar UE. Otoritas perlindungan data mereka menyediakan titik awal resmi yang berguna: IMY Swedia, Kantor Ombudsman Perlindungan Data Finlandia, Datatilsynet Norwegia, dan Persónuvernd Islandia. Ini tidak menempatkan satu negara sebagai kebal terhadap pengungkapan yang sah atau menetapkan otoritas mana yang berwenang untuk keluhan tertentu.
- Stockholm / Swedia: verifikasi operator sebenarnya dan komitmen kontraktualnya sebelum mengandalkan lokasi tersebut.
- Helsinki / Finlandia: periksa penyimpanan utama, geografi pencadangan, dan akses dukungan secara terpisah.
- Oslo / Norwegia: bedakan partisipasi perlindungan data EEA dari keanggotaan UE.
- Reykjavík / Islandia: evaluasi entitas kontrak, rute jaringan, dan rencana cadangan alih-alih menyimpulkan kekebalan dari nama negara.
Dokumentasi resmi: EDPB: otoritas pengawas nasional
Tanyakan siapa yang dapat mengakses data, bukan hanya di mana disk berada
Buat catatan aliran data yang mencakup produksi, replika, cadangan, telemetri, dan dukungan. Organisasi terpisah di luar EEA yang menerima atau mengakses data pribadi dapat menimbulkan pertanyaan transfer internasional berdasarkan kondisi yang relevan; label server regional saja tidak menyelesaikan analisis. Mintalah penyedia mengidentifikasi subprosesor dan pengaturan aksesnya. Mintalah pemrosesan dan kontrak yang sebenarnya dinilai untuk beban kerja Anda ketika hal itu menimbulkan kewajiban hukum.
- Identifikasi peran Anda dan peran penyedia untuk setiap aktivitas pemrosesan, alih-alih menganggap setiap hubungan layanan identik.
- Minta perjanjian pemrosesan, prosedur perubahan subprosesor, ketentuan penghapusan, dan kontak insiden.
- Ketika alat dukungan atau tujuan cadangan berubah, perbarui tinjauan sebelum mengandalkan pernyataan lokasi lama.
Dokumentasi resmi: EDPB: transfer data internasional · EDPB: tanggung jawab pengendali dan pemroses