Inizia con tre domande separate
Una sede di hosting indica dove una macchina è destinata a funzionare. Non descrive ogni soggetto che gestisce un account, un backup o una richiesta di supporto. L'operatore, i fornitori di infrastruttura e il cliente possono avere responsabilità legali diverse. Una valutazione utile segue il servizio completo invece di trattare l'etichetta di un paese come risposta a ogni questione legale.
- Operatore: chi fornisce il servizio e stipula il contratto?
- Collocazione: dove si trovano il sistema principale, le copie archiviate e i registri operativi?
- Accesso: quali parti possono amministrare il servizio o ricevere dati?
L'operatore del servizio è KoalaVPS
KoalaVPS è l'operatore indicato per questo servizio. I termini spiegano il rapporto di servizio; l'informativa sulla privacy spiega il trattamento delle informazioni sull'account e operative. La selezione di una regione riguarda l'ubicazione dell'infrastruttura. Non specifica di per sé la sede legale di una società né determina tutti gli obblighi che possono applicarsi all'operatore, al cliente o al carico di lavoro.
Quattro regioni, ciascuna con il proprio contesto nazionale
Il catalogo contiene Stockholm, Helsinki, Oslo e Reykjavík. Svezia e Finlandia sono Stati membri dell'UE. Norvegia e Islanda partecipano allo Spazio economico europeo tramite l'EFTA. Il GDPR è stato incorporato nell'accordo SEE, quindi scegliere una sede SEE EFTA non elimina il quadro europeo di protezione dei dati. La legge e le procedure nazionali richiedono comunque attenzione in ciascun paese.
- STO / Stockholm / Svezia / UE
- HEL / Helsinki / Finlandia / UE
- OSL / Oslo / Norvegia / SEE EFTA
- RKV / Reykjavík / Islanda / SEE EFTA
Documentazione ufficiale: EFTA: lo Spazio economico europeo · EFTA: recepimento del GDPR e status giuridico
Stockholm: la regione svedese
Stockholm indica l'opzione di posizionamento svedese. La Svezia è uno Stato membro dell'UE e la sua autorità nazionale per la protezione dei dati è Integritetsskyddsmyndigheten, solitamente chiamata IMY. Per un ordine che utilizza questa regione, valuta il servizio selezionato, le copie archiviate e le parti con accesso insieme al quadro normativo svedese ed europeo applicabile. La sola città non determina dove risiedono ogni record dell'account o ogni dipendenza applicativa esterna.
- Codice regione: STO
- Paese: Svezia
- Quadro europeo: Stato membro dell'UE
- Autorità nazionale per la protezione dei dati: IMY
Documentazione ufficiale: Unione Europea: Svezia · EDPB: autorità nazionali di controllo
Helsinki: la regione finlandese
Helsinki identifica l'opzione di collocazione finlandese. La Finlandia è uno Stato membro dell'UE e la sua autorità di vigilanza nazionale è l'Ufficio del Garante della protezione dei dati. Includi repliche del database, destinazioni di backup e accesso amministrativo in una decisione di collocazione in Finlandia. Se un'applicazione invia informazioni a un servizio separato, tale trattamento aggiuntivo va considerato a sé stante.
- Codice regione: HEL
- Paese: Finlandia
- Quadro europeo: Stato membro dell'UE
- Autorità nazionale per la protezione dei dati: Ufficio del Difensore civico per la protezione dei dati
Documentazione ufficiale: Unione Europea: Finlandia · EDPB: autorità nazionali di controllo
Oslo: la regione norvegese
Oslo è la regione catalogo norvegese. La Norvegia è uno Stato EFTA dello SEE al di fuori dell'UE, e Datatilsynet è la sua autorità nazionale per la protezione dei dati. La partecipazione allo SEE e l'incorporazione del GDPR sono parti rilevanti della valutazione. Non significano che ogni strumento UE o ogni procedura legale nazionale sia identica nelle quattro regioni.
- Codice regione: OSL
- Paese: Norvegia
- Quadro europeo: SEE EFTA
- Autorità nazionale per la protezione dei dati: Datatilsynet
Documentazione ufficiale: EFTA: partecipazione e ambito SEE · EDPB: autorità nazionali di controllo
Reykjavík: la regione islandese
Reykjavík identifica l'opzione di collocazione islandese. L'Islanda partecipa al SEE tramite l'EFTA e Persónuvernd è la sua autorità nazionale per la protezione dei dati. La sua separazione fisica dall'Europa continentale è un fatto geografico; la portata giuridica, le modalità di accesso e la collocazione delle copie di recupero richiedono una valutazione a sé. Il servizio scelto e i flussi di dati effettivi restano il punto di partenza utile.
- Codice regione: RKV
- Paese: Islanda
- Quadro europeo: SEE EFTA
- Autorità nazionale per la protezione dei dati: Persónuvernd
Documentazione ufficiale: EFTA: GDPR nello SEE · EDPB: autorità nazionali di controllo
Una regione scelta dovrebbe restare una decisione visibile
Il principio di collocazione è mantenere esplicita la regione selezionata per tutto il ciclo di vita del servizio. Un trasferimento pianificato in un altro paese dovrebbe essere descritto prima che avvenga e concordato con il cliente. Replica, ripristini e recupero di emergenza necessitano di un trattamento altrettanto chiaro nei termini di servizio. La regione primaria, la destinazione di qualsiasi copia di ripristino e il paese di una successiva migrazione non dovrebbero mai essere trattati silenziosamente come intercambiabili.
- Registra la regione selezionata con l'ordine
- Identifica la destinazione prima di una migrazione transfrontaliera pianificata
- Descrivi eventuali eccezioni di ripristino e il relativo processo di notifica
- Mantieni il record di collocazione del cliente allineato al servizio effettivo
La portata legale può coinvolgere più del paese di archiviazione
Le regole applicabili possono dipendere dallo stabilimento di un'organizzazione, dall'attività di trattamento, dalle persone coinvolte e dallo strumento giuridico utilizzato. L'ambito territoriale del GDPR richiede quindi più di una puntina su una mappa. Esistono anche meccanismi transfrontalieri per le prove elettroniche; il quadro UE è un esempio per i fornitori e le richieste nel suo ambito. Ogni richiesta richiede una valutazione dei fatti e della procedura pertinente.
Documentazione ufficiale: EDPB: ambito territoriale del GDPR · Commissione europea: prove elettroniche transfrontaliere
Verifica l'autorità, restringi l'ambito, documenta la risposta
Il principio di gestione è verificare chi richiede informazioni, l'autorità legale invocata e i dati o il servizio specifici coinvolti. Una richiesta deve ricevere una revisione qualificata, con richieste non supportate o eccessive contestate tramite la procedura disponibile. Qualsiasi divulgazione deve essere limitata a quanto legalmente richiesto o altrimenti legalmente giustificato. La notifica al cliente deve rispettare le restrizioni applicabili.
- Verifica il richiedente e la base giuridica
- Identifica l'account, il servizio, il periodo e le categorie di dati interessati
- Verifica la giurisdizione, la procedura e eventuali obblighi in conflitto
- Cerca chiarimenti o contesta una richiesta eccessivamente ampia, ove opportuno
- Mantieni un registro proporzionato e divulga solo l'ambito giustificato
Le richieste estere necessitano di una propria analisi di trasferimento
La richiesta di un'autorità di un paese terzo non è un permesso automatico a divulgare dati personali dall'UE. La guida dell'EDPB sull'articolo 48 distingue il riconoscimento di una decisione straniera dalla base giuridica del trattamento e dal fondamento di un trasferimento internazionale. Un accordo applicabile o un'altra via consentita deve essere valutato nel contesto; né l'accettazione automatica né una promessa indiscriminata di rifiuto costituiscono una politica solida.
Documentazione ufficiale: EDPB: articolo 48 e richieste di autorità di paesi terzi
Segui i dati oltre il disco primario
Archiviazione primaria, snapshot, backup, log, registrazioni dell'account e allegati di supporto possono seguire percorsi diversi. Una scelta regionale è significativa solo quando questi percorsi sono chiari. La scheda del servizio e le informazioni sulla privacy dovrebbero distinguere ogni categoria e spiegare quali soggetti sono autorizzati ad accedervi. Anche l'amministrazione remota e i responsabili esterni del trattamento rientrano in questo inventario.
- Dati primari di sistema e applicazioni
- Snapshot, backup indipendenti e repliche di ripristino
- Registri di account, fatturazione, sicurezza e supporto
- Accesso amministrativo e fornitori di servizi esterni
Proteggi i trasferimenti regionali oltre alla collocazione regionale
La replica e la migrazione devono usare cifratura autenticata, credenziali limitate ed endpoint definiti. Mantieni chiavi e permessi di accesso separati dal processo di trasferimento ove opportuno. La conservazione e la cancellazione della copia precedente devono far parte dello spostamento. L'instradamento su una connessione privata e la cifratura dei dati sono controlli distinti; né la geografia né un'etichetta di rete da sole dimostrano la riservatezza.
Riduci al minimo la raccolta senza promettere immunità legale
Il modello di account evita la raccolta sistematica di documenti d'identità. Ciò limita le informazioni non necessarie raccolte alla registrazione; non cancella i registri di pagamento, sicurezza, infrastruttura o supporto di cui un servizio può aver bisogno. Gli obblighi di conservazione e preservazione devono essere valutati secondo le regole applicabili. Le pagine sulla privacy e sulla trasparenza descrivono questi principi, mentre la policy di uso accettabile si applica in ogni regione.
Trasforma una preferenza di posizione in una checklist operativa
Prima di collocare un carico di lavoro sensibile, documenta le parti del servizio, la posizione principale, le destinazioni di ripristino, il modello di accesso e i requisiti contrattuali. Mantieni il registro aggiornato quando cambi provider o dipendenze dell'applicazione. Questa pagina spiega il quadro generale; un'attività regolamentata specifica o una controversia richiede una valutazione dei propri fatti.
- Abbina la regione selezionata all'ordine e alla descrizione del servizio
- Esamina la collocazione di backup e log invece di darla per scontata
- Controlla insieme i termini sulla privacy, sull'uso accettabile e sul servizio
- Identifica eventuali trattamenti al di fuori della regione scelta o del SEE
- Usa le fonti primarie collegate per il quadro normativo e la sua portata attuale
Un po' più di chiarezza.
La scelta della regione di un server determina il paese di registrazione dell'operatore?
No. L'operatore e l'ubicazione dell'infrastruttura sono questioni separate. Una regione selezionata identifica la posizione prevista del server; non specifica di per sé una sede legale né risolve ogni obbligo applicabile.
Tutti e quattro i paesi fanno parte dell'Unione Europea?
Svezia e Finlandia sono membri dell'UE. Norvegia e Islanda sono Stati EFTA del SEE al di fuori dell'UE. L'incorporazione del GDPR nell'accordo SEE è rilevante per tutte e quattro le sedi, mentre le procedure nazionali e altri strumenti giuridici possono differire.
Una regione norvegese o islandese è al di fuori del quadro GDPR?
No. Il GDPR è stato incorporato nell'Accordo SEE. L'applicabilità dipende comunque dal trattamento e dalle parti coinvolte; un'etichetta SEE EFTA non è un'esenzione generale dagli obblighi di protezione dei dati.
Un'autorità straniera può mai accedere ai dati conservati in un altro paese?
Esistono meccanismi legali transfrontalieri. Se una richiesta abbia effetto dipende dalla legge pertinente, dalla procedura, dalle parti e dai fatti. Il solo paese di archiviazione non può stabilire che ogni richiesta estera sia inefficace.
Un trasferimento pianificato in un altro paese sarà visibile a me?
Il principio di collocazione richiede che la destinazione e l'effetto di un trasferimento transfrontaliero pianificato siano divulgati e concordati prima del trasferimento. Le eccezioni per il ripristino e le procedure di notifica appartengono ai termini del servizio.
I backup restano automaticamente nello stesso paese del server?
La posizione primaria non determina da sola il posizionamento dei backup. Esamina separatamente le destinazioni di snapshot, backup e ripristino del servizio, inclusi conservazione e accesso.
Una connessione privata tra regioni significa che i dati sono crittografati?
Routing e crittografia sono controlli separati. Un trasferimento dovrebbe usare crittografia autenticata e una politica di accesso esplicita; una descrizione di rete privata da sola non è prova di nessuno dei due.
Il no-KYC impedisce a un provider di ricevere una richiesta legale?
No. Descrive il modello di verifica dell'identità. Un fornitore può comunque avere registri operativi e obblighi legali. I limiti di raccolta, la conservazione e l'ambito di una richiesta devono essere valutati con precisione.
La politica di uso accettabile cambia con il paese selezionato?
La politica di utilizzo accettabile di KoalaVPS si applica all'intero catalogo. La scelta di una regione non elimina gli obblighi del cliente previsti dalla legge applicabile.