3つの別々の問いから始める
ホスティングの場所は、マシンがどこで動作することを意図しているかを示します。アカウント、バックアップ、サポートリクエストを扱うすべての当事者を説明するものではありません。運営者、インフラストラクチャのサプライヤー、顧客はそれぞれ異なる法的責任を負う可能性があります。有用な評価は、国名のラベルをすべての法的問題への答えとして扱うのではなく、サービス全体を追跡します。
- 運営者：誰がサービスを提供し、契約を締結しますか？
- 配置：主要システム、保存されたコピー、運用記録はどこにありますか？
- アクセス：どの当事者がサービスを管理し、またはデータを受け取ることができますか？
サービス運営者は KoalaVPS です
KoalaVPSは、このサービスのために指定された運営者です。利用規約はサービス関係を説明し、プライバシーポリシーはアカウント情報および運用情報の取り扱いを説明します。リージョンの選択はインフラストラクチャの配置に関するものです。それ自体では、企業の登記上の所在地を特定したり、運営者、お客様、ワークロードに適用される可能性のあるすべての義務を決定したりするものではありません。
4つのリージョン、それぞれの国の文脈
カタログには Stockholm、Helsinki、Oslo、Reykjavík が含まれています。スウェーデンとフィンランドは EU 加盟国です。ノルウェーとアイスランドは EFTA を通じて欧州経済領域に参加しています。GDPR は EEA 協定に組み込まれているため、EEA EFTA の拠点を選んでも欧州のデータ保護の枠組みがなくなるわけではありません。各国の国内法と手続きには引き続き注意が必要です。
- STO / Stockholm / スウェーデン / EU
- HEL / Helsinki / フィンランド / EU
- OSL / Oslo / ノルウェー / EEA EFTA
- RKV / Reykjavík / アイスランド / EEA EFTA
公式ドキュメント: EFTA: 欧州経済領域 · EFTA：GDPRの取り込みと法的地位
Stockholm: スウェーデンリージョン
Stockholmはスウェーデンの配置オプションを指します。スウェーデンはEU加盟国であり、その国のデータ保護機関はIntegritetsskyddsmyndigheten（通称IMY）です。このリージョンを使用する注文では、選択したサービス、保存されるコピー、アクセス権を持つ当事者を、スウェーデンおよび適用される欧州の枠組みと併せて評価してください。都市名だけでは、すべてのアカウント記録や外部アプリケーション依存関係がどこに存在するかは確定しません。
- リージョンコード: STO
- 国: スウェーデン
- 欧州の枠組み：EU 加盟国
- 国のデータ保護機関：IMY
公式ドキュメント: 欧州連合: スウェーデン · EDPB：各国の監督機関
Helsinki：フィンランドリージョン
Helsinki はフィンランドの配置オプションを示します。フィンランドは EU 加盟国であり、その国の監督機関はデータ保護オンブズマン事務局です。フィンランドへの配置の決定には、データベースのレプリカ、バックアップ先、管理アクセスを含めてください。アプリケーションが情報を別のサービスに送信する場合、その追加の処理は独自の条件で検討する必要があります。
- リージョンコード：HEL
- 国：フィンランド
- 欧州の枠組み：EU 加盟国
- 国のデータ保護機関：データ保護オンブズマン事務局
公式ドキュメント: 欧州連合: フィンランド · EDPB：各国の監督機関
Oslo：ノルウェーのリージョン
Osloはノルウェーのカタログ地域です。ノルウェーはEU外のEEA EFTA加盟国であり、Datatilsynetがその国のデータ保護機関です。EEA参加とGDPRの組み込みは評価の関連部分です。ただし、すべてのEUの法的枠組みや各国の法的手続きが4地域で同一であることを意味するものではありません。
- リージョンコード：OSL
- 国：ノルウェー
- 欧州の枠組み：EEA EFTA
- 国のデータ保護機関：Datatilsynet
公式ドキュメント: EFTA: EEAの参加と範囲 · EDPB：各国の監督機関
Reykjavík：アイスランドリージョン
Reykjavík はアイスランド配置オプションを示します。アイスランドは EFTA を通じて EEA に参加しており、Persónuvernd がその国のデータ保護機関です。ヨーロッパ本土からの物理的な分離は地理的事実です。法的な適用範囲、アクセス体制、復旧コピーの配置には独自の評価が必要です。選択したサービスと実際のデータフローが有用な出発点となります。
- リージョンコード: RKV
- 国：アイスランド
- 欧州の枠組み：EEA EFTA
- 国のデータ保護機関：Persónuvernd
公式ドキュメント: EFTA：EEAにおけるGDPR · EDPB：各国の監督機関
選択したリージョンは、可視化された決定であり続けるべきです
配置の原則は、サービスのライフサイクル全体を通じて選択したリージョンを明示し続けることです。他国への移転計画は、実行前に説明し、お客様と合意する必要があります。レプリケーション、リストア、緊急リカバリも、サービス条件において同様に明確に扱う必要があります。プライマリリージョン、リカバリコピーの保存先、後の移行先国は、暗黙のうちに互換可能なものとして扱われるべきではありません。
- 選択したリージョンを注文とともに記録する
- 計画的な国境を越える移行の前に移行先を確認する
- 復旧の例外とその通知プロセスを記載する
- 顧客の配置記録を実際のサービスと一致させておく
法的な及ぶ範囲は保存国だけにとどまりません
適用される規則は、組織の拠点、処理活動、関係する人々、使用される法的文書によって異なる場合があります。したがって、GDPRの領域的適用範囲には、地図上のピンだけでは不十分です。電子証拠に関する越境メカニズムも存在します。EUの枠組みは、その範囲内のプロバイダーと要請に対する一例です。各要請には、事実と関連する手続きの評価が必要です。
公式ドキュメント: EDPB：GDPR の適用範囲 · 欧州委員会: 越境電子証拠
権限を確認し、範囲を絞り、対応を記録する
対応原則は、情報を要求しているのが誰か、依拠する法的権限、および関与する特定のデータまたはサービスを確認することです。要請は適切な審査を受けるべきであり、根拠のない、または過度な要求には利用可能な手続を通じて異議を唱えます。開示は、法令上必要な範囲または別途法令上正当化される範囲に限定されるべきです。顧客への通知は、適用される制限を遵守する必要があります。
- 依頼者と法的根拠を確認する
- 影響を受けるアカウント、サービス、期間、データカテゴリを特定する
- 管轄区域、手続き、および矛盾する義務の有無を確認する
- 必要に応じて明確化を求め、過度に広範な要求に異議を唱える
- 比例した記録を保持し、正当化された範囲のみを開示する
外国からの要請には独自の移転分析が必要です
第三国の当局による要求は、EU からの個人データ開示を自動的に許可するものではありません。EDPB の第 48 条ガイダンスは、外国の決定の承認と、処理の適法性の根拠および国際移転の根拠を区別しています。適用可能な協定または別の許容される経路を文脈に即して評価する必要があり、自動的な受け入れも、一律の拒否の約束も、健全なポリシーとは言えません。
公式ドキュメント: EDPB：第 48 条と第三国の当局からの要請
プライマリディスクを超えてデータを追跡する
プライマリストレージ、スナップショット、バックアップ、ログ、アカウント記録、サポート添付ファイルは、それぞれ異なる経路をたどる場合があります。地域の選択は、これらの経路が理解されている場合にのみ意味を持ちます。サービス記録とプライバシー情報では、各カテゴリを区別し、アクセスが許可される当事者を説明する必要があります。リモート管理と外部処理者も、その一覧に含めるべきです。
- 主要なシステムおよびアプリケーションデータ
- スナップショット、独立バックアップ、復旧レプリカ
- アカウント、請求、セキュリティ、サポートの記録
- 管理アクセスと外部サービスプロバイダー
リージョン配置だけでなくリージョン間転送も保護
レプリケーションと移行には、認証付き暗号化、制限された認証情報、定義済みのエンドポイントを使用してください。必要に応じて、鍵とアクセス権限は転送ジョブから分離してください。以前のコピーの保持と削除は、移行作業の一部である必要があります。プライベート接続経由のルーティングとデータの暗号化は別個の制御であり、地理的条件やネットワークラベルだけでは機密性を証明できません。
法的免責を約束せずに収集を最小化する
アカウントモデルでは、日常的な本人確認書類の収集を避けています。これにより登録時に収集される不要な情報を抑えられますが、サービス運営に必要な支払い、セキュリティ、インフラ、サポートの記録が消えるわけではありません。保存および保全の義務は、適用される規則に基づいて評価する必要があります。プライバシーと透明性のページではこれらの原則を説明し、利用規約はすべての地域に適用されます。
ロケーションの希望を運用チェックリストに変える
機密性の高いワークロードを配置する前に、サービス当事者、主要拠点、復旧先、アクセスモデル、契約要件を文書化してください。プロバイダーやアプリケーションの依存関係を変更した際は、記録を最新の状態に保ってください。このページは一般的な枠組みを説明するものです。特定の規制対象活動や紛争については、個別の事実に基づく評価が必要です。
- 選択したリージョンが注文とサービス説明に一致することを確認する
- バックアップとログの配置が一致していると仮定せず、確認してください
- プライバシー、利用規定、サービス規約を併せて確認する
- 選択した地域またはEEA外での処理を特定する
- 法的枠組みとその現在の適用範囲については、リンクされた一次情報源を参照してください
もう少し明確に。
サーバーリージョンを選択すると、運営者の登録国が選択されますか？
いいえ。運用者とインフラの配置は別個の問いです。選択した地域は意図するサーバーの所在地を示すものであり、それ自体で登録事務所を特定したり、適用されるすべての義務を確定したりするものではありません。
4 か国はすべて欧州連合に加盟していますか？
スウェーデンとフィンランドは EU 加盟国です。ノルウェーとアイスランドは EU 外の EEA EFTA 諸国です。EEA 協定への GDPR の組み込みは 4 つの拠点すべてに関係しますが、国内手続きやその他の法的文書は異なる場合があります。
ノルウェーまたはアイスランドのリージョンはGDPRの枠組みの外にありますか？
いいえ。GDPRはEEA協定に組み込まれています。適用の可否は依然として処理内容と関係当事者によって決まります。EEA EFTAのラベルは、データ保護義務からの一般的な免除ではありません。
外国の当局は他国に保管されたデータにアクセスできるのでしょうか。
越境の法的メカニズムは存在します。要請が効力を持つかどうかは、関連する法律、手続き、当事者、事実によって決まります。保存国だけでは、すべての外国からの要請が無効であることを立証できません。
他国への計画的な移転は私に表示されますか？
配置の原則では、計画された国境を越える移転について、その移転先と影響を事前に開示し合意することが求められます。復旧の例外と通知手順はサービス規約に定めるべきものです。
バックアップは自動的にサーバーと同じ国に保管されますか。
プライマリロケーションだけではバックアップの配置は決まりません。サービスのスナップショット、バックアップ、復旧先を、保持期間とアクセスを含めて個別に確認してください。
リージョン間のプライベート接続はデータが暗号化されるという意味ですか？
ルーティングと暗号化は別々の制御です。転送には認証付き暗号化と明示的なアクセスポリシーを使用すべきであり、プライベートネットワークという説明だけではそのいずれの証明にもなりません。
no-KYC はプロバイダーが法的要請を受けることを防げますか？
いいえ。これは本人確認モデルについて説明したものです。プロバイダーは依然として運用記録や法的義務を負う場合があります。収集の制限、保持期間、リクエストの範囲は正確に評価する必要があります。
利用規約は選択した国によって変わりますか？
KoalaVPS の利用規約はカタログ全体に適用されます。リージョンの選択によって、適用法の下でのお客様自身の義務が免除されるものではありません。