Comece pelas entidades reais
Identifique o prestador contratante, o operador da infraestrutura e os subcontratantes relevantes. Uma empresa pode ter um domicílio legal diferente da localização física do servidor. A sua própria localização e as pessoas presentes nos seus dados também podem ser relevantes.
Entenda o enquadramento regional
A Suécia e a Finlândia pertencem à UE; a Noruega e a Islândia participam do EEE. As obrigações específicas ainda dependem do serviço, da atividade e das partes. Busque orientação qualificada para um requisito legal ou regulatório concreto.
Inspecione o mapa de dados
Registre a localização do servidor principal, dos backups, dos logs e do acesso de suporte. Um servidor na UE ou no EEE não significa automaticamente que todos os subcontratantes e administradores permanecem no mesmo lugar.
Prefira um compromisso documentado
Um contrato concluído, termos de processamento e uma política clara são evidências mais fortes do que a afirmação de que uma região é privada por natureza. Confirme o operador, o contrato aplicável e a instalação real do pedido que está a avaliar.
Não herde alegações legais de outro fornecedor
Uma declaração sobre uma empresa, instalação ou processo judicial não se transfere para um serviço recém-marcado. Verifique o operador real e faça com que as políticas relevantes sejam revisadas para esse arranjo. Confirme as informações do operador KoalaVPS diretamente, em vez de atribuir a ele a identidade, os registros ou o histórico de outro provedor.
Mantenha a revisão atualizada
Registe a data e a versão do acordo e da política em que se baseou. Reveja o mapa de dados após alterar uma localização, um processador de pagamentos, uma ferramenta de suporte ou um destino de cópias de segurança. Uma revisão de conformidade deve descrever o sistema que existe hoje.
Utilize os quatro países como pontos de partida para a análise
A Suécia e a Finlândia são países da UE; a Noruega e a Islândia são países do EEE fora da UE. As suas autoridades de proteção de dados fornecem um ponto de partida oficial útil: a IMY da Suécia, o Gabinete do Provedor de Justiça para a Proteção de Dados da Finlândia, a Datatilsynet da Noruega e a Persónuvernd da Islândia. Isto não classifica um país como imune a divulgação legal nem estabelece qual autoridade é competente para uma reclamação específica.
- Stockholm / Suécia: verifique o operador real e os seus compromissos contratuais antes de confiar na localização.
- Helsinki / Finlândia: verifique separadamente o armazenamento principal, a geografia do backup e o acesso ao suporte.
- Oslo / Noruega: distinga a participação na proteção de dados do EEE da adesão à UE.
- Reykjavík / Islândia: avalie a entidade contratante, as rotas de rede e o plano de cópias de segurança em vez de inferir uma imunidade a partir do nome do país.
Documentação oficial: EDPB: autoridades nacionais de supervisão
Pergunte quem pode aceder aos dados, não apenas onde está o disco
Crie um registo de fluxo de dados que abranja produção, réplicas, cópias de segurança, telemetria e suporte. Uma organização separada fora do EEE que receba ou aceda a dados pessoais pode levantar questões de transferência internacional nas condições aplicáveis; uma etiqueta de servidor regional por si só não resolve a análise. Peça ao fornecedor que identifique os seus subcontratantes e as modalidades de acesso. Faça avaliar o processamento e o contrato reais para a sua carga de trabalho quando estes criarem obrigações legais.
- Identifique seu papel e o papel do provedor para cada atividade de processamento, em vez de presumir que toda relação de serviço é idêntica.
- Solicite o acordo de processamento, o procedimento de alteração de subprocessadores, os termos de exclusão e o contato para incidentes.
- Quando uma ferramenta de suporte ou um destino de cópia de segurança muda, atualize a análise antes de confiar na declaração de localização antiga.
Documentação oficial: EDPB: transferências internacionais de dados · EDPB: responsabilidades do responsável pelo tratamento e do subcontratante