Comece com três questões separadas
Uma localização de hospedagem indica onde uma máquina deve ser executada. Ela não descreve todas as partes que lidam com uma conta, backup ou solicitação de suporte. O operador, os fornecedores de infraestrutura e o cliente podem ter responsabilidades legais diferentes. Uma avaliação útil acompanha o serviço completo, em vez de tratar um rótulo de país como a resposta para todas as questões legais.
- Operador: quem fornece o serviço e celebra o contrato?
- Localização: onde estão o sistema principal, as cópias armazenadas e os registros operacionais?
- Acesso: que partes podem administrar o serviço ou receber dados?
O operador do serviço é KoalaVPS
KoalaVPS é o operador nomeado para este serviço. Os termos explicam a relação de serviço; a política de privacidade explica o tratamento de informações de conta e operacionais. Selecionar uma região diz respeito à localização da infraestrutura. Isso não especifica, por si só, a sede registrada de uma empresa nem decide todas as obrigações que podem se aplicar ao operador, ao cliente ou à carga de trabalho.
Quatro regiões, com o seu próprio contexto nacional
O catálogo contém Stockholm, Helsinki, Oslo e Reykjavík. Suécia e Finlândia são Estados-membros da UE. Noruega e Islândia participam do Espaço Econômico Europeu por meio da EFTA. O GDPR foi incorporado ao Acordo EEE, portanto escolher uma localização EEE EFTA não remove o arcabouço europeu de proteção de dados. A legislação e os procedimentos nacionais ainda exigem atenção em cada país.
- STO / Stockholm / Suécia / UE
- HEL / Helsinki / Finlândia / UE
- OSL / Oslo / Noruega / EEE EFTA
- RKV / Reykjavík / Islândia / EEE EFTA
Documentação oficial: EFTA: o Espaço Económico Europeu · EFTA: incorporação do RGPD e estatuto jurídico
Stockholm: a região sueca
Stockholm designa a opção de localização sueca. A Suécia é membro da UE e a sua autoridade nacional de proteção de dados é a Integritetsskyddsmyndigheten, habitualmente designada IMY. Para um pedido que utilize esta região, avalie o serviço selecionado, as suas cópias armazenadas e as partes com acesso, em conjunto com o quadro sueco e europeu aplicável. A cidade, por si só, não determina onde reside cada registo de conta ou dependência de aplicação externa.
- Código da região: STO
- País: Suécia
- Estrutura europeia: Estado-membro da UE
- Autoridade nacional de proteção de dados: IMY
Documentação oficial: União Europeia: Suécia · EDPB: autoridades nacionais de supervisão
Helsinki: a região finlandesa
Helsinki identifica a opção de localização na Finlândia. A Finlândia é um Estado-Membro da UE e a sua autoridade nacional de supervisão é o Gabinete do Provedor de Justiça para a Proteção de Dados. Inclua réplicas de bases de dados, destinos de backup e acesso administrativo numa decisão de localização na Finlândia. Se uma aplicação enviar informações para um serviço separado, esse tratamento adicional tem de ser considerado por si próprio.
- Código da região: HEL
- País: Finlândia
- Estrutura europeia: Estado-membro da UE
- Autoridade nacional de proteção de dados: Gabinete do Provedor de Proteção de Dados
Documentação oficial: União Europeia: Finlândia · EDPB: autoridades nacionais de supervisão
Oslo: a região norueguesa
Oslo é a região do catálogo norueguês. A Noruega é um Estado do EEE/EFTA fora da UE, e a Datatilsynet é a sua autoridade nacional de proteção de dados. A participação no EEE e a incorporação do RGPD são partes relevantes da avaliação. Não significam que todos os instrumentos da UE ou todos os procedimentos legais nacionais sejam idênticos nas quatro regiões.
- Código da região: OSL
- País: Noruega
- Enquadramento europeu: EEE EFTA
- Autoridade nacional de proteção de dados: Datatilsynet
Documentação oficial: EFTA: participação e âmbito no EEE · EDPB: autoridades nacionais de supervisão
Reykjavík: a região islandesa
Reykjavík identifica a opção de localização na Islândia. A Islândia participa no EEE através da EFTA, e a Persónuvernd é a sua autoridade nacional de proteção de dados. A sua separação física da Europa continental é um facto geográfico; o alcance jurídico, os acordos de acesso e a colocação de cópias de recuperação exigem uma avaliação própria. O serviço selecionado e os fluxos de dados reais continuam a ser o ponto de partida útil.
- Código da região: RKV
- País: Islândia
- Enquadramento europeu: EEE EFTA
- Autoridade nacional de proteção de dados: Persónuvernd
Documentação oficial: EFTA: RGPD no EEE · EDPB: autoridades nacionais de supervisão
Uma região escolhida deve permanecer uma decisão visível
O princípio de colocação é manter a região selecionada explícita ao longo de todo o ciclo de vida do serviço. Uma mudança planeada para outro país deve ser descrita antes de acontecer e acordada com o cliente. A replicação, os restauros e a recuperação de emergência necessitam de um tratamento igualmente claro nos termos do serviço. A região principal, o destino de qualquer cópia de recuperação e o país de uma migração posterior nunca devem ser tratados silenciosamente como intercambiáveis.
- Registe a região selecionada com a encomenda
- Identifique o destino antes de uma migração transfronteiriça planeada
- Descreva qualquer exceção de recuperação e o seu processo de notificação
- Mantenha o registo de colocação do cliente alinhado com o serviço real
O alcance legal pode envolver mais do que o país de armazenamento
As regras aplicáveis podem depender do estabelecimento de uma organização, da atividade de tratamento, das pessoas envolvidas e do instrumento legal utilizado. O âmbito territorial do GDPR, portanto, exige mais do que um ponto no mapa. Também existem mecanismos transfronteiriços para provas eletrônicas; o quadro da UE é um exemplo para prestadores e pedidos dentro do seu âmbito. Cada pedido exige uma avaliação dos fatos e do procedimento relevante.
Documentação oficial: EDPB: âmbito territorial do GDPR · Comissão Europeia: provas eletrônicas transfronteiriças
Reveja a autoridade, restrinja o âmbito, documente a resposta
O princípio de tratamento é verificar quem está a solicitar informações, a autoridade legal invocada e os dados ou serviços específicos envolvidos. Um pedido deve receber uma análise qualificada, com exigências não fundamentadas ou excessivas questionadas através do procedimento disponível. Qualquer divulgação deve limitar-se ao que é legalmente exigido ou de outro modo legalmente justificado. A notificação ao cliente deve respeitar as restrições aplicáveis.
- Verifique o requerente e a base legal
- Identifique a conta, o serviço, o período e as categorias de dados afetados
- Verifique a jurisdição, o procedimento e quaisquer obrigações conflituantes
- Busque esclarecimentos ou conteste uma exigência excessivamente ampla quando apropriado
- Mantenha um registo proporcional e divulgue apenas o âmbito justificado
Os pedidos estrangeiros exigem a sua própria análise de transferência
A exigência de uma autoridade de um país terceiro não é uma autorização automática para divulgar dados pessoais da UE. As orientações do EDPB sobre o Artigo 48 distinguem o reconhecimento de uma decisão estrangeira da base jurídica para o tratamento e do fundamento para uma transferência internacional. Um acordo aplicável ou outra via permitida deve ser avaliado em contexto; nem a aceitação automática nem uma promessa genérica de recusa constituem uma política sólida.
Documentação oficial: EDPB: Artigo 48 e solicitações de autoridades de países terceiros
Acompanhe os dados para além do disco principal
Armazenamento primário, snapshots, backups, logs, registros de conta e anexos de suporte podem seguir caminhos diferentes. Uma escolha regional só faz sentido quando esses caminhos são compreendidos. O registro do serviço e as informações de privacidade devem distinguir cada categoria e explicar as partes autorizadas a acessá-la. A administração remota e os processadores externos também fazem parte desse inventário.
- Dados primários do sistema e das aplicações
- Snapshots, backups independentes e réplicas de recuperação
- Registos de conta, faturação, segurança e suporte
- Acesso administrativo e provedores de serviços externos
Proteja as transferências regionais, bem como a colocação regional
A replicação e a migração devem usar encriptação autenticada, credenciais restritas e endpoints definidos. Mantenha as chaves e as permissões de acesso separadas da tarefa de transferência quando apropriado. A retenção e a eliminação da cópia anterior têm de fazer parte da mudança. O encaminhamento por uma ligação privada e a encriptação dos dados são controlos separados; nem a geografia nem um rótulo de rede demonstram, por si só, confidencialidade.
Minimize a recolha sem prometer imunidade jurídica
O modelo de conta evita a coleta rotineira de documentos de identidade. Isso limita as informações desnecessárias coletadas no cadastro; não apaga registros de pagamento, segurança, infraestrutura ou suporte de que um serviço possa precisar. Os deveres de retenção e preservação devem ser avaliados segundo as regras aplicáveis. As páginas de privacidade e transparência descrevem esses princípios, enquanto a política de uso aceitável se aplica em todas as regiões.
Transforme uma preferência de localização numa lista de verificação operacional
Antes de colocar uma carga de trabalho sensível, documente as partes do serviço, a localização principal, os destinos de recuperação, o modelo de acesso e os requisitos contratuais. Mantenha o registo atualizado quando mudar de fornecedor ou de dependências da aplicação. Esta página explica o quadro geral; uma atividade regulada específica ou um litígio exige uma avaliação dos seus próprios factos.
- Faça corresponder a região selecionada ao pedido e à descrição do serviço
- Reveja a localização das cópias de segurança e dos registos em vez de assumir que corresponde
- Verifique em conjunto os termos de privacidade, de utilização aceitável e de serviço
- Identifique qualquer processamento fora da região escolhida ou do EEE
- Use as fontes primárias vinculadas para o enquadramento legal e o seu âmbito atual
Um pouco mais de clareza.
Escolher uma região de servidor seleciona o país de registo do operador?
Não. O operador e a localização da infraestrutura são questões separadas. Uma região selecionada identifica a localização pretendida do servidor; por si só, não especifica uma sede registada nem resolve todas as obrigações aplicáveis.
Os quatro países fazem parte da União Europeia?
A Suécia e a Finlândia são membros da UE. A Noruega e a Islândia são Estados da EFTA no EEE fora da UE. A incorporação do RGPD no Acordo EEE é relevante para as quatro localizações, embora os procedimentos nacionais e outros instrumentos jurídicos possam diferir.
Uma região norueguesa ou islandesa fica fora do quadro do RGPD?
Não. O RGPD foi incorporado no Acordo EEE. A aplicabilidade continua a depender do tratamento e das partes envolvidas; um rótulo EEE EFTA não é uma isenção geral das obrigações de proteção de dados.
Uma autoridade estrangeira pode algum dia acessar dados mantidos em outro país?
Existem mecanismos legais transfronteiriços. Se um pedido produz efeitos depende da lei, do procedimento, das partes e dos factos relevantes. O país de armazenamento, por si só, não pode estabelecer que todos os pedidos estrangeiros são ineficazes.
Uma mudança planejada para outro país será visível para mim?
O princípio de localização exige que o destino e o efeito de uma transferência transfronteiriça planejada sejam divulgados e acordados antes da transferência. Exceções de recuperação e procedimentos de notificação pertencem aos termos do serviço.
Os backups ficam automaticamente no mesmo país que o servidor?
A localização principal não determina por si só a colocação das cópias de segurança. Reveja separadamente os destinos de snapshots, cópias de segurança e recuperação do serviço, incluindo retenção e acesso.
Uma ligação privada entre regiões significa que os dados estão encriptados?
O encaminhamento e a encriptação são controlos separados. Uma transferência deve utilizar encriptação autenticada e uma política de acesso explícita; uma descrição de rede privada, por si só, não é prova de nenhuma delas.
O no-KYC impede um fornecedor de receber um pedido legal?
Não. Ele descreve o modelo de verificação de identidade. Um provedor ainda pode ter registros operacionais e obrigações legais. Os limites de coleta, a retenção e o escopo de uma solicitação precisam ser avaliados com precisão.
A política de utilização aceitável muda com o país selecionado?
A política de uso aceitável da KoalaVPS aplica-se a todo o catálogo. A seleção de uma região não elimina as obrigações do próprio cliente ao abrigo da lei aplicável.