Начните с реальных сущностей
Определите поставщика по договору, оператора инфраструктуры и соответствующих субпроцессоров. Юридический адрес компании может отличаться от физического расположения сервера. Ваше собственное местоположение и люди, чьи данные вы обрабатываете, тоже могут иметь значение.
Разберитесь в региональных рамках
Швеция и Финляндия входят в ЕС; Норвегия и Исландия участвуют в ЕЭЗ. Конкретные обязательства по-прежнему зависят от услуги, деятельности и сторон. Для конкретного юридического или регуляторного требования обращайтесь за квалифицированной консультацией.
Изучите карту данных
Зафиксируйте расположение основного сервера, резервных копий, журналов и доступа службы поддержки. Сервер в ЕС или ЕЭЗ не означает автоматически, что все обработчики и администраторы находятся в том же месте.
Предпочтите документально закреплённое обязательство
Завершённый договор, условия обработки и чёткая политика — более весомое доказательство, чем заявление о том, что регион приватный по своей природе. Подтвердите оператора, применимое соглашение и фактический объект для заказа, который вы оцениваете.
Не переносите юридические заявления другого провайдера
Заявление об одной компании, объекте или судебном процессе не переносится на сервис под новым брендом. Проверьте фактического оператора и обеспечьте проверку соответствующих политик для этой схемы. Подтверждайте информацию об операторе KoalaVPS напрямую, а не приписывайте ему идентичность, регистрации или историю другого провайдера.
Поддерживайте проверку в актуальном состоянии
Запишите дату и версию соглашения и политики, на которые вы опирались. Пересмотрите карту данных после изменения локации, платёжного процессора, инструмента поддержки или места назначения резервных копий. Проверка соответствия должна описывать систему, которая существует сегодня.
Используйте четыре страны как отправные точки для проверки
Швеция и Финляндия — страны ЕС; Норвегия и Исландия — страны ЕЭЗ за пределами ЕС. Их органы по защите данных дают полезную официальную отправную точку: шведский IMY, финский Office of the Data Protection Ombudsman, норвежский Datatilsynet и исландский Persónuvernd. Это не делает одну страну невосприимчивой к законному раскрытию данных и не устанавливает, какой орган компетентен в отношении конкретной жалобы.
- Stockholm / Швеция: проверьте фактического оператора и его договорные обязательства, прежде чем полагаться на местоположение.
- Helsinki / Финляндия: отдельно проверьте основное хранилище, географию резервных копий и доступ поддержки.
- Oslo / Норвегия: отличайте участие в защите данных ЕЭЗ от членства в ЕС.
- Reykjavík / Исландия: оценивайте договаривающуюся сторону, сетевые маршруты и план резервного копирования, а не делайте вывод об иммунитете из названия страны.
Официальная документация: EDPB: национальные надзорные органы
Спрашивайте, кто имеет доступ к данным, а не только где находится диск
Создайте запись потоков данных, охватывающую производственную среду, реплики, резервные копии, телеметрию и поддержку. Отдельная организация за пределами ЕЭЗ, получающая или имеющая доступ к персональным данным, может вызвать вопросы о международной передаче при соответствующих условиях; один лишь региональный ярлык сервера не решает анализ. Попросите провайдера указать своих субпроцессоров и условия доступа. Оцените фактическую обработку и договор для вашей нагрузки, когда это создаёт правовые обязательства.
- Определите свою роль и роль провайдера для каждой операции обработки, а не предполагайте, что все отношения с сервисом одинаковы.
- Запросите соглашение об обработке данных, порядок смены субпроцессоров, условия удаления и контакт для сообщений об инцидентах.
- Когда инструмент поддержки или место резервного копирования меняется, обновите проверку, прежде чем полагаться на старое заявление о местоположении.
Официальная документация: EDPB: международная передача данных · EDPB: обязанности контролёра и обработчика