Почніть із фактичних сутностей
Визначте постачальника послуг за договором, оператора інфраструктури та відповідних субпідрядників. Компанія може мати юридичне місцезнаходження, відмінне від фізичного розташування сервера. Ваше власне місцезнаходження та люди, дані яких ви обробляєте, також можуть мати значення.
Зрозумійте регіональні рамки
Швеція та Фінляндія належать до ЄС; Норвегія та Ісландія беруть участь у ЄЕЗ. Конкретні зобов'язання все ще залежать від сервісу, діяльності та сторін. Використовуйте кваліфіковану консультацію для конкретної юридичної чи регуляторної вимоги.
Перегляньте карту даних
Зафіксуйте розташування основного сервера, резервних копій, журналів і доступу підтримки. Сервер в ЄС або ЄЕП не означає автоматично, що кожен обробник і адміністратор залишаються в тому самому місці.
Надавайте перевагу задокументованому зобов'язанню
Завершений договір, умови обробки та чітка політика є сильнішим доказом, ніж твердження, що регіон є приватним за своєю природою. Підтвердьте оператора, застосовну угоду та фактичний об'єкт для замовлення, яке ви оцінюєте.
Не переймайте юридичні заяви іншого провайдера
Твердження про одну компанію, об’єкт чи судовий процес не переноситься на новозабрендований сервіс. Перевірте фактичного оператора та забезпечте перегляд відповідних політик для цієї домовленості. Підтверджуйте інформацію про оператора KoalaVPS безпосередньо, а не приписуйте йому ідентичність, реєстрації чи історію іншого провайдера.
Підтримуйте перевірку актуальною
Запишіть дату та версію угоди й політики, на які ви покладалися. Перегляньте карту даних після зміни розташування, платіжного процесора, інструменту підтримки чи призначення резервних копій. Перевірка відповідності має описувати систему, яка існує сьогодні.
Використовуйте чотири країни як відправні точки для огляду
Швеція та Фінляндія є країнами ЄС; Норвегія та Ісландія є країнами ЄЕЗ поза ЄС. Їхні органи захисту даних дають корисну офіційну відправну точку: IMY Швеції, Офіс Уповноваженого із захисту даних Фінляндії, Datatilsynet Норвегії та Persónuvernd Ісландії. Це не робить жодну країну несприйнятливою до законного розкриття і не встановлює, який орган компетентний щодо конкретної скарги.
- Stockholm / Швеція: перевірте фактичного оператора та його договірні зобов'язання, перш ніж покладатися на місце розташування.
- Helsinki / Фінляндія: перевіряйте основне сховище, географію резервних копій і доступ підтримки окремо.
- Oslo / Норвегія: розрізняйте участь у захисті даних ЄЕЗ та членство в ЄС.
- Reykjavík / Ісландія: оцінюйте договірну особу, мережеві маршрути та план резервного копіювання, а не робіть висновок про імунітет із назви країни.
Офіційна документація: EDPB: національні наглядові органи
Запитайте, хто має доступ до даних, а не лише де розташований диск
Створіть запис про потоки даних, що охоплює робоче середовище, репліки, резервні копії, телеметрію та підтримку. Окрема організація за межами ЄЕЗ, яка отримує або має доступ до персональних даних, може порушити питання міжнародної передачі за відповідних умов; сама лише позначка регіонального сервера не вирішує аналіз. Попросіть постачальника визначити його субпроцесорів і умови доступу. Оцініть фактичне оброблення та договір для вашого робочого навантаження, коли це створює юридичні зобов'язання.
- Визначте свою роль і роль постачальника для кожного процесу обробки, а не припускайте, що кожні відносини з надання послуг є однаковими.
- Запросіть угоду про обробку даних, процедуру зміни субпроцесорів, умови видалення та контакт для інцидентів.
- Коли інструмент підтримки або місце призначення резервних копій змінюється, оновіть огляд, перш ніж покладатися на старе твердження про розташування.
Офіційна документація: EDPB: міжнародні передачі даних · EDPB: обов'язки контролера та обробника