Kaj nemško gostovanje prvotno pomeni
Ko ponudnik oglašuje gostovanje v Nemčiji, se mora to nanašati na posebej imenovan del njihove storitve. Vhodni podatki, izhodni podatki ali shranjene datoteke se lahko obdelujejo na strežnikih v nemških podatkovnih centrih. To je koristno izhodišče za organizacije, saj je fizično lokacijo podatkov lažje opredeliti in pogodbeno določiti.
Vendar pa sam izraz ne določa, kateri podatki dejansko ostanejo v Nemčiji. Dnevniki, varnostne kopije, podatki o podpori ali podatki o računu se lahko obdelujejo v drugih sistemih. Poleg tega lokacija, kjer se model upravlja, ni samodejno enaka lokaciji shranjevanja računa stranke. Zato bi morali kupci vedno upoštevati celotno storitev, ne le lokacije obdelave podatkov.
Nemško gostovanje samo po sebi ni pečat za varstvo podatkov. Splošna uredba o varstvu podatkov (GDPR) zahteva, da se osebni podatki obdelujejo zakonito, za jasne namene in z ustreznimi zaščitnimi ukrepi. Lokacija strežnika lahko zmanjša tveganja in poenostavi dokumentacijo. Vendar pa ne pomeni, da je nepotrebno zbiranje podatkov ali neustrezno zaščiten dostop zakonit. Pravice posameznika, na katerega se nanašajo osebni podatki, morajo biti tudi praktično izpolnive ne glede na lokacijo. Zato je treba izraz vedno povezati z natančnim opisom storitev.
Lokacijo strežnika in sedež ponudnika upoštevajte ločeno.
Podatkovni center se lahko nahaja v Frankfurtu, medtem ko ima pogodbeni partner sedež v drugi državi članici EU ali zunaj Evropskega gospodarskega prostora. Te situacije niso samodejno nedopustne. Vendar pa vplivajo na to, katera zakonodaja velja za ponudnika, katere družbe v skupini so vključene in ali bi tuji organi lahko zakonito ali praktično zahtevali dostop.
Zaposleni lahko dostopajo do sistemov tudi iz druge države. Zato je treba upoštevati oddaljeno vzdrževanje, odpravljanje težav in podporo strankam. Če osebni podatki iz tretje države postanejo vidni ali dostopni, je treba ta dostop oceniti kot prenos v tretjo državo v skladu s poglavjem V GDPR, tudi če nobena trajna kopija ne zapusti nemškega strežnika.
Ustrezno pogodbeno vprašanje je, katere lokacije in podjetja lahko obdelujejo osebne podatke. To vključuje shranjevanje, tekočo obdelavo, podporo in varnostne kopije. Jasen odgovor loči načrtovano obdelavo od redkih izrednih razmer in določa zaščitne ukrepe. Nejasne zaveze, kot je "evropska infrastruktura", puščajo bistvene odločitve odprte. Seznam lokacij bi zato moral določati ustrezni del storitve, na katerega to vpliva. Prav tako mora jasno razlikovati med Nemčijo, EU in EGP.
Geografsko ločite obdelavo in shranjevanje
Pri jezikovni storitvi z umetno inteligenco se lahko obdelava in shranjevanje izvajata na različnih lokacijah. Besedilo se lahko shrani v Nemčiji, medtem ko se dejanski izračun modela izvede v drugi regiji. Nasprotno pa se lahko poizvedba obdela v Nemčiji, vendar se njen rezultat shrani v evropskem računu stranke. Zaveza glede lokacije mora izrecno poimenovati oba procesa.
Tekoča obdelava vključuje več kot le vidni klic modela. Čakalne vrste, medpomnilniki, filtri vsebine in sistemi za uravnoteženje obremenitve lahko vsebujejo dele vhodnih podatkov ali tehnične identifikatorje. Če se v Nemčiji nahaja le centralno skladišče modelov, pot podatkov ostane nepopolno opisana. Kupci potrebujejo regije vseh komponent, ki lahko obdelujejo vsebino strank.
Izraza »podatki v mirovanju« in »podatki v obdelavi« je treba prav tako jasno razložiti. Ne smeta voditi do izključitve kratkotrajnih kopij iz zaveze. Zagotovljena nemška regija je še posebej robustna, če ponudnik jasno navede, kateri začasni podatki se ustvarijo, kje se nahajajo in kdaj lahko zapustijo predvideno pot obdelave. To vključuje tudi samodejne ponovne poskuse neuspelih zahtev.
V zavezo vključite varnostne kopije in rezervne sisteme.
Produkcijski podatki niso edina kopija storitve. Varnostne kopije, replike in sistemi za obnovitev se lahko nahajajo v drugi regiji. To ščiti pred izpadi, vendar lahko spremeni zavezo glede lokacije v Nemčiji. Ponudnik mora razkriti, ali varnostne kopije ostanejo izključno v Nemčiji ali so razporejene po večjem evropskem območju.
Enako velja za rezervne operacije. Če nemški podatkovni center odpove, se lahko storitev preklopi na drugo regijo. Ta prehod izboljša razpoložljivost, vendar ne sme implicitno odpraviti nobenih pogodbenih omejitev lokacije. Kupci se morajo zavedati, ali se bo storitev ustavila, nadaljevala z omejitvami ali obdelovala podatke v drugi regiji, če nemške zmogljivosti ne bodo na voljo.
Zanesljiva zaveza določa dovoljene primarne, rezervne in nadomestne regije. Opisuje tudi, ali lahko stranke same sprožijo spremembo regije in kako bodo obveščene o nujnem preklopu. To omogoča zavestno odločitev med strogo lokacijo shranjevanja podatkov in večjo geografsko zanesljivostjo, namesto da se preprosto predpostavi oboje. Po vrnitvi na primarno lokacijo je treba začasne kopije na nadomestni lokaciji ustrezno obravnavati.
Prenosi podatkov v tretje države se ne končajo v nemškem podatkovnem centru.
Poglavje V GDPR ureja prenose osebnih podatkov v tretje države in mednarodne organizacije. Nemška lokacija shranjevanja se lahko izogne takim prenosom, če vsa ustrezna obdelava dejansko ostane znotraj Evropskega gospodarskega prostora. Če pa obstajajo dostopi, podizvajalci ali drugi sistemi zunaj tega območja, je treba posamezen prenos oceniti ločeno.
Za nekatere države obstaja sklep o ustreznosti Evropske komisije. V drugih primerih so morda potrebni ustrezni zaščitni ukrepi, kot so standardne pogodbene klavzule. Ti instrumenti ne odgovorijo samodejno na vsa vprašanja o tehničnih tveganjih. Organizacije morajo razumeti, kateri podatki so prizadeti, kateri zakoni veljajo na cilju in kateri dodatni zaščitni ukrepi so učinkoviti v posameznem primeru.
Za oceno je lahko pomembna tudi matična družba evropskega ponudnika. Njena narodnost ni edini odločilni dejavnik; temveč obstajajo pravne vezi, pravice do navodil in možnosti dostopa. Kupci zato ne bi smeli samodejno domnevati, da nemški strežnik ne pomeni tveganja iz tretjih držav. Pojasniti jim je treba dejanski pretok podatkov in vpletene strani. Redni dostop je treba oceniti drugače kot ozko opredeljene izjemne primere. Vendar pa vsak izjemen primer še vedno zahteva trdno pravno in tehnično podlago.
Preverite fizično lokacijo dnevnikov in operativnih podatkov.
Tehnični dnevniki se pogosto shranjujejo ločeno od dejanskih besedilnih vnosov. Vsebujejo lahko identifikatorje računov, časovne žige, IP-naslove, sporočila o napakah ali v nekaterih primerih odlomke vsebine. Če ponudnik določi le lokacijo baze podatkov strank, ostane nejasno, kje so shranjeni osebni operativni podatki in katera ekipa jih analizira.
Sistemi za odkrivanje zlorab, merjenje učinkovitosti delovanja in podporo lahko uporabljajo tudi lastne regije. Nemški modelni primerek ne zagotavlja, da se vsaka diagnoza izvede tudi v Nemčiji. Kupci se morajo pozanimati o lokaciji teh operativnih podatkov in razlikovati, ali dnevniki vsebujejo le tehnične identifikatorje ali dejansko dele vnesene vsebine.
Zaveza glede lokacije mora izrecno vključevati aktivne dnevnike, arhivirane dnevnike in njihove varnostne kopije. Izjeme za varnostno analizo zahtevajo tudi imenovane lokacije, omejen dostop in sledljivo shranjevanje. Če ponudnik uporablja centralno orodje za analizo zunaj zavezane regije, je treba oceniti tudi to podatkovno pot. Šele takrat "nemško gostovanje" opisuje več kot le lokacijo vidnega klica modela.
Lokacija ključev in skrbniški dostop
Šifriranje dopolnjuje zavezo glede lokacije, vendar je ne nadomešča. Ključe je mogoče upravljati v Nemčiji, medtem ko pooblaščeno osebje do njih dostopa prek operativne ekipe v drugi državi. Nasprotno pa lahko globalni ponudnik ključev zavaruje nemško podatkovno regijo. Kupci bi zato morali vedeti, kje so ključi shranjeni in upravljani ter kateri subjekti lahko odobrijo njihovo uporabo.
Skrbniški dostop si zasluži enako prostorsko natančnost kot strežniki. Operativna ekipa v Nemčiji, dežurna služba v EGP in podporna ekipa v tretji državi imajo za posledico različne podatkovne poti. Pogodbena dokumentacija bi morala razlikovati med rednim dostopom, dostopom v sili in čistim nadzorom sistema ter v vsakem primeru pojasniti, ali je lahko vidno odprto besedilo.
Dokazi lahko podpirajo te trditve, če njihovo področje uporabe zajema zadevne sisteme in regije. Standard BSI C5 zahteva preglednost glede lokacij geografskih podatkov in zunanjih funkcij v opisu sistema. Za odločitev o izbiri lokacije je ključnega pomena, da predloženo poročilo natančno opisuje rezervirano nemško okolje, ne pa koliko generičnih potrdil ima ponudnik. Obdobje revizije mora zajemati tudi trenutno nameščeno okolje.
Zagotavljanje vidnosti podjetij v skupini in lokacij podpore
Ponudnik lahko upravlja nemško infrastrukturo prek lokalne podružnice, hkrati pa pridobiva podporo, razvoj ali varnostno analizo od drugih podjetij v skupini. Skupna blagovna znamka zlahka zakrije to geografsko porazdelitev. Zato kupci ne potrebujejo le lokacije pogodbenega partnerja, temveč tudi lokacije ekip, ki si dejansko ogledujejo podatke strank ali upravljajo sisteme z dostopom.
Podpora je še posebej pomembna, ker stranke tam pogosto delijo posnetke zaslona, primere besedil ali izvozijo datoteke. Tudi če produkcijska platforma deluje izključno v Nemčiji, lahko globalni sistem izdajanja vstopnic odpre nove podatkovne poti. Varen prenos, regionalna obdelava in jasne omejitve vidne vsebine bi morale biti del istega opisa lokacije.
Splošne zahteve za obdelovalce podatkov in podizvajalce je treba podrobno obravnavati v pregledu sporazuma o obdelavi podatkov (DPA). Za nemško gostovanje je ključnega pomena bolj specifično vprašanje: Katero sodelujoče podjetje je pooblaščeno za dostop do katerih podatkov iz katere države? Ta odgovor mora zajemati tudi spremembe podpornih ali dežurnih ekip, ne le zamenjave podatkovnega centra. V ta opis je treba vključiti tudi časovno omejen dostop do projekta.
Pogodbeno zagotovite regionalna jamstva in preverjanje lokacije.
Možnost izbire regije v vmesniku izdelka je koristna, vendar jo je lažje spremeniti kot pogodbeno jamstvo. Sporazum mora določati, katere vrste podatkov in koraki obdelave so vezani na Nemčijo. Izraza, kot sta »privzeto« ali »prednostno«, dopuščajo izjeme. Če so takšne izjeme potrebne, zahtevajo jasne pogoje in obvestilo.
Preverjanje lokacije je mogoče izpeljati iz opisa sistema, ustreznega revizijskega poročila in tehničnih informacij. Zajemati bi morali produktivno obdelavo, shranjevanje, varnostne kopije, beleženje in skrbniški dostop skupaj. Račun za podatkovni center dokazuje le, da se infrastruktura uporablja v Nemčiji, ne pa, da se vsi podatki o strankah obdelujejo izključno tam.
Spremembe morajo ostati sledljive. Nove regije, spremenjena pravila za preklop v primeru okvare ali preseljena ekipa za podporo lahko vplivajo na prvotno oceno. Pogodbena obveznost zagotavljanja informacij omogoča ponovno oceno, preden se podatkovna pot spremeni. To zagotavlja, da zaveza k nemškemu gostovanju ostane preverljiva skozi celotno obdobje uporabe in ni dokumentirana le ob prodaji. Redne potrditve lokacije lahko učinkovito dopolnijo to dokumentacijo.
Nemško gostovanje je ključna sestavina dobre odločitve.
Pilotna operacija v Nemčiji lahko organizacijam ponudi resnično prednost. Vzpostavlja jasno geografsko povezavo, lahko zmanjša prenose podatkov v tretje države in poenostavi nekatere pogodbene zahteve. Ta prednost je največja, ko se vhodi, izhodi, varnostne kopije, dnevniki in podpora obravnavajo skupaj in so pregledno omejeni. Geografska zaveza mora ostati zavezujoča za celotno trajanje pogodbe. Prav tako mora izrecno zajemati vse nove funkcije rezervirane storitve v prihodnosti.
Zato je za postopek izbire ključnega pomena več natančnih odgovorov. Kdo so pogodbeni partnerji in obdelovalci podatkov? Kateri podizvajalci so vključeni? Kje lahko ljudje in sistemi dostopajo do podatkov? Ali se vsebina shranjuje ali uporablja za namene usposabljanja? Kateri varnostni certifikati posebej pokrivajo rezervirano storitev? Le skupaj ti odgovori opisujejo dejansko raven ponujene zaščite.
Najboljša odločitev združuje lokacijo z namenom in tveganjem vaše predvidene uporabe. Besedila javnih spletnih mest imajo drugačne zahteve kot osebne mape ali zdravniški nasveti. Nemško gostovanje ne nadomešča te klasifikacije, vendar jo lahko učinkovito podpre. Ko se trženjske obljube prevedejo v jasne pogodbe in preverljive zaščitne ukrepe, lokacija postane zanesljiv atribut in ne le zgolj oznaka. Ta jasnost olajša tudi poznejše spremembe storitve ali njene uporabe. Prav tako nakazuje, kdaj je potrebna nova ocena lokacije.
Verodostojni viri
- Splošna uredba o varstvu podatkov (GDPR), zlasti členi 5, 28, 32 in 44
- Zvezni komisar za varstvo podatkov in svobodo informacij (BfDI): Vzorčni sporazum za obdelavo podatkov
- Zvezni urad za informacijsko varnost (BSI): Katalog meril za skladnost z računalništvom v oblaku C5
- Zvezni urad za informacijsko varnost (BSI): Minimalni standard za uporabo zunanjih storitev v oblaku