الأساسيات
هناك شرطان تراكميان يحددان التعرض الحقيقي للواجهة الخلفية: موقع للاستضافة والاختصاص القضائي للشركة التي تقوم بتشغيلها. تظل وحدة التوسعة الفائقة الأمريكية في منطقة eu-west-1 خاضعة لقانون CLOUD. تقوم Aurabase بتوثيق كلا من: البنية التحتية للإنتاج التي تم التحقق منها في ألمانيا وفنلندا، والتي تديرها Aurabase SAS، وهي شركة تأسست بموجب القانون الفرنسي.
اللائحة العامة لحماية البيانات وقانون CLOUD: لا تخلط بين النظامين
يحكم قانون الناتج المحلي الإجمالي (لائحة الاتحاد الأوروبي 2016/679) معالجة البيانات الشخصية، بغض النظر عن المزود. قانون CLOUD هو قانون أمريكي يسمح للسلطات الفيدرالية الأمريكية بطلب البيانات التي تحتفظ بها شركة تأسست بموجب القانون الأمريكي - حتى لو كانت هذه البيانات مخزنة فعليًا في أوروبا. وهذان نظامان قانونيان منفصلان، والخلط بين أحدهما والآخر هو الخطأ الأكثر تكلفة الذي يمكن أن يرتكبه CTO عند تقييم البائع.
يمكن أن يكون المورد متوافقًا تمامًا مع اللائحة العامة لحماية البيانات (GDPR) على الورق (اتفاقية حماية البيانات الموقعة، وسجل المعالجة الحديث) مع البقاء معرضًا لقانون CLOUD إذا كانت الشركة الأم أمريكية. إن التحقق من منطقة "الاتحاد الأوروبي" في لوحة الاستضافة لا يحل إلا نصف المشكلة.
ما يتطلبه القانون العام لحماية البيانات (GDPR) فعليًا من الواجهة الخلفية
بالإضافة إلى المبدأ العام، تنطبق أربعة التزامات ملموسة مباشرة على البنية التقنية للواجهة الخلفية: الأساس القانوني للمعالجة، وتقليل البيانات المجمعة، والحق في المحو (المادة 17)، والحق في إمكانية النقل (المادة 20).
على واجهة Postgres الخلفية، تُترجم هذه الالتزامات إلى إمكانات تقنية يمكن التحقق منها: يتيح أمان مستوى الصف إمكانية تقييد الوصول إلى البيانات إلى المحيط الضروري الصارم (يتم تطبيق التقليل على مستوى الصف)، ويغطي تصدير pg_dump القياسي إمكانية النقل - تنسيق SQL مفتوح، وليس تصديرًا خاصًا ليتم إعادة بنائه.
دور DPA في السلسلة
اتفاقية معالجة البيانات (DPA) هي العقد الذي يحكم المورد الخاص بك قانونًا كمقاول من الباطن للبيانات الشخصية بالمعنى المقصود في المادة. 28 اللائحة العامة لحماية البيانات. ويجب أن يكون موجودًا ومؤرخًا وأن يتضمن قائمة بالمقاولين من الباطن للمورد نفسه - بدون ملحق DPA محدث، يظل سجل المعالجة الخاص بك (المادة 30) غير مكتمل. راجع صفحة Aurabase DPA وصفحة Aurabase اللائحة العامة لحماية البيانات.
ما هي تكاليف عدم الامتثال
فن. ينص قانون حماية البيانات العامة (GDPR) رقم 83 على مستويين من الغرامات الإدارية: ما يصل إلى 10 ملايين يورو أو 2% من إجمالي المبيعات السنوية العالمية لأقل الانتهاكات خطورة (السجل المفقود، DPA المفقود)، وما يصل إلى 20 مليون يورو أو 4% من إجمالي المبيعات العالمية - أيهما أكبر - لانتهاكات المبادئ الأساسية للمعالجة. هذه المخاطر التعاقدية تلقي بثقلها على مراقب البيانات، وليس فقط على المقاول من الباطن: فاختيار موفر خدمة خلفية سيئ التوثيق يظل عرضة لك، وليس لهم.
قانون CLOUD: ما الذي يسمح به، ومن يهمه الأمر
يسمح قانون CLOUD (قانون توضيح الاستخدام القانوني الخارجي للبيانات لعام 2018) للسلطات القضائية الأمريكية بإجبار شركة تأسست بموجب القانون الأمريكي على تقديم البيانات التي تحتفظ بها أو تسيطر عليها - أينما تتم استضافة هذه البيانات فعليًا في العالم. النطاق يتجاوز الحدود الإقليمية من خلال الإنشاء: فجنسية الشركة هي التي تؤدي إلى الالتزام، وليس موقع مركز البيانات.
بعض هذه الطلبات مصحوبة بشرط السرية (أمر حظر النشر) الذي يمنع الشركة المعنية من إبلاغ العميل النهائي. وهذه النقطة بالتحديد - غياب اللجوء أو الإخطار من جانب العميل الأوروبي - هي التي تميز خطر قانون CLOUD عن مسألة بسيطة تتعلق بموقع الخادم. للحصول على شبكة القرارات الكاملة المطبقة على اختيار BaaS، راجع مقالتنا المخصصة: لماذا يغير قانون CLOUD اختيار BaaS الخاص بك.
AWS وGCP وAzure في منطقة الاتحاد الأوروبي: ضمان غير كامل
يؤدي اختيار منطقة eu-west-1 (AWS) أو europe-west1 (GCP) أو منطقة Azure الأوروبية إلى تقليل زمن الوصول وتلبية متطلبات موقع البيانات - ولكنه لا يغير جنسية الشركة التي تقوم بتشغيل هذه الأنظمة الأساسية. تظل AWS وGoogle Cloud وMicrosoft Azure شركات بموجب القانون الأمريكي، وتخضع لقانون CLOUD بغض النظر عن المنطقة التي اختارها عملاؤها.
يحكم إطار خصوصية البيانات بين الاتحاد الأوروبي والولايات المتحدة الأمريكية عمليات نقل البيانات إلى الشركات الأمريكية المعتمدة، ويحل محل Privacy Shield الذي أبطلته محكمة العدل التابعة للاتحاد الأوروبي (حكم Schrems II، 2020). يعالج هذا الإطار مسألة نقل من البيانات إلى الولايات المتحدة - فهو لا يلغي التعرض لقانون CLOUD لشركة أمريكية تستضيف بيانات في الاتحاد الأوروبي، والذي يظل موضوعًا قضائيًا منفصلاً.
لا يتعلق الأمر بالتشكيك في الجودة التقنية للمقياس الفائق الأمريكي - بل هو مسألة هيكل قانوني. ويمكن أن تظل الخدمة الممتازة تقنيًا مكشوفة قانونيًا، ويكون الحكمان مستقلين عن بعضهما البعض.
ما يقوم Aurabase بالتحقق منه والمستندات
تم التحقق من البنية التحتية لإنتاج Aurabase في ألمانيا (نورمبرج، فالكنشتاين) وفنلندا (هلسنكي)، في Hetzner - لم يتم تأكيد أي مواقع أخرى في الوقت الحالي. Aurabase SAS، الشركة التي تديرها، هي شركة فرنسية مقرها في باريس.
توجد بيئة نشر مخصصة في Scaleway (منطقة باريس) في مستودع البنية التحتية Aurabase، وهي جاهزة للتطبيق - ولكنها ليست، اعتبارًا من اليوم، نشرًا نشطًا للإنتاج. لكي أبقى صادقًا بشأن هذه النقطة: لا تتوقع "استضافة فرنسا" من Aurabase حتى يتم تأكيد هذا النشر في الإنتاج؛ وتظل الصياغة الصحيحة هي "سيادة الاتحاد الأوروبي"، مع توفر خيار سكلاواي باريس عند الطلب.
قائمة مرجعية قبل التوقيع مع موفر الواجهة الخلفية
تنطبق قائمة المراجعة هذه على أي مزود للواجهة الخلفية، بما في ذلك Aurabase — تحقق من كل استجابة على صفحة الامتثال العامة الخاصة بالموفر بدلاً من وعد المبيعات في رسالة بريد إلكتروني خاصة بالمبيعات.
01أين تقع خوادم الإنتاج فعليًا؟
الموقع وحده لا يكفي، لكنه يبقى السؤال الأول الذي يجب طرحه – المطالبة بإجابة دقيقة (البلد، المضيف)، وليس "في أوروبا".
02ما هي جنسية الشركة المشغلة للخدمة؟
تظل الشركة المؤسسة بموجب القانون الأمريكي خاضعة لقانون CLOUD، حتى مع وجود خوادم في الاتحاد الأوروبي. تحقق من المقر الرئيسي والهيكل القانوني، وليس فقط العلامة التجارية.
03هل اتفاقية معالجة البيانات (DPA) متاحة ومحدثة؟
إلزامي بمجرد قيام المقاول من الباطن بمعالجة البيانات الشخصية نيابةً عنك (المادة 28 من اللائحة العامة لحماية البيانات). غيابها أو الأقدمية هو إشارة تحذير.
04هل تم الإعلان عن المعالجات الفرعية علنًا؟
يقوم المورد الجاد بإدراج المقاولين من الباطن التابعين له (مزود الاستضافة، خدمة البريد الإلكتروني، وما إلى ذلك) - قائمة غائبة أو مبهمة تؤدي إلى تعقيد السجل الفني الخاص بك. 30.
05ما هو القانون الذي يحكم العقد في حالة حدوث نزاع؟
يمكن أن يؤدي العقد الخاضع لقانون دولة ثالثة إلى تعقيد عملية الاستئناف، حتى لو كان مكان الإقامة في الاتحاد الأوروبي.
06هل يقوم المورد بتوثيق صفحة امتثال مخصصة ومؤرخة؟
إن صفحة الامتثال التي يتم تحديثها هي إشارة أكثر موثوقية للجدية من مجرد إشارة معزولة على الصفحة الرئيسية.
للتعمق أكثر في وضع الأمان الفني المرتبط، راجع صفحة Aurabase Security.
الاستضافة الذاتية مقابل BaaS السيادية للاتحاد الأوروبي: أي خيار تختار؟
تختار الشركات الصغيرة والمتوسطة الخاضعة للائحة العامة لحماية البيانات عمومًا بين ثلاثة خيارات: بناء واستضافة الواجهة الخلفية الخاصة بها، أو استخدام BaaS الأمريكية مع خيار منطقة الاتحاد الأوروبي، أو اختيار BaaS ذات سيادة شاملة للاتحاد الأوروبي. توفر الاستضافة الذاتية أقصى قدر من التحكم القانوني ولكنها تنقل كل العبء التشغيلي (تصحيحات الأمان، والنسخ الاحتياطية، والتوفر) إلى فريق داخلي يجب أن يكون موجودًا بالفعل.
تعمل شركة BaaS ذات السيادة في الاتحاد الأوروبي - البنية التحتية والشركة الأم في الاتحاد الأوروبي - على تحويل هذا العبء التشغيلي إلى المزود دون إعادة تقديم عرض قانون CLOUD الخاص بوحدة التوسعة الفائقة الأمريكية إلى منطقة الاتحاد الأوروبي. يعد هذا حلاً وسطًا مناسبًا لفريق ليس لديه القدرة على الحفاظ على البنية التحتية الخاصة به بنفسه، دون الرغبة في مقايضة امتثاله مقابل سرعة المنتج.