قائمة مراجعة اللائحة العامة لحماية البيانات لاختيار BaaS

هناك حقيقتان منفصلتان تحددان تعرضك القانوني: مكان تخزين البيانات، وما هي الجنسية القانونية للشركة التي تستضيفها. يحكم اللائحة العامة لحماية البيانات النقطة الأولى. يحكم قانون CLOUD الأمريكي الخيار الثاني.

ويأذن هذا النص للسلطات الفيدرالية الأمريكية بطلب البيانات من أي شركة تأسست بموجب القانون الأمريكي، بما في ذلك الشركات التابعة لها. وينطبق هذا حتى عندما تتم استضافة هذه البيانات على خوادم موجودة فعليًا في أوروبا. لا تذكر شارة "مستضاف في الاتحاد الأوروبي" الموجودة على أحد مواقع التسويق شيئًا عن جنسية الشركة الأم.

السؤال الذي يجب طرحه على أي مورد: هل شركتك الأم مسجلة خارج الاتحاد الأوروبي، حتى لو كانت خوادمك في أوروبا؟

تتطلب اللائحة العامة لحماية البيانات (GDPR) عقدًا مكتوبًا بينك، بصفتك مراقب البيانات، والمورد الخاص بك، المقاول من الباطن: هذه هي المادة 28. وبدون هذه الوثيقة، فأنت غير ممتثل، بغض النظر عن الجدية الفنية للمورد في مكان آخر.

يحدد DPA الصالح غرض المعالجة ومدتها، وفئات البيانات وموضوعات البيانات، وقائمة المقاولين من الباطن. كما يعرض تفاصيل الإجراءات الأمنية المطبقة والتزامات المساعدة في حالة طلب المستخدم. وأخيرًا، فهو يحدد مصير البيانات في نهاية العقد: الحذف أو الاسترداد.

تنشر Aurabase اتفاقية DPA قابلة للتوقيع مباشرة من الاستوديو، مبنية على البنود التعاقدية القياسية التي اعتمدتها المفوضية الأوروبية (القرار 2021/914). مقالتنا المخصصة لـ DPA للواجهة الخلفية كخدمة تفاصيل بند تلو الآخر ما يجب التحقق منه قبل التوقيع.

تتطلب المادة 28 من اللائحة العامة لحماية البيانات أيضًا من المقاول من الباطن الخاص بك أن يقوم بإدراج المقاولين من الباطن التابعين له: المضيف، وبوابة الدفع، وخدمة البريد الإلكتروني للمعاملات. ويجب إخطارك بأي تغيير، مع الحق في الاعتراض.

اطلب هذه القائمة كتابيًا وتأكد من أن كل مقاول فرعي مهم، وخاصة المضيف، مقيم أيضًا في الاتحاد الأوروبي. وبخلاف ذلك، تقوم سلسلة التعاقد من الباطن بإعادة إنشاء التعرض لقانون CLOUD الذي سعيت إلى تجنبه عن طريق تغيير المورد الأساسي الخاص بك.

إن العزل بين بياناتك وبيانات العملاء الآخرين لنفس المورد يحدد مدى التسرب في حالة حدوث خلل. توجد ثلاث بنيات، مع ضمانات مختلفة للغاية.

النموذج الأكثر شيوعًا، وهو جدول مشترك كبير يحتوي على عمود tenant_id، هو أيضًا الأكثر هشاشة. يمكن لسياسة RLS المكتوبة بشكل سيئ، أو الاستعلام الذي لا يحتوي على جملة تصفية، الكشف عن العديد من العملاء في وقت واحد. يعمل أساس كل مشروع، مع دور الاتصال الخاص به، على التخلص من هذه الفئة من الأخطاء: يتم تعيين الحدود على مستوى الاتصال، وليس عبارة WHERE التي يمكن للمطور أن ينساها.

يفرض القانون العام لحماية البيانات "تدابير فنية وتنظيمية مناسبة" (المادة 32)، دون إدراج معيار محدد. من الناحية العملية، هناك ثلاثة عناصر ملموسة يجب التحقق منها: التشفير أثناء النقل وأثناء الراحة، ووجود برنامج تدقيق مستقل، وقناة موثقة للإبلاغ عن الثغرات الأمنية.

يقوم Aurabase بتشفير التبادلات في TLS 1.3 والبيانات غير النشطة في AES-256، مع خيار BYOK (المفاتيح التي تديرها أنت عبر AWS KMS أو HashiCorp Vault) في خطة Enterprise. يدفع برنامج مكافأة الأخطاء العامة، المستضاف على موقعhuntr.dev/aurabase، مبلغًا يتراوح بين 200 يورو و10000 يورو اعتمادًا على خطورة الخلل الذي تم اكتشافه. تستمر سياسة الإفصاح المنسقة لمدة 90 يومًا. فالمورد الذي ليس لديه قناة إبلاغ موثقة، بحكم تعريفه، ليس لديه أي عمليات تدقيق مستقلة جارية.

تضمن المواد 15 و17 و20 من اللائحة العامة لحماية البيانات للمستخدمين النهائيين حق الوصول إلى بياناتهم ومحوها وإمكانية نقلها. السؤال الذي يجب طرحه على BaaS الخاص بك: هل يمكن ممارسة هذه الحقوق في الخدمة الذاتية، أم أنها تتطلب برنامج نصي SQL مصمم خصيصًا لكل طلب؟

أنت، مراقب البيانات، الذي يظل ملزمًا قانونًا بالرد خلال 30 يومًا، حتى لو كانت البنية التحتية الأساسية غير شفافة. يؤدي المزود الذي يتطلب برنامجًا نصيًا يدويًا لكل طلب إلى إبطاء وقت الاستجابة الخاص بك. في Aurabase، يمكن الوصول إلى التصدير والحذف من الاستوديو → الإعدادات → الخصوصية، أو عبر privacy@aurabase.cloud للحالات الأكثر تعقيدًا.

يتطلب القانون العام لحماية البيانات (GDPR) من مراقب البيانات، أنت، إخطار سلطته الإشرافية بالانتهاك خلال 72 ساعة من علمه به (المادة 33). تبدأ هذه الفترة فقط عندما يتم إبلاغك من قبل المورد الخاص بك.

ولذلك فإن التزام المورد التعاقدي بالإخطار لا يقل أهمية عن الموعد النهائي القانوني نفسه. اطلب الحد الأقصى للموعد التعاقدي الذي تتعهد باحترامه لإخطارك بحادث ما، وما يجب أن يتضمنه هذا الإخطار: طبيعة الانتهاك والفئات والحجم التقريبي للبيانات المعنية. يجب كتابة هذا الرقم باللونين الأبيض والأسود في اتفاقية حماية البيانات، وليس فقط ذكره شفهيًا قبل البيع.

الشهادة المعلن عنها في موقع التسويق ليست هي نفس الشهادة التي تم الحصول عليها. يقوم العديد من موفري BaaS بتوصيل "خارطة طريق للامتثال" (SOC 2، ISO 27001) دون البدء في التدقيق المقابل من قبل طرف ثالث.

وفي هذه النقطة المحددة، تعد الشفافية أكثر أهمية من الإعلان نفسه. تنص صفحة Security الخاصة بـ Aurabase صراحةً على عدم الالتزام بأي شهادة من جهة خارجية حتى الآن، وتنشر خريطة الطريق الخاصة بها على مركز ثقة مخصص بدلاً من عرض شارة غير مكتسبة. اطلب بشكل منهجي تقرير التدقيق الموقع، وليس فقط اسم المعيار المعني، قبل النظر في الحصول على شهادة كأمر مسلم به من أي مورد.

إن الاستضافة الذاتية لـ Postgres الخاصة بك تقضي على مسألة المقاول من الباطن، ولكنها لا تحل تلقائيًا مسألة الامتثال للقانون العام لحماية البيانات. تقع مسؤولية الأمان والنسخ الاحتياطية المشفرة والتصحيح والاستجابة للانتهاكات على عاتقك بالكامل.

بالنسبة لفريق ليس لديه SRE مخصص لأمن Postgres، فإن BaaS السيادية للاتحاد الأوروبي مع DPA الموقعة تحول بعض هذا العبء التشغيلي إلى طرف ثالث مدقق، دون التضحية بالولاية القضائية. مقارنتنا للاستضافة الذاتية مع BaaS ذات السيادة في الاتحاد الأوروبي تحدد هذا الحل الوسط لفريق صغير.

نسخة مختصرة، مفيدة في اجتماعات تقييم الموردين أو لبناء شبكة التدقيق الخاصة بك.

لا يعد أي من هذه المعايير العشرة كافيًا بمعزل عن ضمان الامتثال للقانون العام لحماية البيانات (GDPR) للواجهة الخلفية كخدمة. إن الجمع بينهما، والتحقق منه نقطة بنقطة بدلاً من استخلاصه من شارة تسويقية، هو الذي يبني تقييمًا جادًا للموردين.

للحصول على الفروق القانونية الكاملة بين المنطقة المضيفة وجنسية المورد، توجه إلى دليل القانون العام لحماية البيانات وسيادة الاتحاد الأوروبي. للحصول على تفاصيل إجراءات الأمان التقنية المذكورة في المعيارين 4 و5، تظل صفحة Aurabase Security هي المرجع المحدث.