GDPR SME에 대한 자체 호스팅 및 EU 주권 BaaS

유럽 데이터 센터의 자체 호스팅 백엔드와 EU 주권 BaaS는 모두 EU 위치, 유럽 운영 회사, 사용 가능한 DPA(공급자 측) 또는 최신 내부 레지스트리(자체 호스팅 측) 등 동일한 GDPR 상자를 선택할 수 있습니다. GDPR에는 둘 사이에 구조적 우선권이 없습니다. 실제로 변화하는 것은 보안 패치, 테스트된 백업, 대기 중, 지속적인 감독 등 일상적인 운영 부하를 누가 흡수하는지입니다.

완전한 법적 프레임워크인 GDPR 및 CLOUD 법은 GDPR 준수 및 EU 주권백엔드 가이드에 자세히 설명되어 있습니다. 이 가이드에서는 전용 SRE가 반드시 필요하지 않은 팀의 각 옵션에 대한 실제 운영 비용에 대해 자세히 다루지 않습니다. 이것이 이 글의 각도입니다.

Postgres 백엔드를 자체 호스팅하면 서버뿐만 아니라 팀에 전체 운영 책임이 이전됩니다. 구체적으로 네 가지 작업이 반복적으로 발생합니다. Postgres 보안 패치가 게시되자마자 적용하고, 단지 일정을 잡는 것이 아니라 정기적으로 백업 복원을 테스트하는 것입니다. 또한 가용성을 지속적으로 모니터링하거나 더 긴 응답 시간을 수용하고, 문서화된 일정에 따라 비밀 및 액세스 키를 교체해야 합니다.

이러한 작업은 자체 호스팅에서도 사라지지 않습니다. 또한 귀하는 호스트(Hetzner, OVH, Scaleway 또는 기타)에 대해 자체 기술 하청업체로 남아 있습니다. DPA가 있어야 하며 처리 등록부(GDPR 제30조)에 이 체인을 문서화해야 합니다. 전담 인프라 팀이 없는 SME는 종종 이 마지막 사항을 과소평가합니다.

EU 주권 BaaS는 날짜가 지정되고 검증 가능한 DPA(GDPR 제28조)에 따라 패치 적용, 백업 인프라 및 가용성 모니터링을 공급자에게 이전합니다. 손을 바꾸는 것은 법적 책임이 아니라 이전 요점에서 설명한 운영 부담입니다.

선택한 공급업체에 관계없이 데이터 관리자는 귀하입니다(GDPR 제24조). 처리에 대한 법적 근거, 수집된 데이터 최소화, 72시간 이내에 감독 기관에 위반 통지(GDPR 제33조): 이러한 결정은 귀하의 책임입니다. EU 주권 BaaS는 DPO 또는 고객에게 규정 준수 증명을 생성하는 데 필요한 시간을 단축합니다. 이를 보유해야 할 의무가 없어지는 것은 아닙니다.

많은 팀이 두 가지 옵션만 비교하고 세 번째 팀은 실제 결정에 무게를 두고 있습니다. 즉, 유럽 지역에서 구성된 미국 법률에 따른 하이퍼스케일러 또는 BaaS입니다. eu-west-1리전 또는 이에 상응하는 서비스를 갖춘 AWS Amplify는 지연 시간을 줄이고 데이터 상주 요구 사항을 충족합니다. 그러나 이것이 이를 운영하는 회사의 국적을 변경하지는 않습니다.

A company incorporated under American law remains subject to the CLOUD Act, regardless of the region chosen by its clients. This point is developed in detail in our guide GDPR compliant and EU sovereign backend and in our dedicated article why the CLOUD Act changes the choice of your BaaS. It counts in the arbitration of an SME, even when this option seems the simplest in the short term.

다음은 선택된 지역 상자뿐만 아니라 아키텍처 결정에서 가장 중요한 기준을 비교하여 오늘날 SME에 실제로 사용할 수 있는 세 가지 옵션입니다.

셀프 호스팅의 실제 비용은 서버 청구서에서 읽을 수 없습니다. 엔지니어가 제품을 사용하는 데 소요된 시간과 사고 발생 시 직접적인 법적 노출에서 읽을 수 있습니다.

자체 호스팅 SME는 데이터 관리자이자 자체 기술 하청업체가 됩니다. 누락된 Postgres 패치 또는 테스트되지 않은 백업은 문서 실사에 반대하는 DPA 계약 체인 없이 데이터 관리자 자신에게 직접 귀속됩니다(GDPR 83조). EU 주권 BaaS 제공업체에서는 동일한 실패가 여전히 실제 노출로 남아 있습니다. 그러나 이는 내부 기록을 재구성하기보다는 DPO나 감사자가 몇 분 안에 확인할 수 있는 날짜가 있는 계약의 일부입니다.

셀프 호스팅은 이미 SRE/ops 팀이 있고 대기 중인 대규모 계정이나 ETI와 관련이 있습니다. 공공 부문, 국방, 특정 의료 시설 등 주권이 외부 하도급 체인을 용인하지 않는 부문의 경우에도 마찬가지입니다. 물리적 서버를 직접 제어하는 ​​것이 생산 속도보다 우선합니다.

내부 Kubernetes 또는 Postgres 인프라에 이미 투자하고 이를 유지 관리하는 기술을 갖춘 회사는 처음부터 시작하는 SME보다 이 선택을 더 쉽게 상환할 수 있습니다.

EU 주권 BaaS는 전담 인프라 팀이 없고 고객이나 DPO에게 규정 준수를 신속하게 입증해야 하는 SME에게 적합한 선택입니다. 따라서 그녀는 Postgres 패치보다는 제품 개발에 엔지니어링 시간을 투자하는 것을 선호합니다. 또한 스택의 전체 제어보다 릴리스 속도를 우선시하는 팀에게 적합한 선택입니다.

Aurabase는 이러한 선택을 한 방향으로 고정하지 않습니다. 이 플랫폼은 프랑스 법에 따라 설립된 회사인 Aurabase SAS가 운영하는 Hetzner를 통해 독일(뉘른베르크, 팔켄슈타인)과 핀란드(헬싱키)에서 검증된 생산 인프라인 EU 주권 관리 BaaS에 존재합니다. 자체 호스팅에도 존재합니다. 저장소는 ./start.sh를 통해 시작된 로컬 Kubernetes 클러스터(k3d)와 Kubernetes용 전체 Helm 차트를 모두 MIT 라이선스에 따라 제공합니다.

동일한 PostgreSQL 16 엔진, 동일한 RLS 정책 및 동일한 SDK가 양쪽에 적용됩니다. 한 모델에서 다른 모델로 마이그레이션할 때 스키마를 다시 작성할 필요가 없습니다. 이 자체 호스팅 모드를 다른 모노 바이너리 Rust 네이티브 백엔드(sh0.dev, TrailBase)와 비교하기 위해 당사의 기사 Sovereign 자체 호스팅: Rust 네이티브 BaaS에 대한 Aurabase에서 이 아키텍처 측면을 자세히 살펴봅니다. 이는 여전히 GDPR 결정에 초점을 맞추고 있습니다.

GDPR 가이드의 공급업체 확인 체크리스트 외에도 선택하기 전에 스스로에게 물어봐야 할 4가지 운영 질문입니다.

For the complete vendor verification checklist, including legal issues, see our GDPR compliance checklist for a BaaS. For the associated technical security posture, see Aurabase Security page.