필수사항
백엔드의 실제 노출을 결정하는 두 가지 누적 조건은 호스팅 위치와 이를 운영하는 회사의 관할권입니다. eu-west-1 지역의 미국 하이퍼스케일러는 여전히 CLOUD 법의 적용을 받습니다. Aurabase는 프랑스 법에 따라 설립된 회사인 Aurabase SAS가 운영하는 독일과 핀란드의 검증된 생산 인프라를 모두 문서화합니다.
GDPR과 CLOUD 법: 두 체제를 혼동하지 마십시오.
GDPR(EU 규정 2016/679)은 제공업체에 관계없이 개인 데이터 처리를 관리합니다. CLOUD법은 미국 법에 따라 법인화된 회사가 보유한 데이터를 요청할 수 있도록 미국 연방 당국에 권한을 부여하는 미국 법률입니다. 해당 데이터가 유럽에 물리적으로 저장되어 있는 경우에도 마찬가지입니다. 이는 두 가지 별도의 법적 체제이며, 서로 혼동하는 것은 공급업체를 평가할 때 CTO가 저지를 수 있는 가장 큰 손실을 초래하는 실수입니다.
공급업체는 모회사가 미국인 경우 CLOUD법에 노출된 상태로 유지하면서 문서(서명된 DPA, 최신 처리 등록부)로 GDPR을 완벽하게 준수할 수 있습니다. 호스팅 패널에서 "EU" 지역을 확인하면 문제가 절반만 해결됩니다.
GDPR이 실제로 백엔드에 요구하는 것
일반 원칙 외에도 처리를 위한 법적 근거, 수집된 데이터의 최소화, 삭제 권한(17조) 및 이식성에 대한 권리(20조)라는 네 가지 구체적인 의무가 백엔드의 기술 아키텍처에 직접 적용됩니다.
Postgres 백엔드에서 이러한 의무는 검증 가능한 기술적 기능으로 해석됩니다. 행 수준 보안을 사용하면 데이터에 대한 액세스를 엄격히 필요한 경계(행 수준에서 최소화 적용)로 제한할 수 있으며 표준 pg_dump 내보내기는 재구성할 독점 내보내기가 아닌 개방형 SQL 형식인 이식성을 포함합니다.
체인에서 DPA의 역할
데이터 처리 계약(DPA)은 Art의 의미 내에서 개인 데이터의 하청업체로서 귀하의 공급업체를 법적으로 규율하는 계약입니다. 28 GDPR. DPA가 존재하고 날짜가 명시되어 있어야 하며 공급업체의 하청업체 목록이 명시되어 있어야 합니다. 최신 DPA가 없으면 자체 처리 등록부(제30조)가 불완전한 상태로 유지됩니다. Aurabase DPA 페이지 및 Aurabase GDPR 페이지를 참조하세요.
규정 위반으로 인한 비용
미술. 83 GDPR은 두 가지 수준의 행정 벌금을 규정합니다. 가장 경미한 위반(등록 누락, DPA 누락)의 경우 최대 1,000만 유로 또는 전 세계 연간 매출액의 2%, 처리 기본 원칙 위반의 경우 최대 2,000만 유로 또는 전 세계 매출액의 4% 중 더 큰 금액을 부과합니다. 이러한 계약상의 위험은 하청업체뿐만 아니라 데이터 관리자에게도 부담이 됩니다. 제대로 문서화되지 않은 백엔드 제공업체를 선택하면 해당 업체의 노출이 아니라 귀하의 노출로 남게 됩니다.
CLOUD Act: 권한 부여 대상 및 관련 대상
CLOUD 법(2018년 데이터의 합법적인 해외 사용 명시)은 미국 사법 당국이 미국 법률에 따라 설립된 회사가 전 세계 어디에서든 보유하거나 관리하는 데이터를 제공하도록 강제할 수 있는 권한을 부여합니다. 범위는 구조상 역외입니다. 의무를 유발하는 것은 데이터 센터의 위치가 아니라 회사의 국적입니다.
이러한 요청 중 일부에는 해당 회사가 최종 고객에게 알리는 것을 방지하는 기밀 조항(개그 명령)이 수반됩니다. CLOUD법 위험이 서버 위치에 대한 단순한 질문과 구별되는 것은 유럽 클라이언트 측에 대한 의지나 통지가 없다는 점입니다. BaaS 선택에 적용되는 전체 의사 결정 그리드는 전용 문서 CLOUD Act가 BaaS 선택을 변경하는 이유를 참조하세요.
EU 지역의 AWS, GCP, Azure: 불완전한 보증
eu-west-1(AWS), europe-west1(GCP) 또는 유럽 Azure 지역을 선택하면 대기 시간이 줄어들고 데이터 상주 요구 사항이 충족되지만 이러한 플랫폼을 운영하는 회사의 국적은 변경되지 않습니다. AWS, Google Cloud 및 Microsoft Azure는 미국 법률에 따라 회사로 남아 있으며 고객이 선택한 지역에 관계없이 CLOUD 법의 적용을 받습니다.
EU-USA 데이터 개인정보 보호 프레임워크는 인증된 미국 기업에 대한 데이터 전송을 관리하며, 유럽 연합 사법 재판소에서 무효화한 개인정보 보호 쉴드를 대체합니다(Schrems II 판결, 2020). 이 프레임워크는 미국으로의 데이터 전송 문제를 다룹니다. 별도의 관할권 주제로 남아 있는 EU에서 데이터를 호스팅하는 미국 회사의 CLOUD 법 노출을 제거하지는 않습니다.
이는 미국 하이퍼스케일러의 기술적 품질에 대한 문제가 아니라 법적 구조의 문제입니다. 기술적으로 우수한 서비스는 법적으로 노출될 수 있으며 두 가지 판단은 서로 독립적입니다.
Aurabase가 확인하고 문서화하는 내용
Aurabase 생산 인프라는 독일(뉘른베르크, 팔켄슈타인)과 핀란드(헬싱키)의 Hetzner에서 검증되었습니다. 현재 다른 위치는 확인되지 않습니다. 이를 운영하는 회사인 Aurabase SAS는 파리에 본사를 둔 프랑스 회사입니다.
Scaleway(파리 지역)의 전용 배포 환경은 Aurabase 인프라 리포지토리에 존재하며 적용 준비가 되어 있지만 현재로서는 활성 프로덕션 배포가 아닙니다. 이 점에 대해 솔직하게 말하면: 이 배포가 프로덕션에서 확인될 때까지 Aurabase에서 "프랑스 호스팅"을 기대하지 마십시오. 올바른 표현은 "EU 주권"으로 유지되며 요청 시 Scaleway Paris 옵션을 사용할 수 있습니다.
백엔드 공급자와 서명하기 전 체크리스트
이 체크리스트는 Aurabase를 포함한 모든 백엔드 제공업체에 적용됩니다. 판매 이메일의 판매 약속보다는 제공업체의 공개 규정 준수 페이지에서 각 응답을 확인하세요.
01프로덕션 서버는 물리적으로 어디에 있나요?
위치만으로는 충분하지 않지만 첫 번째 질문으로 남아 있습니다. "유럽"이 아닌 정확한 답변(국가, 호스트)을 요구합니다.
02서비스를 운영하는 회사의 국적은 어떻게 되나요?
미국 법률에 따라 설립된 회사는 EU에 서버가 있더라도 CLOUD 법의 적용을 받습니다. 상표뿐만 아니라 본사와 법적구조도 확인해보세요.
03DPA(데이터 처리 계약)가 제공되고 최신 상태인가요?
하청업체가 귀하를 대신하여 개인 데이터를 처리하는 즉시 필수입니다(GDPR 제28조). 그 부재 또는 연공 서열은 경고 신호입니다.
04하위 프로세서는 공개적으로 선언됩니까?
진지한 공급업체는 자체 하청업체(호스팅 제공업체, 이메일 서비스 등)를 나열합니다. 목록이 없거나 불투명하면 귀하의 미술품 등록이 복잡해집니다. 30.
05분쟁 발생 시 계약에 적용되는 법률은 무엇인가요?
제3국 법률의 적용을 받는 계약은 숙박 시설이 EU에 있더라도 항소를 복잡하게 만들 수 있습니다.
06공급업체는 날짜가 적힌 전용 규정 준수 페이지를 문서화합니까?
규정 준수 페이지를 최신 상태로 유지하는 것은 홈페이지에 단독으로 언급하는 것보다 더 신뢰할 수 있는 심각성을 나타내는 신호입니다.
관련 기술 보안 상태에 대해 더 자세히 알아보려면 Aurabase 보안 페이지를 참조하세요.
자체 호스팅과 EU 주권 BaaS: 어떤 옵션을 선택해야 합니까?
GDPR의 적용을 받는 SME는 일반적으로 자체 백엔드 구축 및 호스팅, EU 지역 옵션이 포함된 American BaaS 사용, 엔드투엔드 주권 EU BaaS 선택 등 세 가지 옵션 중에서 선택합니다. 셀프 호스팅은 최대한의 법적 통제권을 제공하지만 모든 운영 부담(보안 패치, 백업, 가용성)을 이미 존재해야 하는 내부 팀에 이전합니다.
EU 주권 BaaS(EU 내 인프라 및 모회사)는 미국 하이퍼스케일러의 EU 지역 노출에 대한 CLOUD 법 노출을 다시 도입하지 않고 이러한 운영 부담을 공급자에게 전가합니다. 이는 인프라 자체를 유지할 역량이 없고 제품 속도와 규정 준수를 절충하고 싶지 않은 팀에게는 적절한 절충안입니다.