Self-hosting a suweren UE BaaS dla MŚP objętych RODO

Własny hosting backendu w europejskim centrum danych i suwerenny system BaaS w UE mogą zaznaczyć te same pola RODO: lokalizacja w UE, europejska firma operacyjna, dostępny DPA (po stronie dostawcy) lub aktualny rejestr wewnętrzny (po stronie samodzielnego hostowania). RODO nie ma preferencji architektonicznych pomiędzy nimi. Tak naprawdę zmienia się to, kto przejmuje codzienne obciążenie operacyjne: poprawki bezpieczeństwa, sprawdzona kopia zapasowa, dyżury, stały nadzór.

Kompletne ramy prawne, RODO i ustawa CLOUD, są szczegółowo opisane w naszym zgodnym z RODO i suwerennym UEprzewodniku po zapleczu. W tym przewodniku nie omówiono szczegółowo rzeczywistych kosztów operacyjnych każdej opcji dla zespołu, który niekoniecznie ma dedykowanego SRE. Taki jest punkt widzenia tego artykułu.

Samodzielne hostowanie backendu Postgres przenosi pełną odpowiedzialność operacyjną na Twój zespół, a nie tylko na serwer. Konkretnie, powtarzające się cztery zadania: zastosowanie poprawek bezpieczeństwa Postgres natychmiast po ich opublikowaniu i regularne testowanie przywracania kopii zapasowej, a nie tylko planowanie. Konieczne jest także ciągłe monitorowanie dostępności lub akceptowanie dłuższego czasu reakcji oraz rotacja sekretów i kluczy dostępu zgodnie z udokumentowanym harmonogramem.

Te zadania nigdy nie znikają, nawet w przypadku samodzielnego hostingu. Pozostaniesz także swoim własnym podwykonawcą technicznym w stosunku do swojego hosta (Hetzner, OVH, Scaleway lub inny). Musi istnieć z nim DPA, a Twój rejestr przetwarzania (art. 30 RODO) musi dokumentować ten łańcuch. MŚP nieposiadające dedykowanego zespołu ds. infrastruktury często nie doceniają tego ostatniego punktu.

Suwerenny system BaaS z UE przekazuje dostawcy poprawki, infrastrukturę zapasową i monitorowanie dostępności na podstawie datowanej i możliwej do sprawdzenia umowy DPA (art. 28 RODO). Właściciela przechodzi obciążenie operacyjne opisane w poprzednim punkcie, a nie odpowiedzialność prawna.

Administratorem danych pozostajesz Ty, niezależnie od wybranego dostawcy (art. 24 RODO). Podstawa prawna przetwarzania, minimalizacja zbieranych danych, zgłoszenie naruszenia organowi nadzorczemu w ciągu 72 godzin (art. 33 RODO): za te decyzje odpowiadasz Ty. Suwerenna umowa BaaS z UE skraca czas potrzebny na przedstawienie DPO lub klientowi dowodu zgodności. Nie zwalnia to z obowiązku posiadania takiego urządzenia.

Wiele zespołów porównuje tylko dwie opcje, podczas gdy trzecia rozważa prawdziwą decyzję: hiperskaler lub BaaS zgodnie z prawem amerykańskim, skonfigurowany w regionie europejskim. AWS Amplify z regionem eu-west-1lub równoważną usługą zmniejsza opóźnienia i spełnia wymagania dotyczące miejsca przechowywania danych. Nie zmienia to jednak narodowości firmy, która go obsługuje.

Spółka zarejestrowana na prawie amerykańskim podlega ustawie CLOUD niezależnie od regionu wybranego przez jej klientów. Ten punkt został szczegółowo omówiony w naszym przewodniku Zgodność z RODO i suwerenne zaplecze UE oraz w naszym dedykowanym artykule , dlaczego ustawa CLOUD zmienia wybór Twojego BaaS. Liczy się w arbitrażu MŚP, nawet jeśli na krótką metę opcja ta wydaje się najprostsza.

Oto trzy opcje aktualnie dostępne dla MŚP, porównane na podstawie kryteriów, które mają największe znaczenie przy podejmowaniu decyzji architektonicznej, a nie tylko zaznaczonego pola regionu.

Prawdziwego kosztu samodzielnego hostingu nie można odczytać z rachunku za serwer. Można go odczytać w czasie inżyniera przeniesionym z produktu oraz w bezpośrednim narażeniu prawnym w przypadku zdarzenia.

MŚP prowadzące działalność samodzielnie staje się zarówno administratorem danych, jak i swoim własnym podwykonawcą technicznym. Brakującą łatkę Postgres lub nigdy nie testowaną kopię zapasową można bezpośrednio przypisać samemu administratorowi danych (art. 83 RODO), bez łańcucha umownego DPA, który sprzeciwiałby się należytej staranności w dokumentowaniu. U suwerennego dostawcy BaaS z UE ta sama awaria pozostaje prawdziwym zagrożeniem. Jest to jednak część przestarzałej umowy, którą inspektor ochrony danych lub audytor może zweryfikować w ciągu kilku minut, a nie w ramach wewnętrznej historii, którą należy zrekonstruować.

Samodzielny hosting pozostaje istotny w przypadku ETI lub dużego konta, które ma już zespół SRE/ops i działa na wezwanie. Dotyczy to również sektora, w którym suwerenność nie toleruje żadnego łańcucha zewnętrznych podwykonawstwa: sektor publiczny, obrona, niektóre placówki służby zdrowia. Bezpośrednia kontrola nad serwerem fizycznym ma pierwszeństwo przed szybkością produkcji.

Firma, która zainwestowała już w wewnętrzną infrastrukturę Kubernetes lub Postgres i posiada umiejętności jej utrzymania, łatwiej amortyzuje ten wybór niż MŚP zaczynające od zera.

EU Sovereign BaaS to właściwy wybór dla MŚP nieposiadających dedykowanego zespołu ds. infrastruktury, które muszą szybko wykazać zgodność klientowi lub inspektorowi ochrony danych. Dlatego woli poświęcić swój czas inżynieryjny na produkt, niż na łatanie Postgres. Jest to również odpowiedni wybór dla zespołu, który przedkłada szybkość wypuszczania nad całkowitą kontrolę nad stosem.

Aurabase nie koryguje tego wyboru w jednym kierunku. Platforma istnieje w zarządzanym przez suwerena UE BaaS, infrastrukturze produkcyjnej zweryfikowanej w Niemczech (Norymberga, Falkenstein) i w Finlandii (Helsinki) za pośrednictwem Hetzner, obsługiwanej przez Aurabase SAS, spółkę prawa francuskiego. Istnieje również w wersji self-hosting: repozytorium udostępnia lokalny klaster Kubernetes (k3d) uruchamiany przez ./start.shoraz kompletny wykres Helm dla Kubernetes, a wszystko to na licencji MIT.

Po obu stronach obowiązuje ten sam silnik PostgreSQL 16, te same zasady RLS i ten sam SDK: migracja z jednego modelu do drugiego nie wymaga przepisywania schematu. Aby porównać ten tryb samodzielnego hostowania z innymi mono-binarnymi backendami natywnymi dla Rust (sh0.dev, TrailBase), nasz artykuł Samodzielny hosting suwerenny: Aurabase przeciwko BaaS natywnym dla Rust szczegółowo bada ten kąt architektoniczny. Kwestia ta pozostaje skupiona na decyzji dotyczącej RODO.

Cztery pytania operacyjne, które należy sobie zadać przed dokonaniem wyboru, jako dodatek do listy kontrolnej weryfikacji dostawcy w naszym przewodniku po RODO.

Aby zapoznać się z pełną listą kontrolną weryfikacji dostawcy, obejmującą kwestie prawne, zobacz naszą listę kontrolną zgodności z RODO dla BaaS. Informacje na temat powiązanego stanu zabezpieczeń technicznych można znaleźć na stronie Bezpieczeństwo Aurabase.