Самое необходимое
Закон CLOUD (2018 г.) разрешает федеральным властям США запрашивать данные у любой компании, законно присутствующей в США, независимо от того, где эти данные размещены. Supabase, Firebase и AWS Amplify предлагают регион хостинга в ЕС — все три остаются американскими компаниями в качестве подрядной организации. Этот критерий имеет разное значение в зависимости от проекта. Это остается незначительным для MVP без конфиденциальных данных. Это становится фильтром, который нужно проверить, прежде чем даже сравнивать цены, как только в уравнение входят DPO, данные о здравоохранении или государственные закупки ЕС.
Что измеряют тесты BaaS — и что они забывают
Сравнение BaaS обычно проводится по четырем осям: цена за использование, функциональное богатство, простота миграции и опыт разработчиков. Функциональное богатство охватывает функции аутентификации, базы данных, реального времени, хранения и периферийных функций. Это законные критерии. Ни один из четырех ответов не отвечает на простой вопрос: кто может законно получить доступ к вашим данным и на основании каких полномочий?
Закон CLOUD — Закон о разъяснении законного использования данных за рубежом — был принят в марте 2018 года в США. Он уполномочивает федеральные власти принуждать любого провайдера, законно присутствующего на американской территории, предоставлять имеющиеся у него данные, даже хранящиеся за границей (18 USC § 2713). Текст напрямую является ответом на спор, в котором Microsoft отказалась передать ФБР данные, хранящиеся на сервере в Дублине. Конгресс принял решение на основании закона, а не дожидаясь решения Верховного суда, а затем прекратил рассмотрение дела.
Этот вопрос не появляется практически ни в одной публичной сетке сравнения, в том числе на сторонних сайтах, посвященных BaaS. Причина структурная: на сайте сравнения перечислены функции, которые можно проверить — наличие SDK, бесплатная квота, поддержка GraphQL. Юрисдикция компании — это не тот функционал, который можно активировать в административной панели, поэтому он не вписывается в привычный формат таблицы. Это не делает его менее решающим.
Детали текста, его соответствие GDPR и полный контрольный список проверки поставщика описаны в нашем руководстве Соответствие GDPR и суверенный сервер ЕС. Этот раздел ограничен тем, что на самом деле меняется при сравнении BaaS.
Проверка региона ЕС решает только половину проблемы
Проверки европейского региона хостинга в панели администрирования недостаточно, чтобы выйти за рамки закона CLOUD. Закон применяется к компании, предоставляющей услугу, а не к физическому местонахождению сервера — две части информации, которые на странице цен провайдера почти никогда не различаются.
Supabase, Inc. является лицом, указанным в качестве контролера данных в своей собственной политике конфиденциальности , при этом сайты размещаются преимущественно в США. Firebase — продукт Google LLC, дочерней компании Alphabet Inc., компании, зарегистрированной в соответствии с американским законодательством. По контракту AWS Amplify по умолчанию подключен к Amazon Web Services, Inc., расположенному в штате Вашингтон. Все три предлагают хостинг-регион ЕС. Эти три компании остаются в качестве подрядных организаций в соответствии с американским законодательством.
Это не суждение об их техническом качестве — это наблюдение о юридической структуре лица, подписывающего с вами договор. Отличный продукт может оставаться незащищенным по закону; эти две оценки независимы друг от друга.
Aurabase SAS — компания, зарегистрированная в соответствии с французским законодательством. Ее производственная инфраструктура проверена в Германии (Нюрнберг, Фалькенштайн) и в Финляндии (Хельсинки), в Хетцнере. Суверенитет ЕС основан на двух совокупных условиях: хостинг И компания, которая им управляет, должны находиться под европейской юрисдикцией, без юридического присутствия Америки в цепочке.
Когда этот критерий должен влиять на ваш выбор?
Закон CLOUD не заслуживает одинакового веса во всех проектах. Одиночный MVP без идентифицированного европейского пользователя и без данных о состоянии здоровья или кадров может разумно рассматривать этот критерий как вторичный по отношению к цене и скорости разработки.
Переключение происходит, как только появляется сигнал: DPO или юрист, участвующий в принятии решения, конфиденциальные данные по смыслу статьи 9 GDPR — здоровье, биометрия, мнения. Это подтверждается клиентом государственного сектора или государственным контрактом ЕС, который требует явной гарантии суверенитета. На этом этапе следует проверить юридический тест перед сравнением цен, а не после того, как вы уже выбрали технического фаворита.
Это типичный переломный момент для технического директора SME-ETI, который выбирает между внутренней сборкой, Supabase Cloud, AWS Amplify и независимым решением. Триггером является не размер компании, а характер обрабатываемых данных и наличие контакта, которому придется отвечать перед клиентом или регулятором.
Конкретно, критерий проверяется в три различных момента цикла закупок BaaS. Перед включением в короткий список он служит бинарным фильтром для проектов, уже определенных как конфиденциальные. В ходе технической комплексной проверки он проверяется документ за документом, наряду с DPA и политикой безопасности. Перед подписанием он становится договорным пунктом, а не просто устным ответом продавца демо-версий.
Полезное положение для переговоров на этом этапе: право расторгнуть соглашение без штрафных санкций в случае изменения структуры акционеров поставщика. Поглощение американской компанией меняет ответ на юридический вопрос, даже если на следующий день инфраструктура останется технически идентичной.
Сетка, которую можно добавить к сравнению
Вот сетка, которую можно добавить к существующему сравнению BaaS, упорядоченная по интенсивности воздействия, а не по алфавиту поставщиков.
| Профиль проекта | Масса | Рекомендуемое действие |
|---|---|---|
| Одиночный MVP, никаких конфиденциальных данных из ЕС | НИЗКИЙ | Сначала сравните цену и DX; проверьте юрисдикцию поставщика перед запуском в производство. |
| B2C SaaS с пользователями из ЕС, стандартные данные | СЕРЕДИНА | Требуйте обновленного DPA и стандартных договорных условий; региона ЕС с документально оформленными гарантиями может быть достаточно. |
| Данные о здоровье/HR, участие DPO | ВЫСОКИЙ | Фильтр, который необходимо применить перед ценой: хостинг в ЕС И операционная компания из ЕС, без юридического присутствия в сети в США. |
| Государственный сектор / Государственные закупки ЕС | ВЫБОРОЧНЫЙ | Гарантия суверенитета должна быть договорной и поддающейся проверке, а не простое маркетинговое заявление. |
Добавьте эту сетку как еще один столбец в существующую таблицу сравнения, а не как отдельный документ. Оно должно оставаться видимым, когда вы выбираете между двумя технически близкими фаворитами.
Как проверить за 10 минут у поставщика
Первая проверка не требует юридической консультации. Чтобы найти любого потенциального поставщика, достаточно двух публичных документов: его политики конфиденциальности и общих условий контракта.
- Ищите «контролер данных» или «контролер данных» в политике конфиденциальности — это фактическое юридическое лицо, а не торговая марка, отображаемая на сайте.
- Найдите в общих условиях положение о регулирующем праве — оно указывает юрисдикцию, в которой действует договор, а зачастую и юридическое лицо.
- Проверьте, существует ли для вашего региона отдельная организация ЕС (например, ирландская дочерняя компания) — и меняет ли она ответ на предыдущий вопрос или только адрес выставления счета.
Для проверки фактов, приведенных в этой статье, используется метод: Supabase, Inc. Политика конфиденциальности, Условия использования AWS, Политика конфиденциальности Google. Три общедоступных документа, ни один из которых не требует наличия коммерческого аккаунта для просмотра.
Что этот критерий не заменяет
Критерий CLOUD Act не освобождает вас от необходимости оценивать остальную часть сравнения. Стоимость миграции, зрелость экосистемы, реальное качество RLS и опыт разработчиков остаются определяющими факторами скорости работы команды. Независимый поставщик ЕС с незрелым SDK остается плохим выбором для многих проектов.
Существует также аргумент времени, специфичный для выбора BaaS: чем глубже команда интегрирует провайдера — схему, политики, пограничные функции, веб-перехватчики — тем дороже обходится последующая миграция. Юридический критерий, обнаруженный после шести месяцев производства, решается срочно и с неблагоприятным соотношением сил. Тот же критерий, оцениваемый перед подписанием, стоит только времени на чтение двух официальных документов.
Американское законодательство – не единственный рычаг разоблачения. Это не является автоматическим тупиком и для американского поставщика: такие механизмы, как стандартные договорные положения или решение об адекватности, могут регулировать передачу газа за пределы ЕС при определенных условиях. Анализ реального риска (DPIA) остается единственным способом принятия решения в конкретном случае — эта сетка используется, чтобы знать, когда его активировать, а не заменять его.
Закон CLOUD не должен быть первым критерием для всех сравнений BaaS. Он больше не должен отсутствовать.
Независимый разработчик, не имеющий конфиденциальных данных, может прочитать это руководство за пять минут и закрыть его. Для технического директора, откликнувшегося на публичный тендер, это становится обязательной точкой перехода перед малейшей коммерческой демонстрацией.
Добавьте строку «юрисдикция поставщика» рядом с ценой и набором функций. Сделайте его весомым перед другими критериями, как только профиль проекта оправдывает это. Проверьте ответ на общедоступной странице соответствия поставщика, а не обещание продажи.
Полную структуру Закона о GDPR/CLOUD и подробный контрольный список поставщиков см. в нашем руководстве, посвященном соблюдению GDPR и суверенитету ЕС. Полное техническое и юридическое сравнение с Supabase см. в разделе Aurabase и Supabase.