Pourquoi nous expédions l'épinglage de région au lieu de simples cookies de région

Introduction

Presque tous les fournisseurs de téléphones cloud proposent désormais une option « région UE ». La plupart d'entre eux signifient la même chose : votre trafic est acheminé par défaut via un centre de données européen, mais aucune application n'empêche les données de traverser une frontière si un basculement, une tâche de sauvegarde ou une escalade de support les achemine ailleurs. Pour un acheteur en Allemagne ou en France qui coche une case sur un formulaire de passation de marché, cette distinction est invisible jusqu'à l'audit DPA.

Préférence de région par rapport à la résidence des données

Une préférence de région est une valeur par défaut. Lorsque tout fonctionne normalement, vos données restent là où vous l'avez choisi. Le problème réside dans les chemins d'exception : les sauvegardes automatisées, la reprise après sinistre entre régions, les outils de support mondiaux et les pipelines d'agrégation de journaux peuvent tous transférer des données vers des juridictions en dehors de la préférence sans déclencher une alerte ou une entrée de journal qu'un auditeur pourrait voir.

La résidence des données est une contrainte. Cela signifie que le système est conçu de manière à ce que certaines classes de données ne puissent pas quitter la région désignée, quel que soit leur état opérationnel. La contrainte est appliquée au niveau de la couche infrastructure – ni par configuration, ni par politique, ni par formation – et est donc valable en cas de panne ainsi que pendant le fonctionnement normal.

Que signifie l'épinglage de région dans la pratique

L'épinglage de région signifie que les données d'un locataire (enregistrements d'appels, audio de la messagerie vocale, transcriptions, enregistrements détaillés des appels, données de contact) sont stockées et traitées uniquement dans la région désignée. Le code PIN est appliqué au niveau de la couche de données, et non au niveau de la couche d'application. Lorsqu'un enregistrement est écrit, il est envoyé dans un compartiment de la région spécifiée et uniquement dans cette région. Lorsqu'une tâche de transcription s'exécute, le calcul qui la traite est provisionné dans la région. La réplication interrégionale de cette classe de données est désactivée, et pas seulement déconseillée.

L’implication opérationnelle est que certains scénarios de basculement qui seraient transparents dans une architecture globale deviennent visibles dans une architecture épinglée. Si la région épinglée tombe en panne, le choix est d'échouer la fermeture (le service est indisponible jusqu'à ce que la région se rétablisse) ou d'échouer l'ouverture (les données traversent la frontière et la garantie de résidence est rompue). Nous échouons fermé. Nous documentons cela clairement afin que les acheteurs puissent prendre une décision éclairée et planifier en conséquence : la plupart estiment qu'une interruption de service transparente est un meilleur résultat qu'une violation silencieuse de la résidence.

Ce que nous épinglons et ce que nous ne faisons pas

Toutes les classes de données ne comportent pas le même risque de résidence. Nous distinguons trois classes :

• Données épinglées : enregistrements d'appels, audio de la messagerie vocale, transcriptions, CDR, enregistrements de contacts. Ceux-ci sont épinglés à la région désignée par le locataire et ne sont jamais répliqués en dehors de celle-ci.
• Données du plan de contrôle : jetons d'authentification, indicateurs de fonctionnalités, enregistrements de facturation. Ceux-ci vivent dans un plan de contrôle mondial. Ils ne contiennent pas de contenu de communication et ne relèvent pas de la plupart des exigences en matière de résidence des données.
• Télémétrie et journaux – mesures de performances anonymisées. Agrégé avant de quitter la région, donc aucun enregistrement individuel ne traverse une frontière.

La limite entre les données épinglées et non épinglées est documentée dans l'Addendum sur le traitement des données et disponible pour tout client sur demande avant sa signature.

Pourquoi c'est important pour les acheteurs de soins de santé

L'approvisionnement en soins de santé dans l'UE nécessite de plus en plus d'engagements explicites en matière de résidence des données, et pas seulement une sélection de région sur un portail. Les restrictions du chapitre V du RGPD sur les transferts internationaux s'appliquent à toutes les données personnelles incluant du contenu de communication – ce qui est presque toujours le cas des enregistrements d'appels et des messages vocaux. Un fournisseur qui offre une préférence de région mais ne peut pas documenter où vont les données lors d'une escalade de support ou d'une exécution de sauvegarde ne peut pas signer un accord de traitement des données qui décrit avec précision son architecture.

Nous pouvons en signer un. Le DPA correspond aux contraintes d’infrastructure réelles, et non à des configurations ambitieuses. Lorsqu’un acheteur de soins de santé de l’UE demande quelles classes de données sont épinglées, nous pouvons répondre avec des détails plutôt que de lui demander de revoir le SLA.

La question d'audit à poser à chaque fournisseur

La question la plus utile à poser à l'équipe commerciale d'un fournisseur : « Si votre région de l'UE subit une panne, où vont mes données d'enregistrement d'appels ? » Un fournisseur disposant d'une véritable résidence de données dira « le service échoue jusqu'à ce que la région se rétablisse ». Un fournisseur ayant une préférence régionale dira quelque chose sur le basculement transparent et la redondance globale. La deuxième réponse est plus conviviale sur le plan opérationnel et plus risquée sur le plan juridique. Sachez de quoi vous avez besoin avant de signer.