Waarom we regiopinning verzenden in plaats van alleen regiocookies

Invoering

Bijna elke leverancier van cloudtelefoons biedt nu een "EU-regio" -optie. De meeste betekenen hetzelfde: uw verkeer wordt standaard via een Europees datacenter geleid, maar er is geen handhaving die verhindert dat gegevens een grens overschrijden als een failover, een back-uptaak ​​of een ondersteuningsescalatie deze ergens anders naartoe leidt. Voor een koper in Duitsland of Frankrijk die een vakje op een aanbestedingsformulier aanvinkt, is dat onderscheid tot aan de DPA-audit onzichtbaar.

Regiovoorkeur versus dataresidentie

Een regiovoorkeur is een standaard. Wanneer alles normaal werkt, blijven uw gegevens waar u kiest. Het probleem zijn de uitzonderingspaden: geautomatiseerde back-ups, noodherstel over meerdere regio's, mondiale ondersteuningstools en pijplijnen voor logaggregatie kunnen allemaal gegevens overbrengen naar rechtsgebieden buiten de voorkeursgebieden zonder een waarschuwing of een logboekinvoer te activeren die een auditor ooit zou zien.

Gegevensresidentie is een beperking. Het betekent dat het systeem zo is ontworpen dat bepaalde dataklassen de genomineerde regio niet kunnen verlaten, ongeacht de operationele status. De beperking wordt afgedwongen op de infrastructuurlaag – niet door configuratie, niet door beleid, niet door training – en geldt dus zowel tijdens een storing als tijdens normaal gebruik.

Wat regiopinning in de praktijk betekent

Regio vastzetten betekent dat de gegevens van een huurder (oproepopnamen, voicemailaudio, transcripties, oproepdetails, contactgegevens) alleen binnen de genomineerde regio worden opgeslagen en verwerkt. De pin wordt afgedwongen op de gegevenslaag, niet op de applicatielaag. Wanneer een opname wordt geschreven, gaat deze naar een bucket in de opgegeven regio en alleen naar die regio. Wanneer een transcriptietaak wordt uitgevoerd, wordt de computer die deze verwerkt, in de regio ingericht. Replicatie tussen regio's van die gegevensklasse is uitgeschakeld en niet alleen ontmoedigd.

De operationele implicatie is dat sommige failover-scenario's die transparant zouden zijn in een mondiale architectuur, zichtbaar worden in een vastgezette architectuur. Als de vastgezette regio uitvalt, is de keuze om te falen bij het sluiten (de service is niet beschikbaar totdat de regio zich herstelt) of om bij het openen te mislukken (data overschrijden de grens en de ingezetenschapsgarantie is verbroken). We falen gesloten. We documenteren dit duidelijk, zodat kopers een weloverwogen beslissing kunnen nemen en dienovereenkomstig hun plannen kunnen maken. De meesten vinden dat een transparante serviceonderbreking een beter resultaat is dan een stille inbreuk op hun verblijfsvergunning.

Wat we pinnen en wat niet

Niet elke dataklasse brengt hetzelfde verblijfsrisico met zich mee. We onderscheiden drie klassen:

• Vastgezette gegevens: gespreksopnamen, voicemailaudio, transcripties, CDR's, contactrecords. Deze worden vastgemaakt aan de genomineerde regio van de huurder en worden nooit daarbuiten gerepliceerd.
• Controlevlakgegevens: authenticatietokens, functievlaggen, factureringsrecords. Deze leven in een mondiaal controlevlak. Ze bevatten geen communicatie-inhoud en vallen buiten het bereik van de meeste vereisten voor gegevenslocatie.
• Telemetrie en logboeken: geanonimiseerde prestatiestatistieken. Geaggregeerd vóór het verlaten van de regio, zodat geen enkel individueel record een grens overschrijdt.

De grens tussen vastgezette en niet-vastgezette gegevens wordt gedocumenteerd in het Addendum voor gegevensverwerking en is op verzoek beschikbaar voor elke klant voordat deze tekent.

Waarom dit belangrijk is voor zorgkopers

Inkoop van gezondheidszorg in de EU vereist steeds vaker expliciete toezeggingen op het gebied van dataresidentie, en niet alleen een regioselectie in een portaal. De Hoofdstuk V-beperkingen van de AVG op internationale overdrachten zijn van toepassing op alle persoonlijke gegevens die communicatie-inhoud bevatten – wat oproepopnamen en voicemails bijna altijd doen. Een leverancier die regiovoorkeur biedt, maar niet kan documenteren waar gegevens naartoe gaan tijdens een ondersteuningsescalatie of een back-up, kan geen gegevensverwerkingsovereenkomst ondertekenen die hun architectuur nauwkeurig beschrijft.

We kunnen er één ondertekenen. De DPA houdt rekening met feitelijke infrastructuurbeperkingen, niet met ambitieuze configuraties. Wanneer een inkoper van gezondheidszorg in de EU vraagt ​​welke gegevensklassen zijn vastgezet, kunnen we antwoorden met specifieke details in plaats van hem te vertellen de SLA te herzien.

De auditvraag die aan elke leverancier moet worden gesteld

De nuttigste vraag die u aan het verkoopteam van een leverancier kunt stellen: 'Als er in uw EU-regio een storing optreedt, waar gaan mijn gespreksopnamegegevens dan naartoe?' Een leverancier met echte dataresidentie zal zeggen: 'de service faalt totdat de regio zich herstelt.' Een leverancier met regiovoorkeur zal iets zeggen over naadloze failover en wereldwijde redundantie. Het tweede antwoord is operationeel vriendelijker en juridisch riskanter. Weet welke je nodig hebt voordat je tekent.