Por que enviamos fixação de região em vez de apenas cookies de região

Introdução

Quase todos os fornecedores de telefones em nuvem oferecem agora uma opção de “região da UE”. A maioria deles significa a mesma coisa: seu tráfego é roteado através de um data center europeu por padrão, mas não há nenhuma fiscalização que impeça os dados de cruzarem uma fronteira se um failover, um trabalho de backup ou uma escalação de suporte os encaminhar para outro lugar. Para um comprador na Alemanha ou em França que marque uma caixa num formulário de aquisição, essa distinção é invisível até à auditoria da DPA.

Preferência de região versus residência de dados

Uma preferência de região é um padrão. Quando tudo está funcionando normalmente, seus dados ficam onde você escolheu. O problema são os caminhos de exceção: backups automatizados, recuperação de desastres entre regiões, ferramentas de suporte global e pipelines de agregação de logs podem transferir dados para jurisdições fora da preferência sem acionar um alerta ou uma entrada de log que um auditor jamais veria.

A residência dos dados é uma restrição. Isso significa que o sistema é arquitetado para que determinadas classes de dados não possam sair da região indicada, independentemente do estado operacional. A restrição é imposta na camada de infraestrutura — não pela configuração, nem pela política, nem pelo treinamento — portanto, ela se mantém durante uma interrupção, bem como durante a operação normal.

O que a fixação de região significa na prática

A fixação de região significa que os dados de um locatário (gravações de chamadas, áudio de correio de voz, transcrições, registros de detalhes de chamadas, dados de contato) são armazenados e processados ​​somente dentro da região indicada. O PIN é aplicado na camada de dados, não na camada de aplicativo. Quando uma gravação é gravada, ela vai para um bucket na região especificada e somente nessa região. Quando um trabalho de transcrição é executado, o cálculo que o processa é provisionado na região. A replicação entre regiões dessa classe de dados está desativada e não apenas desencorajada.

A implicação operacional é que alguns cenários de failover que seriam transparentes em uma arquitetura global tornam-se visíveis em uma arquitetura fixa. Se a região fixada cair, a escolha é falhar no fechamento (o serviço fica indisponível até que a região se recupere) ou falhar na abertura (os dados cruzam a fronteira e a garantia de residência é quebrada). Falhámos fechados. Documentamos isso claramente para que os compradores possam tomar uma decisão informada e planejar adequadamente – a maioria acha que uma interrupção transparente do serviço é um resultado melhor do que uma violação silenciosa da residência.

O que fixamos e o que não fixamos

Nem todas as classes de dados apresentam o mesmo risco de residência. Distinguimos três classes:

• Dados fixados – gravações de chamadas, áudio de correio de voz, transcrições, CDRs, registros de contato. Eles são fixados na região indicada pelo locatário e nunca são replicados fora dela.
• Dados do plano de controle – tokens de autenticação, sinalizadores de recursos, registros de faturamento. Estes vivem num plano de controle global. Eles não contêm conteúdo de comunicação e estão fora do escopo da maioria dos requisitos de residência de dados.
• Telemetria e logs — métricas de desempenho anônimas. Agregados antes de sair da região, de modo que nenhum registro individual atravesse uma fronteira.

A fronteira entre dados fixados e não fixados está documentada no Adendo de Processamento de Dados e disponível para qualquer cliente mediante solicitação antes de assinar.

Por que isso é importante para os compradores de serviços de saúde

A contratação de cuidados de saúde na UE exige cada vez mais compromissos explícitos de residência de dados, e não apenas uma selecção de região num portal. As restrições do Capítulo V do GDPR sobre transferências internacionais aplicam-se a quaisquer dados pessoais que incluam conteúdo de comunicação – o que quase sempre acontece com gravações de chamadas e correios de voz. Um fornecedor que oferece preferência de região, mas não consegue documentar para onde vão os dados durante um escalonamento de suporte ou uma execução de backup, não pode assinar um Contrato de Processamento de Dados que descreva com precisão sua arquitetura.

Podemos assinar um. O DPA mapeia as restrições reais da infraestrutura, e não as configurações aspiracionais. Quando um comprador de serviços de saúde da UE pergunta quais classes de dados estão fixadas, podemos responder com detalhes, em vez de solicitar que revisem o SLA.

A pergunta de auditoria a ser feita a cada fornecedor

A pergunta mais útil a ser feita à equipe de vendas de um fornecedor: 'Se a sua região da UE sofrer uma interrupção, para onde vão meus dados de gravação de chamadas?' Um fornecedor com residência de dados genuína dirá “o serviço falha até que a região se recupere”. Um fornecedor com preferência regional dirá algo sobre failover contínuo e redundância global. A segunda resposta é operacionalmente mais amigável e legalmente mais arriscada. Saiba qual você precisa antes de assinar.