Почему мы реализуем привязку региона, а не только файлы cookie региона

Введение

Почти каждый поставщик облачных телефонов теперь предлагает вариант «регион ЕС». Большинство из них означают одно и то же: ваш трафик по умолчанию направляется через европейский центр обработки данных, но не существует никаких мер, предотвращающих пересечение границы данными, если при аварийном переключении, задании резервного копирования или эскалации поддержки они перенаправляются в другое место. Для покупателя в Германии или Франции, ставящего галочку в форме закупки, это различие незаметно вплоть до аудита DPA.

Предпочтение региона и местонахождение данных

Предпочтение региона установлено по умолчанию. Когда все работает нормально, ваши данные остаются там, где вы выбрали. Проблема заключается в путях исключений: автоматическое резервное копирование, межрегиональное аварийное восстановление, инструменты глобальной поддержки и конвейеры агрегирования журналов — все это может передавать данные в юрисдикции за пределами предпочтений, не вызывая предупреждения или записи журнала, которую когда-либо мог бы увидеть аудитор.

Резиденция данных является ограничением. Это означает, что система спроектирована таким образом, что определенные классы данных не могут покинуть назначенный регион независимо от рабочего состояния. Ограничение применяется на уровне инфраструктуры — не конфигурацией, не политикой и не обучением — поэтому оно сохраняется как во время сбоя, так и во время нормальной работы.

Что означает закрепление региона на практике

Закрепление региона означает, что данные арендатора — записи разговоров, аудио голосовой почты, расшифровки, записи подробностей вызовов, контактные данные — хранятся и обрабатываются только в пределах назначенного региона. Пин применяется на уровне данных, а не на уровне приложения. Когда запись записывается, она попадает в корзину в указанном регионе и только в этом регионе. При запуске задания расшифровки вычислительные ресурсы, которые его обрабатывают, предоставляются внутри региона. Межрегиональная репликация этого класса данных отключена, а не просто не рекомендуется.

Операционное значение состоит в том, что некоторые сценарии аварийного переключения, которые были бы прозрачными в глобальной архитектуре, становятся видимыми в закрепленной. Если закрепленный регион выходит из строя, можно выбрать отказ закрытия (служба недоступна до тех пор, пока регион не восстановится) или отказ открытия (данные пересекают границу, и гарантия резидентности нарушается). Мы терпим неудачу в закрытии. Мы четко документируем это, чтобы покупатели могли принять обоснованное решение и соответствующим образом спланировать действия — большинство считает, что прозрачное прерывание обслуживания является лучшим результатом, чем молчаливое нарушение резидентства.

Что мы закрепляем, а что нет

Не каждый класс данных несет одинаковый риск резидентности. Мы различаем три класса:

• Закрепленные данные — записи разговоров, аудио голосовой почты, стенограммы, CDR, записи контактов. Они закрепляются за регионом, назначенным арендатором, и никогда не копируются за его пределы.
• Данные плоскости управления — токены аутентификации, флаги функций, записи о выставлении счетов. Они живут в глобальной плоскости управления. Они не содержат коммуникационного контента и выходят за рамки большинства требований к местонахождению данных.
• Телеметрия и логи — анонимные показатели производительности. Агрегируются перед выездом из региона, поэтому ни одна отдельная запись не пересекает границу.

Граница между закрепленными и незакрепленными данными документирована в Дополнении по обработке данных и доступна любому клиенту по запросу до его подписания.

Почему это важно для покупателей медицинских услуг

Закупки в сфере здравоохранения в ЕС все чаще требуют явных обязательств по размещению данных, а не просто выбора региона на портале. Ограничения Главы V GDPR на международные переводы распространяются на любые персональные данные, включающие коммуникационный контент, что почти всегда происходит с записями разговоров и голосовой почтой. Поставщик, который предлагает предпочтение региона, но не может документировать, куда передаются данные во время эскалации поддержки или запуска резервного копирования, не может подписать соглашение об обработке данных, которое точно описывает его архитектуру.

Мы можем подписать один. DPA соответствует реальным ограничениям инфраструктуры, а не желаемым конфигурациям. Когда покупатель здравоохранения из ЕС спрашивает, какие классы данных закреплены, мы можем ответить конкретнее, а не просить его просмотреть соглашение об уровне обслуживания.

Вопрос аудита, который следует задать каждому поставщику

Самый полезный вопрос, который следует задать отделу продаж поставщика: «Если в вашем регионе ЕС произойдет сбой, куда пойдут мои данные записи звонков?» Поставщик с подлинным местонахождением данных скажет: «Сервис не работает до тех пор, пока регион не восстановится». Поставщик, предпочитающий регион, скажет что-нибудь о плавном аварийном переключении и глобальной избыточности. Второй ответ более дружественный с операционной точки зрения и более рискованный с юридической точки зрения. Прежде чем подписывать, узнайте, какой из них вам нужен.