Чому ми постачаємо закріплення регіону, а не лише файли cookie регіону

вступ

Зараз майже кожен постачальник хмарних телефонів пропонує опцію «Регіон ЄС». Більшість із них означають одне й те саме: ваш трафік за замовчуванням направляється через європейський центр обробки даних, але немає примусових заходів, які запобігають перетину кордону, якщо перехід після відмови, завдання резервного копіювання чи ескалація підтримки направляють їх в інше місце. Для покупця в Німеччині чи Франції, який ставить прапорець у формі закупівлі, ця різниця невидима аж до перевірки DPA.

Перевага регіону проти місця проживання даних

Параметр регіону є типовим. Коли все працює нормально, ваші дані залишаються там, де ви вибрали. Проблема полягає в виняткових шляхах: автоматичне резервне копіювання, міжрегіональне аварійне відновлення, інструменти глобальної підтримки та конвеєри агрегації журналів можуть передавати дані до юрисдикцій за межами пріоритету, не запускаючи попередження чи запис у журналі, який би коли-небудь побачив аудитор.

Резиденція даних є обмеженням. Це означає, що система побудована так, що певні класи даних не можуть залишити призначену область, незалежно від робочого стану. Обмеження застосовується на рівні інфраструктури — не конфігурацією, не політикою, не навчанням — тому воно зберігається як під час збою, так і під час нормальної роботи.

Що означає закріплення регіону на практиці

Закріплення регіону означає, що дані орендаря — записи дзвінків, аудіо голосової пошти, стенограми, записи подробиць дзвінків, контактні дані — зберігаються й обробляються лише в призначеному регіоні. PIN-код застосовується на рівні даних, а не на рівні програми. Коли запис записується, він надходить у відро у вказаній області та лише в цій області. Коли виконується завдання транскрипції, комп’ютер, який його обробляє, надається в регіоні. Міжрегіональна реплікація цього класу даних вимкнена, а не просто не рекомендується.

Операційне значення полягає в тому, що деякі сценарії відновлення після відмови, які були б прозорими в глобальній архітектурі, стають видимими в закріпленій. Якщо закріплений регіон не працює, вибір: не закрити (служба недоступна, доки регіон не відновиться) або не відкрити (дані перетинають кордон, і гарантія проживання порушується). Ми не закриті. Ми чітко це документуємо, щоб покупці могли прийняти обґрунтоване рішення та спланувати відповідно — більшість вважає, що прозоре припинення обслуговування є кращим результатом, ніж негласне порушення прав на проживання.

Що ми закріплюємо, а що ні

Не кожен клас даних несе однаковий ризик проживання. Ми розрізняємо три класи:

• Закріплені дані — записи дзвінків, аудіо голосової пошти, стенограми, CDR, записи контактів. Вони прикріплюються до регіону, призначеного орендарем, і ніколи не копіюються за його межі.
• Дані рівня керування — маркери автентифікації, позначки функцій, записи про виставлення рахунків. Вони живуть у глобальній площині контролю. Вони не містять комунікаційного вмісту та виходять за межі більшості вимог щодо постійності даних.
• Телеметрія та журнали — анонімні показники продуктивності. Зведено перед виїздом з регіону, тому жодний окремий запис не перетинає кордон.

Межа між закріпленими та незакріпленими даними задокументована в Доповненні щодо обробки даних і доступна будь-якому клієнту за запитом до того, як він підпише.

Чому це важливо для покупців медичних послуг

Закупівлі послуг охорони здоров’я в ЄС дедалі частіше вимагають чітких зобов’язань щодо резидентності даних, а не просто вибору регіону на порталі. Обмеження розділу V GDPR на міжнародні передачі стосуються будь-яких особистих даних, які включають вміст спілкування, — що майже завжди стосується записів дзвінків і голосової пошти. Постачальник, який надає перевагу регіону, але не може документувати, куди йдуть дані під час ескалації підтримки або резервного копіювання, не може підписати Угоду про обробку даних, яка точно описує їхню архітектуру.

Ми можемо підписати один. DPA відображає фактичні обмеження інфраструктури, а не очікувані конфігурації. Коли покупець медичних послуг із ЄС запитує, які класи даних закріплено, ми можемо відповісти конкретно, а не сказати їм переглянути SLA.

Питання аудиту, яке варто поставити кожному постачальнику

Єдине найкорисніше запитання, яке можна поставити відділу продажів постачальника: «Якщо у вашому регіоні ЄС виникне збій, куди подінуться дані моїх записів дзвінків?» Постачальник зі справжньою резидентністю даних скаже, що «служба не працює, доки регіон не відновиться». Постачальник, який надає перевагу регіону, скаже щось про плавне перемикання після відмови та глобальне резервування. Друга відповідь є операційно зручнішою та юридично ризикованішою. Дізнайтеся, який вам потрібен, перш ніж підписувати.