Por qué enviamos fijación de regiones en lugar de solo cookies de región

Introducción

Casi todos los proveedores de teléfonos en la nube ofrecen ahora una opción de "región de la UE". La mayoría de ellos significan lo mismo: su tráfico se enruta a través de un centro de datos europeo de forma predeterminada, pero no existe ninguna aplicación que impida que los datos crucen una frontera si una conmutación por error, un trabajo de respaldo o una escalada de soporte los enruta a otra parte. Para un comprador en Alemania o Francia que marca una casilla en un formulario de adquisición, esa distinción es invisible hasta la auditoría de la DPA.

Preferencia de región versus residencia de datos

Una preferencia de región es un valor predeterminado. Cuando todo funciona normalmente, tus datos permanecen donde tú elijas. El problema son las rutas de excepción: las copias de seguridad automatizadas, la recuperación ante desastres entre regiones, las herramientas de soporte global y los canales de agregación de registros pueden transferir datos a jurisdicciones fuera de la preferencia sin activar una alerta o una entrada de registro que un auditor jamás vería.

La residencia de los datos es una limitación. Significa que el sistema está diseñado para que ciertas clases de datos no puedan salir de la región nominada, independientemente del estado operativo. La restricción se aplica en la capa de infraestructura (no mediante configuración, política ni capacitación), por lo que se mantiene tanto durante una interrupción como durante el funcionamiento normal.

¿Qué significa la fijación de regiones en la práctica?

La fijación de región significa que los datos de un inquilino (grabaciones de llamadas, audio de correo de voz, transcripciones, registros de detalles de llamadas, datos de contacto) se almacenan y procesan solo dentro de la región nominada. El pin se aplica en la capa de datos, no en la capa de aplicación. Cuando se escribe una grabación, va a un depósito en la región especificada y solo en esa región. Cuando se ejecuta un trabajo de transcripción, el proceso que lo procesa se aprovisiona en la región. La replicación entre regiones de esa clase de datos está deshabilitada, no solo desaconsejada.

La implicación operativa es que algunos escenarios de conmutación por error que serían transparentes en una arquitectura global se vuelven visibles en una arquitectura fijada. Si la región fijada deja de funcionar, la opción es cerrar (el servicio no está disponible hasta que la región se recupere) o abrir (los datos cruzan la frontera y la garantía de residencia se rompe). Fallamos cerrados. Documentamos esto claramente para que los compradores puedan tomar una decisión informada y planificar en consecuencia; la mayoría considera que una interrupción transparente del servicio es un mejor resultado que una violación silenciosa de la residencia.

Lo que fijamos y lo que no

No todas las clases de datos conllevan el mismo riesgo de residencia. Distinguimos entre tres clases:

• Datos fijados: grabaciones de llamadas, audio de correo de voz, transcripciones, CDR, registros de contactos. Estos se fijan en la región nominada del inquilino y nunca se replican fuera de ella.
• Datos del plano de control: tokens de autenticación, indicadores de funciones, registros de facturación. Estos viven en un plano de control global. No contienen contenido de comunicación y están fuera del alcance de la mayoría de los requisitos de residencia de datos.
• Telemetría y registros: métricas de rendimiento anónimas. Agregados antes de salir de la región, para que ningún registro individual cruce una frontera.

El límite entre los datos fijados y no fijados está documentado en el Anexo de procesamiento de datos y está disponible para cualquier cliente que lo solicite antes de firmar.

Por qué esto es importante para los compradores de atención médica

La contratación sanitaria en la UE requiere cada vez más compromisos explícitos de residencia de datos, no sólo una selección de región en un portal. Las restricciones del Capítulo V del RGPD sobre transferencias internacionales se aplican a cualquier dato personal que incluya contenido de comunicación, lo que casi siempre ocurre con las grabaciones de llamadas y los mensajes de voz. Un proveedor que ofrece preferencia de región pero no puede documentar dónde van los datos durante una escalada de soporte o una ejecución de respaldo no puede firmar un Acuerdo de procesamiento de datos que describa con precisión su arquitectura.

Podemos firmar uno. La DPA se corresponde con las limitaciones reales de la infraestructura, no con las configuraciones aspiracionales. Cuando un comprador de atención médica de la UE pregunta qué clases de datos están fijadas, podemos responder con detalles en lugar de decirle que revise el SLA.

La pregunta de auditoría que debe hacerle a todo proveedor

La pregunta más útil para hacerle al equipo de ventas de un proveedor: "Si su región de la UE sufre una interrupción, ¿adónde van mis datos de grabación de llamadas?" Un proveedor con residencia de datos genuina dirá "el servicio falla hasta que la región se recupere". Un proveedor con preferencia regional dirá algo sobre la conmutación por error perfecta y la redundancia global. La segunda respuesta es operativamente más amigable y legalmente más riesgosa. Sepa cuál necesita antes de firmar.