Dlaczego wysyłamy przypinanie regionu, a nie tylko pliki cookie regionu

Wstęp

Prawie każdy sprzedawca telefonów w chmurze oferuje obecnie opcję „regionu UE”. Większość z nich oznacza to samo: ruch jest domyślnie kierowany przez europejskie centrum danych, ale nie ma żadnych zabezpieczeń, które uniemożliwiają przekroczenie granicy przez dane, jeśli przełączenie awaryjne, zadanie tworzenia kopii zapasowej lub eskalacja pomocy technicznej skierują je gdzie indziej. W przypadku kupującego z Niemiec lub Francji zaznaczającego pole w formularzu zamówienia to rozróżnienie jest niewidoczne aż do kontroli DPA.

Preferencje regionu a miejsce przechowywania danych

Preferencje regionu są ustawieniami domyślnymi. Gdy wszystko działa normalnie, Twoje dane pozostają tam, gdzie wybrałeś. Problemem są ścieżki wyjątków: automatyczne kopie zapasowe, odzyskiwanie danych po awarii między regionami, globalne narzędzia wsparcia i potoki agregacji dzienników mogą przesyłać dane do jurysdykcji spoza preferencji bez wywoływania alertu lub wpisu w dzienniku, który audytor mógłby kiedykolwiek zobaczyć.

Miejsce przechowywania danych jest ograniczeniem. Oznacza to, że system jest zaprojektowany w taki sposób, że pewne klasy danych nie mogą opuścić wyznaczonego regionu, niezależnie od stanu operacyjnego. Ograniczenie jest egzekwowane w warstwie infrastruktury — nie przez konfigurację, nie przez zasady, nie przez szkolenie — więc obowiązuje zarówno podczas przestoju, jak i podczas normalnego działania.

Co oznacza przypinanie regionu w praktyce

Przypinanie regionu oznacza, że ​​dane najemcy — nagrania rozmów, dźwięki poczty głosowej, transkrypcje, zapisy szczegółów rozmów, dane kontaktowe — są przechowywane i przetwarzane wyłącznie w wyznaczonym regionie. Pin jest wymuszany w warstwie danych, a nie w warstwie aplikacji. Po zapisaniu nagranie trafia do zasobnika w określonym regionie i tylko w tym regionie. Po uruchomieniu zadania transkrypcji przetwarzanie, które je przetwarza, jest udostępniane lokalnie. Replikacja międzyregionalna tej klasy danych jest wyłączona, a nie tylko odradzana.

Konsekwencją operacyjną jest to, że niektóre scenariusze przełączania awaryjnego, które byłyby przezroczyste w architekturze globalnej, stają się widoczne w przypiętej architekturze. Jeśli przypięty region ulegnie awarii, wybór polega na tym, aby zakończyć się niepowodzeniem (usługa jest niedostępna do czasu przywrócenia regionu) lub otworzyć się niepowodzeniem (dane przekraczają granicę i gwarancja miejsca zamieszkania zostaje zerwana). Nie udało nam się zamknąć. Dokumentujemy to wyraźnie, aby kupujący mogli podjąć świadomą decyzję i odpowiednio zaplanować — większość uważa, że ​​przejrzysta przerwa w świadczeniu usług jest lepszym rozwiązaniem niż ciche naruszenie zasad pobytu.

Co przypinamy, a czego nie

Nie każda klasa danych niesie ze sobą to samo ryzyko związane z miejscem zamieszkania. Wyróżniamy trzy klasy:

• Przypięte dane — nagrania rozmów, dźwięk poczty głosowej, transkrypcje, CDR, zapisy kontaktów. Są one przypięte do wyznaczonego regionu dzierżawy i nigdy nie są replikowane poza nim.
• Dane płaszczyzny kontrolnej — tokeny uwierzytelniające, flagi funkcji, zapisy rozliczeniowe. Żyją one w globalnej płaszczyźnie kontroli. Nie zawierają treści komunikacyjnych i wykraczają poza zakres większości wymagań dotyczących przechowywania danych.
• Telemetria i logi — anonimowe wskaźniki wydajności. Zagregowane przed opuszczeniem regionu, więc żaden indywidualny rekord nie przekracza granicy.

Granica między przypiętymi i nieprzypiętymi danymi jest udokumentowana w Dodatku dotyczącym przetwarzania danych i dostępna dla każdego klienta na żądanie przed jego podpisaniem.

Dlaczego ma to znaczenie dla nabywców produktów z branży opieki zdrowotnej

Zamówienia dotyczące opieki zdrowotnej w UE w coraz większym stopniu wymagają wyraźnych zobowiązań dotyczących przechowywania danych, a nie tylko wyboru regionu na portalu. Ograniczenia określone w rozdziale V RODO dotyczące przekazywania międzynarodowego mają zastosowanie do wszelkich danych osobowych zawierających treści komunikacyjne – które prawie zawsze obejmują nagrania rozmów i wiadomości głosowe. Dostawca, który oferuje preferencje dotyczące regionu, ale nie może udokumentować, dokąd trafiają dane podczas eskalacji pomocy technicznej lub tworzenia kopii zapasowej, nie może podpisać umowy o przetwarzaniu danych, która dokładnie opisuje jego architekturę.

Możemy podpisać jeden. DPA odwzorowuje rzeczywiste ograniczenia infrastruktury, a nie konfiguracje aspiracyjne. Kiedy kupujący z UE zajmujący się opieką zdrowotną pyta, które klasy danych są przypięte, możemy odpowiedzieć szczegółowo, zamiast kazać mu zapoznać się z umową SLA.

Pytanie kontrolne, które należy zadać każdemu dostawcy

Najbardziej przydatne pytanie, które należy zadać zespołowi sprzedaży sprzedawcy: „Jeśli w Twoim regionie UE wystąpi awaria, gdzie trafiają moje dane dotyczące nagrań rozmów?” Dostawca dysponujący rzeczywistym miejscem przechowywania danych powie: „usługa nie działa, dopóki region nie zostanie przywrócony”. Dostawca preferujący region powie coś o płynnym przełączaniu awaryjnym i globalnej nadmiarowości. Druga odpowiedź jest prostsza operacyjnie i bardziej ryzykowna prawnie. Zanim podpiszesz, dowiedz się, którego potrzebujesz.