Начало›Ръководства›Суверенитет
Суверенитет
Google Workspace може да се използва в рамките на GDPR (Общ регламент относно защитата на данните). Както при Microsoft 365, съответствието се проверява в договора, в реално обхванатия регион и в способността да се отговаря на субектите на данни. Производителят на софтуера е американско дружество. Това изречение открива проверката. То не я приключва.
За съдържанието, което Вашата организация поставя в Gmail, Drive, Docs и Календар, обикновено Вие сте администратор на лични данни, а Google е обработващ лични данни. Google описва освен това дейности по обработване, за които самият той е администратор, свързани с акаунта, сигурността и функционирането на услугата. Google Workspace Data Processing Amendment и приложенията за предаване на данни са документите, които трябва да се архивират заедно с регистъра.
Защо. Ролята определя кой информира субектите, кой им отговаря и кой избира сроковете. За съдържанието това сте Вие; Google действа по Ваши указания в рамките на член 28 от GDPR.
Как да проверите. Проверете дали допълнението обхваща активираните услуги, включително добавените след първоначалната поръчка. Рекламна агенция с 30 души, която е започнала с Gmail и Drive, а след това е отворила Chat, Sites и формуляри, често е документирала само първите две.
В регистъра. Един ред за всяка услуга, с ролята на Google, датата на активиране и архивираната версия на допълнението.
Честа грешка. Да се архивира договорът, подписан при откриването на акаунта, и повече да не се препрочита.
В зависимост от изданието администраторът може да избере обхванатите данни да се съхраняват в Съединените щати или в Европа и да ограничи част от обработването до този регион. Google публикува списъка: обхванато съдържание в покой за Gmail, Календар, Drive, Chat, Docs, Sheets, Slides и други основни услуги, обхванато обработване за част от тях. Документацията уточнява, че политиката за регионите не се прилага към данните, които не са изброени в нея, по-специално някои журнали или кеширано съдържание.
Практически последици.
Защо. „Регион Европа“ описва изброен периметър, а не цялата услуга. Това, което не е изброено, е това, което Вашият регистър трябва да поеме.
Как да проверите. Поискайте от администратора си екранна снимка на реалната настройка, а не търговската брошура. Сравнете я с изданието, абонирано за всяка група потребители. Индустриално МСП с два обекта, единият от които е оборудван с по-скромно издание, може да има правило за регион, което се прилага само към половината акаунти.
В регистъра. Изданието, избраният регион, обхванатите организационни единици, изключените категории (журнали, кеш), датата на проверката.
Честа грешка. Да се напише „данни, съхранявани в Европа“, без да се споменат изключенията, публикувани от Google.
Access Management позволява да се ограничи персоналът на Google, който работи с определени данни от поддръжката: например персонал, намиращ се в ЕС, или работещ чрез виртуален офис, разположен в ЕС. Тази функция е свързана с определени издания и с опцията Assured Controls. Тя не е настройката по подразбиране за всички оферти Business.
Защо. Техник, който преглежда данни, за да реши инцидент, обработва тези данни. Мястото на съхранение не казва нищо за мястото на този достъп.
Как да проверите. Ако Вашето досие за съответствие предполага „поддръжка само от Съюза“, проверете дали опцията е закупена и активна и запазете доказателство за това.
Криптирането от страна на клиента, когато е налично за Вашето издание, Ви оставя контрола върху ключовете за определен периметър от съдържание. То променя това, което Google може да чете. То променя също търсенето, защитата от злоупотреби и някои функции за съвместна работа. То се изпробва, преди да бъде обявено на бизнес звената: пилотен проект с един екип, със списък на това, което вече не работи, е по-добър от обща бележка.
В регистъра. Активните опции, техният периметър и това, което остава достъпно за поддръжката.
Честа грешка. Да се предполага, че опцията е включена в подновяването, защото е била спомената при предпродажбените разговори.
Google е американско дружество. Щом достъп или копие излезе от Съюза, предаването трябва да има правно основание. Към 5 октомври 2026 г. решението относно адекватното ниво на защита (ЕС) 2023/1795 остава в сила за сертифицираните американски организации, макар и да се оспорва. Според коментар на адвокатската кантора WilmerHale Общият съд на Европейския съюз е отхвърлил иск за отмяна на 3 септември 2025 г., а на 31 октомври 2025 г. е подадена жалба пред Съда. Кантората DAC Beachcroft говори в заглавието на своя коментар за стабилност засега и несигурност след това.
Стандартните договорни клаузи остават другият обичаен инструмент. Прецедентът от 2020 г. показва защо трябва да ги познавате: на 16 юли 2020 г. с решението по дело C-311/18 (известно като Schrems II) Съдът обяви за невалиден Privacy Shield (решение 2016/1250), по-специално поради обхвата на американските програми за наблюдение и липсата на ефективни средства за защита. Стандартните договорни клаузи останаха валидни, с оценка за всеки отделен случай.
Подробностите за CLOUD Act са на страницата защита на фирмата от CLOUD Act: европейският регион не изважда Google от американското право, ако Google държи или контролира данните. Член 48 от GDPR от своя страна предвижда, че решение на съд или орган на трета държава, което изисква разкриване на лични данни, може да бъде признато или да подлежи на изпълнение само ако се основава на международно споразумение, например договор за правна помощ, действащо между тази държава и Съюза или държавата членка. Американски доставчик, който работи в Европа, може така да се окаже между две правила. Член 48 описва тази колизия; той не я разрешава.
В регистъра. Инструментът, който използва Вашият договор, и резервният план, ако решението относно адекватното ниво на защита отпадне.
Честа грешка. Да се смята, че регионът за данни (точка 2) отговаря на въпроса за предаването. Той казва къде се съхраняват определени данни, а не кой има достъп до тях, нито под кое право.
Експорт чрез инструмента за изтегляне на данни (Takeout) и инструментите за администриране, търсене във Vault, ако разполагате с него, едномесечен срок за отговор, за който отговаря администраторът на лични данни.
Как да проверите. Определете вътрешното лице, което умее да извлича пощенска кутия в Gmail, Drive и Календар, и го накарайте да направи проба с тестов акаунт. Проверете груповите пощенски кутии и файловете, чийто собственик е напуснал фирмата: това са исканията, които се забавят.
В регистъра. Процедурата, отговорното лице, неговият заместник и инструментът, използван според изданието.
Честа грешка. Да се изтрие акаунтът на напуснал служител, без да е решена съдбата на неговите споделени файлове, а след това да се получи искане, което се отнася до тях.
Съобщенията и файловете се изнасят сравнително лесно (IMAP, експорт от Drive). Историята в Google Chat, Sites, Apps Script, формулярите, свързани с автоматизации, и правилата за администриране не се пренасят в непроменен вид към друг пакет. Страницата миграция от Google Workspace изброява тези разлики.
Защо. Изходът е част от съответствието: от него зависят преносимостта, изтичането на сроковете за съхранение и възстановяването на Вашите данни, ако договорът бъде прекратен.
В регистъра. Описът на съдържанието, което не може да се експортира в непроменен вид, и какво бихте направили с него.
Честа грешка. Да се открият критични автоматизации в месеца на прекратяването на договора.
Не. Той урежда ролите, предаването на данни и правата на субектите на данни. Той не забранява производител на софтуера заради националността му; той изисква да опишете какво правите и на какво основание.
Не. Регионът обхваща данните, които Google изброява, в зависимост от Вашето издание. Някои журнали и кеширано съдържание не влизат в него, а регионът не променя националността на производителя на софтуера.
То променя това, което Google може да чете в криптирания периметър. То не обхваща всичко и променя търсенето и някои функции за съвместна работа. Изпробвайте го, преди да го въведете навсякъде.
Регистърът трябва вече да предвижда резервния вариант, обикновено стандартните договорни клаузи с оценка за всеки отделен случай. Ако подготвите тази оценка предварително, няма да се налага да я изготвяте спешно.
Когато екипите живеят в Docs и Drive, регионът за данни на Вашето издание обхваща съдържанието, което е важно за Вас, а регистърът поема журналите и остатъчния достъп. GDPR не задължава да напуснете Google. Той задължава да опишете какво правите.
В този случай причините да останете са солидни. Едновременното редактиране в Docs и Sheets, търсенето в целия Drive и навиците на екипите имат стойност, която трябва да се измери, преди да напуснете. Лошо подготвената миграция създава свои собствени рискове за данните. Абонаментът за изданието, което включва регионите и контрола върху поддръжката, може да бъде по-пропорционален от смяната на пакета. Съображенията са описани подробно в да останете в Google Workspace или да го напуснете.
Когато искате файловете и имейлите да се държат от европейско или швейцарско дружество или когато абонираното издание не включва контрола върху региона и поддръжката, който Вашият анализ изисква. Ако разликата между настоящото издание и това, което би покрило нуждата, тежи колкото една смяна, въпросът заслужава да бъде поставен.
Смяната на оператора на услугата поставя държателя на данните под правото на неговата собствена държава, при условие че неговите обработващи лични данни не връщат в схемата американски доставчик. Това не освобождава нито от договора за обработване на данни, нито от регистъра, нито от процедурата за правата. Infomaniak, Nextcloud, опериран от европейски хостинг доставчик, OVHcloud или Klytic отговарят на различни нужди. Ръководството европейски алтернативи на Microsoft 365 и страницата алтернативи на Google Workspace ги разграничават. Същите проверки от страна на Microsoft са в GDPR и Microsoft 365.
Klytic се оперира от Dedicace Software, френско дружество. Той обхваща имейл услугата, документите в специално предназначена инстанция на Nextcloud за всеки клиент (споделяне, онлайн редактиране самостоятелно или съвместно, история на версиите), видеоконференциите, CRM и телефонията, които могат да се купуват поотделно. Nextcloud се произвежда от Nextcloud GmbH (Германия); имейл услугата се основава на Zimbra, произвеждан от Synacor (Съединените щати) и опериран от Klytic. Хостингът се извършва във всяка географска зона, съответстваща на приложимата юрисдикция, при условие че необходимите услуги са налични, например в Европа или в Мавриций, или на сървърите на клиента. Данните остават под контрола на клиента или се съхраняват от Klytic за негова сметка. Документите са криптирани при източника с ключ, който Klytic не може да прочете; имейлите са криптирани в покой с ключове, управлявани от Klytic, а клиентът може да ги криптира от край до край (S/MIME или GPG), като запазва своя частен ключ. Подробностите са на страницата защита на фирмата от CLOUD Act. Договорът трябва да описва това държане и това криптиране. Онлайн редактирането, самостоятелно или съвместно, се извършва в инстанцията; това не е редакторът на Google и Klytic не възпроизвежда в същия вид неговото търсене в цялото съдържание. Той няма квалификация SecNumCloud.
Тази страница описва обща рамка. Тя не представлява правен съвет.
Правно положение към 5 октомври 2026 г. Този текст не замества анализа на договора. Решението относно адекватното ниво на защита между ЕС и САЩ (ЕС) 2023/1795 е в сила. То се оспорва. За SecNumCloud меродавен е каталогът на ANSSI.
Проверено през октомври 2026 г.
Имейл, документи, видеоконференции, CRM и телефония, хоствани в зоната, съответстваща на Вашата юрисдикция, например в Европа или в Мавриций, или във Вашите помещения.
Приветствена оферта
Пробна оферта без ангажимент. Консултант ще Ви се обади, за да разбере нуждите Ви и да подготви Вашето пространство в Klytic.
