Suverenita
Suverénní cloud je v nákupní dokumentaci služba, jejíž provozovatel, rozhodné právo a administrátorské přístupy jsou známy a jejíž data lze převzít zpět. Marketingová definice se liší. Kritéria se však dají shrnout do hodnoticí tabulky.
Napsat do poptávky „suverénní cloud“ znamená položit otázku, na kterou každý uchazeč odpoví ano. Odpovědi se stanou nesrovnatelnými a o výběru rozhoduje cena nebo dojem z prezentace.
Hodnoticí tabulka nutí každého uchazeče odpovědět na stejnou otázku a doložit odpověď dokumentem. Chrání také kupujícího po podpisu: písemný závazek v nabídce lze převzít do smlouvy, kdežto přívlastek kontrolovat nelze. Samotný pojem vysvětluje článek co je suverénní cloud. Tato stránka slouží k nákupu.
Zapamatujte si tuto.
Digitální služba se pro evropského kupujícího považuje za suverénní, pokud společnost, která ji provozuje, podléhá evropskému právu, svěřená data a jejich zálohy zůstávají v deklarovaném geografickém rozsahu, provozní přístupy jsou identifikovány a zákazník může svá data exportovat a následně nechat vymazat.
Tato věta je pracovní nástroj. Není to článek GDPR (obecné nařízení o ochraně osobních údajů). Nařízení definuje role (správce, zpracovatel), předávání a práva subjektů údajů. Štítek „suverénní“ neuděluje.
Každá část věty odkazuje na jedno nebo více z níže uvedených kritérií. Právě proto je použitelná: lze ji rozložit na otázky a odpovědi bodovat.
Každé kritérium se dokládá dokumentem, ne přívlastkem.
Deset kritérií nemá pro všechny kupující stejnou váhu. U e-mailové služby a sdílení souborů obvykle rozhodují o rozdílu mezi nabídkami kritéria 1, 3, 4, 5 a 9. Kritérium 10 je vylučovací, pokud je požadováno, jinak je neutrální. O vážení rozhodněte před otevřením nabídek, ne potom.
Místo nenahrazuje právo. Datacentrum ve Frankfurtu provozované americkou společností zůstává službou této společnosti. Americký CLOUD Act se vztahuje na data, která drží poskytovatel podléhající jurisdikci Spojených států, bez ohledu na zemi, kde je disk. Viz ochrana firmy před CLOUD Act a srovnání evropský, nebo americký cloud.
Evropské právo neznamená absenci soudních příkazů. Francouzský, německý nebo nizozemský soud může nařídit vydání dat provozovateli ve své příslušnosti. Rozdíl spočívá v soudu, postupu a opravných prostředcích. Hodnoticí tabulka, která by naznačovala opak, by kupujícího uváděla v omyl.
Software a provozovatel jsou dvě různé věci. Nextcloud vyvíjí Nextcloud GmbH v Německu. Zimbra vyvíjí Synacor ve Spojených státech. BlueMind je francouzská společnost. Ve všech třech případech závisí suverenita vaší služby na tom, kdo ji instaluje, kdo ji zálohuje a kdo zvedá telefon. Státní příslušnost výrobce softwaru hraje roli především tehdy, má-li přístup k datům: pak se posuzuje v kritériu 7.
SecNumCloud je úzký. Jde o kvalifikaci ANSSI, nabídku po nabídce, s vymezeným rozsahem a datem skončení platnosti. Často se vyžaduje pro citlivá státní data. Jako jediné kritérium je nepřiměřený pro malý či střední podnik, který hledá e-mailovou službu a sdílení souborů. Je nedostatečný, pokud se na něj odvoláváte, aniž byste si přečetli rozhodnutí.
Žádná nabídka nepokrývá všechna použití Microsoft 365. Pokročilý Excel, Power BI, ekosystém Teams a oborové doplňky nemají u evropských provozovatelů obecný ekvivalent. Kritérium suverenity tuto otázku nerozhoduje. Přistupuje k ní. Pokud jsou tato použití klíčová, může tabulka vést k tomu, že si Microsoft 365 s plným vědomím ponecháte: viz Microsoft 365, nebo suverénní řešení.
Nahraďte „suverénní cloud“ deseti kritérii, každé s očekávaným dokladem. Pak budete moci porovnat nabídku Microsoftu s evropskou hranicí dat, nabídku Googlu s datovým regionem, švýcarskou nabídku jako Infomaniak a nabídku provozovanou ve Francii. Srovnání se stane čtením důkazů, ne soubojem přívlastků.
| Kritérium | Otázka pro uchazeče | Očekávaný doklad |
|---|---|---|
| 1. Provozující společnost | Která společnost službu provozuje a kdo ji ovládá? | Výpis z obchodního rejstříku, organigram skupiny |
| 2. Rozhodné právo smlouvy | Jaké právo, jaký soud? | Ustanovení všeobecných obchodních podmínek a smlouvy o zpracování |
| 3 a 4. Rozsah a místo | Jaké kategorie dat, v jakých zemích? | Tabulka podle kategorií: obsah, zálohy, protokoly, podpora |
| 5. Správa | Kdo spravuje, odkud a s jakým záznamem? | Popis týmů a protokolování |
| 6. Klíče | Kdo může dešifrovat a v jakých případech? | Popis schématu šifrování |
| 7. Zpracovatelé | Kdo dostává kopii nebo přístup? | Jmenovitý seznam se zeměmi |
| 8. Úřady | Co děláte, když přijde žádost? | Písemný postup |
| 9. Reverzibilita | Jak získáme vše zpět a za jak dlouho? | Postup exportu, formáty, zkouška |
| 10. Kvalifikace | Je nabízená služba kvalifikovaná? | Odkaz na katalog ANSSI, je-li požadováno |
Samotné geografické kritérium podrobně rozebírá článek Co ve skutečnosti znamená „data hostovaná v Evropě“.
Hypotetický případ. Středně velká firma působící ve službách obnovuje svou e-mailovou službu a sdílení souborů. První verze její zadávací dokumentace požaduje „řešení suverénního cloudu hostované v Evropě“. Všichni tři uchazeči odpovídají ano.
IT oddělení přepíše poptávku podle hodnoticí tabulky. Odpovědi se stanou čitelnými. První uchazeč hostuje v Evropě, ale patří ke skupině podléhající americkému právu: kritérium 1 nesplněno, kritéria 3 a 4 dobře doložena. Druhý je evropská společnost, ale noční podporu svěřuje zpracovateli mimo zónu: kritérium 5 k vyjednání. Třetí splňuje právní kritéria, ale nepokrývá jedno oborové použití: vedení musí rozhodnout. Tabulka nevybrala za firmu. Učinila volbu explicitní.
Ne. GDPR neuděluje štítek „suverénní“. SecNumCloud je kvalifikace nabídky udělovaná ANSSI, nikoli obecná definice. Zde navržená definice je pracovním nástrojem pro kupujícího.
Obecně ne. Kritérium se týká společnosti, která službu provozuje, a společnosti, která ji ovládá. Dceřiná společnost může fakturovat v eurech a hostovat v Evropě, a přitom patřit ke skupině podléhající americkému právu. Stránka evropský, nebo americký cloud tento rozdíl podrobně popisuje.
Je třeba položit všechny, abyste získali srovnatelné odpovědi. Jejich váha však závisí na vašich datech a povinnostech. Vážení stanovené předem zabrání tomu, aby se tabulka přizpůsobila oblíbenému uchazeči.
Ano, a právě v tom je její přínos. Mechanismy rezidence dat těchto výrobců softwaru se posuzují v kritériích 3 a 4. Státní příslušnost výrobce softwaru se posuzuje v kritériu 1. Stránky GDPR a Microsoft 365 a GDPR a Google Workspace tyto otázky uplatňují.
Klytic splňuje část tabulky a jinou část ne. Provozovatelem je Dedicace Software, francouzská společnost. Zákazník si zvolí hosting Klytic v jakékoli geografické oblasti odpovídající rozhodné jurisdikci, s výhradou dostupnosti požadovaných služeb, například v Evropě nebo na Mauriciu, nebo na serverech zákazníka. Výrobce softwaru pro e-mailovou službu je americký (Zimbra / Synacor), výrobce softwaru pro dokumenty je německý (Nextcloud), s vyhrazenou instancí pro každého zákazníka.
Pokud jde o kritérium klíčů, data jsou v plném vlastnictví zákazníka, nebo je drží Klytic jménem zákazníka, v geografické oblasti, která spadá pod rozhodnou jurisdikci. Jsou šifrována nativně, nebo podle volby zákazníka. Klíč drží zákazník nebo je uložen v jeho účtu a Klytic k němu nemá přístup. Kroky, v nichž šifrování spravuje Klytic, podrobně popisuje stránka ochrana firmy před CLOUD Act. Smlouva musí toto držení a toto šifrování popisovat.
Klytic nemá kvalifikaci SecNumCloud. Tvrdit opak by bylo nepřesné.
Tato stránka popisuje obecný rámec. Nenahrazuje analýzu vaší smlouvy.
Právní stav k 5. říjnu 2026. Tento text nenahrazuje analýzu smlouvy. Rozhodnutí o odpovídající ochraně EU–USA (EU) 2023/1795 je v platnosti. Je napadeno. Pro SecNumCloud je rozhodující katalog ANSSI.
Ověřeno v říjnu 2026.
E-mail, dokumenty, videokonference, CRM a telefonie, hostované v oblasti odpovídající vaší jurisdikci, například v Evropě nebo na Mauriciu, nebo u vás.
Uvítací nabídka
Zkušební nabídka bez závazků. Náš poradce vám zavolá, aby poznal vaše potřeby a připravil vaše prostředí Klytic.
