Suvereniteetti
”Euroopassa hostattu data” tarkoittaa, että palveluntarjoaja ilmoittaa tallentavansa tiettyä dataa Euroopassa sijaitseviin konesaleihin. Lause on tosi tai epätosi sen mukaan, mitä dataa se kattaa. Se ei kerro, mitä lakia sovelletaan yhtiöön, jonka hallussa data on.
Maininta löytyy lähes kaikista sähköposti- ja tallennustarjouksista. Se rauhoittaa, ja se on sen kaupallinen tehtävä. Johtajalle, tietohallintojohtajalle tai tietosuojavastaavalle se on vain lähtökohta: seloste käsittelytoimista, asiakkaan kyselylomake tai tarjouspyyntö kysyvät, missä data on, mutta myös kuka siihen pääsee käsiksi ja mistä.
Liian laaja lause luo kaksi riskiä. Ensimmäinen on ilmoittaa virheellisesti, ettei mikään data poistu Euroopasta. Toinen on uskoa ratkaistuksi kysymys, joka ei ole ratkaistu: kysymys ylläpitäjästä ja siihen sovellettavasta laista. Sivu yrityksen suojaaminen CLOUD Actilta käsittelee tätä jälkimmäistä kohtaa.
Esitteet sekoittavat neljä eri aluetta.
Nämä erottelut eivät ole juristien yksityiskohtia. Tarjouspyyntöä, joka edellyttää hostingia ”Euroopan unionissa”, ei välttämättä täytä tarjous, joka ilmoittaa ”Euroopan” ja sisältää Sveitsin tai jonkin muun EFTA-maan. Toisaalta sveitsiläinen hosting voi sopia yritykselle, joka on tarkistanut sovellettavan kehyksen. Yleinen virhe on käsitellä sanaa ”Eurooppa” vastauksena, vaikka se edellyttää luetteloa.
Kun luet sanan ”Eurooppa”, pyydä luettelo maista.
Sähköpostipalvelu tuottaa vähintään kuusi dataryhmää.
Monet ”Euroopassa hostatut” tarjoukset puhuvat ryhmästä 1, joskus ryhmästä 2. Ryhmät 3–5 ovat niitä, jotka useimmiten päätyvät muualle: auringon mukana kiertävä tuki (pyyntösi siirtyvät tiimiltä toiselle ympäri maailmaa aikavyöhykkeen mukaan), amerikkalainen tikettijärjestelmä, varmuuskopiointi alihankkijalla, virustorjunta, jonka tunnisteet tai näytteet poistuvat alueelta.
Nämä ryhmät eivät ole toissijaisia. Lokit kertovat, kuka työskentelee kenen kanssa ja mihin aikaan. Postilaatikon kopio, joka annetaan tuelle vianmääritystä varten, sisältää yhtä paljon kuin itse postilaatikko. Varmuuskopio on toinen täydellinen kopio.
Microsoft dokumentoi EU Data Boundaryn piiriin kuuluville palveluille asiakasdatan ja pseudonymisoidun henkilödatan tallennuksen ja käsittelyn EU:ssa ja EFTA-alueella sekä ammattipalvelujen datan tallennuksen levossa, mutta myös siirrot, jotka jatkuvat: alueen ulkopuolisen henkilöstön etäpääsy tiettyjen häiriöiden yhteydessä, eskaloitujen tukipyyntöjen tiettyjen osien tallennus alueen ulkopuolelle, pääkäyttäjän käyttöön ottamat valinnaiset toiminnot, Multi-Geo-asiakkaat rajauksen ulkopuolella. Google dokumentoi data-alueet katetulle sisällölle (sähköposti, kalenteri, tiedostot, asiakirjat, versiosta riippuen). Googlen dokumentaatiossa täsmennetään, ettei luetteloimaton data, kuten tietyt lokit, kuulu tämän aluekäytännön piiriin.
Näillä kahdella ohjelmistotoimittajalla on yksi ansio: ne julkaisevat, mikä on katettu ja mikä ei. Palveluntarjoaja, kansallisuudestaan riippumatta, joka ei kirjoita mitään varmuuskopioistaan, lokeistaan ja tuestaan, ei tarjoa enempää takeita; se vain tarjoaa vähemmän tarkistettavaa.
Katetun luettelon lukeminen vie tunnin. Juuri tuo tunti antaa lauseelle merkityksen.
Palvelualan 40 hengen pk-yritys, jolla on kaksi toimipistettä, vertaa kahta sähköpostitarjousta. Molemmat ilmoittavat ”data hostattu Euroopassa”. Dokumentaatiota lukiessaan tietohallintojohtaja huomaa, että ensimmäinen kattaa postilaatikot ja tiedostot, mutta tuen tikettijärjestelmä on hostattu Euroopan ulkopuolella ja teknikot voivat kirjautua useilta mantereilta. Toinen täsmentää postilaatikoiden, varmuuskopioiden ja lokien maan ja ilmoittaa, että tuki toimii samalta alueelta ja jokaisesta pääsystä jää jälki.
Molemmat lauseet olivat tosia. Vain jälkimmäinen mahdollistaa selosteen täyttämisen ilman arvailua. Lopullinen valinta voidaan edelleen tehdä muilla kriteereillä, kuten toimintojen tai hinnan perusteella, mutta se tehdään tietoisena.
Se ei todista, että ylläpitäjä on eurooppalainen. Amerikkalainen ohjelmistotoimittaja voi hostata Irlannissa.
Se ei todista, ettei siirtoja tapahdu. Euroopan ulkopuolella olevalle vastaanottajalle lähetetty sähköposti poistuu Euroopasta, koska lähettäjä halusi niin. Kolmannen osapuolen työkalussa avattu liite poistuu alueelta. Lopuksi, jos asiakas pyytää varmuuskopiota omaan säilöönsä, kopion sijainti ja tallennusehdot riippuvat asiakkaan valitseman säilön sijainnista ja ominaisuuksista.
Se ei todista, kuka voi lukea. Siirron salaus (TLS) suojaa matkan. Levossa olevan datan salaus suojaa varastetun levyn. Niin kauan kuin ylläpitäjällä on avain palvelun tuottamiseksi, sillä on teknisesti pääsy sisältöön. Tämä on sähköpostipalvelun tavanomainen kehys niin amerikkalaisella kuin eurooppalaisellakin toimijalla. Ratkaisevaa on silloin pääsysääntö, jäljitettävyys ja ylläpitäjään sovellettava laki.
Kehys muuttuu, kun avain on asiakkaan hallussa tai säilytetään hänen tilillään salasanan takana, jota ylläpitäjällä ei ole: ylläpitäjä ei enää voi lukea sisältöä ilman toimenpidettä, jonka asiakas huomaisi. Tämä on Klyticin valinta, jota kuvataan alempana.
Se ei todista irtautumismahdollisuutta. Marseillessa hostatusta datasta, jota et voi viedä ulos, on edelleen vaikea irtautua.
Nämä kysymykset esitetään kirjallisesti yksinkertaisesta syystä: vastaus voidaan ottaa sopimukseen tai selosteeseen.
Sivut GDPR ja Microsoft 365 ja GDPR ja Google Workspace soveltavat näitä kysymyksiä kahteen yleisimpään ohjelmistopakettiin. Pelkän sähköpostipalvelun osalta katso eurooppalaisen yrityssähköpostin valinta.
Maantieteellisesti kyllä. Oikeudellisesti Sveitsi ei kuulu Euroopan unioniin, mutta komissio on tehnyt sitä koskevan tietosuojan riittävyyttä koskevan päätöksen. Jos sopimuksesi tai tarjouspyyntö edellyttää Euroopan unionia, asia on tarkistettava ennen allekirjoitusta.
Ei ilman tarkistusta. Varmuuskopioita, lokeja, tukipyyntöjä ja valinnaisia toimintoja koskevat usein eri säännöt kuin postilaatikoita. Microsoft itse listaa siirtoja, jotka jatkuvat EU:n datarajauksesta huolimatta.
Kysymys on asetettu väärin. Tallennuspaikka on vain yksi tekijä; merkitystä on myös siirtojen perusteella, alihankkijoilla ja tuen pääsyllä. Sijainti ei myöskään kerro mitään ohjelmistotoimittajaan sovellettavasta laista.
Se suojaa matkan ja levyn. Se ei tee datasta lukukelvotonta ylläpitäjälle, jolla on avain. Ratkaisevaa on siis, kenen hallussa avain on, mitä sopimus siitä sanoo ja mihin toimintoihin salausta sovelletaan.
Kun Klytic hostaa palvelun eurooppalaiselle asiakkaalle, data hostataan Euroopassa. Mauritiuksen alueen asiakkaalle ilmoitettu hosting on Mauritius tai Eurooppa. Muille asiakkaille hosting toteutetaan maantieteellisellä alueella, joka on sovellettavan lainkäyttövallan mukainen, edellyttäen että tarvittavat palvelut ovat saatavilla. Asiakas voi myös hostata palvelun omissa tiloissaan. Puhelinpalvelun erillinen palvelin hostataan eurooppalaisessa pilvessä, Mauritiuksella tai sovellettavan lainkäyttövallan mukaisella maantieteellisellä alueella asiakkaan pyynnön tai tarpeen mukaan. Varmuuskopiot ovat saman ylläpitäjän hoidossa: tunneittain sähköpostin, asiakirjojen ja CRM:n osalta, päivittäin puhelinpalvelun osalta, säilytysaika 30 päivää.
Klyticissä salausavain on asiakkaan hallussa tai säilytetään hänen tilillään. Klyticillä ei ole siihen pääsyä: saadakseen sen Klyticin pitäisi tuhota tai vaihtaa tilin salasana, jota sillä ei ole, ja asiakas huomaisi sen. Vaiheet, joissa salausta hallinnoi Klytic (suodatuksen karanteeni, käsittely CRM:ssä, sähköpostit silloin, kun asiakas ei ole ottanut käyttöön omaa avaintaan), kuvataan sivulla yrityksen suojaaminen CLOUD Actilta. Sopimuksessa on kuvattava tämä hallussapito ja tämä salaus. Julkaistut yksityiskohdat ovat sivuilla hosting ja suvereniteetti ja usein kysytyt kysymykset.
Tämä sivu kuvaa yleistä kehystä. Se ei korvaa sopimuksesi analyysia.
Oikeudellinen tilanne 5. lokakuuta 2026. Tämä teksti ei korvaa sopimuksen analyysia. EU:n ja Yhdysvaltojen välinen tietosuojan riittävyyttä koskeva päätös (EU) 2023/1795 on voimassa. Se on riitautettu. SecNumCloudin osalta ANSSI:n luettelo on ratkaiseva.
Tarkistettu lokakuussa 2026.
Sähköposti, dokumentit, videoneuvottelut, CRM ja puhelinpalvelu lainkäyttöaluettasi vastaavalla alueella, esimerkiksi Euroopassa tai Mauritiuksella, tai omissa tiloissasi.
Tervetuliaistarjous
Sitoumukseton kokeilu. Asiantuntijamme soittaa sinulle kartoittaakseen tarpeesi ja valmistellakseen Klytic-ympäristösi.
