Suverenost
Google Workspace može se koristiti u okviru GDPR-a (Opća uredba o zaštiti podataka). Kao i kod Microsoft 365, usklađenost se provjerava u ugovoru, u stvarno obuhvaćenoj regiji i u sposobnosti odgovaranja ispitanicima. Proizvođač softvera je američko društvo. Ta rečenica otvara provjeru. Ne zatvara je.
Za sadržaj koji Vaša organizacija smješta u Gmail, Drive, Docs i Kalendar Vi ste obično voditelj obrade, a Google izvršitelj obrade. Google usto opisuje obrade za koje je sam voditelj, povezane s računom, sigurnošću i funkcioniranjem usluge. Google Workspace Data Processing Amendment i prilozi o prijenosu dokumenti su koje treba arhivirati uz evidenciju.
Zašto. Uloga određuje tko obavještava ispitanike, tko im odgovara i tko bira razdoblja čuvanja. Za sadržaj to ste Vi; Google djeluje prema Vašim uputama, u okviru članka 28 GDPR-a.
Kako provjeriti. Provjerite obuhvaća li dodatak aktivirane usluge, uključujući one dodane nakon početne narudžbe. Komunikacijska agencija s 30 zaposlenika koja je počela s Gmailom i Driveom, a zatim otvorila Chat, Sites i obrasce, često je dokumentirala samo prve dvije.
U evidenciji. Jedan redak po usluzi, s ulogom Googlea, datumom aktivacije i arhiviranom verzijom dodatka.
Česta pogreška. Arhivirati ugovor potpisan pri otvaranju računa i više ga ne čitati.
Ovisno o izdanju, administrator može odabrati pohranu obuhvaćenih podataka u Sjedinjenim Državama ili u Europi te ograničiti dio obrade na tu regiju. Google objavljuje popis: sadržaj obuhvaćen u mirovanju za Gmail, Kalendar, Drive, Chat, Docs, Sheets, Slides i druge osnovne usluge, obuhvaćena obrada za dio njih. Dokumentacija pojašnjava da se politika regija ne primjenjuje na podatke koje ne navodi, osobito na određene zapisnike ili sadržaj u predmemoriji.
Praktične posljedice.
Zašto. „Regija Europa” opisuje navedeni opseg, a ne cijelu uslugu. Ono što nije navedeno, Vaša evidencija mora preuzeti.
Kako provjeriti. Zatražite od svojeg administratora snimku zaslona stvarne postavke, a ne prodajnu brošuru. Usporedite je s izdanjem koje je ugovorila svaka skupina korisnika. Industrijsko MSP s dvije lokacije, od kojih jedna ima skromnije izdanje, može imati pravilo regije koje se primjenjuje samo na polovicu računa.
U evidenciji. Izdanje, odabrana regija, obuhvaćene organizacijske jedinice, isključene kategorije (zapisnici, predmemorija), datum provjere.
Česta pogreška. Napisati „podaci pohranjeni u Europi” bez spominjanja isključenja koja je objavio Google.
Access Management omogućuje ograničavanje Googleova osoblja koje postupa s određenim podacima podrške: primjerice osoblja smještenog u EU-u ili onog koje radi preko virtualnog ureda smještenog u EU-u. Ta je funkcija vezana uz određena izdanja i opciju Assured Controls. Nije zadana postavka svih ponuda Business.
Zašto. Tehničar koji pregledava podatke radi rješavanja incidenta obrađuje te podatke. Mjesto pohrane ne govori ništa o mjestu tog pristupa.
Kako provjeriti. Ako Vaša dokumentacija o usklađenosti pretpostavlja „podršku isključivo iz Unije”, provjerite je li opcija kupljena i aktivna te sačuvajte dokaz o tome.
Šifriranje na strani klijenta, kada je dostupno za Vaše izdanje, ostavlja Vam kontrolu nad ključevima za određeni opseg sadržaja. Ono mijenja ono što Google može čitati. Mijenja i pretraživanje, zaštitu od zlouporabe i određene funkcije suradnje. Treba ga testirati prije najave poslovnim odjelima: pilot na jednom timu, s popisom onoga što više ne radi, vrijedi više od opće obavijesti.
U evidenciji. Aktivne opcije, njihov opseg i ono što ostaje dostupno podršci.
Česta pogreška. Pretpostaviti da je opcija uključena u obnovu ugovora zato što se spominjala u pretprodaji.
Google je američko društvo. Čim pristup ili kopija napusti Uniju, prijenos mora imati pravnu osnovu. Na dan 5. listopada 2026. odluka o primjerenosti (EU) 2023/1795 ostaje na snazi za certificirane američke organizacije, iako se osporava. Prema komentaru odvjetničkog društva WilmerHale, Opći sud Europske unije odbio je tužbu za poništenje 3. rujna 2025., a 31. listopada 2025. podnesena je žalba Sudu. Odvjetničko društvo DAC Beachcroft u naslovu svojeg komentara govori o stabilnosti za sada i neizvjesnosti nakon toga.
Standardne ugovorne klauzule ostaju drugi uobičajeni alat. Prethodni slučaj iz 2020. pokazuje zašto ih treba poznavati: 16. srpnja 2020., u presudi C-311/18 (poznatoj kao Schrems II), Sud je poništio Privacy Shield (odluka 2016/1250), osobito zbog opsega američkih programa nadzora i nepostojanja djelotvornog pravnog lijeka. Standardne ugovorne klauzule ostale su valjane, uz procjenu od slučaja do slučaja.
Pojedinosti o CLOUD Actu nalaze se na stranici zaštita tvrtke od CLOUD Acta: europska regija ne izuzima Google iz američkog prava ako Google drži ili kontrolira podatke. Članak 48 GDPR-a pak predviđa da se odluka suda ili tijela treće zemlje kojom se zahtijeva otkrivanje osobnih podataka može priznati ili izvršiti samo ako se temelji na međunarodnom sporazumu, primjerice ugovoru o uzajamnoj pravnoj pomoći, koji je na snazi između te zemlje i Unije ili države članice. Američki pružatelj usluge koji posluje u Europi tako se može naći između dvaju pravila. Članak 48 opisuje taj sukob; ne rješava ga.
U evidenciji. Alat koji koristi Vaš ugovor i rezervni plan ako odluka o primjerenosti otpadne.
Česta pogreška. Misliti da regija podataka (točka 2) odgovara na pitanje prijenosa. Ona govori gdje su pohranjeni određeni podaci, a ne tko im može pristupiti ni prema kojem pravu.
Izvoz putem alata za preuzimanje podataka (Takeout) i administratorskih alata, pretraživanje u Vaultu ako ga imate, rok za odgovor od mjesec dana koji je obveza voditelja obrade.
Kako provjeriti. Imenujte internu osobu koja zna izvesti pretinac Gmaila, Drive i Kalendar te neka provede test na testnom računu. Provjerite grupne pretince i datoteke čiji je vlasnik napustio tvrtku: upravo zahtjevi u vezi s njima kasne.
U evidenciji. Postupak, odgovorna osoba, njezin zamjenik i alat koji se koristi ovisno o izdanju.
Česta pogreška. Izbrisati račun zaposlenika koji je otišao bez rješavanja sudbine njegovih dijeljenih datoteka, a zatim primiti zahtjev koji se na njih odnosi.
Poruke i datoteke prenose se razmjerno dobro (IMAP, izvoz iz Drivea). Povijest Google Chata, Sites, Apps Script, obrasci povezani s automatizacijama i administratorska pravila ne prenose se kakvi jesu u drugi paket. Stranica migracija s Google Workspacea navodi te razlike.
Zašto. Izlazak je dio usklađenosti: o njemu ovise prenosivost, istek razdoblja čuvanja i vraćanje Vaših podataka ako ugovor prestane.
U evidenciji. Popis sadržaja koji se ne izvozi kakav jest i što biste s njim učinili.
Česta pogreška. Otkriti ključne automatizacije u mjesecu raskida ugovora.
Ne. Uređuje uloge, prijenose i prava ispitanika. Ne zabranjuje proizvođača softvera zbog njegove nacionalnosti; zahtijeva da opišete što radite i na kojoj osnovi.
Ne. Regija obuhvaća podatke koje Google navodi, ovisno o Vašem izdanju. Određeni zapisnici i sadržaj u predmemoriji nisu obuhvaćeni, a regija ne mijenja nacionalnost proizvođača softvera.
Mijenja ono što Google može čitati unutar šifriranog opsega. Ne obuhvaća sve i mijenja pretraživanje i određene funkcije suradnje. Testirajte ga prije nego što ga proširite na sve.
Evidencija već mora predvidjeti rezervno rješenje, obično standardne ugovorne klauzule uz procjenu od slučaja do slučaja. Ako tu procjenu pripremite unaprijed, nećete je morati sastavljati u žurbi.
Kada timovi žive u Docsu i Driveu, kada regija podataka Vašeg izdanja obuhvaća sadržaj koji Vam je važan i kada evidencija preuzima zapisnike i preostale pristupe. GDPR ne obvezuje na napuštanje Googlea. Obvezuje na opisivanje onoga što radite.
Razlozi za ostanak u tom su slučaju čvrsti. Istodobno uređivanje u Docsu i Sheetsu, pretraživanje cijelog Drivea i navike timova imaju vrijednost koju treba izmjeriti prije odlaska. Loše pripremljena migracija stvara vlastite rizike za podatke. Ugovaranje izdanja koje uključuje regije i kontrole podrške može biti razmjernije od promjene paketa. Procjene su detaljno opisane u članku ostati u Google Workspaceu ili ga napustiti.
Kada želite da datoteke i e-poštu drži europsko ili švicarsko društvo ili kada ugovoreno izdanje ne uključuje kontrole regije i podrške koje Vaša analiza zahtijeva. Ako je razlika između trenutačnog izdanja i onoga koje bi pokrilo potrebu jednako zahtjevna kao promjena, pitanje vrijedi postaviti.
Promjenom operatera usluge držatelj podataka postaje podložan pravu vlastite zemlje, pod uvjetom da njegovi izvršitelji obrade ponovno ne uvedu američkog pružatelja usluge. To ne oslobađa ni ugovora o obradi, ni evidencije, ni postupka za prava ispitanika. Infomaniak, Nextcloud kojim upravlja europski pružatelj hostinga, OVHcloud ili Klytic odgovaraju na različite potrebe. Vodič europske alternative za Microsoft 365 i stranica alternative za Google Workspace ih razlikuju. Iste provjere za Microsoft nalaze se u članku GDPR i Microsoft 365.
Klyticom upravlja Dedicace Software, francusko društvo. Obuhvaća e-poštu, dokumente u zasebnoj instanci Nextclouda za svakog klijenta (dijeljenje, uređivanje na mreži samostalno ili u suradnji, povijest verzija), videokonferencije, CRM i telefoniju, koji se mogu kupiti zasebno. Nextcloud izdaje Nextcloud GmbH (Njemačka); usluga e-pošte temelji se na Zimbri, koju izdaje Synacor (Sjedinjene Države), a kojom upravlja Klytic. Hosting se obavlja u svakoj geografskoj zoni koja odgovara mjerodavnoj jurisdikciji, pod uvjetom dostupnosti potrebnih usluga, primjerice u Europi ili na Mauricijusu, ili na poslužiteljima klijenta. Podaci ostaju pod kontrolom klijenta ili ih Klytic čuva za njegov račun. Dokumenti su šifrirani na izvoru ključem koji Klytic ne može pročitati; poruke e-pošte šifrirane su u mirovanju ključevima kojima upravlja Klytic, a klijent ih može šifrirati s kraja na kraj (S/MIME ili GPG) zadržavajući svoj privatni ključ. Pojedinosti se nalaze na stranici zaštita tvrtke od CLOUD Acta. Ugovor mora opisati to držanje i to šifriranje. Uređivanje na mreži, samostalno ili u suradnji, obavlja se u instanci; to nije Googleov uređivač, a Klytic ne reproducira na isti način njegovo pretraživanje cjelokupnog sadržaja. Nije kvalificiran prema SecNumCloudu.
Ova stranica opisuje opći okvir. Ona ne predstavlja pravni savjet.
Pravno stanje na dan 5. listopada 2026. Ovaj tekst ne zamjenjuje pregled ugovora. Odluka o primjerenosti EU–SAD (EU) 2023/1795 na snazi je. Predmet je osporavanja. Za SecNumCloud mjerodavan je katalog ANSSI-ja.
Pristupljeno u listopadu 2026.
E-pošta, dokumenti, videokonferencije, CRM i telefonija, smješteni u zoni koja odgovara Vašoj jurisdikciji, primjerice u Europi ili na Mauricijusu, ili u Vašim prostorima.
Ponuda dobrodošlice
Probna ponuda bez obveze. Savjetnik će Vas nazvati kako bi razumio Vaše potrebe i pripremio Vaš Klytic prostor.
