Strona główna›Poradniki›Suwerenność
Suwerenność
Suwerenna chmura to usługa, o której mogą Państwo powiedzieć, kto obsługuje dane, który sąd może zażądać ich ujawnienia i w jaki sposób je Państwo odzyskają. Pojęcie to nie ma jednej definicji w RODO (ogólnym rozporządzeniu o ochronie danych). Jest to kryterium zakupowe, które staje się użyteczne w chwili, gdy przełożą je Państwo na weryfikowalne pytania.
„Suwerenny” stało się argumentem sprzedażowym. Pojawia się przy bardzo różnych ofertach: poczcie e-mail uruchomionej w paryskim centrum danych, amerykańskim pakiecie biurowym z europejskim regionem danych, oprogramowaniu open source, infrastrukturze kwalifikowanej przez ANSSI. Wszystkie te oferty mogą mieć zalety. Nie odpowiadają jednak na to samo pytanie.
Dla członka zarządu, dyrektora IT czy inspektora ochrony danych ryzyko polega na zaznaczeniu pola bez wiedzy, co się za nim kryje. Gdy klient zapyta, gdzie są jego dane, gdy audytor przejrzy rejestr czynności przetwarzania albo gdy dostawca zmieni właściciela, etykieta na nic się nie zda. Liczą się wyłącznie pisemne odpowiedzi: kto jest operatorem, jakie prawo ma zastosowanie, jak można odejść.
Ta strona wyjaśnia samo pojęcie. Zestaw kryteriów do postępowania przetargowego znajdą Państwo w artykule definicja, kryteria i ograniczenia. Porównanie operatora europejskiego z amerykańskim producentem oprogramowania omawia strona chmura europejska czy amerykańska.
Firma powierza swoje e-maile, pliki i dokumentację klientów podmiotowi zewnętrznemu. Chce wiedzieć trzy rzeczy.
Jeśli umowa odpowiada na te trzy punkty, etykieta „suwerenny” ma treść. Jeśli ogranicza się do „centrum danych w Paryżu” lub „centrum danych we Frankfurcie”, opisuje miejsce. Miejsce jest przydatne, zwłaszcza dla rejestru czynności przetwarzania. Nie mówi jednak, kogo można zmusić do wydania danych.
W europejskich postępowaniach przetargowych słowo to obejmuje zazwyczaj pięć oczekiwań.
Francuska kwalifikacja SecNumCloud, wydawana przez ANSSI, formalizuje część tych oczekiwań w odniesieniu do konkretnej oferty. Nie kwalifikuje ani przedsiębiorstwa jako całości, ani aplikacji tylko dlatego, że została zainstalowana na kwalifikowanej infrastrukturze. Rozstrzygający jest katalog ANSSI, oferta po ofercie. Dla MŚP kwestia ta pojawia się głównie wtedy, gdy wymaga tego charakter danych lub zleceniodawca.
Nie jest immunitetem. Europejski operator nadal podlega prawu swojego państwa, lokalnym nakazom sądowym i umowom o pomocy prawnej. Suwerenność zmienia ramy prawne. Nie eliminuje wszystkich żądań dostępu. Zmienia się sąd, który może nakazać ujawnienie, stosowana procedura oraz środki odwoławcze przysługujące operatorowi i jego klientowi. Dla europejskiej firmy są to ramy, które znają jej doradcy i w których może działać.
Nie jest też synonimem „open source”. Oprogramowanie mówi, kto napisał program. Suwerenność mówi, kto przechowuje dane i kto ma klucze. Wolne oprogramowanie może być obsługiwane przez spółkę podlegającą obcemu prawu. Oprogramowanie zagranicznego producenta może być obsługiwane przez spółkę europejską, która jako jedyna sprawuje kontrolę nad danymi.
W Klytic dane są w całości w posiadaniu klienta albo Klytic w imieniu klienta, w strefie geograficznej podlegającej właściwej jurysdykcji. Są szyfrowane natywnie lub zgodnie z wyborem klienta. Klucz posiada klient albo jest on przechowywany na jego koncie: Klytic nie ma do niego dostępu. Aby go uzyskać, Klytic musiałby zniszczyć lub zmienić hasło, którego nie posiada, a klient by to zauważył.
Niektóre etapy pozostają szyfrowane przez Klytic, ponieważ usługa musi przetwarzać treść: e-maile skierowane przez filtrowanie do kwarantanny, zaszyfrowane w bazie, oraz e-maile i dokumenty przetwarzane w CRM. Wyjątkiem są jedynie e-maile, gdy klient włączył szyfrowanie własnym kluczem. Dostęp do plików jest ponadto ściśle ograniczony wąskimi uprawnieniami, a audyt połączeń alarmuje w razie próby nadużycia. Szczegóły znajdą Państwo na stronie ochrona firmy przed CLOUD Act. Umowa powinna opisywać to posiadanie danych, to szyfrowanie i te środki ostrożności.
Nie jest wreszcie obietnicą funkcji równoważnych Microsoft 365 czy Google Workspace. Można mieć europejskiego operatora i mniej rozbudowany pakiet biurowy. Można mieć bardzo rozbudowany pakiet biurowy i amerykańskiego operatora. To dwie odrębne decyzje.
Rozpatrywanie ich osobno pozwala uniknąć dwóch symetrycznych błędów: porzucenia narzędzia, od którego zależy działalność, z powodów pryncypialnych, albo pominięcia kwestii prawnej dlatego, że narzędzie podoba się zespołom. Próg właściwy dla Microsoft 365 omówiono w artykule Microsoft 365 a rozwiązanie suwerenne.
Przypadek hipotetyczny. Biuro rachunkowe zatrudniające 25 osób otrzymuje od klienta przemysłowego proste pytanie: „Gdzie są nasze dokumenty księgowe i kto ma do nich dostęp?” Biuro korzysta z poczty e-mail i usługi udostępniania plików, których folder reklamowy głosi „hostowane we Francji”.
Odpowiadając na trzy pytania, wspólnik odkrywa, że spółka wystawiająca faktury jest francuska, ale eksploatację i wsparcie zapewnia spółka zależna zagranicznej grupy, a kopie zapasowe powierzono podwykonawcy, którego umowa nie wskazuje państwa. Folder reklamowy nie był nieprawdziwy. Nie odpowiadał jednak na pytanie klienta.
Biuro ma dwie rozsądne możliwości: uzyskać od dostawcy pisemne odpowiedzi i dołączyć je do dokumentacji albo wybrać operatora, którego odpowiedzi mu odpowiadają. W obu przypadkach odpowiada klientowi faktami, a nie przymiotnikiem.
Proszę zażądać czterech dokumentów, a nie folderu reklamowego.
Jeśli dostawca nie może przedstawić tych informacji na piśmie, to już samo w sobie jest informacją. Następnie proszę porównać odpowiedzi z zapisami w rejestrze czynności przetwarzania: właśnie tam ujawniają się rozbieżności.
Ramy prawne przekazywania danych poza Unię Europejską omawiają strony poświęcone CLOUD Act oraz danym hostowanym w Europie. Listę kryteriów zakupowych zawiera artykuł definicja, kryteria i ograniczenia.
Nie. RODO określa role, zasady przekazywania danych poza Unię i prawa osób, których dane dotyczą. Nie definiuje słowa „suwerenny” i nie nakazuje wyboru europejskiego operatora. Wymaga natomiast wiedzy, dokąd trafiają dane i na jakiej podstawie, co pokrywa się z dużą częścią pytań z tej strony.
Niekoniecznie. Lokalizacja jest jedną z oczekiwanych odpowiedzi, ale nie jedyną. Trzeba też wiedzieć, która spółka jest operatorem usługi, jakie prawo ma do niej zastosowanie, kto ma dostęp do danych i jak je odzyskać.
Tak, gdy wymaga tego charakter danych lub zleceniodawca, a nazwa oferty musi figurować w katalogu ANSSI. W przypadku poczty e-mail i udostępniania plików w MŚP pytania o operatora, dostęp i odwracalność są zazwyczaj bardziej rozstrzygające.
Nie. Open source pozwala czytać kod i ułatwia zmianę dostawcy hostingu. Nie mówi jednak, kto przechowuje dane ani kto ma klucze.
Nie. Europejski operator nadal podlega prawu swojego państwa i nakazom jego sądów. Różnica dotyczy sądu, procedury i środków odwoławczych.
Operatorem Klytic jest Dedicace Software, spółka francuska. Usługi opierają się na sprawdzonych rozwiązaniach lub rozwiązaniach open source oraz na modułach i usługach opracowanych przez Klytic. Separację tych usług zapewniają i nadzorują serwery Klytic opracowane w tym celu.
Hosting jest możliwy w każdej strefie geograficznej odpowiadającej właściwej jurysdykcji, z zastrzeżeniem dostępności wymaganych usług, na przykład w Europie lub na Mauritiusie, albo na serwerach klienta. Szczegóły znajdą Państwo na stronie hosting i suwerenność.
Klytic nie jest ofertą z kwalifikacją SecNumCloud. Jak każdy francuski operator podlega prawu francuskiemu.
Ta strona opisuje ogólne ramy. Nie zastępuje analizy Państwa umowy.
Stan prawny na 5 października 2026 r. Ten tekst nie zastępuje analizy umowy. Decyzja stwierdzająca odpowiedni stopień ochrony UE–USA (UE) 2023/1795 obowiązuje. Jest kwestionowana. W sprawie SecNumCloud rozstrzygający jest katalog ANSSI.
Sprawdzono w październiku 2026.
Poczta, dokumenty, wideokonferencje, CRM i telefonia, hostowane w strefie odpowiadającej Państwa jurysdykcji, na przykład w Europie lub na Mauritiusie, albo w Państwa siedzibie.
Oferta powitalna
Oferta próbna bez zobowiązań. Doradca oddzwoni do Państwa, aby poznać Państwa potrzeby i przygotować przestrzeń Klytic.
