Strona główna›Poradniki›Suwerenność
Suwerenność
„Dane hostowane w Europie” oznaczają, że dostawca deklaruje przechowywanie określonych danych w centrach danych położonych w Europie. Zdanie jest prawdziwe lub fałszywe w zależności od listy danych, które obejmuje. Nie mówi, jakie prawo ma zastosowanie do spółki, która je przechowuje.
Ta informacja pojawia się niemal we wszystkich ofertach poczty e-mail i przechowywania danych. Uspokaja i taka jest jej rola handlowa. Dla członka zarządu, dyrektora IT czy inspektora ochrony danych jest jedynie punktem wyjścia: rejestr czynności przetwarzania, kwestionariusz klienta czy postępowanie przetargowe będą wymagać informacji, gdzie są dane, ale także kto ma do nich dostęp i skąd.
Zbyt ogólne zdanie stwarza dwa ryzyka. Pierwsze to błędne oświadczenie, że żadne dane nie opuszczają Europy. Drugie to przekonanie, że rozwiązano kwestię, która rozwiązana nie jest: kwestię operatora i prawa, któremu on podlega. Ten drugi punkt omawia strona ochrona firmy przed CLOUD Act.
Foldery reklamowe mieszają cztery obszary.
Te rozróżnienia nie są prawniczymi szczegółami. Przetarg wymagający hostingu „w Unii Europejskiej” niekoniecznie zostanie spełniony przez ofertę, która deklaruje „Europę” i obejmuje Szwajcarię lub inne państwo EFTA. I odwrotnie: hosting szwajcarski może odpowiadać firmie, która sprawdziła właściwe ramy prawne. Częstym błędem jest traktowanie słowa „Europa” jako odpowiedzi, podczas gdy wymaga ono listy.
Gdy czytają Państwo „Europa”, proszę zażądać listy państw.
Poczta e-mail generuje co najmniej sześć kategorii danych.
Wiele ofert „hostowanych w Europie” dotyczy kategorii 1, czasem 2. To kategorie 3–5 najczęściej trafiają gdzie indziej: wsparcie w modelu follow the sun (Państwa zgłoszenia przechodzą od jednego zespołu do drugiego na całym świecie w zależności od strefy czasowej), amerykański system zgłoszeń, kopie zapasowe u podwykonawcy, program antywirusowy, którego sygnatury lub próbki opuszczają obszar.
Te kategorie nie są drugorzędne. Dzienniki mówią, kto z kim pracuje i o której godzinie. Kopia skrzynki przekazana wsparciu do diagnostyki zawiera tyle samo co sama skrzynka. Kopia zapasowa jest drugą pełną kopią.
Microsoft dokumentuje, w odniesieniu do usług objętych EU Data Boundary, przechowywanie i przetwarzanie w UE i EFTA danych klienta oraz spseudonimizowanych danych osobowych, a także przechowywanie w spoczynku danych usług profesjonalnych, przy czym niektóre przekazania nadal mają miejsce: zdalny dostęp personelu spoza obszaru w przypadku niektórych incydentów, przechowywanie poza obszarem niektórych elementów eskalowanych zgłoszeń, funkcje opcjonalne włączane przez administratora, klienci Multi-Geo poza zakresem. Google dokumentuje regiony danych dla objętych nimi treści (poczta, kalendarz, pliki, dokumenty, w zależności od edycji). Dokumentacja Google precyzuje, że dane niewymienione na liście, takie jak niektóre dzienniki, nie są objęte tą polityką regionów.
Ci dwaj producenci oprogramowania mają jedną zaletę: publikują, co jest objęte, a co nie. Dostawca, niezależnie od narodowości, który nic nie pisze o swoich kopiach zapasowych, dziennikach i wsparciu, nie oferuje większych gwarancji; oferuje jedynie mniej do sprawdzenia.
Lektura listy objętych danych zajmuje godzinę. To właśnie ta godzina nadaje zdaniu sens.
Usługowa firma z sektora MŚP zatrudniająca 40 osób, z dwoma oddziałami, porównuje dwie oferty poczty e-mail. Obie deklarują „dane hostowane w Europie”. Czytając dokumentację, dyrektor IT stwierdza, że pierwsza obejmuje skrzynki i pliki, ale system zgłoszeń wsparcia jest hostowany poza Europą, a technicy mogą łączyć się z kilku kontynentów. Druga precyzuje państwo, w którym znajdują się skrzynki, kopie zapasowe i dzienniki, oraz wskazuje, że wsparcie działa z tego samego obszaru, a każdy dostęp pozostawia ślad.
Oba zdania były prawdziwe. Tylko drugie pozwala wypełnić rejestr bez przybliżeń. Ostateczny wybór może jeszcze zależeć od innych kryteriów, takich jak funkcje czy cena, ale zapada ze świadomością sytuacji.
Nie dowodzi, że operator jest europejski. Amerykański producent oprogramowania może hostować dane w Irlandii.
Nie dowodzi braku przekazywania danych. E-mail wysłany do korespondenta spoza Europy opuszcza Europę, ponieważ tak chciał nadawca. Załącznik otwarty w narzędziu zewnętrznym opuszcza obszar. Wreszcie, jeśli klient zażąda kopii zapasowej do własnego sejfu danych, lokalizacja i warunki przechowywania tej kopii zależą od miejsca i cech sejfu wybranego przez klienta.
Nie dowodzi, kto może czytać. Szyfrowanie transmisji (TLS) chroni trasę. Szyfrowanie w spoczynku chroni skradziony dysk. Dopóki operator ma klucz potrzebny do świadczenia usługi, może technicznie uzyskać dostęp do treści. Tak wyglądają zwykłe ramy działania poczty e-mail, zarówno u dostawcy amerykańskiego, jak i europejskiego. Kluczowe są wtedy zasady dostępu, ślad i prawo, któremu podlega operator.
Ramy się zmieniają, gdy klucz posiada klient albo jest on przechowywany na jego koncie za hasłem, którego operator nie zna: operator nie może już czytać treści bez działania, które klient by zauważył. Takiego wyboru dokonał Klytic, co opisano poniżej.
Nie dowodzi odwracalności. Dane hostowane w Marsylii, których nie mogą Państwo wyeksportować, nadal trudno opuścić.
Te pytania zadaje się na piśmie z prostego powodu: odpowiedź można przenieść do umowy lub rejestru.
Strony RODO i Microsoft 365 oraz RODO i Google Workspace stosują te pytania do dwóch najpopularniejszych pakietów. W przypadku samej poczty zob. wybór europejskiej poczty firmowej.
Geograficznie tak. Prawnie Szwajcaria nie należy do Unii Europejskiej, ale Komisja przyjęła wobec niej decyzję stwierdzającą odpowiedni stopień ochrony. Jeśli Państwa umowa lub przetarg wymaga Unii Europejskiej, należy to sprawdzić przed podpisaniem.
Nie bez sprawdzenia. Kopie zapasowe, dzienniki, zgłoszenia do wsparcia i funkcje opcjonalne często podlegają innym zasadom niż skrzynki. Microsoft sam wymienia przekazania danych, które trwają mimo jego europejskiej granicy danych.
Pytanie jest źle postawione. Miejsce przechowywania to tylko jeden element; liczą się także podstawa przekazywania danych, podwykonawcy i dostęp wsparcia. Miejsce nie mówi ponadto nic o prawie, któremu podlega producent.
Chroni trasę i dysk. Nie sprawia, że dane są nieczytelne dla operatora, który ma klucz. Liczy się więc to, kto ma klucz, co mówi o tym umowa i do jakich funkcji ma zastosowanie szyfrowanie.
Gdy usługa jest hostowana przez Klytic dla klienta europejskiego, dane są hostowane w Europie. Dla klienta ze strefy Mauritius deklarowanym miejscem hostingu jest Mauritius lub Europa. Dla pozostałych klientów hosting jest zapewniany w strefie geograficznej zgodnej z właściwą jurysdykcją, z zastrzeżeniem dostępności wymaganych usług. Klient może też hostować usługę u siebie. W przypadku telefonii dedykowany serwer jest hostowany w chmurze europejskiej, na Mauritiusie lub w strefie geograficznej zgodnej z właściwą jurysdykcją, w zależności od żądania lub potrzeb klienta. Kopie zapasowe wykonuje ten sam operator: co godzinę dla poczty e-mail, dokumentów i CRM, codziennie dla telefonii, z okresem przechowywania 30 dni.
W Klytic klucz szyfrowania posiada klient albo jest on przechowywany na jego koncie. Klytic nie ma do niego dostępu: aby go uzyskać, musiałby zniszczyć lub zmienić hasło do konta, którego nie posiada, a klient by to zauważył. Etapy, na których szyfrowaniem zarządza Klytic (kwarantanna filtrowania, przetwarzanie w CRM, e-maile, gdy klient nie włączył własnego klucza), opisano na stronie ochrona firmy przed CLOUD Act. Umowa powinna opisywać to posiadanie danych i to szyfrowanie. Opublikowane szczegóły znajdują się na stronach hosting i suwerenność oraz najczęściej zadawane pytania.
Ta strona opisuje ogólne ramy. Nie zastępuje analizy Państwa umowy.
Stan prawny na 5 października 2026 r. Ten tekst nie zastępuje analizy umowy. Decyzja stwierdzająca odpowiedni stopień ochrony UE–USA (UE) 2023/1795 obowiązuje. Jest kwestionowana. W sprawie SecNumCloud rozstrzygający jest katalog ANSSI.
Sprawdzono w październiku 2026.
Poczta, dokumenty, wideokonferencje, CRM i telefonia, hostowane w strefie odpowiadającej Państwa jurysdykcji, na przykład w Europie lub na Mauritiusie, albo w Państwa siedzibie.
Oferta powitalna
Oferta próbna bez zobowiązań. Doradca oddzwoni do Państwa, aby poznać Państwa potrzeby i przygotować przestrzeń Klytic.
