Suverenost
Google Workspace je mogoče uporabljati v okviru GDPR (Splošna uredba o varstvu podatkov). Kot pri Microsoft 365 se skladnost preverja v pogodbi, v dejansko zajeti regiji in v zmožnosti odgovarjanja posameznikom. Proizvajalec programske opreme je ameriška družba. Ta stavek preverjanje začne. Ne zaključi ga.
Za vsebino, ki jo vaša organizacija shrani v Gmail, Drive, Docs in Koledar, ste praviloma upravljavec vi, Google pa obdelovalec. Google poleg tega opisuje obdelave, za katere je upravljavec sam, povezane z računom, varnostjo in delovanjem storitve. Google Workspace Data Processing Amendment in priloge o prenosih so dokumenti, ki jih je treba arhivirati skupaj z evidenco.
Zakaj. Vloga določa, kdo obvešča posameznike, kdo jim odgovarja in kdo izbira obdobja hrambe. Za vsebino ste to vi; Google ravna po vaših navodilih, v okviru člena 28 GDPR.
Kako preveriti. Preverite, ali dodatek zajema vklopljene storitve, vključno s tistimi, dodanimi po prvotnem naročilu. Komunikacijska agencija s 30 zaposlenimi, ki je začela z Gmailom in Drive, nato pa odprla Chat, Sites in obrazce, je pogosto dokumentirala samo prvi dve.
V evidenco. Ena vrstica na storitev, z vlogo Googla, datumom vklopa in arhivirano različico dodatka.
Pogosta napaka. Arhivirati pogodbo, podpisano ob odprtju računa, in je nikoli več ne prebrati.
Glede na izdajo lahko skrbnik izbere, da zajete podatke shranjuje v Združenih državah ali v Evropi, in del obdelave omeji na to regijo. Google objavlja seznam: zajeta vsebina v mirovanju za Gmail, Koledar, Drive, Chat, Docs, Sheets, Slides in druge osrednje storitve, zajeta obdelava za del teh storitev. Dokumentacija pojasnjuje, da se politika regij ne uporablja za podatke, ki jih ne navaja, zlasti za nekatere dnevnike ali vsebino v predpomnilniku.
Praktične posledice.
Zakaj. „Regija Evropa“ opisuje navedeni obseg, ne celotne storitve. Kar ni navedeno, mora prevzeti vaša evidenca.
Kako preveriti. Od skrbnika zahtevajte posnetek zaslona dejanske nastavitve, ne prodajne brošure. Primerjajte ga z izdajo, ki jo ima naročeno vsaka skupina uporabnikov. Industrijsko MSP z dvema lokacijama, od katerih ima ena skromnejšo izdajo, ima lahko pravilo regije, ki velja samo za polovico računov.
V evidenco. Izdaja, izbrana regija, zajete organizacijske enote, izključene kategorije (dnevniki, predpomnilnik), datum preverjanja.
Pogosta napaka. Zapisati „podatki, shranjeni v Evropi“, ne da bi omenili izključitve, ki jih objavlja Google.
Access Management omogoča omejitev Googlovega osebja, ki ukrepa na nekaterih podatkih podpore: na primer osebje v EU ali osebje, ki dela prek virtualne pisarne v EU. Ta funkcija je vezana na določene izdaje in možnost Assured Controls. Ni privzeta nastavitev vseh ponudb Business.
Zakaj. Tehnik, ki pregleduje podatke, da bi razrešil incident, te podatke obdeluje. Lokacija shranjevanja ne pove ničesar o kraju tega dostopa.
Kako preveriti. Če vaša dokumentacija o skladnosti predpostavlja „podpora samo iz Unije“, preverite, ali je možnost kupljena in aktivna, ter shranite dokazilo o tem.
Šifriranje na strani odjemalca, kadar je na voljo za vašo izdajo, vam pusti nadzor nad ključi za del vsebine. Spremeni, kaj lahko Google bere. Spremeni pa tudi iskanje, zaščito pred zlorabami in nekatere funkcije sodelovanja. Preden ga napoveste poslovnim oddelkom, ga preizkusite: pilotni projekt z eno ekipo, s seznamom tistega, kar ne deluje več, je vreden več kot splošno obvestilo.
V evidenco. Aktivne možnosti, njihov obseg in kar ostaja dostopno podpori.
Pogosta napaka. Domnevati, da je bila možnost vključena v podaljšanje, ker je bila omenjena v predprodajni fazi.
Google je ameriška družba. Ko dostop ali kopija zapusti Unijo, mora prenos imeti pravno podlago. Na dan 5. oktobra 2026 sklep o ustreznosti (EU) 2023/1795 za certificirane ameriške organizacije še velja, čeprav je izpodbijan. Po komentarju odvetniške pisarne WilmerHale je Splošno sodišče Evropske unije 3. septembra 2025 zavrnilo ničnostno tožbo, 31. oktobra 2025 pa je bila na Sodišče vložena pritožba. Odvetniška pisarna DAC Beachcroft v naslovu svojega komentarja govori o stabilnosti zaenkrat in negotovosti v nadaljevanju.
Standardne pogodbene klavzule ostajajo drugi običajni instrument. Precedens iz leta 2020 kaže, zakaj jih je treba poznati: Sodišče je s sodbo C-311/18 (imenovano Schrems II) z dne 16. julija 2020 razveljavilo Privacy Shield (sklep 2016/1250), med drugim zaradi obsega ameriških programov nadzora in odsotnosti učinkovitega pravnega sredstva. Standardne pogodbene klavzule so ostale veljavne, s presojo za vsak primer posebej.
Podrobnosti o CLOUD Act so na strani zaščita podjetja pred CLOUD Act: evropska regija Googla ne izvzame iz ameriškega prava, če Google podatke hrani ali nadzoruje. Člen 48 GDPR pa določa, da se odločba sodišča ali organa tretje države, ki zahteva razkritje osebnih podatkov, lahko prizna ali izvrši le, če temelji na mednarodnem sporazumu, na primer pogodbi o medsebojni pravni pomoči, ki velja med to državo in Unijo ali državo članico. Ameriški ponudnik, ki deluje v Evropi, se tako lahko znajde med dvema praviloma. Člen 48 to kolizijo opisuje; ne razreši je.
V evidenco. Instrument, ki ga uporablja vaša pogodba, in nadomestni načrt, če bi sklep o ustreznosti padel.
Pogosta napaka. Misliti, da podatkovna regija (točka 2) odgovori na vprašanje prenosa. Pove, kje so shranjeni nekateri podatki, ne pa, kdo lahko dostopa do njih in po katerem pravu.
Izvoz prek orodja za prevzem podatkov (Takeout) in skrbniških orodij, iskanje v Vault, če ga imate, enomesečni rok za odgovor, ki je obveznost upravljavca.
Kako preveriti. Določite notranjo osebo, ki zna izvleči poštni predal Gmail, Drive in Koledar, in naj to preizkusi na testnem računu. Preverite skupinske poštne predale in datoteke, katerih lastnik je zapustil podjetje: prav te zahteve zamujajo.
V evidenco. Postopek, odgovorna oseba, njen namestnik in orodje, ki se uporablja glede na izdajo.
Pogosta napaka. Izbrisati račun zaposlenega, ki je odšel, ne da bi uredili usodo njegovih deljenih datotek, nato pa prejeti zahtevo, ki se nanje nanaša.
Sporočila in datoteke se prenesejo razmeroma dobro (IMAP, izvoz Drive). Zgodovine Google Chat, Sites, Apps Script, obrazci, povezani z avtomatizacijami, in skrbniška pravila se v drug paket ne prenesejo takšni, kot so. Stran selitev z Google Workspace te razlike našteva.
Zakaj. Izstop je del skladnosti: od njega so odvisni prenosljivost, konec obdobij hrambe in pridobitev vaših podatkov, če se pogodba konča.
V evidenco. Popis vsebin, ki se ne izvozijo takšne, kot so, in kaj bi z njimi storili.
Pogosta napaka. Odkriti kritične avtomatizacije v mesecu odpovedi.
Ne. Ureja vloge, prenose in pravice posameznikov. Proizvajalca programske opreme ne prepoveduje zaradi njegovega državljanstva; zahteva, da opišete, kaj počnete in na kateri podlagi.
Ne. Regija zajema podatke, ki jih Google navaja, odvisno od vaše izdaje. Nekateri dnevniki in vsebina v predpomnilniku niso zajeti, regija pa ne spremeni državljanstva proizvajalca.
Spremeni, kaj lahko Google bere v šifriranem obsegu. Ne zajema vsega ter spremeni iskanje in nekatere funkcije sodelovanja. Preizkusite ga, preden ga uvedete za vse.
Evidenca mora nadomestno rešitev že predvideti, praviloma standardne pogodbene klavzule s presojo za vsak primer posebej. Če to presojo pripravite vnaprej, se izognete pisanju v naglici.
Kadar ekipe živijo v Docs in Drive, kadar podatkovna regija vaše izdaje zajema vsebino, ki vam je pomembna, in kadar evidenca prevzame dnevnike in preostale dostope. GDPR ne zahteva, da zapustite Google. Zahteva, da opišete, kaj počnete.
Razlogi za ostanek so v tem primeru trdni. Sočasno urejanje v Docs in Sheets, iskanje po celotnem Drive in navade ekip imajo vrednost, ki jo je treba izmeriti pred odhodom. Slabo pripravljena selitev ustvarja lastna tveganja za podatke. Naročnina na izdajo, ki vključuje regije in nadzor podpore, je lahko bolj sorazmerna kot zamenjava paketa. Tehtanja so podrobno opisana na strani ostati pri Google Workspace ali ga zapustiti.
Kadar želite, da datoteke in e-pošto hrani evropska ali švicarska družba, ali kadar naročena izdaja ne vključuje nadzora regije in podpore, ki ga zahteva vaša analiza. Če je razlika med trenutno izdajo in izdajo, ki bi pokrila potrebo, enako velika kot zamenjava, si vprašanje zasluži, da se ga postavi.
Zamenjava operaterja storitve pomeni, da za imetnika podatkov velja pravo njegove države, pod pogojem, da njegovi obdelovalci ne uvedejo znova ameriškega ponudnika. To ne odveže niti pogodbe o obdelavi niti evidence niti postopka za pravice. Infomaniak, Nextcloud, ki ga upravlja evropski ponudnik gostovanja, OVHcloud ali Klytic odgovarjajo na različne potrebe. Vodnik evropske alternative za Microsoft 365 in stran alternative za Google Workspace jih razmejujeta. Enaka preverjanja na strani Microsofta so na strani GDPR in Microsoft 365.
Klytic upravlja Dedicace Software, francoska družba. Pokriva e-pošto, dokumente v namenski instanci Nextcloud za vsako stranko (deljenje, spletno urejanje posamično ali skupaj, zgodovina različic), videokonference, CRM in telefonijo, ki jih je mogoče kupiti ločeno. Nextcloud izdaja Nextcloud GmbH (Nemčija); e-pošta temelji na Zimbri, ki jo izdaja Synacor (Združene države), upravlja pa Klytic. Gostovanje poteka na katerem koli geografskem območju, ki ustreza veljavni pristojnosti, pod pogojem, da so potrebne storitve na voljo, na primer v Evropi ali na Mavriciju, ali na strežnikih stranke. Podatki ostanejo pod nadzorom stranke ali jih Klytic hrani v njenem imenu. Dokumenti so šifrirani na izvoru s ključem, ki ga Klytic ne more prebrati; e-poštna sporočila so šifrirana v mirovanju s ključi, ki jih upravlja Klytic, stranka pa lahko zanje uporabi šifriranje od konca do konca (S/MIME ali GPG) in pri tem obdrži svoj zasebni ključ. Podrobnosti so opisane na strani zaščita podjetja pred CLOUD Act. Pogodba mora opisati to hrambo in to šifriranje. Spletno urejanje, posamično ali skupaj, poteka v instanci; to ni urejevalnik Google, in Klytic ne posnema v celoti njegovega iskanja po celotnem fondu dokumentov. Nima kvalifikacije SecNumCloud.
Ta stran opisuje splošni okvir. Ne pomeni pravnega svetovanja.
Pravno stanje na dan 5. oktobra 2026. To besedilo ne nadomešča pregleda pogodbe. Sklep o ustreznosti EU–ZDA (EU) 2023/1795 je v veljavi. Je predmet izpodbijanja. Za SecNumCloud je merodajen katalog ANSSI.
Dostopano oktobra 2026.
E-pošta, dokumenti, videokonference, CRM in telefonija, gostovani na območju, ki ustreza vaši pristojnosti, na primer v Evropi ali na Mavriciju, ali v vaših prostorih.
Pozdravna ponudba
Preizkus brez obveznosti. Svetovalec vas pokliče, da spozna vaše potrebe in pripravi vaše okolje Klytic.
