VPS в ЕС и GDPR: что проверить

Что на самом деле означает «хостинг, соответствующий GDPR»

Ни один хостер не может сделать ваше приложение соответствующим GDPR — соответствие зависит от того, как вы собираете, храните и обрабатываете персональные данные. Что хостер действительно может — не мешать вам: держать данные в ЕС, если вы этого просите, подписать документы, по которым вы — контролёр, а он — обработчик, и не отслеживать ваших посетителей втихую. Ниже — практический чек-лист и позиция IntoClouds по каждому пункту.

Держать данные в ЕС

Разверните свой сервер в регионе ЕС и держите его там. IntoClouds предлагает Фалькенштайн и Нюрнберг в Германии и Хельсинки в Финляндии — все дата-центры в ЕС. (Есть также регионы в США — Виргиния и Орегон — и один в Сингапуре; просто не выбирайте их, если резидентность в ЕС является требованием.) Вы выбираете регион при создании; после этого ничто не перемещает его без вас.

Подписать Дополнение об обработке данных

Регион сервера не описывает все потоки данных. Проверьте резервные копии, подключённые сервисы и субобработчиков в DPA и Политике конфиденциальности.

Если вы обрабатываете персональные данные, GDPR предполагает соглашение об обработке данных с вашим хостинг-провайдером. Мы публикуем Дополнение об обработке данных и Политику конфиденциальности, в которых прописано, что мы храним и кто к этому имеет доступ. Платёжные данные передаются напрямую в Polar, наш платёжный процессор — мы никогда не видим вашу карту, — а данные домена передаются регистратору и реестру, как того требует любой домен.

Никакого отслеживания, навешанного на ваш аккаунт

На стороне аккаунта платформы нет ни аналитики, ни рекламного отслеживания — ничто с нашей стороны не профилирует вас или ваших посетителей. То, что работает на вашем сервере, вы настраиваете сами; если вы добавите аналитику, это ваше решение как контролёра, которое нужно задокументировать.

Часть, которая всё ещё на вас

• Сохраняйте данные приложения и базу данных, затем проверяйте восстановление. Именованные тома Docker не находятся в каталоге проекта Compose.
• Ваши собственные SPF/DKIM/DMARC и контроль доступа. Для включаемых вами почтовых ящиков нужные DNS-записи прописываются за вас; как вы защищаете аккаунты и кому даёте доступ — решаете вы.
• Реестры обработки и правовое основание. Ни один хостер этого не предоставляет — они описывают ваш сервис, а не наш.

Хотите решить вопросы резидентности и документов без четырёх отдельных поставщиков? Смотрите страницу цен или разбор цен на VPS в ЕС, затем создайте аккаунт и выберите регион ЕС.