VPS у ЄС і GDPR: що перевірити

Що насправді означає «хостинг, сумісний з GDPR»

Жоден хостер не може зробити ваш застосунок сумісним із GDPR — відповідність стосується того, як ви збираєте, зберігаєте та обробляєте персональні дані. Що хостер може зробити — це не заважати вам: тримати дані в ЄС, якщо ви попросите, підписати документи, які роблять вас контролером, а їх — обробником, та не відстежувати нишком ваших відвідувачів. Це практичний чек-лист для цього і позиція IntoClouds щодо кожного пункту.

Зберігати дані в ЄС

Розгорніть свій сервер у регіоні ЄС і тримайте його там. IntoClouds пропонує Фалькенштайн і Нюрнберг у Німеччині та Гельсінкі у Фінляндії — усі дата-центри в ЄС. (Є також регіони США у Вірджинії та Орегоні й один у Сінгапурі; просто не обирайте їх, якщо резидентність у ЄС є вимогою.) Ви вибираєте регіон під час створення; ніщо не переміщує його згодом без вас.

Підписати Доповнення про обробку даних

Регіон сервера не описує всі потоки даних. Перевірте резервні копії, підключені сервіси та субобробників у DPA й Політиці конфіденційності.

Якщо ви обробляєте персональні дані, GDPR передбачає угоду про обробку даних із вашим хостинг-провайдером. Ми публікуємо Доповнення про обробку даних і Політику конфіденційності, які пояснюють, що ми зберігаємо та хто має до цього доступ. Платіжні дані йдуть напряму до Polar, нашого обробника платежів — ми ніколи не бачимо вашої картки, — а дані домену йдуть до реєстратора та реєстру, як цього вимагає будь-який домен.

Жодного відстеження, прикрученого до вашого облікового запису

На стороні облікового запису платформи немає аналітики чи рекламного відстеження — з нашого боку ніщо не профілює вас чи ваших відвідувачів. Те, що працює на вашому сервері, ви налаштовуєте самі; якщо ви додаєте аналітику, це ваше рішення як контролера, яке слід задокументувати.

Частина, яка все ще на вас

• Зберігайте дані застосунку й базу даних, потім перевіряйте відновлення. Іменовані томи Docker не містяться в каталозі проєкту Compose.
• Ваші власні SPF/DKIM/DMARC і контроль доступу. Для поштових скриньок, які ви вмикаєте, потрібні DNS-записи прописуються за вас; як ви захищаєте облікові записи і кому надаєте доступ — вирішувати вам.
• Записи про обробку та правова підстава. Жоден хостер їх не надає — вони описують вашу послугу, а не нашу.

Хочете владнати резидентність і документи без чотирьох окремих постачальників? Перегляньте сторінку цін або розбір цін на VPS у ЄС, потім створіть обліковий запис і оберіть регіон у ЄС.