O problema que não sabias que tinhas
Se a tua empresa envia faturas, encomendas, guias de remessa ou qualquer documento com dados de clientes através de uma aplicação de mensagens convencional, esses dados passam por servidores que provavelmente não estão na Europa. Ou se estão, pertencem a uma empresa sujeita a legislação estrangeira. O RGPD tem algo a dizer sobre isso.
A regulamentação europeia de proteção de dados exige saber onde estão os teus dados, quem tem acesso a eles e sob que jurisdição. Quando usas uma aplicação de mensagens com servidor central, os teus documentos passam por infraestrutura que não controlas. Os dados dos teus clientes são armazenados — mesmo que temporariamente — em máquinas de outra empresa, noutro país, sob outras leis.
O que muda quando não há servidor
Numa comunicação ponto a ponto, os dados vão diretamente do dispositivo de quem envia para o de quem recebe. Não ficam guardados em nenhum servidor. Quando uma ligação direta não é possível, passam encriptados pelo nosso espelho, que não os guarda e não os pode ler. O documento sai do teu computador em Lugo e chega ao do teu cliente em Barcelona, Berlim ou Lisboa.
Isto é importante para o RGPD. Os dados da tua conta que guardamos estão em servidores na Alemanha, na União Europeia. As tuas mensagens não as guardamos em nenhum servidor.
A quem isto importa
Se és advogado e envias um contrato a um cliente por mensagem, os dados desse contrato passam por um servidor. Se és consultor fiscal e partilhas uma declaração de impostos, esses dados passam por um servidor. Se és médico e envias um relatório a um paciente, os dados de saúde passam por um servidor. Em todos esses casos, estás a delegar a custódia de informação confidencial a uma empresa que não escolheste e não控制as -> e não controlas.
Não fazes isso por má intenção. A ferramenta que usas não te dá outra opção. Para que as tuas mensagens profissionais não fiquem guardadas em nenhum servidor, a comunicação tem de ir diretamente do teu ecrã para o dele.
Conformidade automática
Com comunicação P2P, não precisas de auditar onde estão os servidores do teu fornecedor de mensagens. Não precisas de verificar a conformidade com o Privacy Shield ou com as cláusulas contratuais-tipo da UE. Não precisas de adicionar uma cláusula à tua política de privacidade a explicar que os teus dados 'podem ser tratados fora do Espaço Económico Europeu'. Nada disso se aplica, porque nenhum terceiro está a tratar os teus dados.
A conformidade não depende da boa vontade de ninguém. Não depende de um contrato de tratamento de dados com um fornecedor. Não depende de uma empresa americana manter o respetivo compromisso com a legislação europeia. Depende da arquitetura. E a arquitetura é verificável, imutável e não muda de ideias.
A pergunta para a tua próxima auditoria
Da próxima vez que alguém te perguntar onde estão os dados dos teus clientes, podes responder: «As mensagens estão no meu dispositivo e no deles. Não ficam guardadas em nenhum servidor.»