Проблема, о которой ты не знал
Если твоя компания отправляет счета, заказы, накладные или любые документы с данными клиентов через обычный мессенджер, эти данные проходят через серверы, которые, вероятно, находятся не в Европе. Или, если и находятся, принадлежат компании, подпадающей под иностранное законодательство. GDPR есть что сказать по этому поводу.
Европейские правила защиты данных требуют знать, где находятся твои данные, кто имеет к ним доступ и под какой юрисдикцией. Когда ты используешь мессенджер с центральным сервером, твои документы проходят через инфраструктуру, которую ты не контролируешь. Данные твоих клиентов сохраняются — пусть даже временно — на машинах другой компании, в другой стране, под другими законами.
Что меняется, когда нет сервера
При связи точка-точка данные идут напрямую с устройства отправителя на устройство получателя. Они не сохраняются ни на одном сервере. Когда прямое соединение невозможно, они проходят в зашифрованном виде через наше зеркало, которое их не сохраняет и не может прочесть. Документ уходит с твоего компьютера в Луго и поступает на компьютер клиента в Барселоне, Берлине или Лиссабоне.
Это важно для соблюдения GDPR. Данные твоей учетной записи, которые мы храним, находятся на серверах в Германии, в Европейском союзе. Твои сообщения мы не храним ни на одном сервере.
Кому это важно
Если ты юрист и отправляешь контракт клиенту через мессенджер, данные этого контракта проходят через сервер. Если ты налоговый консультант и делишься налоговой декларацией, эти данные проходят через сервер. Если ты врач и отправляешь отчёт пациенту, медицинские данные проходят через сервер. Во всех этих случаях ты доверяешь хранение конфиденциальной информации компании, которую не выбирал и не контролируешь.
Ты делаешь это не со злым умыслом. Инструмент, который ты используешь, просто не дает другого выбора. Чтобы твои рабочие сообщения не сохранялись ни на одном сервере, связь должна идти напрямую с твоего экрана на его экран.
Автоматическое соответствие
При P2P-коммуникации тебе не нужно проверять, где находятся серверы твоего провайдера сообщений. Тебе не нужно верифицировать соответствие Privacy Shield или стандартным договорным условиям ЕС. Тебе не нужно добавлять пункт в политику конфиденциальности, объясняющий, что твои данные 'могут обрабатываться за пределами Европейской экономической зоны'. Ничего из этого не применяется, потому что никакая третья сторона не обрабатывает твои данные.
Соответствие не зависит от чьей-либо доброй воли. Оно не зависит от договора об обработке данных с провайдером. Оно не зависит от того, сохранит ли американская компания свои обязательства перед европейским законодательством. Оно зависит от архитектуры. А архитектура верифицируема, неизменна и не меняет своего решения.
Вопрос для твоего следующего аудита
В следующий раз, когда кто-то спросит тебя, где находятся данные твоих клиентов, ты можешь ответить: «Сообщения на моем устройстве и на их устройстве. Ни на каком сервере они не сохраняются.»