Проблема, про яку ти не знав
Якщо твоя компанія надсилає рахунки, замовлення, накладні чи будь-які документи з даними клієнтів через звичайний месенджер, ці дані проходять через сервери, які, ймовірно, не знаходяться в Європі. Або якщо знаходяться, належать компанії, що підпорядковується іноземному законодавству. GDPR має що сказати з цього приводу.
Європейське законодавство про захист даних вимагає знати, де знаходяться твої дані, хто має до них доступ і під чиєю юрисдикцією. Коли ти використовуєш месенджер із центральним сервером, твої документи проходять через інфраструктуру, яку ти не контролюєш. Дані твоїх клієнтів зберігаються — навіть якщо тимчасово — на машинах іншої компанії, в іншій країні, під іншими законами.
Що змінюється, коли немає сервера
У зв'язку точка-точка дані йдуть безпосередньо з пристрою відправника на пристрій одержувача. Вони не зберігаються на жодному сервері. Коли пряме з'єднання неможливе, вони проходять у зашифрованому вигляді через наше дзеркало, яке їх не зберігає і не може прочитати. Документ виходить з твого комп'ютера в Луго і потрапляє на комп'ютер клієнта в Барселоні, Берліні чи Лісабоні.
Це важливо для дотримання GDPR. Дані твого облікового запису, які ми зберігаємо, розташовані на серверах у Німеччині, в Європейському Союзі. Твої повідомлення ми не зберігаємо на жодному сервері.
Кому це важливо
Якщо ти юрист і надсилаєш контракт клієнту через месенджер, дані цього контракту проходять через сервер. Якщо ти податковий консультант і ділишся податковою декларацією, ці дані проходять через сервер. Якщо ти лікар і надсилаєш звіт пацієнту, медичні дані проходять через сервер. У всіх цих випадках ти довіряєш зберігання конфіденційної інформації компанії, яку не обирав і не контролюєш.
Ти робиш це не зі злим наміром. Інструмент, який ти використовуєш, просто не дає іншого вибору. Щоб твої робочі повідомлення не зберігалися на жодному сервері, зв'язок має йти безпосередньо з твого екрана на його екран.
Автоматична відповідність
При P2P-комунікації тобі не потрібно перевіряти, де знаходяться сервери твого провайдера повідомлень. Тобі не потрібно верифікувати відповідність Privacy Shield або стандартним договірним умовам ЄС. Тобі не потрібно додавати пункт до політики конфіденційності, що пояснює, що твої дані 'можуть оброблятися за межами Європейського економічного простору'. Нічого з цього не застосовується, бо жодна третя сторона не обробляє твої дані.
Відповідність не залежить від чиєїсь доброї волі. Вона не залежить від договору про обробку даних з провайдером. Вона не залежить від того, чи збереже американська компанія свої зобов'язання перед європейським законодавством. Вона залежить від архітектури. А архітектура верифіковна, незмінна і не змінює свого рішення.
Питання для твого наступного аудиту
Наступного разу, коли хтось запитає тебе, де знаходяться дані твоїх клієнтів, ти можеш відповісти: «Повідомлення на моєму пристрої та на їхньому пристрої. Вони не зберігаються на жодному сервері.»