Większość narzędzi wewnętrznych dziedziczy swoją jurysdykcję przypadkiem. Zespół sięga po najszybsze dostępne rozwiązanie SaaS, dane lądują tam, gdzie akurat działa dany dostawca, a rok później ktoś z działu prawnego pyta, gdzie właściwie znajdują się dane klientów — i dostaje niewygodną odpowiedź. Dla firmy na etapie wzrostu działającej w reżimie RODO, a coraz częściej także NIS2 i EU AI Act, taki przypadek to ryzyko czekające na audyt.
NordOps Consulting buduje odwrotnie. Gdy tworzymy oprogramowanie operacyjne na zamówienie, rezydencja danych w UE jest ustalana, zanim zostanie zaprojektowana choćby jedna tabela. Środowisko uruchomieniowe i kod źródłowy znajdują się w Niemczech, w jurysdykcji UE, z założenia bez narażenia na prawo USA. Nie dopasowuje się zgodności do systemu zaprojektowanego gdzie indziej — zaczyna się od niej.
Rezydencja danych jako wymóg projektowy, a nie późniejsza poprawka
Istnieje realna różnica między oprogramowaniem, które akurat działa w Europie, a oprogramowaniem, które zostało do tego zaprojektowane. Pierwsze można przenieść, przekierować lub po cichu przehostować, gdy dostawca następnym razem zmieni infrastrukturę. Drugie traktuje lokalizację Państwa danych jako część specyfikacji — coś, co gwarantuje architektura, a nie coś, co obiecuje strona ustawień.
W przypadku wewnętrznych narzędzi na zamówienie w UE zgodnych z RODO różnica ta ujawnia się w nudnych, ale nośnych szczegółach:
- Gdzie spoczywają dane. Każdy magazyn — baza danych, przestrzeń na pliki, kopie zapasowe, logi — jest od początku uruchamiany w UE, a nie migrowany później.
- Gdzie odbywa się przetwarzanie. Zadania w tle, kroki wspierane przez AI i integracje działają w regionie, więc dane nie opuszczają po cichu Unii, by być przetwarzane gdzie indziej.
- Kto ma jurysdykcję. Hosting w Niemczech oznacza, że infrastruktura podlega prawu UE, a jurysdykcja USA nie sięga ani do środowiska uruchomieniowego, ani do kodu źródłowego.
Ponieważ te decyzje zapadają na etapie projektowania, wytrzymują moment, w którym ktoś wreszcie zada trudne pytanie. Rezydencja danych w oprogramowaniu operacyjnym na zamówienie w Europie przestaje być deklaracją pełną nadziei i staje się cechą systemu, którą można wskazać.
Kod źródłowy i środowisko uruchomieniowe w Niemczech, bez jurysdykcji USA
Obie części rozwiązania znajdują się w UE. Środowisko uruchomieniowe — serwery, z których Państwa zespół faktycznie korzysta na co dzień — działa w Niemczech. Kod źródłowy — repozytorium, potok budowania, zapis tego, co dokładnie robi oprogramowanie — jest również hostowany w UE. Żadna z nich nie podlega jurysdykcji USA i żadna nie zależy od amerykańskiej platformy po cichu znajdującej się na ścieżce.
Ma to znaczenie, ponieważ rezydencja danych jest tak silna, jak jej najsłabsze ogniwo. Nie wystarczy, że baza danych jest we Frankfurcie, jeśli potok wdrożeniowy, logi błędów lub osadzona usługa podmiotu trzeciego sięgają za Atlantyk. Oprogramowanie biznesowe na zamówienie hostowane w UE musi być hostowane w UE na każdym poziomie — a rozwiązanie na tyle małe, by je posiadać, jest na tyle małe, by można było to zweryfikować.
Jak wygląda przekazanie — to Państwo wybierają miejsce docelowe
Posiadanie oprogramowania oznacza decydowanie o tym, gdzie się znajduje. Każdy projekt przenosi na Państwa pełną własność kodu źródłowego, a wraz z nią swobodę wyboru miejsca docelowego. Nie ma uzależnienia od dostawcy, subskrypcji ani zależności od tego, czy NordOps Consulting nadal cokolwiek hostuje.
Przy przekazaniu mogą Państwo:
- Pozostawić je tam, gdzie działa — zostawić środowisko uruchomieniowe w Niemczech i kontynuować, mając już kod źródłowy w pełni w swoich rękach.
- Przenieść je do własnego środowiska w UE — wdrożyć przekazany kod we własnej infrastrukturze, nadal w UE, na własnych kontach.
- Przenieść je wszędzie tam, gdzie mają Państwo do tego prawo — kod należy do Państwa; decyzję o rezydencji danych podejmują i zmieniają Państwo sami, w miarę jak zmieniają się Państwa obowiązki.
Fundament każdego rozwiązania — Admin Portal i Processor, połączone w jeden moduł — jest dostarczany na tych samych warunkach własności co wszystko, co powstaje na nim. Nigdy nie subskrybują Państwo tego, od czego zależą Państwa operacje.
Biegłość regulacyjna to wiedza wdrożeniowa — a nie doradztwo w zakresie zgodności
Jedno wyjaśnienie, wprost: NordOps Consulting nie świadczy usług doradztwa w zakresie zgodności, a niniejszy tekst nie stanowi porady prawnej. Nie audytujemy Państwa programu RODO, nie piszemy polityk NIS2 ani nie zatwierdzamy Państwa stanowiska wobec EU AI Act. Ta praca należy do Państwa prawników i osoby odpowiedzialnej za ochronę danych.
To, co wnosimy, to wiedza wdrożeniowa — umiejętność budowania oprogramowania, które dobrze mieści się w tych reżimach, ponieważ rezydencja, przepływy danych i jurysdykcja były decyzjami inżynieryjnymi od samego początku. To różnica między doradzaniem w zakresie przepisów a budowaniem oprogramowania, które już je respektuje. Naszym zadaniem jest zadbać o to, by narzędzie, które Państwo posiadają, było takie, którego Państwa dział compliance może bronić, a nie takie, z którego musi się tłumaczyć.
Gdy oprogramowanie biznesowe na zamówienie hostowane w UE jest projektowane w ten sposób — najpierw rezydencja, kod źródłowy i środowisko uruchomieniowe w Niemczech, pełne przekazanie własności — rezydencja danych przestaje być powracającym zmartwieniem i staje się ustalonym faktem dotyczącym sposobu działania Państwa operacji.