Det finnes tre slags leverandører: webhotell, konsulenter og driftstjenester. Alle tre kan lagre dataene i Europa og signere en databehandleravtale. Forskjellen er hvem som gjør jobben etterpå, altså følger med, tar og tester kopiene og oppdaterer når det dukker opp et sikkerhetshull.
Personvernreglene som gjelder i Norge, er de samme som i resten av EØS, med en norsk lov i tillegg. De krever ikke at leverandøren er norsk. De krever at du har en databehandleravtale med den som lagrer opplysningene for deg, at opplysningene er godt nok sikret, og at du har et eget grunnlag hvis de lagres utenfor Europa.
En norsk leverandør med data i Europa gjør dette enklere, fordi avtalen, kopiene og den du ringer da er på samme sted. Men det er avtalen og hvor dataene ligger som avgjør, ikke adressen på fakturaen.
Noen bransjer har strengere krav. Helseopplysninger har egne regler, og da bør du spørre leverandøren særskilt om akkurat det.
Et webhotell leier deg plass på en server. Det passer godt til en vanlig nettside. For et produkt med innlogging og en database er det du som gjør resten: setter opp kopiene, prøver å hente dem tilbake, følger med på om produktet svarer og oppdaterer når noe er utdatert.
Det er derfor webhotell ofte ser billig ut. Prisen dekker plassen, ikke arbeidet. Databehandleravtalen dekker det de lagrer, men det er du som har ansvaret for at alt rundt blir gjort.
Et konsulentselskap eller en frilanser kan sette opp driften og passe på den. Det er det riktige valget når produktet skal bygges om, eller når det er stort nok til å trenge folk som kjenner det.
For ett eller to små produkter er utfordringen at driften blir avhengig av at en bestemt person har tid den uken noe skjer. Og det du betaler for er timer, ikke et fast ansvar.
Den tredje typen leverandør kjører produktet ditt og gjør driftsoppgavene som en del av tjenesten: overvåking hele døgnet, sikkerhetskopier som hentes tilbake for å bevise at de virker, og sjekk av hver ny versjon. Du betaler en fast sum i måneden og bygger videre selv.
Her bør databehandleravtalen dekke alt, også kopiene og de underleverandørene tjenesten bruker. Det er én avtale med én part, i stedet for et lappeteppe du må holde sammen selv.
Hvem oppdager det hvis produktet slutter å svare klokka tre om natta? Hvem tar sikkerhetskopiene, hvor ligger de, og når ble en sist hentet tilbake? Hvem oppdaterer når det kommer et sikkerhetshull? Og står alt dette i databehandleravtalen, med en liste over underleverandører?
Er svaret «du selv» på de fleste av dem, har du kjøpt plass og ikke drift. Det kan være helt greit, så lenge du vet det.
Softkiln er en driftstjeneste, drevet av Softstars AS i Trondheim. Produktet og sikkerhetskopiene ligger i Europa som standard, kopiene er kryptert og blir hentet tilbake for å bekrefte at de virker, og produktet overvåkes hele døgnet.
Databehandleravtalen, med listen over underleverandører, kan leses før du signerer. Du kan prøve det gratis i 15 dager uten kort.
Nei. Reglene krever en databehandleravtale og god nok sikring, og et eget grunnlag hvis dataene lagres utenfor Europa. En norsk leverandør med data i Europa gjør det enklere, men er ikke et krav.
Et webhotell gir deg plass på en server, og du gjør driften selv. En driftstjeneste kjører produktet og tar over oppgavene rundt, som overvåking, sikkerhetskopier og oppdateringer.
Det er ikke det som avgjør. Data i Europa er like greit etter reglene. Det viktige er at du vet hvor både produktet og kopiene ligger, og at databehandleravtalen sier det samme.
Da gjelder det strengere krav enn for vanlige personopplysninger. Spør leverandøren særskilt om helseopplysninger før du legger inn noen, og ikke gå ut fra at en vanlig avtale dekker det.
Dette er en forklaring av hovedregelen, ikke juridisk rådgivning. Er du i tvil om hva som gjelder for din virksomhet, spør en advokat.