Der den som drifter produktet har serverne sine. Det avgjør du når du velger leverandør, og det er verdt å finne ut før du legger inn ekte opplysninger — ikke etter.
Personopplysninger som lagres utenfor Europa krever et eget rettslig grunnlag, og reglene her har endret seg flere ganger på få år. Ligger dataene i Europa, slipper du hele spørsmålet.
For deg som har kunder er det også et enkelt salgspoeng. «Dataene ligger i Europa» er et svar du kan gi uten forbehold, og det blir spurt om oftere enn før.
Dette er det som oftest overses. Produktet kan kjøre i Europa mens sikkerhetskopiene ligger et helt annet sted, fordi kopiering og drift er to forskjellige tjenester hos mange leverandører.
En sikkerhetskopi av en database er de samme personopplysningene. Spør derfor om begge deler, ikke bare om hvor produktet kjører.
Dette blandes ofte sammen. At produktet ble laget i en chat eller et byggeverktøy sier ingenting om hvor opplysningene til kundene dine havner. Koden ble laget der; dataene ligger der produktet kjører.
Det som avgjør er hvem som drifter produktet og databasen det snakker med. Det er den leverandøren spørsmålene under handler om — ikke verktøyet du skrev produktet i.
Hvor kjører produktet? Hvor ligger sikkerhetskopiene? Er kopiene kryptert? Hvem andre er involvert i driften, og hvor er de? Og finnes det en databehandleravtale som sier det samme som svarene du nettopp fikk?
Får du vage svar på disse, er det svaret. Dette er opplysninger en leverandør skal kunne gi med en gang.
Produktet og sikkerhetskopiene ligger i Europa som standard, og kopiene er kryptert. Softkiln drives av et norsk selskap, og databehandleravtalen med listen over underleverandører kan leses før du signerer.
Ikke automatisk, men det krever et eget rettslig grunnlag og en vurdering du må kunne dokumentere. Å holde dataene i Europa er den enkleste måten å slippe hele den øvelsen.
Alt som kan knyttes til en person. Navn og e-post, men også en IP-adresse, et bilde eller et kundenummer som kan spores tilbake til noen.
Ja, og du har krav på det. Listen skal følge databehandleravtalen, og du skal få beskjed når den endres.
Dette er en forklaring av hovedregelen, ikke juridisk rådgivning. Er du i tvil om hva som gjelder for din virksomhet, spør en advokat.