Hvad “hostet i Europa” faktisk skal betyde

Stort set alle SaaS-leverandører kan efterhånden tilbyde dig en europæisk region. Du vælger den i en dropdown under oprettelsen, data ligger i Frankfurt eller Dublin, og salgsmaterialet får et flag på. Den del er reelt nem, og netop derfor er det ikke den del, du skal vurdere på.

Hvor data i virkeligheden bevæger sig hen

Det relevante spørgsmål er ikke, hvor den primære database står. Det er, hvilke andre virksomheder der rører ved data undervejs gennem produktet. En typisk marketingplatform sender persondata gennem en e-mailleverandør, en SMS-gateway, et analyseværktøj, en support-chat, en fejllogger, en modelleverandør til alt det AI-agtige og det CDN, der ligger foran det hele. Hver af dem er en underdatabehandler. Hver af dem har sin egen jurisdiktion, sit eget moderselskab og sin egen definition af en europæisk region.

Dataplacering er en egenskab ved hele behandlingskæden — ikke ved den række, der ligger stille i databasen.

Sådan læser du en liste over underdatabehandlere

• Tæl posterne. En kort liste er et bevidst valg; en lang er ophobet bekvemmelighed.
• Se på moderselskabet, ikke kun regionen. Et europæisk datacenter drevet af en virksomhed under ikke-europæisk udleveringslovgivning er en anden risiko, end kortet antyder.
• Spørg, hvad den enkelte databehandler modtager. “Kun metadata” er en påstand om indhold, ikke om identifikatorer — og identifikatorer er persondata.
• Undersøg, hvordan ændringer varsles. En liste, du først kan læse efter underskrift, fortæller dig, hvordan den næste tilføjelse kommer til at foregå.

Derfor er det som regel AI-delen, der knækker

En platform kan være omhyggelig med sin database og alligevel sende al kundekontekst til et modelendpoint på et andet kontinent i det øjeblik, nogen trykker “skriv et udkast”. Er en leverandørs AI-funktioner kommet hurtigere end opdateringen af databeskyttelsesdokumentationen, er netop det hul svaret på det spørgsmål, du stillede.

Intet af det her kræver, at du tager nogens ord for det. Listen over underdatabehandlere, databehandleraftalen og privatlivspolitikken er offentlige dokumenter, og det tager omkring tyve minutter at læse de tre op mod hinanden. Modsiger de hinanden, er det i sig selv resultatet.