Siedziba rejestrowa, działalność operacyjna i rezydencja danych
Klienci czasem pytają, gdzie MyDocSafe ma „siedzibę”, gdzie przechowywane są ich dane i czy chodzi o to samo miejsce. To odrębne kwestie.
Siedziba rejestrowa a miejsce prowadzenia działalności operacyjnej
DocSafe Limited, firma stojąca za MyDocSafe, jest brytyjską spółką zarejestrowaną w Anglii i Walii. Jej siedziba rejestrowa to formalny adres prawny spółki, wykorzystywany do celów korporacyjnych i realizacji obowiązków ustawowych.
Siedziby rejestrowej nie należy utożsamiać z:
miejscem hostowania aplikacji MyDocSafe;
miejscem przechowywania plików klientów;
lokalizacją infrastruktury chmurowej; ani
miejscem prowadzenia działalności przez poszczególnych dostawców lub podmioty podprzetwarzające.
Z punktu widzenia ochrony danych i procesów zakupowych zwykle istotniejsze jest to, gdzie dane klientów są przechowywane i przetwarzane, niż adres siedziby rejestrowej spółki.
Gdzie przechowywane są dane klientów MyDocSafe?
Podczas tworzenia konta MyDocSafe klienci mogą wybrać preferowaną lokalizację przechowywania danych.
Obecnie standardowe opcje obejmują:
„Zjednoczone Królestwo” (United Kingdom)
„Unia Europejska (Irlandia)” (European Union (Ireland))
„Stany Zjednoczone” (United States)
W każdej chwili mogą Państwo sprawdzić, z jakiej lokalizacji korzysta Państwa konto — zob. Jak sprawdzić, gdzie przechowywane są Państwa dane.
MyDocSafe zaleca wybór regionu najlepiej odpowiadającego Państwa wymaganiom regulacyjnym i operacyjnym. Na przykład organizacje ze Zjednoczonego Królestwa zazwyczaj wybierają Zjednoczone Królestwo, a organizacje z UE — Unię Europejską. Klienci korporacyjni o szczególnych wymaganiach mogą skontaktować się z MyDocSafe, aby omówić inne rozwiązania.
MyDocSafe korzysta z Amazon Web Services (AWS) jako podstawowej infrastruktury hostingowej. Pliki przesyłane do MyDocSafe są szyfrowane przy użyciu AES-256 i przechowywane w regionalnej infrastrukturze AWS. (MyDocSafe)
Co oznacza „rezydencja danych”?
Rezydencja danych zasadniczo oznacza region geograficzny, w którym przechowywane są Państwa dane jako klienta. Na przykład jeśli Państwa organizacja wybrała rezydencję danych w Zjednoczonym Królestwie, założeniem jest przechowywanie odpowiednich danych klienta w regionie hostingowym w Zjednoczonym Królestwie skonfigurowanym dla Państwa konta.
Jest to kwestia odrębna od lokalizacji siedziby rejestrowej MyDocSafe. Może również różnić się od miejsc, z których realizowane są określone działania związane ze wsparciem, infrastrukturą lub podprzetwarzaniem.
Przetwarzanie w Zjednoczonym Królestwie i UE
Opublikowane przez MyDocSafe informacje dotyczące RODO wskazują, że klienci mogą wybrać centra danych w Zjednoczonym Królestwie, UE lub Stanach Zjednoczonych, a podstawowe przetwarzanie danych odbywa się w Dublinie w Irlandii.
Warto zatem rozróżniać:
Lokalizację przechowywania — region wybrany dla Państwa konta, np. Zjednoczone Królestwo lub UE.
Lokalizację przetwarzania — miejsca, z których systemy lub upoważnieni usługodawcy mogą przetwarzać dane w celu świadczenia usługi.
Rozróżnienia te mogą mieć znaczenie dla organizacji o szczególnie rygorystycznych wymaganiach dotyczących rezydencji danych, takich jak firmy świadczące usługi finansowe, podmioty sektora publicznego lub organizacje podlegające umownym wymogom lokalizacji danych.
A co z dostawcami zewnętrznymi?
Podobnie jak większość dostawców SaaS, MyDocSafe korzysta z wyspecjalizowanych usługodawców zewnętrznych do realizacji części usługi. Opublikowana umowa powierzenia przetwarzania danych wymienia podmioty podprzetwarzające, w tym AWS w zakresie hostingu oraz wyspecjalizowanych dostawców obsługujących takie funkcje jak wysyłka wiadomości e-mail, płatności i weryfikacja tożsamości.
Fakt, że podstawowe dane Państwa konta MyDocSafe są przechowywane w określonym regionie, nie musi oznaczać, że wszystkie dane związane z każdą usługą fakultatywną są przetwarzane wyłącznie w tym regionie.
Na przykład korzystanie z:
weryfikacji tożsamości;
obsługi płatności;
wysyłki wiadomości e-mail;
integracji; lub
innych usług zewnętrznych
może wiązać się z udziałem dodatkowych podmiotów przetwarzających i wykorzystaniem dodatkowych lokalizacji.
Jeśli ma to znaczenie dla Państwa organizacji, zalecamy wystąpienie o oświadczenie dotyczące rezydencji danych obejmujące konkretne usługi MyDocSafe, z których zamierzają Państwo korzystać.
Czy można wybrać region przechowywania danych?
Tak.
Podczas zakładania konta MyDocSafe należy wybrać lokalizację przechowywania danych odpowiednią dla Państwa organizacji.
Nasze ogólne zalecenia:
Organizacja | Typowy wybór |
Organizacja ze Zjednoczonego Królestwa | Zjednoczone Królestwo |
Organizacja z UE | Unia Europejska (Dublin, Irlandia) |
Organizacja ze Stanów Zjednoczonych | USA |
Organizacja o indywidualnych wymaganiach dotyczących rezydencji danych | Prosimy o kontakt z MyDocSafe |
Jeśli Państwa organizacja ma szczególne wymagania umowne lub regulacyjne, nie należy opierać się wyłącznie na tych ogólnych zaleceniach. Prosimy zwrócić się do nas o potwierdzenie proponowanej konfiguracji.
Jak uzyskać oświadczenie dotyczące rezydencji danych
Jeśli Państwa zespół ds. zgodności, bezpieczeństwa informacji lub zakupów potrzebuje pisemnego potwierdzenia, prosimy skontaktować się z MyDocSafe i poprosić o oświadczenie dotyczące rezydencji danych.
Najłatwiej skorzystać ze wsparcia w aplikacji po zalogowaniu się do MyDocSafe lub skontaktować się z naszym zespołem wsparcia.
Prosimy podać:
nazwę Państwa organizacji;
nazwę lub identyfikator Państwa konta MyDocSafe;
wymagany region przechowywania danych;
czy pytanie dotyczy wyłącznie przechowywania, czy również przetwarzania danych;
z jakich usług MyDocSafe Państwo korzystają lub zamierzają korzystać, w szczególności z jakich fakultatywnych integracji, usług płatniczych lub usług weryfikacji tożsamości;
czy oświadczenie jest wymagane do określonego celu regulacyjnego, zakupowego lub umownego.
Na tej podstawie możemy przygotować oświadczenie odpowiednie dla Państwa konta i w razie potrzeby wskazać właściwe podmioty podprzetwarzające.
O co należy poprosić?
W większości postępowań zakupowych wystarczy następujące sformułowanie:
„Prosimy o aktualne oświadczenie dotyczące rezydencji danych dla naszego konta MyDocSafe, potwierdzające lokalizację przechowywania podstawowych danych klienta, odpowiednie lokalizacje przetwarzania oraz istotne podmioty podprzetwarzające zaangażowane w świadczenie usług, z których korzystamy”.
W celu przeprowadzenia bardziej szczegółowej weryfikacji należy również rozważyć wystąpienie o:
umowę powierzenia przetwarzania danych MyDocSafe;
aktualne informacje o podmiotach podprzetwarzających;
informacje dotyczące bezpieczeństwa;
szczegóły certyfikacji ISO 27001; oraz
informacje dotyczące międzynarodowego przekazywania danych.
MyDocSafe posiada certyfikat ISO 27001:2022; aktualne informacje o certyfikacji są dostępne na naszej stronie „Przegląd bezpieczeństwa” (Security Overview). (MyDocSafe)
Dodatkowe informacje
Ważne: Jeśli Państwa organizacja ma bezwzględny wymóg, aby dane w żadnych okolicznościach nie opuszczały określonego kraju lub regionu, prosimy poinformować nas o tym przed wdrożeniem. Pozwoli nam to potwierdzić, czy wymagana konfiguracja MyDocSafe oraz ewentualne fakultatywne usługi zewnętrzne są zgodne z tym wymogiem.