Dati in Europa o sui vostri server: dove tenerli e perché

In breve. Le strade principali sono tre: server in Europa presso un fornitore, server vostri, oppure un modello che gira fuori dall'Unione europea. La terza strada va evitata o, se proprio serve, regolata con garanzie forti. Nella scelta contano costi e tempi, ma conta soprattutto il luogo in cui gira il modello e ciò che accade ai testi che gli inviate. Questa guida raccoglie le domande da porre al fornitore prima di firmare.

Nella prima opzione i dati stanno su server in Europa gestiti dal fornitore: è la scelta più diffusa. In questo caso vi servono per iscritto la sede, il paese, le modalità di separazione tra i clienti e il nome di chi custodisce le chiavi di cifratura.

Nella seconda opzione i sistemi girano sui vostri server o in uno spazio che controllate direttamente. Avete più controllo, ma anche più carico di lavoro per aggiornamenti e continuità del servizio, e la scelta ha senso soprattutto con dati molto delicati o con vincoli di settore.

Nella terza opzione il modello gira fuori dall'Unione europea e i vostri testi possono uscire dai suoi confini. Per i dati delicati va evitata; negli altri casi va regolata con basi giuridiche e clausole chiare, dopo il parere del DPO, il responsabile della protezione dei dati. Non è una scelta da prendere in silenzio.

Evitate di combinare le opzioni senza una mappa: un pezzo del sistema in Europa e uno fuori creano lacune difficili da spiegare. Disegnate i flussi dei dati su una pagina e fatela firmare sia all'IT sia al DPO.

Se partite da un pilota, scegliete fin da subito l'opzione di destinazione. Cambiare architettura in corsa costa molto più che scegliere bene all'inizio.

Senza entrare in cifre precise, l'opzione con server in Europa presso il fornitore di solito parte prima. Si paga un canone e un costo di avvio, e il vostro IT dedica meno ore alla gestione quotidiana, anche se restano ore non trascurabili di controllo e di sicurezza.

L'opzione sui vostri server richiede più tempo iniziale, perché servono spazio, sicurezza, aggiornamenti e persone dedicate. Nel conto vanno messe le persone, non soltanto le fatture.

L'opzione extraeuropea può sembrare la più economica, ma poi arrivano i costi per rispettare le regole sui trasferimenti e il rischio per la reputazione. Spesso non conviene e a volte è del tutto incompatibile con i requisiti dei vostri clienti.

Con il direttore finanziario (CFO) ragionate per ordini di grandezza su quattro voci: l'avvio, la gestione annua, il costo delle persone interne e il costo di un possibile incidente. Il prezzo del modello e lo sconto del primo anno sono solo una parte del quadro.

Rivedete i costi dopo tre mesi di uso reale, perché i consumi del modello possono spostare il totale ed è meglio accorgersene presto.

Sapere che i dati sono in Europa non basta, se poi le richieste partono verso un modello che gira altrove. Chiedete dove avviene l'elaborazione, indicando paese, regione e fornitore del modello; se la risposta è vaga, fermatevi.

Chiedete anche se i testi inviati vengono conservati, per quanto tempo e se servono a migliorare modelli di uso generale. Per voi la risposta attesa è quasi sempre no; se invece è sì, servono basi giuridiche e limiti molto chiari.

Se il modello gira sui vostri server, chiarite chi fornisce gli aggiornamenti e come controllate le versioni. Un modello fermo, senza aggiornamenti di sicurezza, è un rischio, esattamente come un modello che cambia senza avvisare.

Tenete separati l'ambiente di prova e quello di lavoro quotidiano. I dati reali non entrano nel banco di prova senza regole precise: finché non siete pronti, usate dati ridotti o inventati.

Mandate per iscritto una lista minima di richieste, che copra almeno questi punti:

• paese in cui stanno i dati e paese in cui gira il modello;
• cifratura dei dati in transito e a riposo, con il nome di chi custodisce le chiavi;
• separazione tra i dati dei diversi clienti;
• elenco dei subfornitori;
• impegno a non addestrare modelli con i vostri dati;
• tempi di cancellazione e modalità di restituzione a fine contratto;
• canale per la segnalazione degli incidenti;
• diritti di verifica.

A questi punti aggiungete tre domande operative: come si blocca l'accesso in caso di emergenza, chi autorizza gli interventi dei tecnici del fornitore e che cosa resta nei loro archivi di assistenza.

Fate firmare le risposte, perché una videochiamata non è un contratto e una presentazione non è un allegato. Se qualcosa cambia dopo la firma, aggiornate l'allegato invece di affidarvi alla memoria.

Quando qualche dato esce dall'Unione europea servono strumenti giuridici adeguati e una valutazione del rischio. Non si tratta di un dettaglio: è un tema per il DPO e per il legale, che non si risolve nella sola trattativa commerciale.

Riducete al minimo i dati trasferiti e, se potete tenere tutto in Europa, fatelo. Se non è possibile, documentate il motivo, le garanzie adottate e il nome di chi ha approvato la scelta.

Se i flussi lo richiedono, informate le persone interessate nell'informativa sulla privacy. Trasparenza e rispetto delle regole vanno di pari passo, e nascondere un trasferimento è più grave del trasferimento stesso.

Rivalutate i trasferimenti ogni volta che il fornitore cambia un subfornitore. I cambiamenti non comunicati sono un segnale di allarme: chiedete nel contratto un obbligo di preavviso e fatelo rispettare.

La direzione non ha bisogno di un trattato, ma di una pagina con le tre opzioni, i rischi, i tempi e un consiglio chiaro. La pagina indica l'opzione scelta, il motivo, i rischi che restano e i passi successivi.

Ai fornitori mandate la stessa lista di domande: chi non risponde esce e chi risponde bene resta in gara. In questo modo la trattativa si basa sui fatti e non sulle impressioni.

Fate attenzione alle formule ambigue, perché «dati ospitati in Europa» non è una risposta sufficiente. Vi servono il paese e, se rilevante, la regione, oltre a sapere se il modello elabora i dati altrove, se le copie di sicurezza escono dall'Unione e se l'assistenza tecnica accede ai dati dall'estero.

Se scegliete i vostri server, non dimenticate gli aggiornamenti e le persone di reperibilità. Un controllo locale senza manutenzione è un rischio travestito da virtù, quindi fate i conti con turni e assenze.

Se scegliete server in Europa presso il fornitore, esercitate i diritti di verifica: chiedete relazioni periodiche e chiarimenti sui subfornitori, senza firmare e poi dimenticare il contratto.

Preparate anche un piano alternativo per tre situazioni: il fornitore cambia architettura, i costi a consumo crescono oltre il previsto, oppure un cliente impone vincoli più stretti.

Usate queste dieci domande in ogni gara, mandatele identiche a tutti i fornitori e confrontate le risposte nella stessa tabella.

1. In quale paese dell'Unione europea restano i dati a riposo?
2. In quale paese gira il modello quando rispondete?
3. I nostri dati addestrano modelli di altri clienti o modelli generali?
4. Chi tiene le chiavi di cifratura e come si ruotano?
5. Come separate i dati tra clienti diversi?
6. Quali subfornitori toccano i nostri testi?
7. Quanto tempo restano memorizzate le richieste?
8. Come cancellate tutto a fine contratto e in quanto tempo?
9. Come ci avvisate se cambia un luogo o un subfornitore?
10. Come si spegne l'accesso in emergenza e chi autorizza i vostri tecnici?

Se una risposta cambia dopo la firma, trattatela come una modifica contrattuale e non come un dettaglio tecnico. Aggiornate gli allegati, rivalutate i rischi e, se necessario, sospendete i flussi di dati più delicati.

Se optate per i vostri server, rivolgete le stesse domande al gruppo interno. Capita spesso che l'infrastruttura interna sia documentata peggio di quella del fornitore, ed è una lacuna da colmare subito.

Gli errori più frequenti che incontriamo sono questi:

• firmare sulla base di una presentazione invece che di allegati con paesi e subfornitori;
• confondere la sede legale del fornitore con il luogo in cui stanno i dati;
• parlare di Europa quando il modello gira altrove;
• lasciare le copie di sicurezza fuori controllo;
• dimenticare dati reali nell'ambiente di prova.

Senza quella clausola, la correzione sarebbe stata molto più difficile, ed è per questo che le domande vanno poste prima della firma. Aggiornate inoltre la mappa dei flussi ogni volta che aggiungete un canale o un archivio, perché una mappa ferma diventa presto una mappa sbagliata.

In sintesi, scegliete l'opzione, documentate i paesi, fate firmare le risposte del fornitore e rivedete i flussi quando qualcosa cambia. Senza questi quattro passaggi, la discussione sul luogo dei dati resta astratta.

• Avete scelto in modo esplicito una delle tre opzioni principali.
• Sapete il paese dei dati e il paese del modello.
• I vostri dati non addestrano modelli di terzi, salvo patto chiaro.
• Cifratura, chiavi e separazione tra clienti sono descritte per iscritto.
• Esiste un piano di restituzione e cancellazione a fine rapporto.
• I trasferimenti fuori dall'Unione europea sono evitati o documentati con il DPO.
• Ambiente di prova e ambiente di lavoro quotidiano sono separati.
• Il CFO ha visto costi e tempi in ordine di grandezza, non solo il canone.
• IT e DPO hanno firmato la stessa scheda di architettura.
• Esiste uno spegnimento di emergenza descritto e assegnato.

Questa guida non è un parere legale.