Residenza dei dati: dove una piattaforma archivia fisicamente i tuoi dati e perché si tratta di una questione contrattuale

Che cos’è la residenza dei dati?

La residenza dei dati indica il luogo in cui i dati sono fisicamente conservati. Una piattaforma ospitata in un’unica regione archivia i dati dei propri clienti su server situati in quella regione; una piattaforma con hosting regionale può conservare i dati dei clienti europei in Europa e quelli dei clienti nordamericani in Nord America.

Vale la pena porre la domanda in modo chiaro, perché la risposta è spesso più limitata di quanto suggerisca il marketing. Un fornitore con sedi in tre continenti potrebbe comunque gestire un’unica regione di hosting, e un team di assistenza globale non equivale allo stesso impegno offerto da uno storage regionale.

‍

In che cosa si differenzia dalla sovranità dei dati?

La residenza riguarda il luogo in cui ci si trova. La sovranità riguarda invece quali leggi nazionali possano applicarsi ai dati, il che è una questione diversa e più ampia.

I dati possono essere archiviati in un paese ed essere comunque soggetti all'autorità giuridica di un altro, in genere in base alla nazionalità della società fornitrice o alla sede della società madre. L'impegno ad archiviare i dati in una determinata regione risponde quindi in modo completo alla questione della residenza e solo in parte a quella della sovranità. Un acquirente interessato alla giurisdizione piuttosto che all'ubicazione fisica deve informarsi su entrambi gli aspetti.

‍

Perché è importante per le piattaforme dedicate alle sovvenzioni e alla responsabilità sociale d'impresa (CSR)

Poiché questi sistemi, per loro stessa natura, contengono dati personali. Una domanda di sovvenzione riporta i nomi delle persone, i recapiti e, talvolta, informazioni finanziarie e sanitarie relative ai beneficiari. Un registro delle attività di volontariato identifica i dipendenti e indica quali attività hanno svolto in quali giorni.

Ciò fa rientrare la piattaforma nell’ambito degli obblighi in materia di protezione dei dati piuttosto che nella politica IT generale, e fa sì che la questione della residenza venga sollevata dal team legale di un finanziatore europeo prima della firma, anziché dopo. Si affianca al resto degli adempimenti relativi alla sovvenzione come un elemento da dimostrare piuttosto che da dare per scontato.

Tre domande sono sufficienti a chiarire la questione in una trattativa di appalto. In quale regione sono archiviati i dati e se ciò è specificato nel contratto. Quali subappaltatori hanno accesso ai dati e dove si trovano. E cosa succede ai dati alla scadenza del contratto, in quale formato e entro quale termine.

‍

Residenza dei dati in una piattaforma di sovvenzioni

Una piattaforma software per la gestione delle sovvenzioni dovrebbe essere in grado di indicare la regione in cui è ospitata, elencare i propri sub-responsabili del trattamento e definire le condizioni relative all’esportazione e alla cancellazione dei dati senza che sia necessaria una richiesta specifica. L’esistenza di tali documenti costituisce già di per sé un indicatore ragionevole della serietà con cui un fornitore affronta la questione.

Inoltre, si ricollega al resto del file. La stessa disciplina che garantisce una traccia di audit attendibile sulle decisioni relative ai finanziamenti è quella che consente a un fornitore di indicare dove si trovano i documenti sottostanti.