Temat: chmura obliczeniowa a serwery dedykowane
Mariola M.:
Wszystko to piękne Pani Beato tylko w życiu trochę trudne w realizacji. Na przykład usłuogdawcy oferujący usługę w modelu SaS tysiącom administratorów, z którym z każdym powiedzmy powinni zawrzeć umowę powierzenia a w przypadku gdy dalej przekazują ich dane (korzystają z zewnętrznej infrastruktury) powinni odebrać zgodę od administratorów na podpowierzenie. Zgoda nie powinna być blankietowa, administrator powinien mieć prawo sprzeciwu wobec wyboru subprocesora. Jednak takie gwarancje w przypadku modelu biznesowego duży procesor i setki małych administratorów całkowicie może zahamować biznes. W jaki sposób pojedynczy użytkownik chmury może uzyskać informacje o podjętych przez dostawce środkach bezpieczeństwa. Nie bardzo widzę jak co chwila jakis mały admistrator wpada do procesora i go audytuje. Byłoby to nie lada wyzwanie organizacyjne dla zleceniobiorcy, problem właściwie nie do rozwiązania.Czy na przykład jeden zgłosi sprzeciw wobec subprocesora i zablokuje go pomimo, iż reszta się zgadza. To prawo veta całkowicie uniemożliwiałoby płynną eksploatację chmury. WIem, że takie są wytyczne grupy roboczej, jednak nie widzę tego w praktyce w tym modelu biznesowym, o którym wyżej. Nie wszystkie sytuacje oczywiście są takie, jak opisałam wyzej i tam, gdzie umowy mają charakter umów adhezyjnych a użytkowników są tysiące.
Pani Mariolu,
Jeśli chodzi o samo określenie podpowierzającego w umowie powierzenia to przybiera ono różne formy. Klauzula zgody jest udzielana już na poziomie tej umowy. Zapisy te są naprawdę różne. Różne bowiem są rodzaje usług, grupy odbiorców i kryteria ich zgodności. Są przypadki gdzie są nawet różne wzory umów powierzenia, przedkładane w zależności od klienta. Dobrą praktyką, którą ja polecam, jest jeden wzór i otwartość na modyfikowanie w zależności od potrzeb klienta.
Nie rozumiem Pani twierdzenia "Czy na przykład jeden zgłosi sprzeciw wobec subprocesora i zablokuje go pomimo, iż reszta się zgadza. To prawo veta całkowicie uniemożliwiałoby płynną eksploatację chmury".
W praktyce jest tak, że dostawca wybiera podpowierzającego i przed faktem dokonanym stawia Administratora Danych. Często w umowach stosowane są klauzule zgody na dalsze powierzenie podmiotowi mającemu siedzibę na terenie EOG. Administrator Danych ma wtedy cztery opcje:
1. podpisuje umowę
2. modyfikuje umowę w poszczególnych zapisach, z którymi zgadza się dostawca i następnie strony podpisują umowę
3. nie podpisuje umowy, korzysta z usługi
4. nie podpisuje umowy, nie korzysta z usługi
Jeśli jeden klient nie podpisze umowy to nie wpłynie w żadnym stopniu na SLA dostawcy. Będzie on dalej świadczył na określonym poziomie usługę dla klientów.
Pamiętajmy jednak, że to dostawca dostarcza usługę klientowi, a nie odwrotnie. Dostawca powinien wiedzieć jaką zgodność mają spełniać jego klienci (grupa docelowa) by mogli korzystać z jego usług. Jeśli jego prawnik nie zwróci mu na to uwagi już na etapie wyboru podpowierzającego to będzie ponosił straty (nie będzie miał klientów). Podam przykład:
Jeżeli jedną z kluczowych przesłanek dla odbiorców usługi są serwery na terenie Polski, a dostawca nie ma własnej infrastruktury to jego pole wyboru jest ograniczone tym kryterium. Jeśli wybierze sobie podmiot poza Polską to będzie miał problem gdy klienci jeszcze przed zawarciem umowy o świadczenie usługi będą chcieli w umowie powierzenia określać położenie serwerów na terenie Polski. Administrator Danych decyduje o środkach i celach przetwarzania danych osobowych i ponosi odpowiedzialność za przetwarzanie danych. Ma zatem pełne prawo modyfikować zapisy aż do osiągnięcia swojej zgodności. W omawianym przypadku jej nie osiągnie bo serwery są poza Polską. Umowa nie zostanie podpisana. Klient pójdzie do konkurencji, a dostawca jeśli szybko nie zareaguje będzie tracił kolejnych klientów. Oczywiście w takim przypadku powinien dostrzec także to, że to jego prawnik zatwierdził wybór podpowierzającego i nie zasygnalizował możliwych problemów, które właśnie się pojawiły. Jeżeli przyczyną jest brak specjalziacji to warto albo wymienić prawnika na nowego albo korzystać z usług zewnętrznego prawnika specjalizującego się w temacie, który wspiera dział prawny firmy.
Jeśli zaś chodzi o audyt to jest to sprawa bardzo indywidualna. Często klientom wystarcza odpowiedź na kilka pytań (wypełniają sobie swoją listę kontrolną) a czasem nie. Wszystko zależy od wielkości klienta. Prawda jest taka, że mniejsi klienci ostatecznie zostają z checklistami, a więksi mogą sobie audytować inaczej. Zawsze jest tak, że to dostawca współpracuje z Administratorem Danych. Jeśli nie będzie tego robił odpowiednio to straci klienta.
Pozdrawiam,
Beata Marek
пропозиції роботи
