إذا كان مزوّد السحابة لديكم في الخارج، فأنتم تنقلون بيانات بالفعل

اسألوا مؤسسة "هل تنقلون بيانات إلى الخارج؟" وسيكون الجواب عادةً لا. اسألوا أي خدمات تستخدم، وستظهر قائمة: استضافة سحابية، بريد إلكتروني، برمجية دعم عملاء، أداة تحليلات، مزوّد دفع، خدمة نسخ احتياطي.

معظم الخدمات في تلك القائمة ليست خوادمها في تركيا. الجواب الحقيقي كان نعم، والمؤسسة لم تكن تعلم.

سوء الفهم ينبع من كلمة "نقل" نفسها، التي توحي بفعل متعمّد: أخذ ملف وإرساله. لكن الاحتفاظ ببيانات على نظام في الخارج، أو معالجتها هناك، هو نقل أيضًا. لا حاجة إلى فعل إرسال منفصل.

أين يبدأ النقل فعليًا

المادة 9 من القانون التركي رقم 6698 تحكم النقل إلى الخارج. الصعوبة عمليًا ليست في الحكم نفسه، بل في تحديد متى يكون النقل قد وقع فعلًا.

كل الحالات الثلاث التالية تُنشئ نقلًا: بيانات مستضافة على خادم في الخارج؛ فريق في الخارج قادر على الوصول إلى النظام لأغراض الدعم؛ وبيانات تُعالَج في الخارج وتُعاد نتيجتها. الحالة الثالثة هي الأكثر إغفالًا. إذا استخدمتم خدمة تحليل نصوص ومقرّها الخارج، فإن النص الذي ترسلونه يُعالَج هناك. استرجاع النتيجة لا يعني عدم وقوع نقل.

موقعنا نفسه فيه هذه الميزة بالضبط. حقل النص الحر في الصفحة الرئيسية يرسل النص المُدخَل إلى مزوّد في الخارج للتحليل. لهذا يخصص إشعار حماية البيانات لدينا قسمًا لذلك، ويستطيع الزائر تصفّح بقية الموقع كاملة من دون استخدام ذلك الحقل إطلاقًا. ضمان عدم وقوع أي نقل إطلاقًا حين لا تُستخدم الميزة كان قرار تصميم بقدر الميزة نفسها.

العمود المفقود في الجرد

معظم جرود البيانات تُدرج الفئة والغرض ومدة الاحتفاظ. العمود المفقود هو: في أي بلد تقيم هذه البيانات ماديًا؟

أضيفوا هذا العمود وستتغيّر الصورة. بعض البيانات التي افترضت المؤسسة أنها في مركز بياناتها الخاص تتبيّن أنها في الخارج. النسخ الاحتياطية هي العنصر الأكثر إغفالًا، لأن خدمة النسخ الاحتياطي عادةً مزوّد منفصل ولا يتحقق أحد من موقعها.

عند بناء الجرد، اسألوا المزوّد مباشرة. إذا التزم العقد بشأن مكان إقامة البيانات، وثّقوا ذلك كتابةً. إن لم يفعل، يمكن للمزوّد تغيير الترتيب من طرف واحد ولن تكتشفوا ذلك.

سلسلة المعالجين الفرعيين

الطبقة الثانية أقل ظهورًا. المزوّد الذي تستخدمونه قد يعتمد بدوره على مزوّدين آخرين لبنيته التحتية الخاصة.

تستخدمون أداة دعم عملاء؛ تلك الأداة تعمل على مزوّد سحابي؛ يستخدم خدمة منفصلة للبحث؛ ويتصل بطرف ثالث لإرسال الإشعارات. بياناتكم تمرّ عبر السلسلة بأكملها.

لا يمكنكم التحكم الكامل بتلك السلسلة، لكن يمكنكم جعلها مرئية. يجب أن يشترط العقد الإشعار عند استخدام معالجين فرعيين ويمنح حق الاعتراض على أي تغيير. معظم مزوّدي الخدمات للمؤسسات يقدمون هذا أصلًا، فقط يجب طلبه.

ما ينبغي فعله

الخطوة الأولى هي بناء جرد للخدمات: اسم كل خدمة خارجية مستخدَمة، والغرض منها، وفئات البيانات الشخصية التي يمكنها الوصول إليها، وموقع خوادمها.

بمجرد وجود هذا الجدول، هناك ثلاثة خيارات: استبدال الخدمة ببديل مستضاف في تركيا، أو الانتقال إلى المنطقة التركية للمزوّد إن وُجدت، أو وضع النقل على أساس قانوني سليم باستخدام إحدى الآليات التي ينص عليها القانون.

كل الخيارات الثلاثة له تكلفة، والاختيار الصحيح يعتمد على طبيعة العمل. لكن عدم اختيار أي منها، أي عدم ملاحظة الوضع إطلاقًا، هو الخيار الأكثر كلفة، لأنه يعني أيضًا أن إشعار حماية البيانات لديكم يقدّم معلومات غير دقيقة، وثغرة واحدة تنتهي بانتهاك التزامين في آن واحد.

القواعد في هذا المجال ما زالت تتطور، وقرارات المجلس تعيد رسم الإطار بشكل دوري. تحققوا من الوضع الحالي قبل اختيار آلية نقل.