REQVERA
Dichiarare lo scostamento · Scheda di decisione 06

«Tutti i dati restano nel Paese». L'architettura non può garantirlo.

Situazione illustrativa · Non è un caso cliente
La domanda del committente

Confermate che tutti i dati del cliente sono conservati, trattati e consultati esclusivamente in [Paese richiesto], inclusi subappaltatori e supporto.

La regione del database risponde solo a parte del requisito. Non confermare esclusività senza verificare archiviazione, copie, supporto e accessi della configurazione proposta. Un trasferimento consentito può comunque non rispettare il vincolo contrattuale più restrittivo del committente.

Una risposta da adattare

Non possiamo confermare conservazione, trattamento e accesso esclusivi in [Paese richiesto] per tutti i dati del [servizio, configurazione e piano] proposto. Per [categoria verificata], la conservazione a riposo avviene in [luogo verificato e configurazione applicabile]. Le eccezioni attuali sono [categoria, operazione, fornitore o entità, luogo e finalità; indicare fatti irrisolti]. In particolare, [eccezione verificata di backup, registri, supporto o accesso remoto] non rientra in un impegno esclusivamente nazionale. [Solo se verificato: Le garanzie applicabili al trattamento identificato sono descritte in [documento approvato e versione].] Non soddisfano da sole il requisito di ubicazione esclusiva. Possiamo proporre [configurazione alternativa o eccezione delimitata approvata, se esistente], alle [condizioni tecniche, contrattuali e di distribuzione documentate]. Confermate tramite [canale autorizzato] se l'alternativa può essere valutata. Fino alla decisione richiesta, registreremo il requisito come non soddisfatto e non descriveremo il servizio come interamente nazionale.

Sostituisca ogni campo tra parentesi quadre con fatti verificati. Elimini le frasi facoltative che non può documentare. Non presenti questa formulazione senza adattarla.

Le condizioni che sostengono la risposta

Dichiarare la lacuna di residenza esclusiva mappando archivi, backup, registri, sub-responsabili e accesso remoto, senza confondere trasferimento lecito e accettazione del committente.

  • Definire «dati» prima della geografia

    Stabilire se la clausola include contenuti, dati personali, metadati, telemetria, allegati di supporto, registri sicurezza, backup e residui di dati eliminati. Non sostituire implicitamente la definizione del fornitore al più ampio «tutti i dati». Microsoft EU Data Boundary, ad esempio, distingue categorie e documenta trasferimenti limitati: dimostra la necessità di leggere condizioni e perimetro, non che una particolare eccezione sia accettabile.

  • Separare residenza, accesso e ripristino

    Verificare ubicazione di ogni copia, luogo del trattamento e accessi di persone o entità autorizzate. Un database nazionale non indica dove si ripristinano backup, vanno allegati o si leggono dati da remoto. Il failover può cambiare l'organizzazione normale proprio durante una crisi. Mappare percorso eccezionale e ordinario prima di un impegno assoluto.

  • Separare analisi legale del trasferimento e idoneità alla gara

    Nei contesti GDPR, EDPB identifica tre criteri cumulativi per un trasferimento del capo V, incluso rendere dati disponibili a un altro titolare o responsabile in un Paese terzo. Non tutti gli accessi dei dipendenti dall'estero hanno la stessa classificazione. Privacy o legale valutano entità e flussi effettivi. Anche un'organizzazione lecita non soddisfa automaticamente un vincolo contrattuale di Paese esclusivo: sono domande separate.

Cinque percorsi nascosti dietro una regione

Assegnare a ogni percorso luogo, entità ed eccezione verificati. Un campo vuoto è un fatto irrisolto, non prova di trattamento nazionale.

Contenuto principale
Verificare servizio esatto, regione e categoria coperta dall'impegno di archiviazione.
Backup e ripristino
Verificare repliche, destinazioni, disaster recovery e conservazione residua dopo eliminazione.
Registri e telemetria
Identificare eventuali dati personali o del cliente e dove vengono trattati.
Supporto e sub-responsabili
Tracciare allegati, diagnostica, integrazioni e rispettive entità responsabili.
Accesso remoto
Identificare chi accede a quali dati da dove e con quali controlli; ottenere verifica privacy e contrattuale pertinente.

La documentazione da acquisire

  • Inventario dei percorsi per questa offerta

    Identificare categoria, operazione, Paese, entità, servizio e responsabile delle prove. Includere archivi principali, repliche, ripristino, registri, supporto, analisi e integrazioni effettivamente proposte. Segnare ignote le ubicazioni ignote. Richiedere prove di configurazione a infrastruttura e applicazione: un diagramma o politica non collegati all'ambiente offerto non devono sostenere l'intera esclusività.

  • Condizioni attuali e confini di accesso

    Verificare contratti, trattamento, sub-responsabili, impegni regionali del servizio ed eccezioni. Controllare se il piano consente la restrizione e se richiede configurazione. Identificare controlli e approvazioni per accessi remoti. Riepiloghi commerciali o elenchi storici non dimostrano il percorso proposto attuale. Conservare versioni e date con la risposta.

  • Prove del ciclo di vita e dei cambiamenti

    Verificare esportazione, indagini, failover, chiusura account e scadenze di conservazione. Stabilire chi modifica geografia o abilita servizi dopo l'avvio. Per alternative ottenere approvazione tecnica, perimetro contrattuale, condizioni attuative e accettazione autorizzata. Non affermare che restrizioni future siano già attive o che i backup siano eliminati istantaneamente senza verifica.

La decisione da approvare

Responsabili dell’approvazione
Infrastruttura e applicazione verificano i percorsi; sicurezza valida gli accessi; privacy o legale esamina i trasferimenti; responsabile offerte e commerciale gestiscono idoneità, chiarimenti e impegni.
Procedere
Procedere se la configurazione verificata rispetta il perimetro o una decisione autorizzata accetta la deviazione precisamente dichiarata. Separare ciò che viene conservato, trattato e consultato in ogni luogo.
Non procedere
Non dichiarare esclusività con percorsi pertinenti fuori dal confine o non verificati. Un requisito obbligatorio invariato impossibile da soddisfare resta non soddisfatto; una garanzia o rassicurazione non costituisce eccezione.
Richiedere una decisione
Sottoporre categorie indefinite, entità di accesso, destinazioni di ripristino, eccezioni di fornitura e meccanismi legali. Chiedere una definizione più precisa attraverso il processo ufficiale, senza restringere unilateralmente la risposta.

Conservare la decisione nei file da presentare

Risposta sulla residenza, architettura, allegato trattamento, elenco fornitori e deroghe devono descrivere un'unica configurazione approvata. Una nuova integrazione o variazione di supporto può invalidare risposte precedenti. REQVERA riguarda coerenza di requisiti, risposte, prove approvate e file finali; la pagina non valuta architetture cliente né certifica liceità del trattamento.

Vedere il flusso reale di controllo finale

Ambito e fonti di riferimento

Guida illustrativa. Le fonti GDPR valgono solo nei contesti GDPR, non come regola globale; Paesi, settori e committenti possono imporre obblighi diversi. Nessuna conclusione legale sul deployment. I documenti dei fornitori illustrano differenze di perimetro, non l'architettura REQVERA o sostituti universali dell'esclusività. Completare o eliminare ogni campo condizionato.