Kiểm soát lưu trú dữ liệu GDPR cần bằng chứng, không phải lời hứa

Bộ chọn khu vực EU rất hữu ích, nhưng không chứng minh dữ liệu cá nhân luôn ở trong khu vực đó. Bên mua cần lần theo từng bản sao và từng người có thể tiếp cận dữ liệu: cơ sở dữ liệu đang hoạt động, kho lưu trữ đối tượng, nhật ký, bản sao lưu, yêu cầu gửi tới nhà cung cấp mô hình, dữ liệu đo lường từ xa và các phiên hỗ trợ. Nếu một tuyến dữ liệu vượt ra ngoài ranh giới đã cam kết, tuyên bố về lưu trú dữ liệu phải có cơ chế chuyển dữ liệu và bằng chứng đi kèm.

Đó là lý do các biện pháp kiểm soát lưu trú dữ liệu theo GDPR cần được đánh giá như một chuỗi sự thật có thể thực thi. Ảnh chụp màn hình bảng điều khiển chỉ cho thấy một thiết lập. Nó không cho biết thiết lập đó bao phủ những gì, quản trị viên có thể ghi đè hay không, hoặc điều gì xảy ra khi có sự cố. Bộ phận mua sắm nên yêu cầu cam kết trong hợp đồng, mô tả hệ thống và một phép kiểm tra lặp lại được cho từng tuyên bố quan trọng.

Bài viết này đưa ra một chuẩn thực tế cho bên mua công cụ xây dựng ứng dụng AI. Đây không thay thế tư vấn của luật sư về một hoạt động chuyển dữ liệu, khu vực pháp lý hay hồ sơ rủi ro cụ thể.

Khóa khu vực phải xác định mọi loại dữ liệu

Việc khóa khu vực chỉ đáng tin khi nhà cung cấp xác định cả ranh giới địa lý lẫn dữ liệu thuộc phạm vi đó. «Lưu trữ tại EU» có thể chỉ có nghĩa cơ sở dữ liệu chính ở Frankfurt, trong khi câu lệnh được gửi tới điểm cuối mô hình ở nơi khác, nhật ký đi vào dịch vụ phân tích toàn cầu và bản sao lưu được nhân bản giữa các khu vực. Nhãn này nói lên rất ít cho đến khi nhà cung cấp lập bản đồ luồng dữ liệu.

Hãy yêu cầu một phụ lục vị trí dữ liệu nêu quốc gia được phép hoặc tập hợp quốc gia được phép cho từng loại dữ liệu. Tối thiểu, phụ lục phải bao gồm bản ghi ứng dụng, tệp tải lên, câu lệnh và phản hồi mô hình, embedding, bí mật, dữ liệu xác thực, nhật ký, chỉ số, dấu vết, báo cáo sự cố, tệp đính kèm hỗ trợ và bản sao lưu. Nó cũng cần nêu rõ «EU» là Liên minh châu Âu, EEA rộng hơn hay một nhóm do nhà cung cấp tự xác định có gồm các quốc gia khác.

Biện pháp kiểm soát này cần phạm vi rõ ràng. Khu vực được chọn áp dụng cho không gian làm việc của công cụ xây dựng, môi trường chạy sản xuất của ứng dụng được tạo ra, hay cả hai? Nó có bao gồm môi trường xem trước, triển khai theo nhánh, máy thực hiện bản dựng tạm thời, hàng đợi, bộ nhớ đệm, chỉ mục tìm kiếm, bộ nhớ đệm phân phối nội dung và bản sao khôi phục thảm họa không? Một công cụ xây dựng ứng dụng có thể giữ cơ sở dữ liệu hoàn chỉnh tại một khu vực, nhưng xử lý mã nguồn, câu lệnh và đầu ra bản dựng ở nơi khác.

Yêu cầu nhà cung cấp xác định ngoại lệ bằng văn bản. Một ngoại lệ hẹp có thể quản lý được nếu bên mua hiểu dữ liệu, mục đích, điểm đến, thời gian lưu giữ và biện pháp bảo vệ. Điều khoản mơ hồ như «dữ liệu vận hành có thể được xử lý trên toàn cầu» làm mất ý nghĩa của kiểm soát, vì dữ liệu vận hành thường chứa mã định danh người dùng, đường dẫn yêu cầu, đoạn câu lệnh và tải trọng lỗi.

Bằng chứng tốt nhất kết hợp ba lớp. Hợp đồng hoặc biểu mẫu đặt hàng nêu khu vực đã cam kết và quy trình thay đổi. Tài liệu kiến trúc liên kết từng loại dữ liệu với một dịch vụ và địa điểm. Hồ sơ kỹ thuật, chẳng hạn phản hồi API hoặc bản ghi triển khai, chứng minh thiết lập cho chính tenant của bên mua.

Ví dụ, yêu cầu nhà cung cấp xuất một hồ sơ tenant có cấu trúc ổn định:

{
  "tenant_id": "acme-eu",
  "workspace_region": "eu-central",
  "runtime_region": "eu-central",
  "backup_regions": ["eu-central", "eu-west"],
  "support_access_policy": "eea_only",
  "effective_at": "2026-07-01T00:00:00Z"
}

Tên trường sẽ khác tùy sản phẩm. Điều hữu ích là hồ sơ phân biệt không gian làm việc, môi trường chạy, sao lưu và chính sách hỗ trợ thay vì gộp chúng vào một huy hiệu «EU» màu xanh. Hãy hỏi ai có thể thay đổi các giá trị này, bên mua có thể phát hiện thay đổi hay không và điều gì xảy ra với các bản sao hiện có sau khi chuyển vùng.

Bản sao lưu cần cam kết lưu trú riêng

Bản sao lưu phải tuân theo chính sách rõ ràng về địa điểm, lưu giữ, xóa và khôi phục. Chúng là các bản sao riêng biệt với hạ tầng, đường truy cập và vòng đời riêng. Một nhà cung cấp chỉ cam kết nơi «dữ liệu khách hàng khi không sử dụng» được lưu có thể chưa cam kết các kho sao lưu, bản chụp nhanh hoặc bản sao khôi phục thảm họa ở cùng ranh giới.

Hãy hỏi nơi lưu mọi bản sao lưu, gồm bản chụp cơ sở dữ liệu, phiên bản đối tượng, ổ đĩa được nhân bản, bản sao lưu cấu hình và bản sao phục hồi do nhà cung cấp quản lý. Yêu cầu nhà cung cấp nêu rõ việc nhân bản chỉ trong một quốc gia, di chuyển giữa các quốc gia EEA hay sang nước thứ ba. Kiến trúc sẵn sàng cao có thể biện minh cho khu vực thứ hai, nhưng không khiến địa điểm đó trở nên không quan trọng.

Câu trả lời về lưu giữ cần có con số và sự kiện. Bộ phận mua sắm nên có thời hạn lưu giữ sao lưu thông thường, mọi tầng lưu trữ dài hạn hơn, thời gian để phương tiện hết hạn không thể phục hồi và cách xử lý bản sao lưu sau khi hợp đồng chấm dứt. «Đã xóa theo chính sách» không thể kiểm tra. Một lịch biểu nêu rằng các điểm phục hồi hằng ngày hết hạn sau khoảng thời gian xác định, còn bản sao lưu của tenant đã chấm dứt sẽ không thể truy cập rồi hết hạn theo thời hạn xác định, có thể kiểm tra được.

Xóa logic và hết hạn vật lý là hai việc khác nhau. Một bản ghi đã xóa có thể vẫn nằm trong bản sao lưu được mã hóa cho đến khi điểm phục hồi hết hạn. Điều đó có thể phù hợp với thiết kế lưu giữ đã lập thành tài liệu, nhưng nhà cung cấp cần giải thích cách họ ngăn việc khôi phục thông thường âm thầm kích hoạt lại dữ liệu đã xóa. Quy trình khôi phục trưởng thành sẽ phát lại các dấu xóa hoặc yêu cầu đối soát sau khôi phục trước khi hệ thống hoạt động trở lại.

Hãy xin một tài liệu kiểm tra khôi phục gần đây đã lược bỏ thông tin nhạy cảm. Tài liệu cần nêu khu vực của bản sao lưu nguồn, điểm khôi phục, người hoặc vai trò dịch vụ tham gia, hồ sơ phê duyệt và việc hủy bản sao đã khôi phục. Chính sách khôi phục thảm họa chung chỉ chứng minh ai đó đã viết chính sách. Hồ sơ khôi phục chứng minh quy trình vận hành biết bản sao đã đi đâu.

Mã hóa không xóa bỏ câu hỏi về địa điểm. Nó có thể giảm rủi ro, đặc biệt khi khóa và vai trò quản trị được tách biệt, nhưng bản sao lưu tại nước thứ ba vẫn có thể là hoạt động chuyển dữ liệu cần cơ chế hợp lệ và đánh giá. Bộ phận mua sắm nên ghi nhận quyền sở hữu khóa, vị trí khóa, quyền khôi phục và liệu nhân sự nhà cung cấp có thể lấy dữ liệu dạng rõ khi phục hồi hay không.

Danh sách bên xử lý phụ phải mô tả chuỗi thực tế

Sổ đăng ký bên xử lý phụ hữu ích sẽ liên kết từng công ty với mục đích, loại dữ liệu, địa điểm xử lý và cơ sở chuyển dữ liệu. Danh sách logo hoặc tên pháp lý chỉ là kiểm kê, không giải thích dữ liệu của bên mua di chuyển ra sao. Các công cụ xây dựng ứng dụng AI thường phụ thuộc vào dịch vụ lưu trữ đám mây, nhà cung cấp mô hình, quan sát hệ thống, gửi email, xác thực, hỗ trợ khách hàng và theo dõi lạm dụng. Mỗi vai trò có thể nhìn thấy một phần dữ liệu khác nhau.

Điều 28 GDPR yêu cầu bên xử lý phải có chấp thuận trước bằng văn bản, cụ thể hoặc chung, trước khi chỉ định một bên xử lý khác. Khi được chấp thuận chung, bên xử lý phải thông báo cho bên kiểm soát về việc dự kiến thêm hoặc thay thế để bên kiểm soát có thể phản đối. Bộ phận mua sắm nên biến quy tắc này thành yêu cầu vận hành: sổ đăng ký ổn định, thông báo trước qua kênh bên mua theo dõi, thời gian báo trước xác định và quy trình phản đối được nêu rõ.

Sổ đăng ký cần trả lời năm điểm cho mỗi bên xử lý phụ:

• pháp nhân nhận hoặc có thể truy cập dữ liệu
• dịch vụ và mục đích xử lý cụ thể
• loại dữ liệu cá nhân và tính năng sản phẩm bị ảnh hưởng
• quốc gia lưu trữ và truy cập từ xa
• cơ chế chuyển dữ liệu áp dụng và chuỗi bên xử lý phụ tiếp theo

Đừng chấp nhận «hạ tầng đám mây» như một câu trả lời về vị trí của dịch vụ mô hình. Hãy hỏi câu lệnh có được gửi tới nhà cung cấp mô hình không, họ có lưu giữ chúng không, con người có thể xem xét chúng không và bên mua có thể tắt nhà cung cấp hay chọn điểm cuối không. Nếu công cụ dùng nhiều mô hình, logic định tuyến rất quan trọng: khu vực dự án được chọn không thể kiểm soát yêu cầu mà lớp định tuyến gửi tới điểm cuối chưa được phê duyệt.

Thông báo thay đổi phải đến trước khi thay đổi có hiệu lực. Một trang web có thể thay đổi mà không báo trước buộc bộ phận mua sắm phải giám sát thủ công liên tục. Ngôn ngữ hợp đồng cần nêu thông báo gồm thông tin gì và điều gì xảy ra sau phản đối có căn cứ. Nhà cung cấp không cần hứa chuỗi cung ứng của mình sẽ không bao giờ thay đổi, nhưng bên mua cần thời gian đánh giá hoạt động chuyển dữ liệu mới trước khi dữ liệu bắt đầu chảy qua.

Trong quá trình thẩm định, yêu cầu nhà cung cấp đối chiếu ba thứ: sổ đăng ký công khai, phụ lục DPA và sơ đồ kiến trúc hoặc luồng dữ liệu hiện tại. Tên và địa điểm thường lệch nhau giữa các tài liệu sau khi nhà cung cấp chuyển đổi. Sự không khớp không tự động có nghĩa kiểm soát đã thất bại, nhưng nó cho thấy bên mua chưa có hồ sơ đáng tin cậy cho tới khi nhà cung cấp giải quyết vấn đề.

DPA phải biến thiết lập thành nghĩa vụ

Thỏa thuận xử lý dữ liệu cần nêu hướng dẫn xử lý, nghĩa vụ bảo mật, điều khoản xóa, quyền kiểm toán và kiểm soát bên xử lý phụ áp dụng cho dịch vụ đã mua. Tài liệu sản phẩm có thể giải thích tính năng, nhưng DPA và tài liệu đặt hàng mới xác định nhà cung cấp đã hứa gì với bên mua.

Điều 28(3) GDPR liệt kê các nội dung hợp đồng giữa bên kiểm soát và bên xử lý phải bao gồm, như đối tượng và thời hạn, bản chất và mục đích, loại dữ liệu cá nhân, nhóm chủ thể dữ liệu, bảo mật, hỗ trợ an ninh, xóa hoặc hoàn trả và thông tin cần thiết để chứng minh tuân thủ. Hướng dẫn 07/2020 của Ủy ban Bảo vệ Dữ liệu châu Âu cũng đưa ra cảnh báo hữu ích: thỏa thuận xử lý không nên chỉ lặp lại GDPR. Nó cần có thông tin cụ thể về cách đáp ứng yêu cầu và mức độ bảo mật cần thiết.

Tính cụ thể này đặc biệt quan trọng với lưu trú dữ liệu. Hãy gắn phụ lục xác định các khu vực bên mua chọn, môi trường thuộc phạm vi, quốc gia được phép truy cập từ xa, địa điểm sao lưu và bên xử lý phụ được phê duyệt. Nêu rõ nhà cung cấp không thể mở rộng đáng kể các địa điểm này nếu không theo thủ tục thông báo hoặc thay đổi đã thỏa thuận. Nếu tài liệu bán hàng nói «chỉ EU» nhưng DPA cho phép xử lý ở bất cứ nơi nào nhà cung cấp hoặc đơn vị liên kết hoạt động, hợp đồng sẽ được ưu tiên khi hai nội dung mâu thuẫn.

Hãy xem xét cả việc phân chia vai trò. Với nội dung khách hàng chỉ được dùng để cung cấp dịch vụ theo chỉ dẫn của bên mua, nhà cung cấp thường đóng vai trò bên xử lý. Nhà cung cấp có thể nêu vai trò bên kiểm soát độc lập đối với thanh toán, an ninh tài khoản, phòng chống gian lận hoặc nghĩa vụ pháp lý của họ. Đừng bác bỏ mọi mục đích độc lập ngay từ đầu. Yêu cầu họ xác định các mục đích đó, loại dữ liệu, cơ sở pháp lý, lưu giữ và chia sẻ, thay vì che giấu chúng trong quyền rộng rãi dùng toàn bộ dữ liệu dịch vụ.

Việc huấn luyện AI cần một điều khoản không mơ hồ. Hãy hỏi liệu nhà cung cấp hay bất kỳ nhà cung cấp mô hình nào dùng câu lệnh, dữ liệu ứng dụng, mã nguồn hoặc đầu ra để huấn luyện hay cải thiện mô hình tổng quát không. Nếu câu trả lời là không, hãy đưa hạn chế này vào DPA hoặc điều khoản sản phẩm kiểm soát và mở rộng nó tới các bên xử lý phụ. Nếu câu trả lời phụ thuộc vào thiết lập, hãy ghi lại giá trị mặc định, quản trị viên, phạm vi và dấu vết kiểm toán.

Ngôn ngữ kiểm toán cần tạo ra bằng chứng dùng được mà không đòi hỏi quyền truy cập không giới hạn vào cơ sở đa tenant. Báo cáo đảm bảo độc lập, bản tóm tắt kiểm tra xâm nhập, tài liệu bảo mật và phản hồi bằng văn bản có mục tiêu có thể đáp ứng nhu cầu rà soát thông thường. Bên mua nên giữ quyền yêu cầu thêm thông tin hoặc kiểm toán tương xứng khi các tài liệu này không giải quyết được quan ngại quan trọng hay một sự cố khiến biện pháp kiểm soát bị nghi ngờ.

SCCs chỉ giải quyết phần hợp đồng của việc chuyển dữ liệu

Các Điều khoản Hợp đồng Tiêu chuẩn có thể là công cụ chuyển dữ liệu theo Điều 46, nhưng việc ký chúng không chứng minh mọi hoạt động chuyển dữ liệu hợp pháp hoặc được bảo vệ đầy đủ. Bên mua phải chọn đúng mô-đun, hoàn thiện phụ lục, lập bản đồ các hoạt động chuyển tiếp theo chuỗi và đánh giá liệu điều khoản có hiệu quả trên thực tế tại điểm đến với dữ liệu đó hay không.

SCCs năm 2021 của Ủy ban châu Âu dùng bốn mô-đun dựa trên vai trò của các bên. Khách hàng EEA điển hình gửi dữ liệu cho bên xử lý ngoài EEA có thể dùng Mô-đun 2. Bên xử lý gửi dữ liệu cho bên xử lý phụ ở nước thứ ba có thể cần Mô-đun 3. Lựa chọn đúng phụ thuộc vào người xuất, người nhập và việc người nhập đã chịu GDPR cho hoạt động xử lý đó hay chưa, vì vậy luật sư cần xác nhận chuỗi thay vì dán Mô-đun 2 vào mọi thỏa thuận.

Phụ lục đã hoàn thiện là bằng chứng. Chúng cần nêu các bên, chủ thể dữ liệu, loại dữ liệu, dữ liệu nhạy cảm và biện pháp bảo vệ, tần suất chuyển, mục đích, lưu giữ, cơ quan giám sát có thẩm quyền, biện pháp kỹ thuật và tổ chức, cùng các bên xử lý phụ. Phụ lục để trống, mô tả chung như «toàn bộ dữ liệu khách hàng» hoặc lời hứa sẽ điền sau khiến điều khoản tách rời dịch vụ thực tế.

Khuyến nghị 01/2020 của EDPB đưa ra quy trình sáu bước: biết các hoạt động chuyển dữ liệu, xác định công cụ chuyển dữ liệu, đánh giá luật pháp hoặc thực tiễn nước thứ ba, áp dụng biện pháp bổ sung khi cần, hoàn thành thủ tục chính thức và đánh giá lại theo khoảng thời gian phù hợp. Khuyến nghị cũng coi truy cập từ xa tại nước thứ ba là một hoạt động chuyển dữ liệu. Đây là điểm bên mua thường bỏ lỡ khi chỉ tập trung vào bản đồ lưu trữ.

Đánh giá tác động của việc chuyển dữ liệu cần phù hợp với dịch vụ, thay vì chỉ là bản ghi nhớ pháp lý chung chung. Nó cần xác định bên nhập và điểm đến, dữ liệu và những người bị ảnh hưởng, đường truy cập, luật pháp và thực tiễn áp dụng, rủi ro truy cập của chính phủ, chuyển tiếp theo chuỗi và biện pháp bổ sung. Ghi lại ai đã phê duyệt đánh giá và thay đổi nào sẽ kích hoạt lần rà soát mới.

Mã hóa chỉ hữu ích khi thiết kế của nó xử lý rủi ro truy cập. Nếu dịch vụ phải giải mã câu lệnh cho nhân viên hỗ trợ hoặc điểm cuối mô hình ở quốc gia đích, mã hóa khi truyền không ngăn người nhận đọc dữ liệu. Biện pháp bổ sung hữu ích có thể là tách biệt truy cập chặt chẽ, giả danh hóa khi người nhận không có dữ liệu tái nhận diện, khóa do khách hàng kiểm soát cho khối lượng công việc có thể giữ ở dạng không đọc được, ghi nhật ký truy cập và nghĩa vụ phản đối hoặc thông báo theo hợp đồng khi pháp luật cho phép.

Quyết định công nhận mức độ bảo vệ đầy đủ có thể thay đổi con đường pháp lý cho một điểm đến, nhưng không xóa nhu cầu biết điểm đến hoặc kiểm soát bên xử lý. Bộ phận mua sắm nên yêu cầu nhà cung cấp xác định hoạt động chuyển nào dựa vào quyết định đầy đủ và hoạt động nào dựa vào SCCs hoặc cơ chế khác. Câu trả lời nên nằm trong danh mục chuyển dữ liệu, không phải trong câu chung chung rằng nhà cung cấp «tuân thủ GDPR».

Truy cập hỗ trợ là xử lý tại nơi người vận hành ngồi

Truy cập hỗ trợ từ xa từ ngoài EEA là chuyển dữ liệu khi người vận hành có thể xem dữ liệu cá nhân, ngay cả khi cơ sở dữ liệu không rời khu vực EU. Hãy coi vị trí hỗ trợ, phê duyệt và bằng chứng phiên là biện pháp kiểm soát lưu trú dữ liệu. Vị trí lưu trữ và vị trí truy cập của con người trả lời hai câu hỏi khác nhau.

Hãy yêu cầu nhà cung cấp tách hỗ trợ thông thường khỏi quyền truy cập kỹ thuật đặc quyền. Nhân viên tuyến đầu có thể cần siêu dữ liệu tài khoản nhưng không cần nội dung sản xuất. Kỹ sư trực có thể cần quyền tạm thời trong sự cố nghiêm trọng. Biện pháp kiểm soát cần cấp cho từng vai trò lượng dữ liệu ít nhất và thời gian ngắn nhất cần thiết, với phê duyệt chặt hơn cho truy cập môi trường sản xuất.

Bộ phận mua sắm nên yêu cầu nêu địa điểm truy cập hoặc chính sách khu vực có thể thực thi, không chấp nhận «hỗ trợ toàn cầu theo ca» mà không có danh sách quốc gia. Nhà cung cấp cần công bố nhân viên, đơn vị liên kết và nhà thầu có thể truy cập môi trường sản xuất, các quốc gia họ làm việc và cơ chế chuyển dữ liệu cho từng tuyến ngoài EEA. Nếu truy cập khẩn cấp có thể ghi đè hạn chế vị trí, hãy lập hồ sơ về điều kiện kích hoạt, người phê duyệt, thời hạn và thông báo cho bên mua.

Hãy thực hiện kiểm tra truy cập hỗ trợ trước khi phê duyệt hoặc trong giai đoạn thử nghiệm:

1. Tạo tenant thử nghiệm trong khu vực EU đã ký hợp đồng và thêm một bản ghi khách hàng tổng hợp độc nhất.
2. Mở yêu cầu hỗ trợ thường cần kiểm tra, nhưng không dán bản ghi vào phiếu hỗ trợ.
3. Yêu cầu nhà cung cấp hiển thị yêu cầu truy cập, người phê duyệt, quốc gia người vận hành, vai trò được cấp và thời điểm hết hạn.
4. Xác nhận nhật ký phiên ghi tenant, hành động, dấu thời gian và lý do mà không sao chép nội dung nhạy cảm vào nhật ký.
5. Thu hồi quyền truy cập, sau đó yêu cầu bằng chứng rằng vai trò hoặc phiên đó không còn truy cập được tenant.

Dùng dữ liệu tổng hợp vì kiểm tra thẩm định không nên tạo ra một lộ dữ liệu mới. Kết quả mong đợi là một gói bằng chứng nhỏ: mã phiếu, sự kiện phê duyệt, quyền tạm thời, mục kiểm toán phiên và sự kiện thu hồi. Nếu nhà cung cấp không thể chạy kiểm tra trực tiếp trong dịch vụ dùng chung, hãy xin một mẫu gần đây đã che thông tin và bản hướng dẫn gắn với biện pháp kiểm soát được lập thành tài liệu.

Truy cập khẩn cấp cần được xem xét kỹ tương tự. Nó có thể bỏ qua phê duyệt thông thường để khôi phục dịch vụ, nhưng không được bỏ qua nhận dạng, ghi nhật ký, hết hạn và rà soát sau đó. Hãy hỏi nhà cung cấp ngăn nhân viên dùng vai trò khẩn cấp để gỡ lỗi thông thường ra sao và bên mua sẽ biết việc truy cập đó như thế nào.

Đừng mặc định đòi ghi hình màn hình. Bản ghi có thể tạo thêm một bản sao giàu dữ liệu cá nhân và thông tin xác thực. Sự kiện kiểm toán có cấu trúc thường đưa ra bằng chứng tốt hơn với mức phơi lộ thấp hơn: ai đã truy cập tenant nào, từ quốc gia nào, theo phiếu nào, dùng vai trò nào, trong bao lâu và đã thực hiện những nhóm hành động nào.

Bằng chứng phải tồn tại qua thay đổi và sự cố

Bộ phận mua sắm cần thu thập bằng chứng có người phụ trách, ngày tháng, phạm vi và điều kiện cập nhật. Một câu trả lời chỉn chu khi đánh giá bán hàng sẽ lỗi thời khi nhà cung cấp thêm nhà cung cấp mô hình, chuyển đội hỗ trợ, đổi thiết kế sao lưu hoặc mở khu vực mới. Quản lý bằng chứng là một phần của kiểm soát, không phải việc lưu hồ sơ sau quyết định.

Dùng ma trận kiểm soát - bằng chứng trong hồ sơ phê duyệt. Mỗi dòng gồm bốn trường: tuyên bố kiểm soát, bằng chứng hợp đồng, bằng chứng kỹ thuật và điều kiện cập nhật.

1. Với khu vực không gian làm việc và môi trường chạy đã phê duyệt, lưu biểu mẫu đặt hàng và phụ lục vị trí cạnh hồ sơ khu vực tenant và bản đồ luồng dữ liệu. Cập nhật sau khi khu vực hoặc kiến trúc thay đổi.
2. Với địa điểm sao lưu, ghép lịch sao lưu và xóa với hồ sơ kiểm tra khôi phục. Cập nhật sau khi đổi nhà cung cấp sao lưu hoặc khôi phục thảm họa.
3. Với chuỗi bên xử lý phụ được phê duyệt, ghép điều khoản ủy quyền trong DPA với sổ đăng ký đã đối chiếu kiến trúc. Rà soát sau thông báo thêm hoặc thay thế.
4. Với hoạt động chuyển dữ liệu sang nước thứ ba, ghép SCCs hoặc tham chiếu quyết định đầy đủ với danh mục và đánh giá chuyển dữ liệu. Rà soát sau khi thay đổi điểm đến, luật pháp hoặc quyền truy cập.
5. Với vị trí hỗ trợ, ghép phụ lục truy cập hỗ trợ với nhật ký phê duyệt, phiên và thu hồi. Cập nhật sau khi đổi quốc gia hỗ trợ hoặc vai trò.

Giao từng dòng cho một người ở mỗi bên. Người phụ trách phía nhà cung cấp trả lời các yêu cầu thay đổi và bằng chứng. Người phụ trách phía bên mua quyết định thông báo có cần được đội quyền riêng tư, bảo mật, kỹ thuật hay pháp lý xem xét không. Hộp thư dùng chung không có người chịu trách nhiệm không phải là biện pháp kiểm soát vận hành.

Xác định ngưỡng thông báo. Một bên xử lý phụ mới chỉ gửi email trạng thái dịch vụ có thể cần rà soát nhẹ hơn nhà cung cấp mô hình nhận câu lệnh. Một quốc gia sao lưu mới, mở rộng địa điểm hỗ trợ, thay đổi mục đích huấn luyện hoặc ghi đè khu vực đã ký hợp đồng nên dừng triển khai dữ liệu nhạy cảm mới cho đến khi bên mua hoàn tất đánh giá.

Bằng chứng sự cố cần cho thấy ranh giới lưu trú dữ liệu có được giữ vững hay không. Yêu cầu quy trình sự cố của nhà cung cấp lưu giữ cấu hình khu vực liên quan, thay đổi quản trị, truy cập hỗ trợ, sự kiện xuất dữ liệu và sự tham gia của bên xử lý phụ. DPA cần quy định nghĩa vụ thông báo và điều khoản hợp tác, còn sổ tay xử lý sự cố cần xác định các hồ sơ có thể trả lời dữ liệu bị ảnh hưởng đã được lưu và xem ở đâu.

Chứng nhận có thể hỗ trợ hồ sơ này, nhưng không thay thế được câu trả lời riêng cho dịch vụ. Báo cáo đảm bảo có thể kiểm tra quản lý truy cập và sao lưu mà không nói gì về khu vực chính xác một tenant đã mua. Hãy liên kết phạm vi và ngoại lệ của báo cáo với dòng kiểm soát, rồi bù phần còn thiếu bằng bằng chứng hợp đồng hoặc tenant.

Yêu cầu phải tạo ra câu trả lời có thể kiểm tra

Viết yêu cầu lưu trú dữ liệu để nhà cung cấp có thể trả lời có, không hoặc không áp dụng, rồi đính kèm một tài liệu được nêu tên. Câu hỏi rộng dẫn đến cam kết rộng. «Hãy mô tả cách tiếp cận GDPR của bạn» sẽ tạo ra vài trang trình bày trau chuốt và hầu như không có bằng chứng phê duyệt. Yêu cầu gắn với dữ liệu, địa điểm, hành vi và chứng cứ sẽ nhanh chóng lộ ra khoảng trống.

Một yêu cầu khả thi về lưu trữ có thể viết: «Nhà cung cấp phải lưu trữ và xử lý nội dung khách hàng sản xuất, câu lệnh, mã nguồn được tạo và bản ghi xác thực chỉ tại các quốc gia liệt kê trong Phụ lục A, trừ các hoạt động chuyển dữ liệu liệt kê trong Phụ lục B.» Các phụ lục quan trọng không kém câu này. Phụ lục A xác định ranh giới được phê duyệt. Phụ lục B buộc các bên nêu tên ngoại lệ thay vì dựa vào một quyền chung bị chôn ở nơi khác.

Dùng yêu cầu riêng cho từng biện pháp kiểm soát. Những câu hỏi sau phù hợp trong RFP hoặc phụ lục bảo mật:

• Liệt kê mọi thành phần dịch vụ không kế thừa khu vực tenant đã chọn, cùng dữ liệu, quốc gia, mục đích và thời hạn lưu giữ.
• Xác định mọi quốc gia mà nhân sự có thể truy cập nội dung sản xuất, đồng thời đính kèm tiêu chuẩn phê duyệt và ghi nhật ký cho quyền truy cập đó.
• Nêu mọi địa điểm sao lưu và khôi phục thảm họa, thời hạn lưu giữ, sự kiện xóa và điểm đến khôi phục được phép.
• Cung cấp sổ đăng ký bên xử lý phụ hiện tại và đánh dấu đơn vị nào có thể nhận câu lệnh, mã nguồn, bản ghi ứng dụng hoặc tệp đính kèm hỗ trợ.
• Liên kết mỗi hoạt động chuyển sang nước thứ ba với quyết định đầy đủ, mô-đun SCC hoặc cơ chế được dựa vào khác, đồng thời cung cấp người phụ trách đánh giá và ngày rà soát.

Tránh câu chữ tuyệt đối mà kiến trúc không thể đáp ứng hợp lý. «Không dữ liệu nào rời Đức» có thể vô tình cấm gửi email cho chính quản trị viên của bên mua ở nước ngoài hoặc người dùng được ủy quyền đọc ứng dụng khi đi công tác. Hãy xác định yêu cầu có bao gồm lưu trữ và xử lý do nhà cung cấp kiểm soát, truyền qua mạng, truy cập của người dùng bên mua hay tất cả. Sự chính xác làm biện pháp bảo vệ mạnh hơn vì mọi người đều có thể nhận ra vi phạm.

Tách kiểm soát bắt buộc khỏi ưu tiên trước khi gửi bảng câu hỏi. Nếu chỉ hỗ trợ truy cập trong EU là bắt buộc, hãy nói rõ và loại thiết kế xung đột. Nếu đó là ưu tiên, hãy đánh giá tuyến nước thứ ba có tài liệu kèm công cụ chuyển dữ liệu và biện pháp bảo vệ. Nhà cung cấp sẽ trả lời thiếu tin cậy khi bên mua gắn nhãn mọi câu hỏi là «then chốt» rồi miễn một nửa trong thương lượng thương mại.

Yêu cầu độ mới của bằng chứng. Sơ đồ kiến trúc và sổ đăng ký bên xử lý phụ cần có ngày hiệu lực. Phụ lục hợp đồng cần xác định phiên bản dịch vụ hoặc gói dịch vụ mà chúng bao phủ. Mẫu vận hành cần xuất phát từ biện pháp kiểm soát hiện tại, không phải hệ thống đã ngừng dùng. Đặt ngày hết hạn hoặc lần rà soát theo sự kiện cho bằng chứng có thể thay đổi, trong khi điều khoản đã ký vẫn ở trong hồ sơ cho đến khi được sửa đổi.

Cuối cùng, hãy nêu rõ các xung đột. Nhà cung cấp nên chỉ ra mọi câu trả lời phụ thuộc vào gói cao cấp, cấu hình tùy chọn, hành động của khách hàng hoặc tính năng dự kiến. Khi đó bộ phận mua sắm có thể đưa điều kiện tiên quyết vào đơn hàng và bàn giao cho người phụ trách triển khai. Một biện pháp kiểm soát phụ thuộc vào thiết lập sẽ thất bại nếu không ai biết ai phải bật thiết lập đó.

Chấm điểm tuyên bố, không chấm điểm ngôn ngữ bán hàng

Bên mua có thể chấm mức sẵn sàng về lưu trú dữ liệu bằng cách hỏi liệu mỗi tuyến dữ liệu quan trọng có đủ ba dạng chứng cứ không: cam kết ràng buộc, mô tả hệ thống hiện hành và bằng chứng riêng theo tenant hoặc vận hành gần đây. Thiếu một lớp sẽ tạo ra yêu cầu theo dõi chính xác thay vì tranh luận mơ hồ về việc nhà cung cấp có «tuân thủ GDPR» không.

Dùng bốn trạng thái quyết định:

• Đã xác minh: bằng chứng thống nhất, bao phủ dịch vụ đã mua và có quy trình cập nhật.
• Phê duyệt có điều kiện: khoảng trống giới hạn có người phụ trách, thời hạn và biện pháp kiểm soát bù đắp.
• Hạn chế: dịch vụ chỉ được xử lý dữ liệu phù hợp với trường hợp sử dụng rủi ro thấp đã xác định.
• Từ chối: một tuyến chuyển dữ liệu hoặc truy cập quan trọng vẫn chưa rõ, không có ranh giới hoặc được hợp đồng cho phép trái với yêu cầu của bên mua.

Cách tiếp cận này cũng ngăn hai thói quen mua sắm không tốt. Thứ nhất là từ chối mọi nhà cung cấp toàn cầu chỉ vì họ có nhân viên ngoài châu Âu, ngay cả khi những người đó không thể truy cập môi trường của bên mua. Thứ hai là phê duyệt sản phẩm «được lưu trữ tại EU» mà không kiểm tra định tuyến mô hình hoặc truy cập hỗ trợ. Phạm vi hoạt động theo khu vực pháp lý chỉ là bối cảnh. Luồng dữ liệu thực tế và biện pháp kiểm soát có thể thực thi mới quyết định mức phơi lộ.

Áp dụng điểm số cho đúng phiên bản và cấu hình đang mua. Các kiểm soát doanh nghiệp được mô tả trong tài liệu bảo mật có thể không tồn tại ở gói miễn phí hoặc tự phục vụ. Lựa chọn khu vực có thể chỉ áp dụng cho môi trường sản xuất được lưu trữ, còn bản xem trước hoặc không gian làm việc của công cụ xây dựng theo địa điểm mặc định. Ghi điều kiện tiên quyết, giới hạn gói và thiết lập vào biểu mẫu đặt hàng để thiết kế được phê duyệt khớp với thứ quản trị viên có thể triển khai.

Koder.ai có thể chạy ứng dụng trên hạ tầng AWS tại nhiều quốc gia, nhưng bên mua vẫn nên yêu cầu quốc gia được chọn, các thành phần thuộc phạm vi và đường truy cập xuất hiện trong gói bằng chứng. Khả năng sản phẩm mở đầu cuộc trao đổi, còn bằng chứng mua sắm khép lại cuộc trao đổi.

Đừng chấp nhận lời hứa trong lộ trình cho một biện pháp kiểm soát cần có trước khi dữ liệu cá nhân đi vào dịch vụ. Lộ trình có thể hỗ trợ một lần đánh giá lại trong tương lai. Cho đến khi tính năng tồn tại và nhà cung cấp có thể ràng buộc, mô tả và chứng minh nó, hãy hạn chế khối lượng công việc hoặc chọn thiết kế khác.

Hồ sơ phê duyệt nên kết thúc bằng rủi ro còn lại, không phải phán quyết mang tính tiếp thị. Nêu mọi quyền truy cập xuyên biên giới được cho phép, con đường pháp lý, dữ liệu bị phơi lộ, biện pháp bổ sung và người chấp nhận rủi ro đó. Hồ sơ này giúp đội quyền riêng tư có điều có thể bảo vệ và giúp kỹ sư có ranh giới thực sự vận hành được.