Lokalizacja danych i zaufanie

Dane klientów są przechowywane w UE: baza danych w Irlandii (AWS eu-west-1), API we Frankfurcie (Niemcy) i w Paryżu (Francja). NetSenX analizuje metadane sieciowe i nigdy nie odszyfrowuje zaszyfrowanego ruchu; umowa powierzenia przetwarzania danych (art. 28 RODO) i lista podmiotów przetwarzających są opublikowane, a z inspektorem ochrony danych można się skontaktować pod adresem dpo@netsenx.com. Podmioty obsługujące płatności i e-mail działają na podstawie standardowych klauzul umownych UE, a niektóre funkcje AI Analyst korzystają z dostawcy spoza UE wyłącznie za wyraźną zgodą klienta. Zgodność z RODO ocenia się dla całego przetwarzania w organizacji, dlatego nie deklarujemy certyfikatu.

Telemetria i alerty klienta są przechowywane wyłącznie w UE — w regionie UE (object storage i Postgres), szyfrowane w spoczynku AES-256-GCM. Stripe (płatności) przetwarza dane w USA, a część naszych dostawców to spółki amerykańskie; w obu przypadkach obowiązują standardowe klauzule umowne UE. Niektóre funkcje AI Analyst mogą korzystać z dostawcy spoza UE wyłącznie za Państwa wyraźną zgodą. Pełna lista podwykonawców jest publikowana wraz z naszą umową DPA.

W planach Business i Enterprise można zarejestrować we własnym tenancie klucz AWS KMS lub HashiCorp Vault przez nasze API BYOK.

W UE: baza danych jest w Irlandii (AWS eu-west-1), a API we Frankfurcie (Niemcy) i w Paryżu (Francja). Umowa powierzenia przetwarzania danych wymienia każdy podmiot przetwarzający z jego lokalizacją i zabezpieczeniem transferu.

Mogą. Kilka podmiotów przetwarzających to spółki zarejestrowane w USA, a Cloudflare obsługuje żądania w punkcie sieci najbliższym odwiedzającemu, więc dane osobowe mogą być udostępniane z państw spoza EOG lub przez nie przechodzić, na podstawie standardowych klauzul umownych lub Ram ochrony danych UE–USA. Niektóre funkcje AI Analyst korzystają z dostawcy spoza UE i tylko za wyraźną zgodą klienta.

Nie. Rezydencja to jeden z czynników; zgodność z RODO ocenia się dla całego przetwarzania, w tym podstawy prawnej, minimalizacji danych, okresów przechowywania i umowy z podmiotem przetwarzającym. NetSenX publikuje umowę powierzenia przetwarzania danych (art. 28 RODO) i nie deklaruje certyfikatu RODO.

Tak, w planie Enterprise. Pozostałe plany korzystają z panelu hostowanego w UE, z jednym agentem na porcie SPAN lub TAP na segment sieci albo na wybranych przez Państwa hostach.

Przechowywanie danych w regionie UE utrzymuje je fizycznie w UE, ale dostawca zarejestrowany w USA może podlegać prawu USA, które sięga do danych przez niego kontrolowanych. Zgodnie z rozdziałem V RODO transfer poza UE wymaga podstawy prawnej, takiej jak ramy ochrony danych UE–USA lub standardowe klauzule umowne. Pytaj każdego dostawcę, gdzie przechowuje dane, kto ma do nich dostęp i jacy podprocesorzy biorą udział. NetSenX publikuje listę podprocesorów w umowie powierzenia przetwarzania.

To zależy od produktu, więc zapytaj każdego dostawcę, co dokładnie opuszcza Twoją sieć, w jakiej postaci i gdzie jest przechowywane. Niektóre narzędzia kopiują całe pakiety do późniejszej analizy, inne wysyłają tylko podsumowania połączeń. NetSenX analizuje metadane i kilka pól protokołów, takich jak czas, wolumen, cele połączeń, odpowiedzi DNS i uzgadnianie TLS, i nigdy nie odszyfrowuje zaszyfrowanego ruchu. Nie przesyła zawartości plików, treści e-maili ani tego, co ktoś wpisał na stronie internetowej. Dane klientów są przechowywane w UE: baza danych w Irlandii, API we Frankfurcie i Paryżu, a w planie Enterprise dostępna jest opcja on-premises dla organizacji, które nie chcą, by cokolwiek opuszczało ich siedzibę. Metadane wciąż mogą wskazać urządzenie, a przez nie czasem osobę, więc są danymi osobowymi w rozumieniu RODO: sposób ich przetwarzania określa umowa powierzenia przetwarzania danych.

Powinieneś móc, ale sprawdź to przed zakupem, bo to umowa decyduje, jak łatwo to zrobić. Zapytaj, które dane możesz wyeksportować (alerty, listy urządzeń, raporty, konfigurację), w jakim formacie, czy eksport kosztuje dodatkowo, jak długo zachowujesz dostęp po wypowiedzeniu oraz kiedy dostawca usuwa dane i jak to potwierdza. Zgodnie z RODO podmiot przetwarzający musi po zakończeniu usługi zwrócić lub usunąć dane osobowe, jak określa umowa powierzenia, a wybór należy do Ciebie. Zaplanuj wyjście od początku: prowadź własne archiwum tego, czego możesz później potrzebować, na przykład dowodów na audyt albo do roszczenia ubezpieczeniowego, zamiast polegać na okresie przechowywania u dostawcy. W NetSenX alerty można eksportować przez API od planu Pro i wysyłać do SIEM od planu Business, raporty zgodności w PDF są dostępne od planu Starter, a umowa powierzenia przetwarzania danych jest opublikowana na stronie.

Rezydencja danych dotyczy tego, gdzie dane są przechowywane i przetwarzane; suwerenność danych dotyczy tego, czyjemu prawu i czyjej kontroli dane podlegają. Często się je myli, bo przechowywanie danych we Frankfurcie brzmi jak pozostawanie pod prawem europejskim. Niekoniecznie tak jest: dostawca z siedzibą poza UE może być zobowiązany przez prawo swojego kraju do wydania danych, które kontroluje, niezależnie od tego, gdzie stoi serwer. Rezydencję łatwo sprawdzić na mapie; suwerenność wymaga przyjrzenia się firmie obsługującej usługę, jej spółce matce, podprocesorom i temu, kto ma klucze szyfrujące. Każdemu dostawcy zadaj trzy pytania: gdzie są dane, kogo można prawnie zmusić do ich ujawnienia i kto technicznie może je odczytać. NetSenX przechowuje dane klientów w UE, z bazą danych w Irlandii i API we Frankfurcie i Paryżu, a listę podprocesorów, w tym kilku spółek zarejestrowanych w USA, podaje w umowie powierzenia przetwarzania danych. Dla pełnej kontroli w planie Enterprise dostępna jest opcja on-premises.

Tak, ale każde przekazanie danych osobowych potrzebuje ważnej podstawy i warto wiedzieć, jaka to podstawa dla każdego narzędzia. W wyroku Schrems II Trybunał Sprawiedliwości UE unieważnił w 2020 roku Tarczę Prywatności i wymagał od eksporterów opierających się na standardowych klauzulach umownych oceny, czy prawo kraju docelowego ich nie podważa, oraz dodania zabezpieczeń tam, gdzie to potrzebne. Dziś przekazanie do USA może opierać się na Ramach ochrony danych UE–USA, jeśli odbiorca ma certyfikację, albo na standardowych klauzulach umownych z oceną skutków transferu. Narzędzia bezpieczeństwa często przetwarzają adresy IP, nazwy urządzeń i nazwy użytkowników, czyli dane osobowe. Dla każdego narzędzia ustal, dokąd trafiają dane, na jakiej podstawie prawnej opiera się dostawca, czy firma ma certyfikację i jak zastąpisz narzędzie, gdyby ta podstawa znów upadła. NetSenX przechowuje dane klientów w UE. Jego umowa powierzenia przetwarzania danych wymienia podprocesorów i wprost mówi, że niektórzy mają siedzibę poza EOG, na przykład spółki zarejestrowane w USA, a te przekazania opierają się na standardowych klauzulach umownych albo na Ramach ochrony danych.

Nie zawsze, więc pytaj o każdy rodzaj danych osobno. Dostawca może trzymać główną bazę danych w UE, podczas gdy kopie zapasowe, raporty błędów, zgłoszenia do wsparcia, analityka, wysyłka e-maili albo pracownicy odpowiadający na zgłoszenia znajdują się gdzie indziej. Każdy z tych elementów może zawierać dane osobowe lub szczegóły Twojej sieci, takie jak adresy IP, nazwy urządzeń czy zrzuty ekranu. Poproś dostawcę o listę kategorii danych z lokalizacją i podprocesorem dla każdej i sprawdź, czy umowa powierzenia obejmuje je wszystkie, a nie tylko „dane klienta” w wąskim sensie. Zapytaj też, gdzie pracują osoby z dostępem administracyjnym, bo zdalny dostęp spoza UE również może być przekazaniem danych. W NetSenX dane klientów są przechowywane w UE, z bazą danych w Irlandii i API we Frankfurcie i Paryżu, a podprocesorzy są wymienieni w umowie powierzenia przetwarzania danych. To ta lista pokazuje, gdzie działa każda usługa; jeśli coś jest niejasne, zapytaj nas przed podpisaniem.

Zapytaj, kim są, co każdy z nich robi z Twoimi danymi, gdzie to robi i jak dowiesz się o zmianach. Podprocesor to firma, z której dostawca korzysta do przetwarzania Twoich danych osobowych, na przykład dostawca hostingu, usługa bazy danych czy usługa wysyłki e-maili. Zgodnie z RODO podmiot przetwarzający może go zaangażować tylko za uprzednią zgodą administratora, szczegółową lub ogólną, i musi przenieść na niego te same obowiązki ochrony danych. Praktyczne pytania: czy pełna lista jest opublikowana, z lokalizacją i celem dla każdej pozycji? Z jakim wyprzedzeniem dowiesz się o nowym podprocesorze i czy możesz się sprzeciwić? Którzy widzą dane w czytelnej postaci, a którzy przechowują tylko dane zaszyfrowane? Czy któryś działa poza UE i na jakiej podstawie przekazania? Kto odpowiada, jeśli podprocesor zawiedzie? NetSenX podaje listę swoich podprocesorów w umowie powierzenia przetwarzania danych opublikowanej na stronie, więc możesz ją sprawdzić przed rejestracją.

Tak, jeśli dostawca przetwarza dane osobowe w Twoim imieniu, a monitoring sieci niemal zawsze to robi. Adresy IP, nazwy urządzeń, nazwy użytkowników w nazwach hostów i czasy połączeń mogą bezpośrednio lub pośrednio wskazać osobę, więc są danymi osobowymi w rozumieniu RODO. Gdy dostawca przetwarza je dla Ciebie, Ty jesteś administratorem, a dostawca podmiotem przetwarzającym, i RODO wymaga umowy lub innego instrumentu prawnego określającego przedmiot, czas trwania, charakter i cel przetwarzania, rodzaje danych, Twoje polecenia, bezpieczeństwo, podprocesorów, pomoc przy naruszeniach i to, co dzieje się na końcu. Czytaj ją jak każdą inną umowę: sprawdź terminy zgłaszania naruszeń, prawo do audytu, uprzedzenie o podprocesorach i usunięcie danych na koniec. Umowa powierzenia przetwarzania danych NetSenX jest opublikowana na stronie i stanowi część regulaminu, więc obowiązuje od chwili korzystania z usługi; klienci Enterprise, którzy potrzebują podpisanego egzemplarza, mogą o niego poprosić.

Tak, jest opublikowana na stronie, więc możesz ją przeczytać przed rejestracją. Stanowi część regulaminu NetSenX między TriStiX S.L. jako podmiotem przetwarzającym a Twoją organizacją jako administratorem i wymienia podprocesorów wraz z ich rolą i lokalizacją. Wśród zobowiązań: NetSenX powiadamia o naruszeniu ochrony danych osobowych w ciągu 24 godzin od jego stwierdzenia; zmiany listy podprocesorów są ogłaszane co najmniej 14 dni wcześniej, więc możesz się sprzeciwić; masz prawo do audytu po uprzedzeniu; a po zamknięciu konta dane osobowe są usuwane natychmiast, a ich kopie w backupach wygasają w ciągu 14 dni, po tym jak miałeś możliwość ich wyeksportowania. Umowa mówi też, że dane osobowe są przechowywane w EOG i że niektórzy podprocesorzy mają siedzibę poza nim, wraz ze stosowanymi zabezpieczeniami przekazania. Umowa podlega prawu hiszpańskiemu, a jako organ nadzorczy wskazano hiszpańską AEPD. Poproś swojego inspektora ochrony danych o porównanie jej z Waszymi wymaganiami; klienci Enterprise mogą poprosić o podpisany egzemplarz.

W UE i tak długo, jak pozwala historia alertów w Twoim planie. NetSenX zapisuje metadane połączeń z monitorowanych segmentów: wewnętrzne i zewnętrzne adresy IP, porty, czasy, ilości danych, nazwy serwerów, z którymi łączą się urządzenia, oraz nazwę, którą urządzenie ogłasza w sieci, czasem będącą imieniem i nazwiskiem. Dane te są przechowywane z bazą danych w Irlandii i API we Frankfurcie i Paryżu. Alerty są przechowywane przez okres historii alertów w Twoim planie: 30 dni w Free, dłużej w planach płatnych i bez limitu w Enterprise. NetSenX nie zapisuje treści wiadomości, plików ani tego, co ktoś wpisał, bo nigdy nie odszyfrowuje ruchu, a korzystanie z AI raportuje per urządzenie i program, a nie per osoba. Mimo to dane urządzeń mogą wskazać pracownika, więc traktuj je jak dane osobowe: poinformuj pracowników w klauzuli informacyjnej, co i po co jest monitorowane, ogranicz, kto w firmie ma dostęp do konta, i sprawdź, czy prawo krajowe daje głos przedstawicielstwu pracowników. W planie Enterprise dane mogą pozostać w Twojej siedzibie.

Możliwe, i warto zrobić krótką ocenę nawet wtedy, gdy nie jest ściśle wymagana. RODO wymaga oceny skutków dla ochrony danych (DPIA), gdy przetwarzanie może powodować wysokie ryzyko naruszenia praw osób, i wymienia systematyczne monitorowanie wśród przypadków do rozważenia; krajowe organy ochrony danych publikują też wykazy operacji, które zawsze jej wymagają. Monitoring sieci firmowej może wchodzić w ten obszar, zwłaszcza gdy obejmuje urządzenia pracowników albo sięga ich prywatnego użytku. DPIA opisuje, co i po co zbierasz, sprawdza, czy jest to niezbędne i proporcjonalne, wymienia ryzyka dla osób, których dotyczy, oraz środki, które je zmniejszają, i dokumentuje decyzję. Zapytaj inspektora ochrony danych, sprawdź wykaz swojego organu i zachowaj wynik. Środki, które pomagają w ocenie: NetSenX zapisuje metadane, a nie treść, nigdy nie odszyfrowuje ruchu, raportuje korzystanie z AI per urządzenie i program, a nie per osoba, trzyma dane w UE i pozwala ograniczyć, kto ma dostęp do konta. Nie napisze za Ciebie DPIA.

Może być, jak każdy dostawca, więc oceniaj go po planie wyjścia, a nie tylko po wielkości. Mały dostawca może być bardziej narażony na zmiany w finansowaniu, zespole lub przejęcie; duży może zmienić ceny, wycofać produkt albo przenieść dane pod inną jurysdykcję. W obu przypadkach ograniczasz ryzyko tak samo: upewnij się, że w każdej chwili możesz wyeksportować dane w użytecznym formacie, trzymaj własne kopie dowodów potrzebnych do audytów, ubezpieczyciela lub organów, wiedz, jak długo usługa działa po wypowiedzeniu, i z góry zdecyduj, czym ją zastąpisz. W przypadku narzędzia wykrywającego zastanów się też, co się stanie, gdy przestanie działać: znikną alerty, ale systemy będą działać dalej, co jest czymś innym niż utrata zapory sieciowej. NetSenX prowadzi TriStiX S.L., mała firma z Hiszpanii, i mówimy o tym otwarcie. Jego umowa powierzenia opisuje eksport i usuwanie danych; alerty można eksportować przez API od planu Pro i do SIEM od planu Business, a plan Enterprise może działać w Twojej siedzibie.

To ustawa USA, która pozwala amerykańskim organom, na podstawie nakazu lub podobnego postanowienia, żądać od dostawców usług podlegających jurysdykcji USA ujawnienia danych będących w ich posiadaniu, pieczy lub pod ich kontrolą, nawet gdy są przechowywane poza USA. Dlatego samo przechowywanie danych w unijnym centrum danych nie rozstrzyga sprawy: liczy się to, czy firma kontrolująca dane, albo jej spółka matka, podlega jurysdykcji USA. Dostawcy mogą zaskarżać niektóre nakazy, a prawo UE ogranicza, kiedy europejska firma może przekazać dane obcemu organowi, więc w efekcie powstaje konflikt praw, a nie automatyczny dostęp. Szyfrowanie kluczami, z których dostawca nie może korzystać, zmniejsza to, co mogłoby zostać ujawnione. Każdego dostawcę zapytaj, kto kontroluje dane i klucze oraz które firmy w łańcuchu mają siedzibę w USA. NetSenX prowadzi spółka hiszpańska i przechowuje dane klientów w UE, ale jego umowa powierzenia wymienia kilku podprocesorów zarejestrowanych w USA. Jeśli musisz to całkowicie wykluczyć, opcja on-premises w planie Enterprise trzyma dane w Twoich własnych systemach.