Monitoraggio siti web dall'UE, pensato per il GDPR
Molti servizi di monitoraggio uptime sono gestiti da aziende statunitensi, oppure conservano i dati dei clienti negli Stati Uniti, oppure li fanno passare per servizi statunitensi di email, analisi o assistenza. Per molti team va bene così. Per altri è il motivo per cui uno strumento non supera la valutazione degli acquisti o del responsabile della protezione dei dati — ed è meglio sapere a quale gruppo appartieni prima di aver configurato duecento controlli.
Cosa dicono di te i dati di monitoraggio
Un account di monitoraggio è una mappa della tua infrastruttura: hostname ed endpoint, compresi quelli che non sono collegati da nessuna pagina pubblica; header delle richieste e credenziali per gli endpoint che li richiedono; cosa contengono le tue risposte; e lo storico di ogni disservizio, con gli orari esatti. Aggiungi nomi e indirizzi email delle persone che ricevono gli avvisi, e sono dati di cui vorresti sapere dove si trovano.
Perché conta la sede dell'azienda, non solo quella dei server
Dove sono conservati i dati è metà della domanda. L'altra metà è quale legge si applica all'azienda che li detiene. La legge statunitense può obbligare un'azienda statunitense a consegnare i dati che controlla anche quando si trovano in un data center in Europa: una region UE presso un fornitore statunitense risponde quindi alla prima metà, ma non alla seconda.
Anche i trasferimenti di dati personali dall'UE agli Stati Uniti hanno poggiato su basi instabili. Due accordi precedenti che li consentivano sono stati annullati dalla Corte di giustizia dell'UE, nel 2015 e nel 2020; quello in vigore oggi risale al 2023. Una configurazione la cui legittimità dipende dalla tenuta del terzo tentativo è una di quelle su cui il tuo responsabile della protezione dei dati potrebbe fare domande.
La risposta di Pingsured
- L'azienda: Pingsured è gestito da un'azienda tedesca ed è soggetto alla vigilanza di un'autorità tedesca per la protezione dei dati. Il contratto è regolato dal diritto tedesco.
- Conservazione: i dati dell'account e i risultati dei controlli sono conservati solo nell'UE, su server in Germania e in Finlandia.
- Sub-responsabili: due, entrambi aziende tedesche — uno per l'hosting della piattaforma, uno per email e web hosting. Nessun servizio statunitense è sul percorso dei tuoi dati: né per l'invio delle email, né per le analisi, né per la chat di assistenza.
- Controlli fuori dall'UE: puoi controllare i tuoi siti dagli Stati Uniti o da Singapore. Quelle località inviano ogni risultato appena il controllo termina e non conservano nulla.
- La documentazione: un accordo sul trattamento dei dati fa parte di ogni contratto, con ogni piano, e l'elenco dei sub-responsabili è pubblico. Un accordo sul livello di servizio (SLA) è disponibile su richiesta.
Fa al caso tuo?
Pingsured fa meno cose dei grandi servizi internazionali, e conserva i tuoi dati nell'UE:
- una prova di 30 giorni invece di un piano gratuito;
- controlli HTTP e ping, con i controlli dei certificati in preparazione;
- avvisi via email, webhook e nell'app, con SMS e chiamate telefoniche in preparazione;
- solo monitoraggio e avvisi — nessuna pagina di stato pubblica.
Se nessuno di questi punti lo esclude, la domanda che resta è dove dovrebbero stare i tuoi dati.
Domande da fare a ogni fornitore di monitoraggio
- Con quale azienda ho il contratto, e secondo il diritto di quale Paese?
- In quali Paesi sono conservati i miei dati, e in quali vengono trattati?
- Quali sub-responsabili li trattano — compresi gli strumenti di email, analisi e assistenza — e dove si trovano?
- Se i dati lasciano l'UE, su quale base giuridica?
- L'accordo sul trattamento dei dati è incluso, oppure è disponibile solo su richiesta o con un piano enterprise?