Unde stau datele clienților tăi când folosești un furnizor de hosting

Când o firmă din România își pune baza de date cu clienți la un furnizor de hosting, furnizorul nu devine responsabil pentru datele respective. Firma rămâne. Ea este operator, furnizorul este persoană împuternicită, iar legea cere un contract scris între cei doi. Două întrebări decid dacă aranjamentul rezistă la un control: ce scrie în contract și unde ajung datele de fapt.

Ești operator chiar dacă nu atingi niciodată un server

GDPR definește operatorul ca persoana care stabilește scopurile și mijloacele prelucrării, iar persoana împuternicită ca cea care prelucrează datele în numele operatorului (articolul 4 alineatele (7) și (8)). Contează scopul, nu cine deține discul. Un magazin online ține comenzile într-o instanță Postgres gestionată. Magazinul decide de ce există datele, cât timp rămân și cine le poate citi; furnizorul livrează calcul, stocare și backup și nu decide niciunul dintre aceste lucruri. Magazinul este operator, furnizorul este persoană împuternicită.

Furnizorul rămâne operator pentru datele contului și de facturare, de aceea merită citită întâi clauza despre roluri din capul acordului de prelucrare.

Ce trebuie să conțină acordul cu persoana împuternicită

Articolul 28 alineatul (1) spune că operatorul „recurge doar la persoane împuternicite care oferă garanții suficiente” că prelucrarea respectă regulamentul. Alineatul (3) cere ca prelucrarea să fie reglementată „printr-un contract sau alt act juridic în temeiul dreptului Uniunii sau al dreptului intern”, obligatoriu pentru împuternicit, care să stabilească obiectul și durata, natura și scopul, tipul de date și categoriile de persoane vizate, plus obligațiile și drepturile operatorului. Apoi enumeră la ce se obligă împuternicitul:

• să prelucreze datele numai pe baza instrucțiunilor documentate ale tale, inclusiv pentru transferurile în țări terțe, și să te anunțe când legea îl obligă să facă altfel;
• să se asigure că oamenii care au acces la date au obligații de confidențialitate;
• să ia măsurile de securitate cerute de articolul 32;
• să respecte condițiile pentru angajarea altei persoane împuternicite;
• să te ajute să răspunzi cererilor persoanelor vizate;
• să te ajute cu obligațiile din articolele 32-36, de la securitate și notificarea incidentelor până la evaluările de impact;
• să șteargă sau să returneze datele, la alegerea ta, când serviciul se termină, dacă legea nu cere păstrarea lor;
• să îți dea informațiile necesare pentru a demonstra conformarea și să permită audituri.

Ultima frază a alineatului se pierde ușor: împuternicitul trebuie să te anunțe imediat dacă, în opinia lui, o instrucțiune de-a ta încalcă GDPR. Textul nu se negociază. Furnizorii publică un acord standard care produce efecte când accepți termenii serviciului; varianta Supabase spune că „completează și face parte din Termenii de serviciu Supabase”. Citește-l, păstrează versiunea pe care ai acceptat-o și verifică fiecare punct de mai sus.

Subîmputerniciții sunt locul unde lanțul se lungește

Rar un furnizor face totul singur. Articolul 28 alineatul (2) spune că împuternicitul „nu recrutează o altă persoană împuternicită de operator fără a primi în prealabil o autorizație scrisă, specifică sau generală, din partea operatorului”, iar la autorizația generală trebuie să te informeze despre schimbări ca să poți formula obiecții. Alineatul (4) cere ca aceleași obligații să fie impuse prin contract celui de-al doilea și păstrează răspunderea deplină la primul împuternicit dacă al doilea nu își respectă obligațiile.

Aproape toți furnizorii merg pe autorizație generală și pe o listă publicată, așa că diferă notificarea și termenul de obiecție. Supabase anunță cu cel puțin 30 de zile, dar numai clienții abonați, iar obiecția trebuie trimisă în cinci zile de la notificare. Vercel notifică abonații prin actualizarea listei și dă cinci zile calendaristice pentru obiecție; dacă obiecția nu se rezolvă, singura soluție este rezilierea, fără rambursare. Netlify dă 30 de zile și rambursează sumele plătite în avans dacă nu poate evita subîmputernicitul. La multe firme mici, cinci zile sunt mai puțin decât durează să citești de două ori un e-mail.

Transferurile în afara SEE

Alegerea hostingului este și o întrebare despre transferuri. Articolul 44 permite transferul într-o țară terță doar dacă sunt îndeplinite condițiile capitolului. Articolul 45 acoperă țările pe care Comisia le-a declarat adecvate; Cadrul UE-SUA privind protecția datelor, adoptat în iulie 2023, este exemplul actual pentru companiile americane care participă la el. Unde nu există decizie de adecvare, articolul 46 permite garanții adecvate, iar articolul 46 alineatul (2) litera (c) numește „clauzele contractuale standard adoptate de Comisie”.

Pagina Comisiei le descrie ca modele preaprobate, folosite ca temei pentru transferurile din UE către țări terțe. Setul actual este Decizia de punere în aplicare (UE) 2021/914 din 4 iunie 2021, cu patru module: operator către operator, operator către împuternicit, împuternicit către împuternicit și împuternicit către operator. Furnizorii spun în acord care modul se aplică; Supabase și Vercel indică modulul doi când ești operator și modulul trei când ești împuternicit pentru un client.

Semnarea nu încheie treaba. Clauza 14 din setul 2021 cere ambelor părți să declare că legea și practica țării de destinație nu împiedică importatorul să își respecte obligațiile, după ce au cântărit lungimea lanțului de prelucrare și numărul de actori. Aceasta este evaluarea documentată a impactului transferului. Pentru o firmă mică încape pe o pagină: ce date pleacă, către ce entitate, sub ce modul și ce spune lista de subîmputerniciți despre accesul autorităților.

Un centru de date în Frankfurt nu este tot răspunsul

Să luăm exemplul Supabase. Un proiect poate fi creat în eu-central-1, Frankfurt, iar pagina de regiuni spune că „regiunea pe care o alegi determină și unde sunt stocate datele principale ale proiectului”, cu excepții pentru cerințe legale, instrucțiuni suplimentare sau nevoi ale serviciului. Aceeași pagină este onestă despre limitări: „alegerea regiunii este un control al locației datelor, nu o dovadă a conformității legale”.

Deschide acum lista de subîmputerniciți. Versiunea din 12 octombrie 2026 include Supabase, Inc. în Statele Unite pentru „furnizarea serviciilor de suport” și Supabase Pte. Ltd. în Singapore pentru suport în activități de marketplace, alături de AWS, Cloudflare și Google, toate în Statele Unite. Un inginer de suport care răspunde la tichetul tău pentru un proiect din Frankfurt poate fi angajat al unei entități americane, iar acordul spune că Supabase poate prelucra datele „oriunde Supabase sau subîmputerniciții săi au facilități”.

Vercel are aceeași formă: funcțiile pot rula în fra1, cdg1, dub1 sau arn1, dar „facilitățile principale de prelucrare ale Vercel sunt în Statele Unite”. Netlify rulează fiecare funcție într-o singură regiune și pune implicit site-urile noi în cmh, Ohio, o setare de regiune disponibilă în planurile Pro și Enterprise.

Nimic din toate acestea nu face furnizorii o alegere proastă. Suportul distribuit este normal și face parte din motivul pentru care prețul funcționează. Dar „baza noastră de date este în UE” răspunde la o întrebare și lasă trei deschise: ce entități pot ajunge la date, sub ce mecanism de transfer și cu ce termen de notificare.

Patru verificări pe care le poți face săptămâna asta

Cere lista de subîmputerniciți

Supabase și Netlify o publică, iar Vercel ține lista în centrul de încredere, la security.vercel.com. Citește țările și descrierea fiecărei intrări, nu doar numele, și abonează-te la actualizări. Un furnizor care nu poate produce lista a răspuns și el la întrebare.

Descarcă acordul de prelucrare a datelor

Salvează PDF-ul sau pagina, cu data. Citește cinci clauze: rolurile, termenii despre subîmputerniciți cu notificare și obiecție, mecanismul de transfer și modulul, termenul de notificare a incidentelor și ștergerea sau returnarea datelor la final. Aceste cinci decid dacă poți răspunde unui chestionar de la client fără să ghicești.

Confirmă regiunea în care stă baza de date

Verifică în panou, nu în pagina de vânzări, și notează codul exact al regiunii. O grupare „Europa” nu este o regiune din UE: documentația Supabase arată că gruparea Europa include Londra și Zurich, care nu sunt state membre UE. Dacă datele trebuie să rămână în UE, alege o regiune specifică precum eu-central-1 și verifică dacă backupurile și replicile o urmează.

Notează răspunsurile într-un singur document per furnizor

O pagină per furnizor, ținută lângă contract, este suficientă. Durează o oră și transformă o senzație vagă de conformare în ceva ce poate verifica și un coleg.

Ce ar trebui să conțină fișa

Notează entitatea juridică a furnizorului, serviciul folosit, categoriile de date personale și de persoane vizate, codul regiunii, subîmputerniciții care pot ajunge la date și țările lor, mecanismul de transfer și modulul, versiunea acordului și data descărcării, termenul de notificare a incidentelor și contactul, condițiile de ștergere și data următoarei revizuiri.

Nu este birocrație inventată. Articolul 30 cere deja o evidență a activităților de prelucrare, iar alineatul (1) literele (d) și (e) cer categoriile de destinatari, inclusiv în țări terțe, și transferurile cu garanțiile pe care te bazezi. Un dosar per furnizor este materia primă pentru acea evidență și singura cale de a răspunde la „unde ajung datele” într-o după-amiază.

Notificarea incidentelor intră în același document

Articolul 33 alineatul (1) dă operatorului 72 de ore de la momentul în care a luat cunoștință de o încălcare pentru a notifica autoritatea de supraveghere, iar alineatul (2) spune că împuternicitul notifică operatorul fără întârzieri nejustificate. Ceasul tău pornește când sosește mesajul furnizorului. Supabase se obligă să notifice „fără întârzieri nejustificate și, unde este posibil, în 48 de ore”; Netlify promite 48 de ore; Vercel spune „fără întârzieri nejustificate”, fără un număr. Trece contactul în fișă și asigură-te că este o căsuță pe care cineva o citește și în weekend.

Când furnizorul este un host mic, local

Furnizorii mici din România nu au adesea un acord public și nici listă de subîmputerniciți. Articolul 28 alineatul (3) nu cere o formă anume, ci „un contract sau alt act juridic”, deci un anex semnat poate funcționa. Cere aceleași opt angajamente, locația serverelor și a backupurilor și numele persoanelor care au acces. Dacă răspunsul este că nu au nimic și nu semnează nimic, tu rămâi operator, iar riscul rămâne la tine.

Ce nu este acest articol

Acesta este o explicație, nu consultanță juridică. Obligațiile de mai sus sunt cele pe care le prevede regulamentul, iar termenii furnizorilor sunt cei pe care paginile lor îi declarau când le-am citit; ambele se schimbă. În România, autoritatea de supraveghere este ANSPDCP, care publică regulamentul și procedura de plângere. Dacă prelucrezi categorii speciale de date, date despre copii sau volume mari de date despre clienți, petrece o oră cu un avocat înainte să semnezi și revizuiește dosarul când furnizorul își schimbă acordul sau lista de regiuni.

Cele patru verificări sunt mici intenționat. O firmă care poate numi entitatea juridică a furnizorului, codul regiunii și subîmputerniciții are deja un avans față de majoritate, iar același dosar răspunde și chestionarului pe care ți-l trimite un client corporate. Dacă alegi unde să stea datele unui proiect nou, articolul nostru despre un site fără bază de date tratează decizia de stocare din cealaltă parte, iar bazele de securitate pentru o firmă mică acoperă ce faci cu accesul pe care îl păstrezi.