Pode un provedor de VPN estranxeiro ignorar unha solicitude de datos dos EUA?
Unha etiqueta de país responde moi pouco. Segue a entidade contratante, o que pode recuperar e onde aterra unha lei estadounidense de divulgación limitada.
As etiquetas de país resolven a pregunta máis pequena do expediente legal dun provedor. Tres condicións deciden se un enderezo no estranxeiro cambia o que ocorre cando chega un requirimento: se a entidade que o recibe queda obrigada por el, se esa entidade posúe ou controla o rexistro, e que categoría de rexistro alcanza o requirimento. Se fallas nunha, a etiqueta decora unha conclusión que non gañaches.
Tráballas nesa orde, porque cada unha pode pechar a análise antes de que comece a seguinte. O que segue é un mapa de dilixencia debida, non unha clasificación de países, cunha lei estadounidense estritamente acoutada como exemplo traballado.
Comeza pola entidade nomeada no contrato
O contrato de cliente nomea unha entidade, e esa entidade é a que mantén a relación contigo. A marca do sitio web pode pertencer a unha matriz, o túnel pode operalo unha filial e a facturación pode estar nun revendedor ou procesador de pagamentos rexistrado noutro lugar. Pide o nome legal e o número de rexistro impresos na factura e despois pregunta cal desas organizacións responde a unha citación. Un logotipo compartido non explica nada diso.
Separa catro localizacións mentres traballas: onde está rexistrada a empresa, cara a onde apuntan os enderezos de saída, onde está realmente o hardware e onde se procesan os datos da conta. Unha afirmación que resolve unha delas non resolve as outras tres, e un provedor que só responde a fácil está dicíndoche onde seguir mirando.
A posesión, a custodia ou o control vencen a xeografía
Un exemplo estadounidense acoutado volve concreta a distinción. 18 USC 2713 esixe aos provedores que cubre o capítulo conservar e divulgar as comunicacións e os rexistros de clientes que estean na súa posesión, custodia ou control, e o seu texto non depende de se eses rexistros descansan dentro do país ou fóra del. A obriga adhírese ás entidades e categorías de rexistro que a lei realmente alcanza, un conxunto máis estreito que o de calquera provedor que anuncie un enderezo estranxeiro.
Un inventario responde máis que un eslogan. Un provedor que de verdade non garda rexistros de conexión non ten nada que conservar nesa categoría, mentres que o mesmo provedor pode seguir tendo un correo de rexistro, un token de pagamento e anexos de soporte que caen de cheo dentro da obriga. Aceptar unha resposta sobre o rexistro sen preguntar que máis existe deixa a maior parte do expediente sen examinar. Unha solicitude de datos raramente depende só do túnel.
O que importa é quen pode recuperar un rexistro, non en que continente descansa o disco, e a entidade que pode recuperalo é a entidade que hai que examinar. Unha páxina que enumera países de saída responde a outra pregunta.
Axusta a categoría de rexistro ao que entregaches
A linguaxe de retención adoita escribirse por categoría, e unha páxina xeral de privacidade difumína nun parágrafo confiado. Extrae as cláusulas concretas e anota que categorías nomean. Logo compara esa lista cos rexistros que crea o teu propio uso, porque o solapamento é a única parte que te afecta.
| Record type | Who tends to hold it | What the country label settles |
|---|---|---|
| Signup email and account metadata | Contracting entity or its identity provider | Nothing about retention |
| Payment instrument | Processor, reseller, or bank | Little; another company may answer first |
| Support attachments | Support desk, in-house or outsourced | Whether the desk belongs to the same entity |
| Tunnel connection records | Operator, if collected at all | Only whether collection is claimed |
| Device and app identifiers | App vendor | Which policy covers the app, not the tunnel |
Dúas filas adoitan zanxar a cuestión práctica. Os anexos de soporte e os datos de pagamento existen porque os achegaches ti, así que sobreviven mesmo cando un provedor afirma que non rexistra nada. Os rexistros de conexión son a categoría discutida, e un provedor que afirma non gardar ningún debería poder describir como a súa facturación e o seu tratamento de abusos evitan crealos.
Deixa unha cela descoñecida en branco nas túas notas en lugar de permitir que a resposta veciña a encha. Un espazo en branco é máis honesto que unha conxectura importada do país de saída.
Plantea as tres condicións ao provedor por escrito
Pregunta que entidade recibe o proceso legal, que categorías pode recuperar esa entidade sen preguntar a ninguén máis, e como o seu informe de transparencia conta as solicitudes que rexeita ou non pode responder. Formula as tres nunha soa mensaxe para que as respostas se poidan comparar. Unha resposta que aborda o país pero non a entidade, ou a entidade pero non a categoría, respondeu a unha pregunta que non fixeches. O silencio sobre unha condición é en si mesmo o achado.
Aplica as mesmas condicións á lei na que te apoias. Un deber de divulgación escrito para un capítulo concreto vincula os provedores que ese capítulo cobre, e a súa redacción territorial fala de onde descansan os rexistros, non de que empresa debe responder. Trata un resumo confiado, incluído este, como unha razón para ler o texto que rexe o teu provedor.
Anota a entidade, as categorías e a disposición que comprobaches, e data a nota. Ese rexistro sobrevive a cambios de marca e reescrituras de márketing, e dá a un avogado ou auditor un punto de partida concreto cando a pregunta deixa de ser hipotética.