Un fornitore VPN straniero può ignorare una richiesta di dati statunitense?
Un'etichetta di paese risponde a pochissimo. Segui l'entità contraente, cosa può ottenere e dove atterra una legge statunitense di divulgazione dal perimetro ristretto.
Le etichette di paese risolvono la domanda più piccola nel fascicolo legale di un fornitore. Tre condizioni decidono se un indirizzo estero cambia ciò che accade quando arriva una richiesta: se l'entità che la riceve ne è vincolata, se quella entità possiede o controlla il registro, e quale categoria di registro la richiesta raggiunge. Sbaglia una di queste e l'etichetta decora una conclusione che non ti sei guadagnato.
Affrontale in quest'ordine, perché ciascuna può chiudere l'analisi prima che inizi la successiva. Quello che segue è una mappa di due diligence, non una classifica di paesi, con una legge statunitense strettamente circoscritta come esempio svolto.
Parti dall'entità nominata nel contratto
Il contratto con il cliente nomina un'entità, e quella entità porta la relazione con te. Il marchio sul sito può appartenere a una capogruppo, il tunnel può essere gestito da una controllata e la fatturazione può risiedere presso un rivenditore o un processore di pagamenti registrato altrove. Chiedi la denominazione legale e il numero di registrazione stampati in fattura, poi chiedi quale di queste organizzazioni risponde a un mandato giudiziario. Un logo condiviso non spiega nulla di tutto ciò.
Separa quattro ubicazioni mentre lavori: dove è registrata la società, dove puntano gli indirizzi di uscita, dove si trova davvero l'hardware e dove vengono trattati i dati dell'account. Un'affermazione che ne risolve una non risolve le altre tre, e un fornitore che risponde solo a quella facile ti sta dicendo dove continuare a guardare.
Il possesso, la custodia o il controllo battono la geografia
Un esempio statunitense circoscritto rende concreta la distinzione. 18 USC 2713 impone ai fornitori che il capitolo copre di conservare e divulgare le comunicazioni e i registri dei clienti che siano nel loro possesso, in custodia o sotto il loro controllo, e il suo testo non dipende da se quei registri si trovino dentro o fuori il paese. L'obbligo si attacca alle entità e alle categorie di registro che la legge raggiunge davvero, un insieme più stretto di quello di ogni fornitore che pubblicizzi un indirizzo estero.
Un inventario risponde più di uno slogan. Un fornitore che davvero non conserva registri di connessione non ha nulla da preservare in quella categoria, mentre lo stesso fornitore può ancora detenere un'email di registrazione, un token di pagamento e allegati di assistenza che cadono dritti dentro l'obbligo. Accettare una risposta sulla registrazione senza chiedere cos'altro esista lascia la maggior parte del fascicolo non esaminata. Una richiesta di dati dipende raramente dal solo tunnel.
Conta chi può ottenere un registro, non su quale continente si trovi il disco, e l'entità che può ottenerlo è l'entità da esaminare. Una pagina che elenca i paesi di uscita risponde a un'altra domanda.
Allinea la categoria di registro a ciò che hai consegnato
Il linguaggio di conservazione è di solito scritto per categoria, e una pagina generica sulla privacy lo confonde in un unico paragrafo sicuro di sé. Estrai le clausole specifiche e annota quali categorie nominano. Poi confronta quell'elenco con i registri che il tuo uso crea, perché la sovrapposizione è l'unica parte che ti riguarda.
| Record type | Who tends to hold it | What the country label settles |
|---|---|---|
| Signup email and account metadata | Contracting entity or its identity provider | Nothing about retention |
| Payment instrument | Processor, reseller, or bank | Little; another company may answer first |
| Support attachments | Support desk, in-house or outsourced | Whether the desk belongs to the same entity |
| Tunnel connection records | Operator, if collected at all | Only whether collection is claimed |
| Device and app identifiers | App vendor | Which policy covers the app, not the tunnel |
Di solito due righe risolvono la questione pratica. Gli allegati di assistenza e i dettagli di pagamento esistono perché li hai forniti tu, quindi sopravvivono anche quando un fornitore dichiara di non registrare nulla. I registri di connessione sono la categoria contestata, e un fornitore che dichiara di non conservarne nessuno dovrebbe saper descrivere come la sua fatturazione e la gestione degli abusi evitino di crearli.
Lascia vuota una cella sconosciuta nei tuoi appunti invece di lasciare che la risposta vicina la riempia. Un vuoto è più onesto di una congettura importata dal paese di uscita.
Poni tutte e tre le condizioni al fornitore per iscritto
Chiedi quale entità riceve il procedimento legale, quali categorie quella entità può ottenere senza chiedere a nessun altro, e come il suo rapporto di trasparenza conta le richieste che rifiuta o a cui non può rispondere. Ponile tutte e tre in un solo messaggio così che le risposte siano confrontabili. Una risposta che tratta il paese ma non l'entità, o l'entità ma non la categoria, ha risposto a una domanda che non hai posto. Il silenzio su una condizione è di per sé il reperto.
Applica le stesse condizioni alla legge su cui ti basi. Un dovere di divulgazione scritto per un certo capitolo vincola i fornitori che quel capitolo copre, e la sua formulazione territoriale parla di dove si trovano i registri, non di quale società debba rispondere. Tratta un riassunto sicuro di sé, compreso questo, come una ragione per leggere il testo che governa il tuo fornitore.
Annota l'entità, le categorie e la disposizione che hai verificato, e data la nota. Quel registro sopravvive ai cambi di marchio e alle riscritture del marketing, e dà a un avvocato o a un revisore un punto di partenza concreto quando la domanda smette di essere ipotetica.