Um provedor de VPN estrangeiro pode ignorar um pedido de dados dos EUA?
Um rótulo de país esclarece muito pouco. Siga a entidade contratante, o que ela consegue obter e onde termina um estatuto americano de divulgação limitado.
Rótulos de país resolvem a menor questão no dossiê jurídico de um provedor. Três condições decidem se um endereço no exterior muda algo quando chega uma exigência: se a entidade que a recebe está vinculada a ela, se essa entidade possui ou controla o registro e qual categoria de registro a exigência alcança. Erre uma delas e o rótulo decora uma conclusão que você não conquistou.
Trabalhe-as nessa ordem, porque cada uma pode encerrar a análise antes que a seguinte comece. O que vem a seguir é um mapa de diligência devida, não um ranking de países, com um estatuto americano estritamente delimitado usado como exemplo.
Comece pela entidade nomeada no contrato
O contrato com o cliente nomeia uma entidade, e essa entidade carrega a relação com você. A marca no site pode pertencer a uma controladora, o túnel pode ser operado por uma subsidiária, e a cobrança pode ficar com um revendedor ou processador de pagamentos registrado em outro lugar. Peça o nome jurídico e o número de registro impressos na fatura, depois pergunte qual dessas organizações responde a uma intimação. Um logotipo compartilhado não explica nada disso.
Separe quatro localizações enquanto trabalha: onde a empresa está registrada, para onde apontam os endereços de saída, onde o hardware realmente fica e onde os dados da conta são processados. Uma afirmação que resolve uma delas não resolve as outras três, e um provedor que responde só à mais fácil está dizendo onde você deve continuar procurando.
Posse, guarda ou controle vence a geografia
Um exemplo americano delimitado torna a distinção concreta. 18 USC 2713 exige que os provedores abrangidos pelo capítulo preservem e divulguem comunicações e registros de clientes que estejam em sua posse, guarda ou controle, e seu texto não depende de esses registros estarem dentro ou fora do país. A obrigação se prende às entidades e categorias de registro que o estatuto realmente alcança, o que é um conjunto mais estreito do que todo provedor que anuncia um endereço estrangeiro.
Um inventário responde mais do que um slogan. Um provedor que realmente não guarda registros de conexão não tem o que preservar nessa categoria, enquanto o mesmo provedor ainda pode manter um e-mail de cadastro, um token de pagamento e anexos de suporte que caem exatamente dentro da obrigação. Aceitar uma resposta sobre registro sem perguntar o que mais existe deixa a maior parte do dossiê sem exame. Um pedido de dados raramente gira em torno do túnel sozinho.
O que importa é quem consegue obter um registro, não em qual continente está o disco, e a entidade que consegue obtê-lo é a entidade a examinar. Uma página que lista países de saída responde a uma pergunta diferente.
Combine a categoria de registro com o que você entregou
A linguagem de retenção costuma ser escrita por categoria, e uma página geral de privacidade a dilui num único parágrafo confiante. Puxe as cláusulas específicas e anote quais categorias elas nomeiam. Depois compare essa lista com os registros que o seu próprio uso cria, já que só a sobreposição diz respeito a você.
| Record type | Who tends to hold it | What the country label settles |
|---|---|---|
| Signup email and account metadata | Contracting entity or its identity provider | Nothing about retention |
| Payment instrument | Processor, reseller, or bank | Little; another company may answer first |
| Support attachments | Support desk, in-house or outsourced | Whether the desk belongs to the same entity |
| Tunnel connection records | Operator, if collected at all | Only whether collection is claimed |
| Device and app identifiers | App vendor | Which policy covers the app, not the tunnel |
Duas linhas costumam resolver a questão prática. Anexos de suporte e dados de pagamento existem porque você os forneceu, então sobrevivem mesmo quando um provedor alega não registrar nada. Registros de conexão são a categoria contestada, e um provedor que afirma não guardar nenhum deveria conseguir descrever como sua cobrança e seu tratamento de abuso evitam criá-los.
Deixe uma célula desconhecida em branco nas suas notas em vez de permitir que a resposta vizinha a preencha. Uma célula em branco é mais honesta do que um palpite importado do país de saída.
Apresente as três condições ao provedor por escrito
Pergunte qual entidade recebe o processo legal, quais categorias essa entidade consegue obter sem perguntar a mais ninguém e como seu relatório de transparência conta os pedidos que recusa ou não consegue responder. Faça as três em uma única mensagem, para que as respostas possam ser comparadas. Uma resposta que trata do país mas não da entidade, ou da entidade mas não da categoria, respondeu a uma pergunta que você não fez. O silêncio sobre uma condição é, por si só, o achado.
Aplique as mesmas condições à lei em que você se apoia. Um dever de divulgação escrito para um determinado capítulo vincula os provedores que esse capítulo abrange, e sua redação territorial fala de onde os registros ficam, não de qual empresa deve responder. Trate um resumo confiante, inclusive este, como motivo para ler o texto que rege o seu provedor.
Anote a entidade, as categorias e o dispositivo que você verificou, e date a nota. Esse registro sobrevive a rebrandings e reescritas de marketing, e dá a um advogado ou auditor algo concreto por onde começar quando a pergunta deixa de ser hipotética.