Чи може іноземний VPN-провайдер проігнорувати американський запит даних?
Ярлик країни пояснює дуже мало. Простежте договірну особу, що вона може отримати і де закінчується обмежений американський закон про розкриття.
Ярлики країн вирішують найменше питання в юридичній справі провайдера. Три умови визначають, чи щось змінює закордонна адреса, коли надходить вимога: чи пов'язана нею особа, яка її отримує, чи володіє ця особа записом або контролює його, і яка категорія запису підпадає під вимогу. Помилитеся хоч в одній — і ярлик прикрасить висновок, якого ви не заробили.
Проходьте їх саме в цьому порядку, бо кожна може завершити аналіз раніше, ніж почнеться наступна. Далі — карта належної обачності, а не рейтинг країн, з одним суворо обмеженим американським законом як прикладом.
Почніть з особи, названої в договорі
Клієнтська угода називає особу, і саме ця особа несе відносини з вами. Бренд на сайті може належати материнській компанії, тунель може обслуговувати дочірня структура, а білінг — перебувати в реселера або платіжного процесора, зареєстрованого зовсім в іншому місці. Попросіть юридичну назву та реєстраційний номер, надруковані в рахунку, а потім запитайте, котра з цих організацій відповідає на повістку. Спільний логотип не пояснює нічого з цього.
Працюючи, розділяйте чотири місця: де зареєстрована компанія, куди вказують вихідні адреси, де фізично стоїть обладнання і де обробляються дані акаунта. Твердження, яке вирішує одне з них, не вирішує решти трьох, а провайдер, який відповідає лише на найпростіше, підказує, де шукати далі.
Володіння, зберігання або контроль переважають над географією
Обмежений американський приклад робить різницю конкретною. 18 USC 2713 вимагає від провайдерів, охоплених цим розділом, зберігати та розкривати повідомлення й записи клієнтів, що перебувають у їхньому володінні, зберіганні або під їхнім контролем, і його текст не залежить від того, чи лежать ці записи в країні або за її межами. Обов'язок прикріплюється до осіб і категорій записів, яких закон справді сягає, а це вужчий набір, ніж будь-який провайдер, що рекламує закордонну адресу.
Опис відповідає на більше, ніж гасло. Провайдер, який справді не зберігає записів з'єднань, у цій категорії не має чого зберігати, тоді як той самий провайдер усе ще може тримати реєстраційну пошту, платіжний токен і вкладення підтримки, які прямо потрапляють в обов'язок. Прийнявши відповідь про логування, не спитавши, що ще існує, ви залишаєте більшу частину справи недослідженою. Запит даних рідко впирається лише в тунель.
Важливо, хто може отримати запис, а не на якому континенті стоїть диск, і особа, яка може його отримати, — це особа, яку треба вивчати. Сторінка зі списком вихідних країн відповідає на інше питання.
Узгодьте категорію запису з тим, що ви передали
Мову зберігання зазвичай пишуть за категоріями, а загальна сторінка конфіденційності розмиває її в один упевнений абзац. Витягніть конкретні пункти й позначте, які категорії вони називають. Потім порівняйте цей список із записами, які створює ваше власне користування, бо вас стосується лише перетин.
| Record type | Who tends to hold it | What the country label settles |
|---|---|---|
| Signup email and account metadata | Contracting entity or its identity provider | Nothing about retention |
| Payment instrument | Processor, reseller, or bank | Little; another company may answer first |
| Support attachments | Support desk, in-house or outsourced | Whether the desk belongs to the same entity |
| Tunnel connection records | Operator, if collected at all | Only whether collection is claimed |
| Device and app identifiers | App vendor | Which policy covers the app, not the tunnel |
Зазвичай два рядки вирішують практичне питання. Вкладення підтримки та платіжні дані існують тому, що ви їх надали, тож вони зберігаються навіть тоді, коли провайдер заявляє, що взагалі не веде логів. Записи з'єднань — спірна категорія, і провайдер, який стверджує, що їх не зберігає, має вміти описати, як його білінг і робота зі зловживаннями уникають їх створення.
Залиште невідому клітинку в нотатках порожньою, а не дозволяйте сусідній відповіді її заповнити. Порожня клітинка чесніша за здогад, привезений із країни виходу.
Викладіть усі три умови провайдеру письмово
Запитайте, яка особа отримує юридичні процедури, які категорії ця особа може отримати, ні в кого більше не питаючи, і як її звітність про прозорість рахує запити, у яких вона відмовляє або на які не може відповісти. Задайте всі три в одному повідомленні, щоб відповіді можна було порівняти. Відповідь, яка говорить про країну, але не про особу, або про особу, але не про категорію, відповіла на питання, якого ви не ставили. Мовчання щодо однієї умови саме по собі є знахідкою.
Застосуйте ті самі умови до закону, на який ви спираєтеся. Обов'язок розкриття, написаний для певного розділу, зобов'язує провайдерів, яких цей розділ охоплює, а його територіальне формулювання говорить про те, де лежать записи, а не про те, яка компанія має відповідати. Сприймайте впевнене резюме, зокрема це, як привід прочитати текст, що регулює вашого провайдера.
Запишіть особу, категорії та норму, яку ви перевірили, і поставте дату на нотатці. Такий запис переживає ребрендинги й переписаний маркетинг і дає юристу або аудитору конкретну відправну точку, коли питання перестає бути гіпотетичним.