Размещение данных: ваши данные о согласии хранятся в Индии

Что DPDPA требует для хранения данных в Индии

Индийский Закон о защите цифровых персональных данных регулирует, как собираются, хранятся и используются цифровые персональные данные людей в Индии. Он построен вокруг уведомления и согласия, а не вокруг сплошного требования локализации: закон разрешает передачу за пределы Индии, кроме стран, которые ограничивает правительство, а подзаконные акты могут предписывать дополнительные меры для отдельных категорий данных. На практике многие индийские организации всё же предпочитают платформу управления согласием, хранение данных которой остаётся в Индии: это удерживает след доказательств в пределах одной юрисдикции и упрощает то, что придётся объяснять регулятору или корпоративному покупателю. ConsentX сделан именно под такое предпочтение: данные согласия в Индии по умолчанию, шифрование при передаче и хранении, защищённая от подделки запись согласия и подписанное соглашение об обработке данных с дополнением по DPDPA. Ваши конкретные обязанности по DPDPA зависят от организации и от того, что именно вы обрабатываете, поэтому уточните их у юридического советника.

Как устроена конфигурация ConsentX на AWS Мумбаи (ap-south-1)

Приложение ConsentX и его хранилище данных согласия работают на Amazon Web Services в регионе Азия-Тихий океан, Мумбаи, ap-south-1 — это регион дата-центров в Индии. Браузер посетителя обращается к баннеру по TLS через нашу граничную сеть Cloudflare, которая ставит межсетевой экран веб-приложений и защиту от DDoS перед размещённым в Индии приложением. Затем решение о согласии записывается в хранилище в том же регионе и шифруется при хранении средствами AWS на уровне хранилища. Основная обработка данных согласия по умолчанию остаётся внутри региона Индии; если происходит передача субобработчику, она регулируется Стандартными договорными положениями с британским дополнением, а наш список субобработчиков опубликован, чтобы вы видели, кто задействован. Вот и весь путь: браузер, граничная сеть, регион Индии, зашифрованная запись.

Регион резервного копирования и аварийного восстановления

Мы регулярно делаем резервные копии хранилища данных согласия, и эти копии шифруются при хранении так же, как основные данные. Наш подход к непрерывности бизнеса рассчитан на восстановление сервиса и данных после сбоя, а процедуры восстановления мы пересматриваем по мере развития платформы. Скажем прямо о границах того, что мы публикуем: сейчас ConsentX не заявляет на этой странице отдельный именованный регион аварийного восстановления и не публикует целевые показатели RPO и RTO, и мы предпочитаем сказать это, а не публиковать цифру, к которой не обязались договором. Мы утверждаем то, что важно для размещения данных: основная обработка остаётся внутри региона Индии, а резервные копии зашифрованы. Если вашему отделу закупок или службе безопасности нужны детали, спросите нас — ответим напрямую.

Политика хранения и удаления данных

Записи согласия существуют как доказательство, поэтому хранятся столько, сколько нужно вам для подтверждения действительного основания согласия, на условиях вашего договора с нами. При расторжении или истечении срока наше соглашение об обработке данных обязывает нас удалить или вернуть все персональные данные, обработанные по вашему поручению — на ваш выбор — и удалить имеющиеся копии, если применимое законодательство о защите данных не требует их сохранить. Удаление или возврат происходит в разумный срок после окончания услуг, с учётом переходного периода, установленного соглашением. Персональные данные, ещё остающиеся в штатных резервных копиях, удаляются в соответствии с нашим документированным графиком хранения копий и, пока остаются там, не используются ни для чего, кроме непрерывности. По письменному запросу мы подтвердим, что это сделано.