Domande sulla residenza dei dati per chi compra software educativo in Medio Oriente

Chieda a un fornitore di software educativo dove sono conservati i suoi dati e di solito le tornerà indietro il nome di una regione. Questo risponde a circa un quinto della domanda. I dati a riposo stanno in un posto; l'elaborazione sta da un'altra parte; i backup stanno da un'altra parte ancora; e i sub-responsabili dietro le funzionalità del fornitore — il modello di AI, il servizio di invio delle email, il tracciamento degli errori, l'assistenza — stanno ciascuno in un Paese proprio. Un impegno sulla residenza che copre solo il primo di questi punti non è un impegno sulla residenza. È una preferenza di hosting.

Nel Golfo questo conta più di quanto contasse cinque anni fa, perché le regole sono diventate specifiche. La Personal Data Protection Law dell'Arabia Saudita, applicata dalla SDAIA, pone condizioni sul trasferimento di dati personali fuori dal Regno. Gli Emirati Arabi Uniti hanno una legge federale che convive con regimi separati dentro il DIFC e l'ADGM. Qatar, Bahrein, Oman ed Egitto hanno ciascuno la propria normativa, e i regolatori di settore vi sovrappongono regole di classificazione. Gli uffici acquisti fanno domande che nel 2019 non facevano.

Residenza, sovranità e giurisdizione sono tre promesse diverse

Sono cose distinte, e un fornitore può soddisfarne una e mancare le altre due.

La sovranità dei dati è l'affermazione più forte: che i dati siano governati dalla legge del Paese in cui si trovano, e solo da quella. È una posizione giuridica più che tecnica, e dipende da chi gestisce l'infrastruttura, da chi detiene le chiavi di cifratura e da dove è costituita la società che opera.

La giurisdizione segue la società, non il disco. Un fornitore costituito negli Stati Uniti che conserva i suoi archivi in un data center di Riad resta un'azienda statunitense, resta raggiungibile da un tribunale statunitense e resta nel perimetro del CLOUD Act statunitense del 2018, che consente alle autorità statunitensi di obbligare un fornitore con sede negli Stati Uniti a produrre i dati che controlla, ovunque quei dati siano conservati. Spostare il disco non ha spostato l'azienda.

Perché «il cloud» non è una risposta

«Il cloud» non è un luogo. È un modello di acquisto steso sopra una flotta globale di data center, e la flotta è proprio il punto. Quando un fornitore dice «giriamo su AWS», ogni domanda che conta è ancora aperta.

• Quale regione? Un solo account può contenere risorse in venti regioni allo stesso tempo, e la risposta è per servizio, non per account.
• Ogni servizio sta in quella regione? Alcuni replicano tra regioni per impostazione predefinita; altri hanno un piano di controllo che vive stabilmente altrove.
• Dove girano i server applicativi, a differenza del database?
• Dove finiscono i log, le tracce degli errori e le analitiche di prodotto? Portano con sé nomi, indirizzi email e a volte risposte in testo libero dei discenti.
• Dove si trova il team di assistenza, e che cosa può vedere da lì?
• Dove atterrano i backup, e per quanto tempo restano dopo una cancellazione?

Ognuna di queste è una decisione tecnica ordinaria, presa presto, per latenza o per costo e non per legge, da qualcuno che non era alla riunione con l'ufficio acquisti. È per questo che le risposte sono così spesso vaghe: nessuno le ha messe per iscritto.

Le sette domande

Le mandi per iscritto e alleghi le risposte al contratto. Un fornitore che non risponde per iscritto non può essere tenuto alla risposta.

1. Dove stanno i dati a riposo, e in quale regione indicata per nome?

Chieda per classe di dati, non per piattaforma. Gli archivi dei discenti, i tentativi di verifica, i file caricati, i video, i certificati e i log di audit vivono spesso in sistemi diversi, e il fornitore potrebbe aver pensato solo al primo. Chieda una tabella: per ogni classe di dati, il Paese, il fornitore e il codice della regione.

2. Dove vengono elaborati?

La conservazione è la metà facile; l'elaborazione è dove i dati si spostano. L'indicizzazione per la ricerca, la generazione dei report, la resa dei PDF, la transcodifica dei video e qualsiasi cosa assistita dall'AI leggono i dati e girano da qualche parte. In questo momento, nel software educativo, l'AI è il caso più netto: un tutor, un assistente all'authoring o una bozza di correzione manda il testo di un discente a un fornitore di modelli, e la regione di inferenza di quel fornitore è un fatto distinto dalla regione di hosting del fornitore della piattaforma. Chieda quale fornitore, in quale regione, se i contenuti vengono usati per l'addestramento, e si faccia dare la conservazione in giorni.

3. Quali sub-responsabili li trattano, e in quale Paese?

Lo chieda sotto forma di elenco, con tre colonne: nome, funzione, Paese di trattamento. Una piattaforma nel 2026 ne ha tipicamente da otto a quindici: un host cloud, un fornitore di database, un archivio a oggetti, un servizio di invio email, un fornitore di modelli di AI, un tracciatore di errori, uno strumento di analitica, un servizio di assistenza e un gestore dei pagamenti se incassa denaro.

Due domande di seguito separano un fornitore serio da uno pieno di speranze. Come viene informata quando un sub-responsabile cambia, e può opporsi? E quali di loro ricevono dati personali e non metadati? Un fornitore che non ha mai messo tutto questo per iscritto ci mette una settimana a produrlo, e il ritardo è già un'informazione.

4. Dove finiscono i backup e le copie di disaster recovery?

I backup sono il modo più comune in cui un impegno sulla residenza salta in silenzio. La replica tra regioni è la raccomandazione predefinita in ogni guida di architettura cloud, per ragioni che non hanno nulla a che vedere con il suo regolatore. Chieda dove vengono scritti i backup, se qualche replica esce dalla regione e per quanto tempo un record cancellato sopravvive al loro interno. Se il suo obbligo di cancellazione è di 30 giorni e la conservazione dei backup è di 90, quello scarto va messo in una policy e non lasciato a un rilievo di audit.

5. Chi può accedervi, e da dove?

L'accesso remoto disfa la residenza. Chieda dove si trovano i team di assistenza e di sviluppo, se l'accesso alla produzione è possibile da fuori regione, se richiede un'autorizzazione e se lei può vederne il registro. «I nostri ingegneri possono leggere i dati dei clienti da qualsiasi posto, senza che ne resti traccia» è una risposta reale che alcuni fornitori danno, se lo si chiede senza giri di parole.

6. Qual è il meccanismo di trasferimento?

Se qualche dato esce dal Paese, e per la maggior parte dei fornitori qualcosa uscirà, ci deve essere una base giuridica del trasferimento indicata per nome, e non un'alzata di spalle. Chieda su quale disposizione di quale legge locale si fonda.

Un segnale ricorrente: il fornitore le manda le clausole contrattuali tipo dell'UE. Sono uno strumento dell'UE, costruito per i trasferimenti fuori dallo Spazio economico europeo. Sono una base contrattuale ragionevole e non sono, da sole, un meccanismo di trasferimento saudita o emiratino. Un fornitore che tratta un accordo GDPR come conformità universale non ha letto la normativa locale.

7. Che cosa succede se la legge cambia?

È la domanda che quasi nessuno fa ed è quella con più soldi attaccati. Nella regione il diritto della protezione dei dati è giovane e in movimento: un regolatore può emanare una nuova classificazione, e una posizione conforme al momento della firma smette di esserlo al secondo anno di un contratto quinquennale. Metta quattro cose nel contratto:

1. Se la legge cambia al punto che il nostro assetto non è più lecito, che cosa dovete fare, ed entro quale termine?
2. Chi paga la migrazione: voi, noi, oppure si divide in base alla causa?
3. Possiamo recedere senza penali se non riuscite ad adeguarvi entro quel termine?
4. All'uscita, in che formato riceviamo i dati, quanto tempo richiede l'esportazione, e quando vengono cancellati dai vostri sistemi e dai vostri backup?

Dove si colloca Lurno, senza giri di parole

Ecco la nostra risposta al nostro stesso questionario, nella forma in cui la vorremmo da chiunque altro.

Augmental Learning Inc. è un'azienda statunitense, e la nostra infrastruttura e i nostri sub-responsabili predefiniti hanno sede negli Stati Uniti. Ne discendono due cose, e chi compra nel Golfo dovrebbe sentirle entrambe in modo diretto. Per impostazione predefinita, i suoi archivi stanno negli Stati Uniti. E la società è costituita negli Stati Uniti, quindi la giurisdizione statunitense la raggiunge ovunque viva ogni singolo byte. Nessuna impostazione di configurazione cambia la seconda cosa: né per noi, né per nessun altro fornitore statunitense.

Quello che oggi è davvero configurabile è l'archiviazione dei media. Si imposta per organizzazione su Supabase, Amazon S3, Azure e Google Cloud Storage — un suo bucket, nella sua regione — e si eredita lungo l'albero delle organizzazioni, così un editore può tenere i file di un Paese in quel Paese senza scinderlo in un tenant separato. Questo copre la parte più grande del carico: documenti caricati, registrazioni, elaborati dei discenti e file di evidenza. Come si configura è descritto nella pagina sull'authoring.

Quello che non affermiamo: un dispiegamento in regione del database primario e del livello applicativo non è qualcosa che oggi si possa spuntare su un modulo d'ordine. Se il suo requisito li comprende, è una conversazione con un perimetro e una tempistica, non una casella da spuntare — e dovrebbe pretendere questa precisione da ogni fornitore, compresi quelli la cui presentazione dice «sovrano».

Non siamo certificati SOC 2 e non siamo certificati ISO 27001, e preferiamo scriverlo piuttosto che lasciarlo sottintendere da un bollino su una slide. Quello che esiste è un accordo sul trattamento dei dati, un addendum FERPA, un log di audit concatenato con hash, flussi di consenso e cancellazione GDPR con doppia approvazione, e l'isolamento tra tenant imposto da 868 policy di sicurezza a livello di riga dentro il database e non solo nel codice applicativo. L'isolamento è una garanzia diversa dalla residenza: significa che un altro cliente non può raggiungere le sue righe. Un fornitore che risponde a una domanda sulla residenza con una risposta sull'isolamento ha cambiato argomento — noi compresi.

Scrivere il requisito in modo da ottenere una risposta vera

I fornitori restituiscono risposte vaghe perché la domanda ne permetteva una. «Supportate la residenza dei dati?» invita a un sì, e nessuno ha mai risposto di no. La sostituisca con domande che ammettono una risposta sbagliata.

1. Chieda una tabella, non un paragrafo: classe di dati, Paese di conservazione, Paese di elaborazione, fornitore, codice della regione.
2. Chieda l'elenco dei sub-responsabili come allegato, con i Paesi e una clausola di preavviso in caso di modifiche.
3. Chieda le collocazioni dei backup, la conservazione in giorni e per quanto tempo vi sopravvivono i record cancellati.
4. Chieda su quale disposizione di quale legge locale si fonda ciascun trasferimento transfrontaliero.
5. Chieda che cosa succede contrattualmente se la legge cambia, compreso chi paga per spostarsi.

Poi valuti le risposte sulla precisione e non sull'entusiasmo. Finché le regole della regione si stanno ancora assestando, un fornitore che le dice con esattezza dove sono i suoi dati — comprese le parti che non voleva sentirsi dire — è un fornitore con cui è più facile restare conformi rispetto a uno che dice sì a tutto. La nostra versione è sulla pagina sulla sicurezza. La tenga allo stesso standard di quella di chiunque altro.