中東の教育分野の買い手のためのデータ所在地の質問

教育ソフトウェアのベンダーにデータの保存場所を尋ねると、たいていリージョン名が返ってきます。それは質問の 5 分の 1 ほどに答えたにすぎません。保存時のデータは一か所にあり、処理は別の場所で行われ、バックアップはさらに別の場所にあり、そしてベンダー自身の機能の背後にある副処理者 — AI モデル、メール送信、エラー追跡、サポートデスク — は、それぞれ自分の国にいます。そのうち最初の一つしか押さえていない所在地の約束は、所在地の約束ではありません。ホスティングの好みです。

これは 5 年前より湾岸で重みを増しています。ルールが具体的になったからです。SDAIA が執行するサウジアラビアの個人データ保護法は、個人データを王国外へ移すことに条件を課しています。UAE には連邦法があり、その横で DIFC と ADGM の中に別個の制度が走っています。カタール、バーレーン、オマーン、エジプトはそれぞれ独自の法律を持ち、分野ごとの規制当局がその上に分類の規則を重ねます。調達チームは、2019 年にはしなかった質問をしています。

所在地、主権、管轄は三つの別々の約束です

これらは別物であり、ベンダーは一つを満たしながら残りの二つを満たさないことがありえます。

データ主権は、より強い主張です。データは、それが置かれている国の法に、そしてその法にのみ支配されるというものです。技術上ではなく法律上の立場であり、誰がインフラを運用しているか、誰が暗号鍵を保持しているか、運用主体がどこで法人登記されているかによって決まります。

管轄は、ディスクではなく法人に付いてきます。米国で登記されたベンダーが御社の記録をリヤドのデータセンターに保存していても、それは依然として米国の会社であり、依然として米国の裁判所が及び、依然として 2018 年の米国 CLOUD 法の対象です。同法は、米国当局が、米国に拠点を置く提供者に対し、そのデータがどこに保存されていようと、支配しているデータの提出を強制することを認めています。ディスクを動かしても、会社は動いていません。

「クラウド」が答えにならない理由

「クラウド」は場所ではありません。世界中に広がるデータセンター群の上に敷かれた購入方法であり、その群れこそが要点です。ベンダーが「当社は AWS で動いています」と言うとき、重要な質問はすべてまだ開いたままです。

• どのリージョンですか。一つのアカウントは 20 のリージョンに同時にリソースを持てますし、答えはアカウント単位ではなくサービス単位です。
• すべてのサービスがそのリージョンにありますか。既定でリージョンをまたいで複製されるものもあれば、コントロールプレーンが恒久的に別の場所にあるものもあります。
• データベースに対して、アプリケーションサーバーはどこで動いていますか。
• ログ、エラートレース、プロダクトアナリティクスはどこへ行きますか。これらには氏名、メールアドレス、ときには学習者の自由記述の回答が含まれます。
• サポートチームはどこにいますか。そこから何が見えますか。
• バックアップはどこに置かれますか。削除後どれだけ残りますか。

どれもふつうのエンジニアリング上の判断で、早い段階に、法ではなく遅延やコストのために、調達の打ち合わせにいなかった誰かによって下されています。答えがこれほど曖昧になりがちな理由はそこにあります。誰も書き留めていないのです。

七つの質問

これらを書面で送り、回答を契約に添付してください。書面で答えないベンダーには、その答えの責任を負わせられません。

1. 保存時のデータはどこに、名前の付いたどのリージョンにありますか

プラットフォーム単位ではなく、データの種類ごとに尋ねてください。学習者の記録、アセスメントの受験、アップロードされたファイル、動画、修了証、監査ログは、しばしば別々のシステムにあり、ベンダーは最初の一つしか考えていないかもしれません。表で求めてください。データの種類ごとに、国、提供者、リージョンコードを。

2. どこで処理されますか

保存は易しいほうの半分で、データが動くのは処理のほうです。検索インデックスの作成、レポートの生成、PDF の描画、動画のトランスコード、そして AI が関わるものはすべて、データを読み、どこかで動いています。いま教育ソフトウェアで最も鋭い事例が AI です。チューター、オーサリングの補助、採点の下書きは学習者のテキストをモデル提供者に送り、その提供者の推論リージョンは、ベンダーのホスティングのリージョンとは別の事実です。どの提供者が、どのリージョンで、内容が学習に使われるかを尋ね、保持期間を日数で得てください。

3. どの副処理者が触れ、それはどの国ですか

三つの列を持つ一覧として求めてください。名称、機能、処理を行う国です。2026 年のプラットフォームは通常 8 から 15 の副処理者を持ちます。クラウドのホスト、データベースの提供者、オブジェクトストア、メール送信、AI モデルの提供者、エラー追跡、アナリティクスのツール、サポートデスク、そして代金を受け取るなら決済処理者。

真面目なベンダーと期待だけのベンダーを分ける追加の質問が二つあります。副処理者が変わるとき、どのように通知され、異議を述べられますか。そして、そのうちどれがメタデータではなく個人データを受け取りますか。これを一度も書き留めたことのないベンダーは提出に 1 週間かかり、その遅れ自体が情報です。

4. バックアップと災害復旧用の複製はどこへ行きますか

所在地の約束が静かに破れる、最もよくある経路がバックアップです。リージョンをまたぐ複製は、どのクラウドのアーキテクチャ指針でも既定の推奨であり、その理由は御社の規制当局とは無関係です。バックアップがどこに書き込まれるか、リージョンの外へ出る複製があるか、削除された記録がその中でどれだけ生き残るかを尋ねてください。消去の義務が 30 日でバックアップの保持が 90 日なら、その差は監査の指摘事項ではなく方針に書かれるべきものです。

5. 誰が、どこからアクセスできますか

所在地はリモートアクセスによって台無しになります。サポートとエンジニアリングのチームがどこにいるか、リージョンの外から本番環境にアクセスできるか、承認が必要か、そのログを御社が見られるかを尋ねてください。率直に尋ねれば「当社のエンジニアはどこからでも顧客データを読めます。記録は残りません」と実際に答えるベンダーもいます。

6. 移転の仕組みは何ですか

国外へ出るデータがあるなら — そしてほとんどのベンダーでは一部が出ます — 肩をすくめる代わりに、その移転について名指しできる適法な根拠がなければなりません。どの国内法のどの条項に依拠しているのかを尋ねてください。

よくある兆候。ベンダーが EU の標準契約条項を送ってきます。あれは EU の法的道具で、欧州経済領域の外への移転のために作られたものです。契約上の土台としては妥当ですが、それ自体でサウジアラビアや UAE の移転の仕組みになるわけではありません。GDPR の契約を普遍的なコンプライアンスとして扱うベンダーは、現地の法律を読んでいません。

7. 法が変わったらどうなりますか

これはほとんど誰も尋ねない質問であり、最も多くの金額が付いている質問です。この地域のデータ保護法は若く、動いています。規制当局は新しい分類を出すことができ、署名時には適法だった立場が、5 年契約の 2 年目には適法でなくなります。四つを契約に入れてください。

1. 法が変わって当社の取り決めがもはや適法でなくなった場合、貴社は何をしなければならず、それはどの期間内ですか。
2. 移行の費用は誰が払いますか。当社か、貴社か、原因に応じて分担ですか。
3. その期間内に貴社が対応できない場合、当社は違約金なしで解約できますか。
4. 終了時、データはどの形式で受け取れますか。書き出しにはどれだけかかりますか。そしてそれは貴社のシステムとバックアップからいつ削除されますか。

Lurno の立ち位置を、率直に

自分たちの質問票に対する自分たちの答えを、他社に求めるのと同じ形で示します。

Augmental Learning Inc. は米国の会社であり、既定のインフラと副処理者は米国にあります。そこから二つのことが導かれ、湾岸の買い手はその両方を直接聞くべきです。既定では、御社の記録は米国にあります。そして会社は米国で登記されているため、個々のバイトがどこにあろうと米国の管轄が及びます。二つ目を変える設定はありません — 当社にもなく、他のどの米国ベンダーにもありません。

今日、本当に設定できるのはメディアストレージです。Supabase、Amazon S3、Azure、Google Cloud Storage にまたがって組織ごとに設定でき — 御社自身のリージョンにある、御社自身のバケット — 組織ツリーの下へ継承されます。ですから出版社は、別のテナントに分割することなく、ある国のファイルをその国に置いておけます。これはデータ量の最大の部分をカバーします。アップロードされた文書、録画、学習者の提出物、根拠ファイルです。設定の方法はオーサリングのページにあります。

主張しないこと。主データベースとアプリケーション層のリージョン内配置は、今日、注文書のチェック欄で選べるものではありません。御社の要件がそこまで及ぶなら、それはチェックボックスではなく、期限の付いた個別の相談になります。そして御社は、資料に「ソブリン」と書いてあるベンダーも含め、すべてのベンダーにその具体性を求めるべきです。

当社は SOC 2 の認証も ISO 27001 の認証も取得しておらず、スライド上のバッジにそれをほのめかさせるより、こう書いておくほうを選びます。あるのは、データ処理契約、FERPA 追補、ハッシュチェーン監査ログ、二名承認を伴う GDPR の同意および消去のフロー、そしてアプリケーションコードの中だけでなくデータベースの中の 868 の行レベルセキュリティポリシーによって強制されるテナント分離です。分離は所在地とは別の保証です。他の顧客が御社の行に到達できない、という意味です。所在地の質問に分離の答えを返すベンダーは、話題をすり替えています — 当社も含めて。

本当の答えが返ってくるように要件を書く

ベンダーが曖昧な答えを返すのは、質問がそれを許したからです。「データ所在地に対応していますか」ははいを誘い、これに対していいえと言った者はいません。間違えられる答えを持つ質問に置き換えてください。

1. 段落ではなく表を求めてください。データの種類、保存する国、処理する国、提供者、リージョンコード。
2. 副処理者の一覧を添付資料として求めてください。国と、変更通知の条項を添えて。
3. バックアップの場所、日数での保持期間、削除された記録がその中でどれだけ生き残るかを求めてください。
4. 国境を越える移転のそれぞれが、どの国内法のどの条項に依拠しているかを尋ねてください。
5. 法が変わった場合に契約上どうなるかを、移行の費用を誰が払うかを含めて尋ねてください。

そのうえで、回答を熱意ではなく具体性で採点してください。この地域のルールがまだ落ち着かないうちは、御社のデータがどこにあるかを正確に伝えるベンダー — 聞きたくなかった部分も含めて — のほうが、何にでも同意するベンダーより、準拠を保ちやすい相手です。当社自身の版はセキュリティのページにあります。他社のものと同じ基準で当ててください。