Datalagring inom EU och GDPR-efterlevnad

Datalagring inom EU — mer än ett löfte

De flesta samarbetsplattformar erbjuder lagring inom en viss region som ett konfigurationsalternativ — ett alternativ i en rullgardinsmeny i en adminpanel som dirigerar viss data till en önskad region. Verkligheten bakom det här alternativet är ofta mer komplicerad. Metadata kan flöda genom globala CDN-nätverk. Supportverktyg kan behandla data i leverantörens hemjurisdiktion. Krypteringsnycklar kan hanteras centralt, utanför kundens valda region.

Mandraki har ett i grunden annorlunda angreppssätt. Att data stannar inom EU är inte en inställning. Det är en strukturell egenskap hos plattformen. Varje komponent i systemet — applikationsservrar, databaser, mediaservrar, fillagring, krypteringsnyckelhantering och AI-bearbetning — fungerar uteslutande inom den europeiska unionen, på infrastruktur som ägs och drivs av ett europeiskt företag.

Vad det innebär att data stannar inom EU hos Mandraki

Applikations- och databasservrar driftas i EU-datacenter som sköts av vår europeiska hyperscale-leverantör. All permanent data — användarkonton, organisationsinställningar, meddelanden, samtalshistorik och filer — lagras i PostgreSQL-databaser som aldrig lämnar EU:s jurisdiktion.

Mediabehandling sker på Selective Forwarding Units (SFU:er) som är placerade inom EU. Video- och ljudströmmar dirigeras genom europeiska servrar, och när end-to-end-kryptering är aktiverad krypteras mediainnehållet innan det når servern.

Fillagring och inspelningar använder EU-baserad objektlagring. Filer krypteras i vila med organisationsspecifika nycklar, och dessa nycklar är i sin tur inkapslade i en huvudnyckel som aldrig lämnar EU.

Krypteringsnycklar genereras, lagras och hanteras inom EU:s infrastruktur. Organisationer som kräver ytterligare kontroll kan använda Bring Your Own Key (BYOK) för att hantera sin huvudnyckel genom sin egen nyckelhanteringstjänst, vilket säkerställer att inte ens Mandraki kan dekryptera deras data.

AI-behandling — transkribering, sammanfattning och smarta svar — körs på beräkningsresurser som driftas i EU. När AI-funktioner är aktiverade behandlas data tillfälligt och förs aldrig ut utanför EU. Organisationer kan stänga av AI-funktionerna helt, eller kräva samtycke från alla deltagare för varje enskilt samtal.

Metadata och loggar stannar inom EU. Det finns ingen global analyspipeline som leder ut telemetri till en främmande jurisdiktion. Driftstelemetri behandlas och lagras på samma EU-infrastruktur som applikationen själv.

GDPR-efterlevnad i grunden

Den allmänna dataskyddsförordningen ställer stränga krav på hur personuppgifter samlas in, behandlas, lagras och överförs. Mandrakis arkitektur är utformad för att uppfylla dessa krav på teknisk nivå, snarare än att enbart förlita sig på kontraktuella mekanismer.

Laglig grund. Mandraki behandlar personuppgifter med stöd av avtalets fullgörande (för att tillhandahålla samarbetstjänsten) och, där det är tillämpligt, den personuppgiftsansvariges berättigade intressen (kundorganisationen). Vi behandlar inte personuppgifter för annonsering eller profilering.

Uppgiftsminimering. Plattformen samlar endast in den data som är nödvändig för att leverera dess funktioner. Telemetri anonymiseras och personuppgifter tas bort innan lagring.

Rätt till radering. Organisationer kan ta bort användarkonton, meddelanden, samtalsinspelningar och tillhörande data. Raderingen genomförs i alla lagringslager, inklusive säkerhetskopior, inom den lagringsperiod som anges i organisationens policy för datalagring.

Dataportabilitet. Organisationer kan exportera sin data i standardformat. Meddelanden, samtalsmetadata och filer kan extraheras för migrering eller arkivering.

Konsekvensbedömningar avseende dataskydd. Mandraki tillhandahåller dokumentation och tekniska specifikationer som stöd för kunder som genomför sina egna konsekvensbedömningar (DPIA), i enlighet med artikel 35 i GDPR.

Ingen Schrems II-risk. Eftersom all databehandling sker inom EU på infrastruktur som ägs av ett europeiskt företag finns det ingen internationell dataöverföring att bedöma. Den komplexa juridiska analys som Schrems II-domen kräver — beslut om adekvat skyddsnivå, kompletterande åtgärder, bedömningar av överföringars konsekvenser — blir helt enkelt inte aktuell.

För reglerade branscher

Organisationer inom sjukvård, finansiella tjänster, offentlig sektor och juridik möter ytterligare regulatoriska krav utöver GDPR. Mandrakis arkitektur stöder branschspecifik efterlevnad genom verifierbar lagring inom EU, finkorniga åtkomstkontroller, granskningsloggar och kryptering som uppfyller eller överträffar nationella myndigheters förväntningar.

Att data stannar inom EU är inte en premiumfunktion. Det är så Mandraki fungerar, för varje kund, på varje plan.