RODO a hosting bazy danych: na co zwrócić uwagę wybierając dostawcę

Jeśli Twoja aplikacja przetwarza dane osobowe osób z UE, dostawca bazy danych jest Twoim podmiotem przetwarzającym. Jego wybór to decyzja prawna, nie tylko techniczna. Ten wpis nie jest poradą prawną — to checklista, która pomoże zadać właściwe pytania.

1. Gdzie fizycznie są dane?

Liczy się nie tylko region bazy, ale też lokalizacja kopii zapasowych, logów i replik. W HostBase region pl-waw-1 oznacza, że baza, backupy i logi pozostają w Polsce.

2. Umowa powierzenia (DPA)

Art. 28 RODO wymaga umowy powierzenia przetwarzania. Sprawdź, czy dostawca udostępnia ją w standardzie i czy możesz ją zawrzeć bez negocjacji.

3. Podprocesorzy

Poproś o listę podprocesorów (centra danych, dostawcy e-mail, monitoring). Każdy transfer poza EOG wymaga podstawy prawnej, np. standardowych klauzul umownych.

4. Dostęp spoza UE

Dostawca z siedzibą poza UE może podlegać przepisom umożliwiającym dostęp organów do danych niezależnie od lokalizacji serwerów. Dla danych wrażliwych (zdrowie, finanse) to często kluczowy argument.

5. Techniczne środki ochrony

• szyfrowanie w spoczynku i w tranzycie (TLS),
• izolacja projektów i kontrola dostępu do panelu (role, 2FA, logi audytowe),
• możliwość usunięcia danych i backupów po zakończeniu umowy.

Checklista

Pytanie	HostBase
Region w Polsce	Tak — pl-waw-1
Backupy w tym samym kraju	Tak
Umowa powierzenia	Tak, w panelu (Team, Enterprise) lub na żądanie
Faktura VAT w PLN	Tak
Logi audytowe	Plan Team i wyżej

Szczegóły znajdziesz na stronie Bezpieczeństwo oraz w Polityce prywatności.