Trasferimento di dati tra paesi e regioni

1) Cosa è considerato un trasferimento transfrontaliero e perché è importante

• hosting/replica in un'altra regione,
• accesso remoto di terze parti (compreso zapport/admind ),
• Routing attraverso servizi cloud globali, CDN, SDK diagnostici/analisi.

In iGaming/Fintech, la transfrontaliera influenza le licenze, le partnership con PSP/banche e il profilo di rischio degli incidenti.

2) Basi legali (modello generalizzato)

1. Legittimità di elaborazione alla fonte: scopo, fondamento (contratto/obbligo/legittimo interesse/consenso), minimizzazione e riscossione.

• decisione di adeguatezza (se il destinatario è in giurisdizione con «protezione sufficiente»);
• strumenti contrattuali: clausole/riserve standard, regole aziendali (BCR), accordi tra gruppi;
• altri motivi (necessità contrattuale, consenso esplicito, protezione della vita, ecc. - stretta e contestuale).

3. Misure di protezione aggiuntive: le misure org confermano che i rischi di accesso di terzi e enti pubblici sono ridotti a livelli accettabili.

3) DTIA - Valutazione trasferimento (Data Transfer Impact Assessment)

La DTIA risponde alle domande: Chi riceve? Quali sono le leggi/i rischi di accesso ai dati? Le nostre misure sono sufficienti?"

1. Operazione e contesto (categorie PD/entità, obiettivi, volumi, frequenza).

2. Destinatari e catene di subprocessori (posizioni, ruoli, sottoprocessori).

3. Analisi legale del paese destinatario (rischi di accesso pubblico, procedure di richiesta di dati, rimedi).

4. Azioni tecniche/organizzative: crittografia, separazione delle chiavi, alias, restrizioni di accesso.

5. Rischio residuo e soluzione: «trasferire/rafforzare le misure/non trasmettere».

6. Piano di monitoraggio: revisioni degli eventi (cambio di provider/geo/legge).

4) Tipici meccanismi di trasmissione (simili a GDPR e equivalenti)

Adeguata: può essere trasmessa senza strumenti contrattuali aggiuntivi, ma con misure di base (minimizzazione, crittografia, retensh).
Clausole contrattuali standard (SCC/analogo): garanzie contrattuali + DTIA + supplemento.
Regole aziendali (BCR): per i gruppi multinazionali richiedono l'approvazione del regolatore e un programma di privacy interno maturo.
Altri motivi sono il consenso esplicito, la necessità di un contratto con l'S.I., importanti interessi pubblici - stretti e malfunzionanti operativi.

5) Misure tecniche e organizzative (costruttore)

Crittografia e chiavi

Crittografia in transit e at rest; TLS 1 minimo. 2+/AES-256.
Split-key/envelope encryption: le chiavi rimangono nel paese di origine (KMS/HSM «casa»), nel paese destinatario solo le chiavi di avvolgimento.
Crittografia client per set particolarmente sensibili.

Identificazione

Alias prima del trasferimento: token stabili al posto di PII; non è consentito un gioiello diretto con PII verso il destinatario.
Anonimato/aggregazione per analisti e report (se possibile); privacy differenziale per le pubblicazioni.

Accesso e utilizzo

Disponibilità JIT, RBAC/ABAC, controllo dell'esportazione (DLP), logi WORM.
Divieto di Prod-PD in def/stage; sintetico o occultamento.
Vincoli Geo e IP allowlist per gli indirizzi.

Controllo dei venditori

DPA/contratto con proibizione di scopi secondari e onward transfer senza consenso.
Registro dei sottoprocessori geografici SLA notifica incidenti.
Ringhiera/verifiche annuali; monitoraggio delle modifiche di giurisdizione/hosting.

6) Pattern architettonici data/key residency

• I cluster EU-only/BR-only/IN-only; sincronizzazione delle unità anonime in DWH globale.
• Geo-sharding con routing per origine utente e luogo di licenza.

• I dati possono essere memorizzati globalmente in formato crittografato e le chiavi solo nel paese di origine (split-key, remote KMS).
• Le richieste di decodifica passano attraverso un'proxy chiave "autorizzato, con l'udienza e le quote.

• Server-side analytics e postback server (affiliati/assegnazioni) al posto dei browser SDK «grassi».
• Livello Edge con modifica eventi (rimozione PII) prima di entrare nelle pipline globali.

7) Caratteristiche regionali (ad alto livello)

Approccio europeo (GDPR) - capitolo sul trasferimento + DTIA; particolare attenzione all'accesso degli enti pubblici e ai rimedi.
Gli Stati Uniti (modalità di privacy a tempo pieno) si concentrano sulla «vendita/condivisione» e sulle restrizioni contrattuali di terzi; segnali separati (ad esempio GPC) per gli script pubblicitari.
Brasile (TGPD): consente il trasferimento con adeguate/contrattuali garanzie/certificazione/accettazione; pratiche simili a quelle europee (RIPD per i guadagni rischiosi).
India, Asia, ecc. - Sono possibili requisiti locali di conservazione delle copie, registrazione/notifica ai regolatori, restrizioni sui set «sensibili» - verificare le norme di settore e le condizioni delle licenze/partner di pagamento.

(La sezione è espressamente riassunta: prima di eseguire, è necessario aggiornare il diritto locale e i requisiti delle licenze e PSP.)

8) Cosa documentare (manufatti)

Registro delle trasmissioni: paesi/provider/meccanismo (adeguatezza/SCC/BCR/altro )/categorie PD/basi/scadenze.
DTIA per ciascuna trasmissione (e aggiornamenti in caso di modifiche).
DPA/contratti con processori/sabprocessori Elenco dei sottoprocessori per regione.
Criteri key residency e schemi KMS/HSM.
Procedure di incidenti in base alla geografia e tempi di notifica.
Data map/lineage per cascate ed esportazioni.

9) Incidenti e notifiche durante il trasferimento transfrontaliero

Determinare rapidamente il volume e la geografia dei dati interessati, i regolatori/i tempi di notifica applicabili.
Coordinare le attività con i provider/sabprocessori; ottenere gli artefatti tecnici (fogli, finestre temporanee, chiavi di accesso).
Le comunicazioni sono «minimamente sufficienti», senza rivelazione; per i soggetti interessati - raccomandazioni chiare (cambio di password, controllo delle transazioni, ecc.).
Post-mare: aggiornamento DTIA, rafforzamento delle misure, aggiustamento dei contratti.

10) Metriche e controllo qualità

DTIA Coverage - Percentuale di trasmissione con valutazioni di impatto aggiornate.
Key Residency Enforcement è il% di decodificazioni passate attraverso KMS regionale.
Vendor Geo Accuracy è una corrispondenza tra la geografia di lavorazione promessa e quella effettiva.
Export Violations - tentativi/fatti di esportazioni non autorizzate.
Indizio MTTD/MTTR per valigette transfrontaliere.
RoPA/Transfer Registry Completeness è la completezza dei registri.
Retention Adherence per i dati trasferiti all'estero.

11) Assegno fogli (operativi)

Prima dell'avvio del trasferimento

• Obiettivo/base/minimizzazione definiti, inseriti nel RoPA.
• Il meccanismo selezionato è adeguato/SCC (o equivalente )/BCR/altro.
• È stato eseguito DTIA e sono stati adottati supplementi (crittografia, split-keys, alias).
• DPA/contratti con vincoli onward transfer, diritto di verifica.
• Loging di disponibilità, DLP, alert di esportazione configurati.

In uso

• Monitoraggio geografico (provider/repliche/CDN/SDK).
• Revisione annuale/evento della DTIA e degli elenchi dei sabprocessori.
• Test di ripristino/igiene per gli scenari DR.

In caso di modifiche

• Re-DTIA quando cambia paese/provider/regime legale.
• Aggiornamento dei registri e notifica DPO/avvocati.
• Verifica di key residency e percorsi di decodifica.

12) Matrice "categoria di dati", misura di protezione, se è possibile trasmettere "

13) Modelli per il tuo wiki/repository

DTIA-Template. md (paragrafi 1-6 + elenco delle supplenze).
Transfer-Registry. xlsx/MD (Operazione → Paese → provider → Meccanismo di → azione).
Key-Residency-Policy. md (architettura KMS/HSM, ruoli, verifiche).
Vendor-DPA-Checklist. md (vincoli, sabprocessori, localizzazioni, notifiche).
DR-Sanitization-Runbook. md (come pulire gli ambienti ripristinati).
Geo-Monitoring SOP (come controllare la geografia effettiva).

14) Road map di implementazione (6 passi)

1. Inventario delle trasmissioni: sorgenti PD, destinatari, percorsi, SDK/tag.
2. Tracciato legale: selezione dei meccanismi (idoneità/SCC/BCR), preparazione della DPA, avvio del registro.
3. DTIA e supplementi: crypto-architettura (split-keys, key residency), alias, DLP/controllo.
4. Architettura data residency: geo-cluster, regole di routing, server-side analytics.
5. Operazioni e monitoraggio: geo-monitoraggio dei provider/sabprocessori, DOTTOR-igiene, metriche.
6. Controllo/formazione: revisione annuale di DTIA/registri, allenamento di incidenti, report per la direzione.

Totale

La gestione del trasferimento transfrontaliero non è un segno di spunta nel contratto, ma una combinazione di meccanismi legali, crypto-architettura e disciplina operativa. DTIA nitida, vincoli contrattuali, «data/key residency», alias e controllo dei venditori consentono di scalare il prodotto in modo sicuro a livello regionale senza perdere la velocità e la conformità dei regolatori e dei partner di pagamento.