”Molnet” låter platslöst, men datat ligger alltid på en fysisk server, i ett fysiskt land, under det landets lagar. För bokföring, kunduppgifter och allt annat känsligt är frågan inte teknisk utan juridisk: var bor datat, och vem kan tvingas lämna ut det?
GDPR och tredjelandsöverföringar
Under GDPR får personuppgifter inte fritt föras ut ur EU/EES. Så fort en leverantör lagrar eller behandlar data i ett tredje land — eller ägs av ett bolag som kan tvingas dit — uppstår en överföring du måste kunna motivera och skydda.
Varför amerikanskt ägande är en gråzon
Lagar som amerikanska CLOUD Act kan tvinga ett amerikanskt bolag att lämna ut data — även när servern står i Europa. Det räcker alltså inte att datacentret ligger i EU; ägandet och jurisdiktionen spelar också roll. Det är kärnan i det som kallas datasuveränitet.
När compliance blir ett krav, inte en åsikt
- Offentlig upphandling ställer ofta krav på datahemvist och jurisdiktion.
- Reglerade branscher — vård, finans, juridik — har uttalade lagringskrav.
- Känsliga träningsdata för AI ska inte lämna landet.
- Bokföring ska bevaras och vara åtkomlig i sju år.
Så vet du var din data bor
Fråga rakt ut: I vilket land står servern? Vilket bolag äger den? Vilken lag gäller? Ett tydligt svar är ett gott tecken. Kepler kör på egen hårdvara i Falkenberg, svenskt bolag, svensk jurisdiktion — inga tredjelandsöverföringar. Vill du dessutom äga hela driften finns self-hostad bokföring och privat moln.
Kort sagt
Compliance börjar med en enkel fråga med ett konkret svar: var ligger datat och vem kan komma åt det? Håller du känslig data under svensk hårdvara och svensk lag slipper du hela tredjelandsproblemet. Mer om hur vi bygger för det under Trust.