# Găzduire în UE și GDPR: unde stau datele tale

> Unde sunt serverele și cine le administrează contează, legal și practic. Ce spune GDPR despre transferurile în afara UE și ce verifici la furnizori.

Simplix · gdpr, gazduire, securitate

Când alegi unde găzduiești un site sau o aplicație, te uiți de obicei la preț, viteză și suport. Mai e o întrebare, la fel de importantă dacă lucrezi cu date personale: **unde stau, fizic, datele clienților tăi și cine are acces la ele?**

Datele de pe site-ul tău înseamnă mesajele din formularul de contact, conturile clienților, comenzile, adresele, facturile. Pentru toate, răspunzi tu.

## Ce spune GDPR despre locul datelor

În interiorul Spațiului Economic European (UE, plus Islanda, Liechtenstein și Norvegia), datele personale circulă liber: un server în Germania sau în Finlanda e, din punctul de vedere al GDPR, la fel ca unul în România.

În afara lui, regulile se schimbă. Datele pot fi transferate doar dacă există un temei legal: o decizie a Comisiei Europene că țara respectivă protejează datele la un nivel adecvat, clauze contractuale standard sau alte garanții prevăzute de regulament[^1]. Iar responsabilitatea de a te asigura că transferul e legal este a ta, ca operator al datelor.

## Statele Unite: un teren care s-a mișcat de trei ori

Pentru transferurile către SUA, regulile s-au schimbat de mai multe ori în ultimul deceniu. Curtea de Justiție a UE a anulat două acorduri succesive: Safe Harbor în 2015 și Privacy Shield în 2020. Din iulie 2023 există un al treilea, **EU-US Data Privacy Framework**, care permite transferul datelor către firmele americane care au aderat la el[^2]. Tribunalul UE l-a menținut în septembrie 2025, dar hotărârea poate fi atacată[^3].

Concret: un acord care azi e valabil poate fi anulat mâine, iar firmele care se bazau pe el trebuie să-și refacă, în grabă, temeiul legal.

## Nu contează doar unde, ci și cine

Un server „în Frankfurt” nu înseamnă automat că datele sunt doar sub legea europeană. Contează și **firma care îl administrează**.

Legea americană numită **CLOUD Act** (2018) permite autorităților din SUA să ceară furnizorilor americani datele pe care le controlează, indiferent unde sunt stocate fizic[^4]. Autoritățile europene pentru protecția datelor au arătat că acest lucru poate intra în conflict cu GDPR. Pentru un furnizor european, fără legături în SUA, întrebarea nu se pune.

> **Nu înseamnă că serviciile americane sunt interzise**
>
> Multe firme folosesc legal servicii americane, pe baza Data Privacy Framework sau a clauzelor contractuale standard. Diferența e că, la un furnizor european, cu servere în UE, situația e mai simplă, mai stabilă și mai ușor de explicat clienților și autorităților.

## Contractul cu furnizorul

Firma care îți găzduiește aplicația prelucrează datele în numele tău, deci GDPR cere un **contract de prelucrare a datelor** cu ea (articolul 28)[^1]. Acesta stabilește ce are voie să facă furnizorul cu datele, cum le protejează și ce subcontractori folosește. Furnizorii serioși îl oferă standard.

Atenție la **subcontractori**: furnizorul tău poate fi european, dar poate folosi, la rândul lui, servicii din afara UE pentru email, copii de siguranță sau suport.

## Ce verifici la furnizorii tăi

Găzduirea nu e singurul loc prin care trec datele. Fă o listă cu toate serviciile folosite de site sau de aplicație și verifică, pentru fiecare, unde stau datele și cine e firma:

- găzduirea și copiile de siguranță;
- emailul firmei și emailurile trimise automat de aplicație;
- formularele, chat-ul, programările;
- statisticile de trafic și instrumentele de marketing;
- CRM-ul, facturarea, procesatorul de plăți;
- **serviciile de inteligență artificială**: dacă trimiți date ale clienților către un model AI, și acela e un transfer de date.

## Avantajele practice ale găzduirii în UE

Pe lângă partea legală, găzduirea aproape de clienți are și beneficii concrete:

- **viteză:** un server în Europa răspunde mai repede vizitatorilor din România decât unul de pe alt continent;
- **claritate:** răspunzi simplu la întrebarea „unde sunt datele mele?”, pusă tot mai des de clienți, mai ales de cei mari;
- **stabilitate:** nu depinzi de soarta unor acorduri internaționale.

## Cum facem noi

Găzduim site-urile și aplicațiile la Hetzner, un furnizor german, cu centre de date în Germania și Finlanda; în Germania, toată energia folosită provine din surse regenerabile[^5]. Și serviciile de email pe care le folosim au servere în Uniunea Europeană. Când un proiect are nevoie de servicii externe, verificăm de la început unde ajung datele și te ajutăm să documentezi totul pentru politica de confidențialitate.

[Vezi cum lucrăm cu infrastructura](https://www.simplix.ro/servicii/consultanta-it-si-infrastructura/)

[^1]: [Regulamentul (UE) 2016/679 (GDPR)](https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=ro): articolul 28 și capitolul V (articolele 44–50).
[^2]: Comisia Europeană, [EU-US data transfers](https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en).
[^3]: IAPP, [European General Court dismisses Latombe challenge, upholds EU-US Data Privacy Framework](https://iapp.org/news/a/european-general-court-dismisses-latombe-challenge-upholds-eu-us-data-privacy-framework), septembrie 2025.
[^4]: EDPB și EDPS, [evaluarea inițială a impactului CLOUD Act asupra cadrului european](https://edps.europa.eu/sites/edp/files/publication/19-07-10_edpb_edps_cloudact_annex_en.pdf), iulie 2019.
[^5]: Hetzner, [Sustainability at Hetzner](https://docs.hetzner.com/general/company-and-policy/sustainability-at-hetzner/).