Хмарні обчислення в Цзяньсі: початок шляху до відповідності вимогам

Коли ви думаєте про технологічну Кітай, першими на думку приходять Шенчжен, Ханчжоу або Пекін. Але справжні можливості часто ховаються там, де менше шуму. Цзяньсі (Ji’an), місто в провінції Цзяньсі, стає все привабливішим для крос-кордонних підприємців — нижчі операційні витрати, державні субсидії на “цифрову економіку” і досить якісна інфраструктура дата-центрів. Але ось закладка: Китайське законодавство про дані (Data Security Law, PIPL, Cybersecurity Law) не знає поняття “мале місто”. Вимоги однакові для всіх.

Останнім часом (2024–2025 рр.) Кадастровий управління кібербезпеки (CAC) посилило перевірки перемежового передачі даних. Навіть якщо ваш сервер стоїть в локальному дата-центрі Цзяньсі, а клієнти — в Україні чи Європі, ви потрапляєте під дію правил про вивід важливих даних за кордон. Штрафи можуть сягати 50 мільйонів юаней або 5% річного обороту. Для стартапу це смерть. Тому питання не в тому, чи потрібен юрист, а в тому, якого юриста шукати в Цзяньсі, щоб він розумів як місцеве законодавство, так і ваші бізнес-процеси.

Чому українським фаундерам важко осягнути ризики Цзяньсі

Ми, українці, звикли до GDPR: прозора логіка, чіткі чек-листи, DPO (Data Protection Officer) — і йдеш спати спокійно. У Китаї логіка інша: “безпека перш за все”, “суверенітет даних” і адміністративне дозвілля. У Цзяньсі це відчувається остреше.

Больові точки, з якими стикаються наші клієнти:

  • “Міжнародний стандарт” не працює. Ви підписали SCC (Standard Contractual Clauses) з європейським партнером? У Китаї це не автоматично легалізує вивід даних. Потрібен окремий оцінювач безпеки (Security Assessment) або сертифікація CAC, якщо обсяги даних перевищують пороги (1 мільйон осіб або “важливі дані”).
  • Локалізація — не варіант, а вимога. Персональні дані громадян ПРК повинні зберігатися в ПРК. Якщо ваш SaaS за замовчуванням пушить логи в AWS Frankfurt — ви вже порушник. Потрібна архітектура “data residency” з першого дня.
  • Мовний бар’єр у договорах. Місцеві провайдери дата-центрів в Цзяньсі подають договори тільки китайською. “Force majeure” там може означати все, що завгодно, крім стандартного тлумачення. Один пропущений символ у клаузі про відповідальність за витік даних — і ви платите за всіх.
  • Невизначеність “важливих даних” (Important Data). Каталог важливих даних оновлюється. Сьогодні це координати карти, завтра — дані про енергоспоживання вашого дата-центру. Без постійного моніторингу з боку місцево фахівця ви летите вслепо.

Анатомія відповідності: від архітектури до аудиту

Розберемо по поличках, як це виглядає в практиці для проєкту, хостінгся в Цзяньсі.

1. Класифікація даних до написання першого рядка коду

Не чекайте релізу. Китайське право вимагає Data Classification & Grading (數據分類分級).

  • Крок 1: Інвентаризація. Які дані збираєте? Імена, телефони, IP, біометрія, платіжна історія, геолокація?
  • Крок 2: Маркування. Кожен тип даних отримує рівень: загальний, внутрішній, конфіденційний, секретний.
  • Крок 3: Карта потоків (Data Flow Map). Де генерується -> де обробляється (Цзяньсі) -> куди йде (API до України, аналітика в Сінгапурі).
  • Порада: Зробіть цю мапу візуально. Китайські аудитори (і поліція) обожнюють схему “один екран — все зрозуміло”.

2. Оцінка впливу на безпеку (DPIA / PIA) — обов’язкова для “важливих” обробників

Якщо ви обробляєте дані > 1 млн осіб або “чувствильні дані” (мेडдані, фінанси, неповнолітні) — Personal Information Protection Impact Assessment (PIA) обов’язкова.

  • Вона проводиться до запуску обробки.
  • Звіт зберігається 3 роки.
  • Має бути готова до пред’явлення органу публічної безпеки (Public Security Bureau — PSB) при перевірці.
  • Нюанс Цзяньсі: Місцевий PSB може вимагати специфічні додатки до звіту, що стосуються фізичної безпеки серверної (доступ, камери, пожежогасіння). Віддалений CTO з Києва це не закриє.

3. Контрагування з провайдером IDC (Internet Data Center)

Цзяньсі має кілька кваліфікованих дата-центрів. Угода з ними (IDC Service Agreement) — це не просто “оплата за рек”. Це юридичний інструмент відповідальності. Чек-ліст до підписання:

  • Чітке визначення: хто “контролер” (Controller), хто “обробник” (Processor). За китайським законом — ви Контролер, IDC — Обробник. Відповідальність за законність бази на вас.
  • Клауза про Data Localization: провайдер гарантує, що дані не вийдуть за межі материкового Китаю (Mainland China) без вашого письмового розпорядження + процедури CAC.
  • Incident Response: SLA на повідомлення про інцидент безпеки — не пізніше 24 годин (за законом — “негайно”, на практиці домовляються на 24h).
  • Право на аудит: ви (або ваш юрист) маєте право перевірити фізичну безпеку, логи доступу, процедури знищення дисків.
  • Повернення/унічтоження даних при розриві договору. Терміни, методи (NIST 800-88), акти уникнення.

4. Перемежова передача: три легальні шляхи

Якщо дані мусять виїхати з Китаю (наприклад, до вашої команди в Україні для підтримки):

  1. Security Assessment (CAC) — для критичної інфраструктури, операторів важливих даних, обсягів > 1 млн осіб. Складно, довго (місяці), дорого. Потрібна допомога профільної фірми.
  2. Standard Contract (Standard Contract for Cross-border Transfer) — для більшості SME. Подається в місцеве відділення CAC (в Цзяньсі — через міський CAC) протягом 10 робочих днів після підписання. Важливо: стандартний договір ПРК відрізняється від EU SCC. Не плутайте.
  3. Certification (Personal Information Protection Certification) — рідко використовується стартапами через витрати.

Житий хак: Якщо можливо — не виводьте дані. Зробіть ізольований контур в Цзяньсі для обробки, а в Україні дивіться только аггреговані, анонімізовані звіти. Анонімізація за китайськими стандартами (GB/T 37986) — сувора річ, “псевдонімізація” (GDPR style) тут не прокатує.

🙋 Поширені запитання (FAQ)

П1: Ми невеликий стартап (команда 5 осіб), наш сервер в Цзяньсі, клієнти فقط за кордоном. Чи потрібно нам робити PIA і подавати декларацію в CAC? В1: Залежить від обсягу і типу даних, а не від розміру команди.

  • Чек-ліст самостійної перевірки:
    1. Чи збираєте ви персональні дані громадян ПРК? (Так/Ні). Якщо Ні (тільки іноземці) — ризики нижчі, але закон про кібербезпеку (CSL) про захист мережі все одно діє.
    2. Чи перевищує кількість суб’єктів даних 1 000 000? Якщо Так -> Обов’язкова Security Assessment для виводу.
    3. Чи обробляєте “чувствильні дані” (медицина, фінанси, біометрія, неповнолітні < 14 р.)? Якщо Так -> Обов’язкова PIA.
    4. Чи є ви “Critical Information Infrastructure Operator (CIIO)”? (Цзяньсі PSB видає повідомлення). Якщо Так -> Строгий режим, локалізація обов’язкова, вивід только через Security Assessment.
  • Офіційний шлях: Запит до міського відділення CAC (Цзяньсі) або консультація з кваліфікованим юристом із спеціалізацією “Network Security / Data Compliance”.

П2: Як перевірити юриста в Цзяньсі? Ми не можемо особисто приїхати. В2: Це класична проблема. Ось алгоритм відбірки віддалено:

  1. Ліцензія: Попросіть фото/скан Lawyer’s Practice Certificate (律师执业证). Перевірте статус на сайті Міністерства юстиції (司法部律师公共法律服务平台) або сайті Юрисдикції Цзяньсі.
  2. Спеціалізація: Спросіть про кейси: “Скільки PIA ви оформлювали за останній рік?”, “Маєте досвід Security Assessment у провінції Цзяньсі?”, “Працювали з IDC-провайдерами Цзяньсі?”.
  3. Мова: Чи можуть працювати робочою англійською (для вас) і юридичною китайською (для суду/CAC)? Потрібен bilingual legal counsel.
  4. Конфлікт інтересів: Чи не представляють вони вашого IDC-провайдера або конкурентів?
  5. Оплата: Чіткий Fee Agreement (agency agreement). У Китаї юристи часто працюють через фірми (Law Firms), оплата йде на рахунок фірми, не на картку приватну.
  6. Тестове завдання: Заплатіть за 1-годинну консультацію (legal opinion memo) з конкретного питання (напр., “Review IDC contract clause 8.3”). Оцініть глибину, посилання на статті закону (CSL Art. 37, PIPL Art. 38/39), практичність.

П3: Що робити, якщо PSB Цзяньсі приїхав на перевірку (Spot Check) до дата-центру? В3: Не панікуйте. Це рутинна практика (Network Security Inspection / 网络安全检查).

  • Ключові дії (First 24h):
    1. Повідомте свого юриста миттєво. Він має право бути присутнім.
    2. Не ховайтеся, не брешіть. Інспектори перевіряють: наявність відповідальної особи (Network Security Officer / 网络安全负责人), систему реєстрації (MLPS 2.0 / 等保二级/三级), логи доступу, плани аварійного відновлення.
    3. Документи “на столі”: Мережева топологія, схема класифікації даних, звіт PIA (якщо потрібен), договір з IDC, журнал інцидентів, договори з підрядниками (SaaS vendors).
    4. Протокол інспекції (检查笔录): Читайте уважно перед підписом. Маєте право писати зауваження. Не підписуйте порожні листи.
    5. Виправлення (整改): Якщо видалили наказ — термін зазвичай 15-30 днів. Юрист готує план виправлення (Rectification Report) для звіту PSB.

🧩 Підсумок: ваш план дії на цьому тижні

Цзяньсі — чудове місце для бізнесу, але “дикий захід” у питаннях даних тут закінчився давно. Якщо ви ucranський фаундер, що розгортає хмарний сервіс тут, ваша задача — перетворити хаос на чек-ліст.

4 кроки, які варто зробити зараз:

  1. Замовте Data Mapping & Classification у фахівця (внутрішньому або зовнішньому). Без карти даних ви сліпі.
  2. Знайдіть “свого” юриста в Цзяньсі за алгоритмом вище. Не економить на першій консультації — це дешевше за штраф.
  3. Аудит договору з IDC-провайдером. Переконайтесь, що ви контролюєте дані, а не вони.
  4. Розрахуйте архітектуру “No Cross-border by Default”. Якщо дані не виходять — 80% проблем відпадає.

📣 Потрібна допомога з юридичним аудитом в Цзяньсі?

Ми в Lvga.com не гарантуємо “швидкого результату” і не обіцяємо “вирішимо все за одну ніч”. Ми — невелика команда, яка з 2015 року допомагає іноземним підприємцям знаходити чесних, кваліфікованих китайських юристів, розуміти термінологію і перевіряти документи перед підписанням.

Якщо у вас виникли питання по хмарній відповідності в Цзяньсії, перемежовій передачі даних або пошуку місцевого юриста — пишіть нам.

📧 Email (основний контакт): lvga2015@qq.com
💬 WeChat (запасний канал для обговорення теми статті): додайте JingJing (WeChat ID: lvga2015).

Ми відповімо чесно, по суті і без робочих слів. Давайте зв’яземося, обговоримо ризики і зекономимо ваші гроші та нерви.

📌 Застереження

Важливо: Lvga.com — це платформа для пошуку юридичної допомоги, ми не є юридичною фірмою (law firm) і не надаємо юридичних послуг безпосередньо.
Ця стаття створена з допомогою штучного інтелекту та має виключно інформаційний характер. Вона не є юридичною порадою, фінансовою рекомендацією чи консультацією з питань іміграційного права.
Законодавство Китаю (включаючи PIPL, CSL, DSL) змінюється, практика локального застосування в Цзяньсі може відрізнятися. Всі процедури, терміни та вимоги потрібно перевіряти через офіційні ресурси (CAC, MPS, SAMR, Мін’юст ПРК) та кваліфікованих ліцензованих юристів.
Ми не несемо відповідальності за наслідки використання цієї інформації без професійної консультації.
Якщо ви помітили неточності — пишіть на lvga2015@qq.com, ми виправимо.