Veri İkametgahı (Data Residency)

Veri ikametgahı, bir SaaS müşterisinin verilerinin fiziksel olarak nerede saklandığı ve işlendiği — hangi belirli ülkenin veya bölgenin veri merkezlerinin bu baytları gerçekten tuttuğu — anlamına gelir ve giderek, GDPR (AB kişisel verilerinin belirli güvenceler olmadan AB/AEA dışına aktarılmasını kısıtlayan) gibi yasalar ve verinin belirli bir yargı alanından hiç çıkmamasını zorunlu kılan devlet, sağlık ve finans sektörü tedarik kurallarının yönlendirdiği, sahip olması güzel bir şey değil, sert bir sözleşmesel veya düzenleyici gereklilik haline geliyor. Veri ikametgahı, ilişkili olsa da veri egemenliğinden (verinin, sahibinin uyruğundan bağımsız olarak saklandığı ülkenin yasalarına tabi olduğu daha geniş ilke) ve veri yerelleştirmeden (bazı ülkelerde — özellikle Rusya ve Çin'de — belirli veri kategorilerinin istisnasız olarak yalnızca ulusal sınırlar içinde saklanmasını gerektiren daha katı, daha mutlak bir yasal zorunluluk) ayrıdır. Uluslararası, düzenlenmiş veya kamu sektörü müşterilerine hizmet veren SaaS geliştiricileri için veri ikametgahı yalnızca yasal bir onay kutusu değildir — gerçek mühendislik maliyeti olan bir altyapı kararıdır: bir AB ikametgahı seçeneğini desteklemek tipik olarak bir AB bulut bölgesinde tamamen ayrı bir uygulama dağıtımı ve veritabanı kurmak (yalnızca bir CDN kenar önbelleği değil), AB müşteri kayıtlarını özellikle o bölgeye yönlendirmek ve yedeklerin, günlüklerin, hatta müşteri verisi içeren destek talebi eklerinin de taahhüt edilen bölgede kalmasını sağlamak anlamına gelir — bu, ilk başta göründüğünden çok daha büyük bir yüktür, bir kurumsal güvenlik incelemesi özellikle "destek talebi verisi de bölgede mi kalıyor?" diye sorana kadar kolayca gözden kaçırılır. Bulut sağlayıcıları (AWS, GCP, Azure) çoklu bölge dağıtımını mekanik olarak mümkün kılar, ama SaaS tedarikçisinin yine de bölgesel okuma kopyalarına sahip tek bir küresel veritabanı yerine bölge başına gerçek veri izolasyonu için mimari kurması gerekir, çünkü ikincisi tipik olarak verinin birincil kopyasının okumaların nereden sunulduğundan bağımsız olarak tek bir bölgede kaldığı anlamına gelir. Somut örnek: AB kamu sektörü müşterilerine satış yapan bir SaaS şirketi, AWS'nin Frankfurt (eu-central-1) bölgesinde tamamen izole bir dağıtım kurar — ayrı bir Postgres örneği, dosya yüklemeleri için ayrı S3 kovaları, ayrı bir günlükleme hattı — ve kayıt sırasında "AB veri ikametgahı"nı seçen herhangi bir müşteriyi özellikle o yığına yönlendirir; bir AB ikametgahı müşterisinin verisinin yanlışlıkla bile olsa şirketin varsayılan ABD bölgesi veritabanına asla yazılmasını aktif olarak önleyen bir dahili güvence (bir veritabanı kısıtlaması artı bir CI kontrolü) ile birlikte. Satış ve fiyatlandırma ekipleri de veri ikametgahı planlamasına erkenden dahil edilmelidir, çünkü bölgesel dağıtımlar gerçek, süregelen altyapı maliyeti taşır (ikinci tam üretim yığını, yinelenen gözlemlenebilirlik, bölgeye özgü nöbet kapsamı) — birçok SaaS tedarikçisi, her müşterinin verisinin yasal olarak hangi bölgede yaşaması gerektiğinden bağımsız olarak aynı şekilde hizmet verilebileceğini varsaymak yerine, tam olarak bu maliyeti dengelemek için AB/bölgesel ikametgahı ayrı bir premium kademe olarak fiyatlandırır.