En exit-strategi, også for den nye skytjenesten din

Modul 8: Sikkerhetskopier, exit og administrasjon · Lesetid: 11 minutter

Læringsmål: Etter denne leksjonen kan du lage og teste en exit-strategi, slik at du også kan forlate den nye leverandøren din senere uten problemer, og du vet hvilke rettigheter GDPR og den europeiske Data Act gir deg i den forbindelse.

Kjernebegreper: exit-strategi, exit-test, eksportformat, åpen standard, oppsigelsesfrist, overgangsperiode, levere tilbake og slette data, art. 28 nr. 3 bokstav g i GDPR, EUs Data Act (forordning (EU) 2023/2854), rett til å bytte leverandør, byttekostnader, eget domenenavn

Hvorfor tenke på å forlate noe du nettopp har begynt med?

Du har akkurat byttet, eller holder fortsatt på. Hvorfor skulle du allerede nå tenke på neste bytte? Fordi du ellers lærer leksjonen fra dette kurset på nytt om fem år. Hos den gamle tjenesten din støtte du på murer (leksjon 2.3): filer i et eget format, chatter som ikke kunne bli med, innlogging via en konto du ønsket å avslutte. En exit-strategi sørger for at du ikke bygger de samme murene på nytt hos den nye tjenesten din.

Det finnes også grunner du ikke velger selv: leverandøren blir kjøpt opp (for eksempel av et selskap utenfor EU, slik at spørsmålene fra leksjon 2.1 plutselig får et annet svar), hever prisene kraftig, legger ned en tjeneste, eller går konkurs. Den som har en plan da, kan velge rolig. Den som ikke har en plan, må migrere under tidspress.

De tre lagene i en exit-strategi

Lag én, teknisk: kan du få ut dataene dine, i et brukbart format?

For hver del fastsetter du hvordan du eksporterer den og i hvilket format. Hos en tjeneste som bruker åpne standarder (leksjon 2.2), er dette oversiktlig:

Lag to, avtalemessig: hva står det om avslutning i avtalene dine?

Les dette når du inngår avtalen, ikke når du sier opp: oppsigelsesfristen, om du fortsatt har full tilgang til dataene dine i denne perioden, hvor lenge du kan hente dataene dine etter avslutning, og når og hvordan de slettes. Vil du ha en bekreftelse på sletting?

Lag tre, organisatorisk: hvem vet hvordan det skal gjøres?

En plan som bare finnes i hodet til én kollega, er ingen plan. Sett exit-strategien inn i et dokument sammen med administrasjonen din, med administratorene og innloggingsopplysningene til administratorkontoen (i passordbehandleren, leksjon 7.4).

Det GDPR regulerer

Bruker du tjenesten til personopplysninger om andre (kunder, medlemmer, ansatte), er leverandøren databehandleren din, og du inngår en databehandleravtale (leksjon 9.2). Artikkel 28 nr. 3 bokstav g i GDPR sier at denne avtalen må inneholde at databehandleren, etter at tjenesten avsluttes, etter ditt eget valg, sletter alle personopplysninger eller leverer dem tilbake til deg, og sletter eksisterende kopier, med mindre en lov krever lagring. Dette er det rettslige grunnlaget ditt for å få tilbake dataene dine ved avslutning og deretter få dem slettet. Be faktisk om denne slettingen, og be om en bekreftelse.

Dette er forklaring, ikke juridisk rådgivning. Er du i tvil om din egen situasjon, spør en jurist eller personvernombudet ditt.

Det EUs Data Act regulerer

Siden 12. september 2025 gjelder EUs Data Act (forordning (EU) 2023/2854). Kapittel VI (artikkel 23 til og med 31) handler om bytte mellom skytjenester og gjelder for leverandører av såkalte databehandlingstjenester, inkludert de vanlige nettbaserte tjenestene for lagring, e-post og samarbeid. Hovedpunktene:

• Leverandøren må gjøre det mulig å bytte og fjerne hindringer (art. 23), og avtalene om bytte skal stå i en skriftlig kontrakt (art. 25).
• Oppsigelsesfristen for å starte et bytte er høyst to måneder (art. 25 nr. 2 bokstav d).
• Deretter følger en overgangsperiode på høyst 30 kalenderdager der leverandøren hjelper til og tjenesten fortsetter å fungere (art. 25 nr. 2 bokstav a). Er dette teknisk ikke mulig, må leverandøren melde fra om dette innen 14 virkedager og kan foreslå en lengre periode på høyst syv måneder (art. 25 nr. 4). Du kan forlenge overgangsperioden én gang (art. 25 nr. 5).
• Etter overgangsperioden har du minst 30 kalenderdager til å hente ut dataene dine (art. 25 nr. 2 bokstav g), og deretter må leverandøren slette alt fullstendig (bokstav h).
• Leverandøren må på forhånd beskrive hvilke data du kan ta med deg og i hvilke formater (art. 25 nr. 2 bokstav e og art. 26).
• Byttekostnader: frem til 12. januar 2027 kan en leverandør bare kreve reduserte kostnader som ikke er høyere enn egne kostnader; fra 12. januar 2027 kan han ikke kreve byttekostnader i det hele tatt (art. 29). Vanlige abonnementskostnader og en bot for tidlig oppsigelse omfattes ikke av dette.

Det finnes unntak, for eksempel for tjenester som i stor grad er skreddersydd for én kunde, og for testversjoner (art. 31). Data Act gjør dermed bytte enklere, men den eksporterer ikke dataene dine for deg. Et eksportformat som ingen andre kan lese, er fortsatt et problem; derfor teller åpne standarder fortsatt.

Domenenavnet ditt: den viktigste nøkkelen

Én ting gjør enhver exit mye enklere: ditt eget domenenavn, under din egen kontroll. Hvis e-postadressen din er info@example.com og domenenavnet står i organisasjonens navn, kan du flytte e-posten til hvilken som helst leverandør ved å endre MX-postene (leksjon 4.3). Er adressen din bakkerijdekorrel@gmail.com, eller er domenenavnet låst fast i kontoen til leverandøren din, mister du adressen din ved avslutning, eller er avhengig av at leverandøren samarbeider.

Kontroller derfor:

• står domenenavnet i organisasjonens navn (innehaver), ikke i navnet til en tidligere ansatt eller en webutvikler;
• vet du hvilken registrar det ligger hos, og hvordan du henter ut flytte­koden;
• bruker skytjenesten din en adresse på ditt eget domene, som cloud.example.com, slik at apper og lenker ikke avhenger av en adresse fra leverandøren.

Exit-testen

Du tester en exit-strategi akkurat som en sikkerhetskopi: ved å faktisk gjøre det, i liten skala. Hos De Korrel gjør Ruud dette én gang i året, en rolig ettermiddag:

1. Han eksporterer én mappe med dokumenter, den delte kalenderen «Bezorging» (ICS) og adresseboken «Leveranciers» (vCard).
2. Han åpner disse filene i et annet miljø: et annet kalenderprogram, en annen adressebok, et annet kontorprogram.
3. Han kontrollerer: kommer avtalene med riktige tidspunkter og gjentakelser med? Står telefonnumrene ved riktige navn? Åpner dokumentene med riktig formatering?
4. Han noterer hva som ikke fungerte, og justerer strategien.

I oppgave A8.2 lar du et program kontrollere dette automatisk.

I praksis: slik ser det ut hos en leverandør

En WebOké Nextcloud fungerer med åpne standarder: du henter filene dine med skrivebordsappen eller WebDAV, kalendere eksporterer du som ICS og kontakter som vCard, og dokumenter ligger som docx, xlsx, pptx eller odt i filene dine. Veiledningen beskriver også hvordan du bytter fra en annen Nextcloud-leverandør med skrivebordsappen og ICS- og vCard-filer; samme vei fungerer også motsatt. E-post ligger i en e-postpakke du kan kopiere til hvilken som helst annen leverandør med IMAP. Domenenavn kan du flytte til en annen registrar med en flytte­kode.

Hos andre europeiske leverandører fungerer det på tilsvarende måte, hvis de bruker de samme åpne standardene. Spør om dette før du signerer.

Sammendrag

• Planlegg avslutningen allerede ved start: teknisk (eksportformater), avtalemessig (oppsigelse, tilbakelevering, sletting) og organisatorisk (hvem vet hvordan).
• Art. 28 nr. 3 bokstav g i GDPR: etter avslutning, levere tilbake eller slette data, etter eget valg.
• Data Act: oppsigelsesfrist høyst to måneder, overgangsperiode høyst 30 dager (unntaksvis syv måneder), minst 30 dager for å hente ut data, og fra 12. januar 2027 ingen byttekostnader.
• Ditt eget domenenavn under egen kontroll er den viktigste nøkkelen for enhver exit.
• Test exit-en din én gang i året, i liten skala.

Quiz

Oppgave

Oppgave A8.2: Exit-test med automatisk kontroll. Eksporter fra den nye tjenesten din én kalender (ICS), én adressebok (vCard) og noen dokumenter, og last dem opp som zip eller som enkeltfiler. Programmet kontrollerer om filene er gyldige og i et åpent eller vanlig format, og sammenligner antallet med det du oppgir.

Oppgave E8.2: Exit-strategien din på én side. Fyll inn for hver del hvordan du eksporterer og i hvilket format, finn oppsigelsesfristen og avtalene om tilbakelevering og sletting i kontrakten eller de generelle vilkårene dine, og kontroller hvem domenenavnet ditt står i navnet til.

Les mer

Trinnene i disse artiklene gjelder for tjenestene til WebOké; hos andre leverandører fungerer det på tilsvarende måte.

• Nextcloud-veiledning 13.7: Fra Nextcloud Free til en betalt pakke, eller fra en annen Nextcloud-leverandør
• Nextcloud-veiledning 14.5: Nextcloud på eget domene (cloud.dinbedrift.no)
• WebOké-veiledning 5.12: Flytte et domene bort: flyttekode (EPP) og overføringslås
• WebOké-veiledning 11.7: Personvern: last ned eller slett opplysningene dine
• Forordning (EU) 2023/2854 (Data Act), kapittel VI, artikkel 23 til og med 31: https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32023R2854
• GDPR (forordning (EU) 2016/679), artikkel 28: https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32016R0679