合规审查提出了一个看似简单的问题：所收集的数据存放在哪里？
工程团队指向一个法国住宅IP，回答”法国”。该请求确实显示源自巴黎。然而，采集工作负载可能运行在伦敦，处理可能发生在法兰克福，日志可能存储在弗吉尼亚，备份可能保存在爱尔兰。
代理完成了其预期任务，建立了一个法国观察视角。但它并未回答数据驻留问题。出口位置不等同于采集、处理或存储位置，其本身也不能确定适用哪些法律管辖区。
地理定位是一项有价值的路由控制手段。数据驻留则属于完整数据生命周期的范畴。将其中一个当作另一个的证据，会让合规团队得到一幅不完整的地图，也会让采购团队问出错误的问题。
关键要点
- 代理出口控制的是请求看起来源自何处；它并不能确定所产生数据的实际存放位置。
- 企业应将以下五个概念区分开来：出口、采集、处理、存储和法律管辖区。
- 操作日志、备份、故障转移系统和远程支持访问可能引入主区域审查未能覆盖的其他位置。
- GDPR的地域适用范围、国际传输和电子传输是相关但不同的问题。
- 一个站得住脚的数据驻留立场，需要一份有证据支撑的完整数据生命周期地图，而非仅凭最后一跳网络推断得出。
数据驻留究竟描述的是什么
数据驻留通常描述的是数据存储的物理或合同指定位置，取决于相关政策或协议，有时也包括处理位置。数据本地化通常指要求特定数据必须保留在某一地域范围内。数据主权则关注可能适用于相关数据、基础设施或组织的法律和政府权力。
这些术语的使用并不总是一致的。供应商可能将某项服务描述为”欧盟托管”，但实际上仅指其主数据库。买方则可能将该说法理解为涵盖处理、日志、备份、支持访问以及所有分包处理方。因此，企业必须明确任何地理承诺具体涵盖哪些数据、操作和基础设施组件。
五层测试
我们建议将架构拆分为五个不同的问题。一个站得住脚的数据驻留立场，需要企业对全部五个问题作出回答，而不是用第一个问题的答案替代其余四个。
| 概念 | 它回答的问题 | 它无法确定的内容 |
|---|---|---|
| 出口位置 | 请求看起来源自哪个国家、城市或网络？ | 返回的数据后续在何处处理或保留。 |
| 采集位置 | 发出请求的应用程序或采集工作负载运行在何处？ | 后续分析、增强或存储发生在何处。 |
| 处理位置 | 数据在何处被解析、过滤、分类、增强或分析？ | 副本、日志和备份保留在何处。 |
| 存储位置 | 数据库、对象存储、日志、副本和备份位于何处？ | 适用于所有相关方的法律。 |
| 法律管辖区 | 哪些法律、合同和监管制度可能约束该活动？ | 无法简化为地图上的单一物理位置，因为可能涉及多个管辖区。 |
法律管辖区并非地图上简单的另一个点。适用规则可能取决于控制者和处理者的注册地、涉及谁的数据、处理目的，以及信息是否被提供给另一组织。因此，同一条数据管道可以在不矛盾的情况下，产生五个不同的地理答案。
法国住宅出口实际能证明什么
选择巴黎住宅IP确立了一个观察位置。目标网站收到的请求关联的是位于或靠近所选市场的IP地址。这一能力对诸如地理精准的广告验证、本地化搜索监控、区域价格情报以及针对特定市场的网络数据采集等应用至关重要。网站可以根据访客的显示位置来调整内容、广告、价格、可用性和语言。
法国出口让团队能够观察到网络的法国版本。但它无法定位其余基础设施。一个假设的工作流可能是：巴黎出口、伦敦采集器、法兰克福处理、都柏林数据库、弗吉尼亚日志、爱尔兰备份，以及来自新加坡的支持访问。“巴黎”描述的是请求的呈现方式，而非数据在前后发生了什么。
代理请求周围产生的隐藏数据
下载的页面或API响应只是采集工作流的一部分。系统还可能保留URL、查询参数、请求头、会话元数据、时间戳、连接记录、错误追踪、遥测数据、安全事件、支持工单、缓存响应、副本和备份。每个类别可能遵循不同的处理路径和保留周期。
某个响应可能保留在获批的欧洲区域内，而一条错误追踪却传到了全球监控平台。一个受地域限制的数据库仍可能被其他地方的支持人员访问。避免不必要的个人信息可以降低风险，但非个人数据仍可能面临合同上的驻留、保密或行业特定的要求。
国家选择器是一种路由控制。数据驻留是完整数据生命周期的架构、运营和合同属性。
地域适用范围与国际传输是不同的问题
在GDPR框架下，地域适用范围和国际传输是相关但不同的分析。第3条规定了GDPR何时适用。与欧盟机构活动相关的处理，无论处理本身是否发生在欧盟境内，都可能落入其适用范围。GDPR也可能适用于欧盟以外的某些组织，只要它们向欧盟境内人员提供商品或服务，或对其行为进行监控。
第五章处理个人数据向第三国或国际组织的传输问题。欧洲数据保护委员会指出，构成传输需具备三个累积要件：出口方须受GDPR约束（就相关处理而言）、个人数据被披露或提供给另一控制者或处理者、进口方位于第三国或为国际组织。
由此可得出若干结论。欧盟出口并不能证明未发生国际传输，而非欧盟出口本身也不能确定构成受监管的传输。网络路径并不决定控制者、处理者或分包处理者的角色。代理既不能创造合法依据，也不能实现匿名化。
传输与传输经过（transit）之间也存在区别。英国信息专员办公室（ICO）解释称，若数据仅通过另一国家进行电子路由，而并非旨在被访问或存储于该地，则不一定构成受限传输。相比之下，使个人信息可被境外另一组织访问，包括通过远程系统访问的方式，则可能构成英国GDPR框架下的传输。
若存在受监管的传输，组织可能需要考虑充分性认定（adequacy decision）、标准合同条款（Standard Contractual Clauses）或其他适当保障措施等机制。欧盟委员会将SCC描述为预先批准的合同条款，可为从欧盟向第三国的某些传输提供依据。其适用性仍取决于具体的当事方、数据流和法律情形。
为什么采购团队会忽略这一区别
这种混淆可以理解。代理仪表盘提供了一个显眼的国家选择器，而处理过程可能涉及许多不那么显眼的服务。责任是分散的：工程部门选择路由，云团队选择区域，安全部门负责可观测性，法务审查合同，采购部门记录供应商保证。很少有组织将这些决策整合成一张统一的位置地图。
模糊的措辞让问题更加严重。“欧洲基础设施”、“区域托管”或”本地处理”等说法，可能被理解得比预期更宽泛。故障转移、支持访问、备份和分包处理方可能位于主区域之外。仅仅询问”该服务”托管在何处，无法捕捉到这种架构。
企业代理采购核对清单
更好的采购流程会提出具体的、基于证据的问题。对于处理者和分包处理者关系，问责制需要的不仅仅是一个笼统的供应商标签或一个保证标志。
| 问题 | 需要索取的证据 | 潜在风险信号 |
|---|---|---|
| 供应商接收哪些数据？ | 区分请求内容、账户数据、使用元数据、安全日志和支持记录的数据清单。 | 答案将所有数据都当作瞬时流量处理，而忽略了运营元数据。 |
| 网关和控制平面服务运行在何处？ | 当前的架构和区域部署地图。 | 出口国家被当作网关或处理位置来呈现。 |
| 每一类数据在何处处理和存储？ | 主存储、日志、缓存、副本和备份的位置。 | 仅披露主数据库所在区域。 |
| 保留了什么内容以及保留多久？ | 针对每一类重要数据的、基于用途的保留和删除计划。 | 保留期未定义、无限期或前后不一致。 |
| 是否可以选择或限制区域？ | 明确说明该承诺具体涵盖哪些处理和存储组件。 | “欧盟托管”之类的模糊说法，且未定义范围。 |
| 故障转移或灾难恢复期间会发生什么？ | 故障转移区域、恢复架构和异常处理流程。 | 仅以正常运营时的地理情况作为唯一答案。 |
| 涉及哪些分包处理方？ | 显示身份、职能、注册地和相关位置的当前登记册。 | 供应商无法说明参与交付的各方身份。 |
| 人员是否可以从其他国家访问数据？ | 支持、安全和管理方面的远程访问位置和控制措施。 | 区域驻留声明中遗漏了全球访问的情况。 |
| 有哪些合同保障措施可用？ | 数据处理协议、传输文件和范围明确的安全证据。 | 以认证证书替代对实际数据流的映射。 |
| 重大变更将如何通知？ | 关于基础设施、区域和分包处理方变更的合同通知程序。 | 没有通知期、变更日志或客户升级渠道。 |
供应商的回答是企业合规评估的一项输入，而非替代品，企业仍需自行绘制其自身采集器、处理管道、分析服务和存储系统的地图。
如何构建具有位置意识的代理架构
切实可行的解决方案是将数据驻留问题设计到整个工作流中。
- 对数据进行分类。 确定请求、响应或支持性日志中是否可能包含个人的、敏感的、受监管的或受合同限制的信息。
- 绘制完整的数据旅程。 追踪数据经过采集工作负载、代理网关、住宅出口、目标网站、处理管道、可观测性堆栈、主存储、复制以及备份的全过程。
- 将请求地理位置与数据地理位置区分开来。 针对请求应看起来源自何处制定一项政策，针对信息可以在何处被处理、存储和访问另制定一项政策。
- 最小化并控制日志。 移除不必要的标识符、请求头、查询参数和响应字段，并对追踪数据和运营遥测数据同样保持这种纪律。
- 持续审查。 每当架构发生变化时，重新评估故障转移、远程访问、供应商、区域、分包处理方和采集目的。
数据驻留不是一项可以检查一次就置之不理的配置。它是一种应当在采集系统整个生命周期中被设计、记录和不断重新评估的运营属性。
代理基础设施能承诺什么、不能承诺什么
在Shifter，我们将路由控制与合规结论区分开来。我们的住宅代理基础设施配合地理定位功能，让客户可以在各个国家、城市和网络之间选择观察视角。它控制的是对网络的市场视角，而不能定位客户的采集、处理或存储环境。
我们在住宅代理与GDPR合规指南中也提出了同样的区分：代理会改变请求来源，但既不会使所采集的数据匿名化，也不会免除客户的义务。
我们的住宅代理基准测试说明了为何精确的范围界定很重要。我们的测试统计的是在特定时间窗口内在线且可达的IP数量，而非某供应商网络的总规模或未来可用性。合规声明也需要同样的严谨性：一个位置信号只能支持它所测量的那个结论。
结论
代理位置只是地图上的一个点。数据驻留则是整个系统的地图。企业应当了解请求从何处出口、采集在何处运行、数据在何处处理、副本存储在何处，以及可能适用哪些相关管辖区。
国家选择器提供的是一个可靠的观察视角，而不是上述其他问题的答案。理解这一区别的组织能做出更好的基础设施决策、进行更好的供应商审查，并建立起更站得住脚的数据运营体系。
评估代理基础设施的团队，应结合自身的数据流、存储和传输需求，一并审查我们的住宅代理能力。
本简报仅供一般信息参考之用，不构成法律建议。