如果你收集欧洲人的个人数据，那么把它托管在哪里和如何处理它是两个独立的问题，各有各的答案。本指南用通俗的语言把它们理清。这是一般信息，不构成法律意见。
GDPR 跟随的是人，而不是服务器
无论你的业务或服务器位于何处，只要你向欧盟境内的人提供服务或监控他们的行为，欧盟《通用数据保护条例》就适用。把服务器迁到另一个国家，并不能免除你对这些用户的义务。
托管位置确实改变了什么
- 哪些机构可以请求访问。存储在某个国家的数据受该国合法访问规则的约束。
- 数据传输。将个人数据转移出欧盟需要法律依据，例如充分性认定或标准合同条款。
- 实际风险。各国的留存法律、法院程序和执法实践各不相同。
- 延迟和成本。越近越快，部分地点成本更低。
各地点的实际情况
| 地点 | 框架概述 |
|---|---|
| 德国、荷兰、芬兰、罗马尼亚 | 欧盟成员国，因此 GDPR 直接适用，数据留在欧盟境内。 |
| 瑞士 | 有自己的《联邦数据保护法》，欧盟认可其为充分保护。 |
| 美国 | 没有统一的联邦隐私法；各州法律不同，数据传输需要法律依据。 |
| 巴拿马、新加坡、塞舌尔、摩尔多瓦 | 各自有适用范围不同的数据保护法规。请针对你的情况核实现行规则。 |
法律会变化，因此在依赖任何摘要之前，请先向合格的专业人士确认细节。
无论位置如何都应该做的事
- 只收集你所需的数据，不再需要时就删除。
- 尽可能对传输中（HTTPS）和静态的数据加密。
- 公布清晰的隐私政策，并履行访问和删除请求。
- 保持软件更新，并限制谁可以登录。
- 记录你在哪里存储个人数据，以及谁在处理它。
离岸不等于法外之地
在国外托管可能有利于隐私、韧性或成本，但你仍有责任遵守适用于你和你的用户的法律。请参阅什么是离岸 VPS和如何选择位置。