この記載は、ほとんどすべてのメール（メールサービス）やストレージの商品に見られます。安心感を与えるものであり、それが商業上の役割です。経営者、情報システム責任者、DPOにとっては、出発点にすぎません。処理活動記録簿、顧客からの質問票、入札では、データがどこにあるのかだけでなく、誰がどこからアクセスするのかも問われます。
広すぎる表現は二つのリスクを生みます。一つ目は、データが欧州から一切出ないと誤って申告してしまうことです。二つ目は、解決していない問題を解決済みと思い込むことです。運用事業者と、それに適用される法律の問題です。CLOUD Actから企業を守るのページでは、この二つ目の点を扱っています。
パンフレットは四つの範囲を混同しています。
これらの区別は、法律家だけが気にする細部ではありません。「EU域内」でのホスティングを求める入札は、「欧州」とうたってスイスや他のEFTA加盟国を含む商品では、必ずしも満たされません。逆に、スイスでのホスティングは、適用される枠組みを確認した企業にとっては適している場合があります。よくある誤りは、「欧州」という言葉を回答として扱うことです。本来、この言葉は国の一覧を求めるきっかけであるはずです。
「欧州」という記載を目にしたら、国の一覧を求めてください。
メール（メールサービス）は、少なくとも六つの種類のデータを生み出します。
「欧州でホスティング」とうたう商品の多くは、種類1について、ときには種類2について述べています。種類3から5は、最も頻繁に他の場所へ送られるものです。フォロー・ザ・サン型のサポート（お客様の問い合わせが、時間帯に応じて世界各地のチームの間で引き継がれる方式）、米国製のチケット管理ツール、委託先でのバックアップ、シグネチャやサンプルが区域外に出るウイルス対策などです。
これらの種類は副次的なものではありません。ログは、誰が誰と何時に仕事をしているかを示します。診断のためにサポートに送られたメールボックスのコピーには、メールボックスそのものと同じだけの内容が含まれます。バックアップは、二つ目の完全なコピーです。
Microsoftは、EU Data Boundaryに含まれるサービスについて、顧客データと仮名化された個人データのEUおよびEFTA域内での保存と処理、ならびにプロフェッショナルサービスのデータの保存時の保管を文書化していますが、継続する移転もあります。一部のインシデントにおける区域外の要員によるリモートアクセス、エスカレーションされたチケットの一部要素の区域外での保存、管理者が有効にするオプション機能、対象外のMulti-Geo顧客です。Googleは、対象となるコンテンツ（エディションに応じて、メール、カレンダー、ファイル、文書）についてデータリージョンを文書化しています。Googleの文書では、一部のログなど一覧に記載されていないデータは、このリージョンのポリシーの対象外であると明記されています。
この二つのソフトウェアの開発元には一つの利点があります。対象となるものと対象とならないものを公表していることです。国籍を問わず、バックアップ、ログ、サポートについて何も書いていないサービス提供者が、より多くの保証を提供しているわけではありません。確認すべき点が少ないだけです。
対象の一覧を読むには1時間かかります。この1時間こそが、この表現に意味を与えます。
2つの支店を持つ従業員40名のサービス業の中小企業が、二つのメール（メールサービス）の商品を比較します。どちらも「欧州でホスティングされたデータ」とうたっています。文書を読んだ情報システム責任者は、一つ目の商品はメールボックスとファイルを対象としているものの、サポートのチケット管理ツールは欧州外でホスティングされており、技術者は複数の大陸から接続できることに気づきます。二つ目の商品は、メールボックス、バックアップ、ログの所在国を明記し、サポートは同じ範囲内から対応し、各アクセスが記録されると示しています。
どちらの表現も正しいものでした。しかし、処理活動記録簿をあいまいさなく記入できるのは二つ目だけです。最終的な選択は、機能や価格など、なお他の基準で行うこともできますが、十分に理解したうえで行うことになります。
この表現は、運用事業者が欧州の会社であることを証明しません。米国のソフトウェアの開発元がアイルランドでホスティングすることもあります。
この表現は、移転がないことを証明しません。欧州外の相手に送信されたメールは、送信者がそう望んだからこそ欧州を出ます。サードパーティのツールで開かれた添付ファイルは、範囲の外に出ます。最後に、顧客が自らの保管庫へのバックアップコピーを求める場合、そのコピーの所在地と保存条件は、顧客が選んだ保管庫の設置場所と特性によって決まります。
この表現は、誰が読めるのかを証明しません。通信の暗号化（TLS）は経路を保護します。保存時の暗号化は、盗まれたディスクを保護します。運用事業者がサービスを提供するために鍵を保有している限り、運用事業者は技術的にコンテンツにアクセスできます。これは、米国の事業者でも欧州の事業者でも、メール（メールサービス）における通常の枠組みです。その場合に問題となるのは、アクセスのルール、記録、そして運用事業者に適用される法律です。
鍵を顧客が保有している場合、あるいは運用事業者が持たないパスワードの背後で顧客のアカウント内に保管されている場合には、枠組みが変わります。運用事業者は、顧客が気づくような操作なしには、もはやコンテンツを読むことができません。これがKlyticの選択であり、後述します。
この表現は、可逆性を証明しません。マルセイユでホスティングされていても、エクスポートできないデータからは離れにくいままです。
これらの質問を書面で尋ねる理由は単純です。回答を契約や処理活動記録簿に反映できるからです。
GDPRとMicrosoft 365とGDPRとGoogle Workspaceのページでは、最も普及している二つのスイートにこれらの質問を適用しています。メール（メールサービス）だけについては、欧州のビジネスメールを選ぶをご覧ください。
地理的には、はい。法的には、スイスはEUに加盟していませんが、欧州委員会はスイスについて十分性認定を採択しています。お客様の契約や入札がEU域内を求めている場合は、契約前に確認する必要があります。
確認しない限り言えません。バックアップ、ログ、サポートチケット、オプション機能は、メールボックスとは異なるルールに従うことが多くあります。Microsoft自身も、EUデータ境界があるにもかかわらず継続する移転を列挙しています。
問いの立て方が適切ではありません。保存場所は一つの要素にすぎず、移転の根拠、委託先、サポートによるアクセスも重要です。さらに、場所は、ソフトウェアの開発元に適用される法律については何も示しません。
暗号化は経路とディスクを保護します。鍵を保有する運用事業者に対してデータを読めなくするものではありません。したがって重要なのは、誰が鍵を保有しているのか、契約がそれについて何を定めているのか、そして暗号化がどの機能に適用されるのかです。
Klyticが欧州の顧客のためにサービスをホスティングする場合、データは欧州でホスティングされます。モーリシャス地域の顧客については、表明されているホスティング先はモーリシャスまたは欧州です。その他の顧客については、必要なサービスが利用可能であることを条件に、適用される管轄に適合する地理的区域でホスティングが提供されます。顧客は自社の環境でホスティングさせることもできます。電話については、顧客の要望または必要に応じて、専用サーバーが欧州のクラウド、モーリシャス、または適用される管轄に適合する地理的区域でホスティングされます。バックアップも同じ運用事業者が行います。メール（メールサービス）、文書、CRMは1時間ごと、電話は1日ごとで、保存期間は30日です。
Klyticでは、暗号鍵は顧客が保有するか、顧客のアカウント内に保管されます。Klyticはその鍵にアクセスできません。鍵を入手するには、Klyticが保有していないアカウントのパスワードを破棄または変更する必要があり、顧客はそれに気づくことになります。暗号化をKlyticが管理する段階（フィルタリングの隔離、CRMでの処理、顧客が自らの鍵を有効にしていない場合のメール）については、CLOUD Actから企業を守るのページで詳しく説明しています。契約には、この保有方法とこの暗号化が記載されていなければなりません。公表されている詳細は、ホスティングとソブリン性とよくある質問のページにあります。
このページは一般的な枠組みを説明するものです。お客様の契約の分析に代わるものではありません。
2026年10月5日時点の法的状況。本文は契約内容の分析に代わるものではありません。EU・米国間の十分性認定（EU）2023/1795 は有効ですが、異議が申し立てられています。SecNumCloud については ANSSI のカタログが基準となります。
2026年10月に参照。
メール、ドキュメント、ビデオ会議、CRM、電話を、お客様の法域に対応する地域（例：欧州やモーリシャス）、またはお客様の拠点でホスティングします。
