在征询文件中写上“主权云”，等于提出了一个每个投标方都会回答“是”的问题。各方的答复因此无从比较，最终的选择只能取决于价格或演示留下的印象。
评估表要求每个投标方回答同一个问题，并附上证明材料。它在签约后同样保护采购方：征询答复中的书面承诺可以写入合同，而一个形容词是无法核查的。这一概念本身的解释见什么是主权云。本页用于采购。
请采用以下定义。
对欧洲采购方而言，当运营某项数字服务的公司受欧洲法律管辖、所托付的数据及其备份保留在所声明的地理范围内、运维访问人员身份明确，且客户能够导出并要求删除其数据时，该服务即被视为主权服务。
这句话是一个工作工具，而不是欧盟《通用数据保护条例》（GDPR）的条文。该条例定义了各方角色（控制者、处理者）、数据传输和数据主体的权利，但并不颁发“主权”标签。
这句话的每个分句都对应下列一项或多项标准。正因如此，它才具有可操作性：可以将其拆分为若干问题，并对答复进行评分。
每一项标准都要用文件来证明，而不是用形容词。
十项标准对不同采购方的权重并不相同。对于电子邮件（邮件服务）和文件共享，第 1、3、4、5 和 9 项标准通常最能区分各家产品。第 10 项标准在被要求时具有一票否决效力，否则不影响评分。权重应在开启答复之前确定，而不是之后。
地点不等于法律。 位于法兰克福、由美国公司运营的数据中心，仍然是该公司的服务。美国 CLOUD Act 针对的是受美国管辖的服务商所持有的数据，无论磁盘位于哪个国家。请参阅保护企业免受 CLOUD Act 影响以及欧洲云还是美国云的比较。
欧洲法律不等于没有调取令。 法国、德国或荷兰的法官可以下令其管辖范围内的运营者披露数据。区别在于法官、程序和救济途径。若评估表让人以为情况并非如此，就会误导采购方。
软件与运营方是两回事。 Nextcloud 由德国的 Nextcloud GmbH 开发。Zimbra 由美国的 Synacor 开发。BlueMind 是一家法国公司。在这三种情况下，您的服务是否具有主权，取决于由谁安装、由谁备份、由谁接听电话。软件开发商的国籍主要在其能够访问数据时才有意义：此时应在第 7 项标准下处理。
SecNumCloud 范围狭窄。 它是 ANSSI 逐个产品授予的资质，有其适用范围和截止日期。它常被要求用于国家的敏感数据。对于寻找电子邮件（邮件服务）和文件共享的中小企业而言，将其作为唯一标准并不相称。如果只援引它而不阅读具体决定，它也是不充分的。
没有任何产品能覆盖 Microsoft 365 的全部用途。 高级 Excel、Power BI、Teams 生态系统以及行业插件，在欧洲运营者中都没有通用的替代品。主权标准并不能解决这一问题，而是在此之外的另一项考量。如果这些用途至关重要，评估表可能会让企业在充分知情的情况下保留 Microsoft 365：请参阅Microsoft 365 与主权解决方案对比。
用这十项标准替代“主权云”，每项标准都附上所期待的证明。这样，您就可以比较带有欧洲数据边界的 Microsoft 产品、带有数据区域的 Google 产品、Infomaniak 这样的瑞士产品，以及在法国运营的产品。比较变成了对证明材料的审阅，而不是形容词之争。
| 标准 | 向投标方提出的问题 | 所需材料 |
|---|---|---|
| 1. 运营公司 | 哪家公司运营该服务，由谁控制该公司？ | 工商登记摘录、集团组织架构图 |
| 2. 合同适用法律 | 适用哪部法律，由哪个法院管辖？ | 通用条款及数据处理协议中的相关条款 |
| 3 和 4. 范围与地点 | 哪些类别的数据，位于哪些国家？ | 按类别列出的表格：内容、备份、日志、支持 |
| 5. 管理 | 由谁管理，从何处管理，留有何种记录？ | 团队及日志记录机制的说明 |
| 6. 密钥 | 谁能够解密，在何种情况下？ | 加密方案说明 |
| 7. 分包商 | 谁会获得副本或访问权限？ | 注明所在国家的具名清单 |
| 8. 主管机关 | 面对索取要求时，您会如何处理？ | 书面程序 |
| 9. 可逆性 | 我们如何取回全部数据，需要多长时间？ | 导出程序、格式、测试 |
| 10. 资质 | 所提供的产品是否获得资质？ | ANSSI 目录中的编号（如有要求） |
仅就地理标准的详细说明，见“托管于欧洲的数据”究竟意味着什么。
假设案例。一家服务类中型企业要更换其电子邮件（邮件服务）和文件共享系统。其需求规格书的第一版要求“一套托管于欧洲的主权云解决方案”。三家投标方都回答“是”。
信息系统部门用评估表重新编写了征询文件，答复随之变得清晰可读。第一家投标方在欧洲托管，但隶属于受美国法律约束的集团：第 1 项标准未满足，第 3 和第 4 项标准有充分的文件支持。第二家是欧洲公司，但将夜间技术支持交给了区域外的分包商：第 5 项标准有待谈判。第三家满足各项法律标准，但无法覆盖某项业务用途：需要由管理层权衡决定。评估表并没有替企业做出选择，而是让选择变得清晰明确。
没有。GDPR 并不颁发“主权”标签。SecNumCloud 是 ANSSI 颁发的产品资质，而不是一般性定义。此处提出的定义是供采购方使用的工作工具。
一般不满足。这项标准针对的是运营公司以及控制该公司的公司。子公司可以用欧元开具发票、在欧洲托管，但仍隶属于受美国法律约束的集团。欧洲云还是美国云一页详细说明了这一区别。
为获得可比较的答复，应当全部提出。但各项标准的权重取决于您的数据和您所承担的义务。事先确定权重，可以避免让评估表迁就心仪的投标方。
可以，这正是它的价值所在。这些软件开发商的数据驻留机制可以对照第 3 和第 4 项标准来解读，软件开发商的国籍则对照第 1 项标准来解读。GDPR 与 Microsoft 365和GDPR 与 Google Workspace两页运用了这些问题。
Klytic 满足评估表中的一部分标准，而不满足另一部分。运营方是法国公司 Dedicace Software。客户可以在与适用司法管辖相对应的任何地理区域选择 Klytic 托管（以所需服务的可用性为前提），例如欧洲或毛里求斯，也可以选择客户自己的服务器。邮件软件的开发商是美国公司（Zimbra / Synacor），文档软件的开发商是德国公司（Nextcloud），每个客户使用一个专用实例。
就密钥标准而言，数据完全由客户持有，或由 Klytic 代表客户持有，存放在属于适用司法管辖范围的地理区域内。数据采用原生加密，或按客户的选择进行加密。密钥由客户持有或保存在客户自己的账户中，Klytic 无法访问。由 Klytic 管理加密的环节详见保护企业免受 CLOUD Act 影响一页。合同应当说明这种持有方式和这种加密。
Klytic 不持有 SecNumCloud 资质。作其他表述将是不准确的。
本页描述的是一般性框架，不能替代对您合同的分析。
截至2026年10月5日的法律状况。本文不能替代对合同的分析。欧盟—美国充分性决定（EU）2023/1795 目前有效，但正受到质疑。关于 SecNumCloud，以 ANSSI 目录为准。
2026年10月查阅。
