几乎所有电子邮件（邮件服务）和存储产品上都有这一表述。它令人安心，这正是它的商业作用。对于企业负责人、信息系统负责人或数据保护官而言，它只是一个起点：处理活动记录、客户问卷或招标不仅会询问数据在哪里，还会询问谁能访问以及从何处访问。
表述过于宽泛会带来两种风险。第一种是错误地声称没有任何数据离开欧洲。第二种是误以为一个尚未解决的问题已经解决：即运营方及其适用法律的问题。保护企业免受 CLOUD Act 影响一页论述了第二点。
宣传册常常混淆四种范围。
这些区别并不是法律人士的细枝末节。要求“在欧盟境内”托管的招标，不一定能被一个声称托管于“欧洲”、却包括瑞士或其他欧洲自由贸易联盟国家的产品所满足。反之，瑞士托管可能适合已经核实过适用框架的企业。常见的错误是把“欧洲”一词当作答案，而它实际上需要一份清单。
当您看到“欧洲”时，请索取国家清单。
电子邮件（邮件服务）至少会产生六类数据。
许多“托管于欧洲”的产品说的是第 1 类，有时也包括第 2 类。第 3 至第 5 类则最常流向别处：“跟随太阳”式技术支持（您的请求根据时区在全球各地的团队之间转交）、美国的工单工具、交由分包商进行的备份、其特征码或样本会离开该区域的防病毒软件。
这几类数据并不次要。日志反映了谁在与谁合作以及在什么时间。为诊断而交给技术支持的邮箱副本，包含的内容与邮箱本身一样多。备份则是第二份完整副本。
对于纳入 EU Data Boundary 的服务，Microsoft 的文件说明：客户数据和假名化个人数据在欧盟和欧洲自由贸易联盟境内存储和处理，专业服务数据以静态方式存储，同时仍存在若干持续进行的传输：针对某些事件由区域外人员进行远程访问、某些升级工单的部分内容存储在区域外、由管理员启用的可选功能、不在范围内的 Multi-Geo 客户。Google 的文件说明了针对所覆盖内容（根据版本，包括电子邮件、日历、文件、文档）的数据区域。Google 的文件明确指出，未列出的数据（例如某些日志）不在该区域政策的覆盖范围内。
这两家软件开发商有一个优点：它们公布了哪些内容在覆盖范围内、哪些不在。一家服务商无论国籍如何，如果对其备份、日志和技术支持只字不提，它并不会因此提供更多保障；它只是提供了更少可供核实的内容。
阅读覆盖清单只需一个小时。正是这一个小时，让这句话有了意义。
一家拥有 40 名员工、两个分支机构的服务类中小企业，正在比较两款电子邮件（邮件服务）产品。两者都声称“数据托管于欧洲”。信息系统负责人在阅读文件后发现，第一款产品覆盖邮箱和文件，但其技术支持的工单工具托管在欧洲以外，技术人员可以从多个大洲进行连接。第二款产品则明确了邮箱、备份和日志所在的国家，并说明技术支持在同一范围内进行操作，且每次访问都留有记录。
这两句话都是真实的。但只有第二款产品能让企业准确无误地填写处理活动记录。最终的选择仍可以基于功能或价格等其他标准，但这一选择是在充分知情的情况下作出的。
它不能证明运营方是欧洲公司。美国软件开发商也可以在爱尔兰托管。
它不能证明没有数据传输。发给欧洲以外收件人的邮件会离开欧洲，因为这是发件人的意愿。在第三方工具中打开的附件会离开该范围。最后，如果客户要求将备份副本存入其自己的保管库，该副本的存放位置和存储条件取决于客户所选保管库的位置和特性。
它不能证明谁能够读取数据。传输加密（TLS）保护传输过程，静态加密防范磁盘被盗。只要运营方为提供服务而持有密钥，它在技术上就能够访问内容。无论是美国厂商还是欧洲厂商，这都是电子邮件（邮件服务）的通常情况。此时，关键在于访问规则、访问记录以及运营方所适用的法律。
当密钥由客户持有，或保存在客户账户中、受运营方并不掌握的密码保护时，情况就不同了：运营方若要读取内容，就必须采取客户会察觉到的操作。这正是 Klytic 的选择，详见下文。
它不能证明可逆性。托管于马赛却无法导出的数据，仍然难以迁出。
之所以要以书面形式提出这些问题，原因很简单：答复可以写入合同或处理活动记录。
GDPR 与 Microsoft 365和GDPR 与 Google Workspace两页将这些问题应用于最常见的两款套件。仅就电子邮件（邮件服务）而言，请参阅选择欧洲企业邮箱。
从地理上看，是的。从法律上看，瑞士不属于欧盟，但欧盟委员会已就其通过了充分性决定。如果您的合同或招标要求在欧盟境内，应在签约前核实这一点。
不经核实不能这样说。备份、日志、技术支持工单和可选功能，往往遵循与邮箱不同的规则。Microsoft 自己就列出了尽管有欧洲数据边界、但仍在持续进行的传输。
这个问题提得不对。存储地点只是其中一个因素；数据传输的法律基础、分包商以及技术支持的访问同样重要。此外，存储地点并不能说明软件开发商所适用的法律。
它保护传输过程和磁盘。它并不能使数据对持有密钥的运营方不可读。因此，关键在于谁持有密钥、合同对此作何规定，以及加密适用于哪些功能。
当服务由 Klytic 为欧洲客户托管时，数据托管于欧洲。对于毛里求斯区域的客户，所声明的托管地为毛里求斯或欧洲。对于其他客户，托管设在符合适用司法管辖的地理区域内（以所需服务的可用性为前提）。客户也可以选择在自己处托管。就电话系统而言，专用服务器根据客户的要求或需要，托管于欧洲云、毛里求斯或符合适用司法管辖的地理区域内。备份由同一运营方负责：电子邮件（邮件服务）、文档和 CRM 每小时备份一次，电话系统每天备份一次，保留 30 天。
在 Klytic，加密密钥由客户持有，或保存在客户自己的账户中。Klytic 无法访问该密钥：若要取得它，Klytic 必须销毁或更改其并不掌握的账户密码，而客户会察觉到这一点。由 Klytic 管理加密的环节（过滤隔离、在 CRM 中的处理、客户未启用自有密钥时的邮件）详见保护企业免受 CLOUD Act 影响一页。合同应当说明这种持有方式和这种加密。已公布的详细信息见托管与主权和常见问题两页。
本页描述的是一般性框架，不能替代对您合同的分析。
截至2026年10月5日的法律状况。本文不能替代对合同的分析。欧盟—美国充分性决定（EU）2023/1795 目前有效，但正受到质疑。关于 SecNumCloud，以 ANSSI 目录为准。
2026年10月查阅。
