Microsoft 和 Google 是依美国法律设立的公司。它们在欧洲的合同、子公司以及在欧盟境内的数据中心，都不会改变这一事实。当美国主管机关依据美国法律向它们提出要求时，问题就变成了：即使磁盘位于欧洲，该公司是否持有或控制这些数据？
CLOUD Act 是美国 2018 年的一部法律，它针对受美国管辖的服务商给出了答案：一项有效的命令可以针对服务商所持有的数据，无论存储地点在何处。这并不是一种永久性的访问，而是一种程序。对采购方而言，实际要点在别处：磁盘位于欧洲，并不能使美国服务商脱离这一程序。
这些公司提供了实际的数据本地化机制。Microsoft 为符合条件的服务描述了欧洲数据边界（EU Data Boundary）：客户数据和假名化个人数据在欧盟或欧洲自由贸易联盟境内存储和处理，专业服务数据以静态方式存储，同时附有书面记载的例外（技术支持的远程访问、某些升级处理、可选功能、不在范围内的 Multi-Geo 客户）。Google 根据版本为所覆盖的内容提供数据区域，并提供仅限特定版本和选项的技术支持访问控制（Access Management）。这些机制减少了数据流动，但并不改变软件开发商的国籍。
为欧洲客户提供服务的美国软件开发商，处于两种法律之间。美国法律可能要求它提交其所控制的数据。欧盟《通用数据保护条例》（GDPR）第 48 条规定，第三国法院或主管机关要求传输或披露个人数据的判决或决定，只有在以该国与欧盟或成员国之间现行有效的国际协定（例如司法协助条约）为依据时，才能获得承认或执行。该条文并未说明软件开发商在具体案件中如何调和这两项要求：应由服务商说明其做法，并由客户向其提出询问。
美国法律规定了一种救济途径。根据 18 U.S.C. § 2703(h)，如果服务商认为客户不是“United States person”、不居住在美国，且披露数据将使其面临违反某一“合格外国政府”法律的重大风险，则可在命令送达后 14 日内申请撤销或修改该命令。所谓合格外国政府，是指与美国签订了已生效行政协定的国家。美国司法部公布了与英国（2019 年 10 月 3 日签署）和澳大利亚（2021 年 12 月 15 日签署）的协定。与欧盟之间没有任何生效的协定；欧盟与美国关于电子证据的谈判已于 2023 年恢复；司法部的页面没有提及与法国的任何协定。而这一特定的异议机制恰恰以存在此类协定为前提。
这个问题在法国已被公开提出。2025 年 6 月 10 日，在参议院公共采购调查委员会上，Microsoft France 公共事务与法律事务总监被问及能否宣誓保证：通过 Ugap 托付给 Microsoft 的法国公民数据，绝不会在美国政府发出命令后、未经法国主管机关明确同意而被移交。他回答：“不，我无法保证，但是，我再说一遍，这种情况从未发生过。”这一回答包含了争论的两个要素：一项该公司无法给出的保证，以及一种据其所称从未发生过的情况。
有实际意义的欧洲云，是由依欧洲法律设立的公司运营的，该公司不隶属于须承担美国数据交付义务的集团。OVHcloud 是一家法国公司。Nextcloud GmbH 是一家德国公司：它开发软件，由客户或托管服务商运营。BlueMind 是一家法国的电子邮件（邮件服务）公司。Infomaniak 是一家瑞士公司：瑞士位于欧洲，但不属于欧盟，并享有欧盟委员会的充分性认定。把它归为“美国”是错误的，把它归为“欧盟”同样是错误的。
欧洲法律并不是一面统一的盾牌。法国运营者遵守法国法律，德国运营者遵守德国法律。主管机关的要求确实存在，它们须经由运营者所在国的法官和规则。
欧洲属性也可能在分包中丧失：欧洲运营方若将备份、过滤或技术支持交给美国服务商，就会重新引入采购方本想避免的情况。保护企业免受 CLOUD Act 影响一页详细说明了这一点。
| 问题 | 美国软件开发商的云，数据位于欧洲 | 由欧洲公司运营的云 |
|---|---|---|
| 磁盘在哪里？ | 通常可选择欧盟区域，附有书面例外 | 视合同而定：法国、德国、其他欧盟国家，或客户处 |
| 谁可能在美国被要求提交其所控制的数据？ | 美国软件开发商，如果它持有或控制这些数据 | 原则上欧洲运营方不会，除非它隶属于须承担此义务的集团或分包商 |
| 本地要求由哪位法官处理？ | 合同适用法律，通常辅以软件开发商所适用的美国法律 | 运营方所在国的法律 |
| 高级办公功能 | 非常丰富（Office、Excel、Teams，或 Docs 和 Google 搜索） | 因产品而异。在高级 Excel、Power BI 或 Teams 生态系统方面很少能做到对等 |
| 数据迁出 | 有实际可用的导出工具，聊天和自动化记录往往只能部分导出 | 需逐个产品审阅。邮件导出（IMAP）通常最为简单 |
没有哪一栏在所有方面都占优：美国软件开发商在功能广度上胜出，欧洲运营方在法律地位上胜出。决策，就是要弄清哪一行对您的企业最为重要。
即使数据存储在欧洲，美国软件开发商的服务也涉及数据传输（技术支持访问、升级处理、可选功能），这些传输必须依据 GDPR 规定的法律基础。
此前的框架“隐私盾”（Privacy Shield，第 2016/1250 号决定）已于 2020 年 7 月 16 日被欧盟法院宣布无效（C-311/18 号案，即 Schrems II 案），理由主要是美国监控项目的范围过广以及缺乏有效的救济途径。标准合同条款仍然有效，但需要逐案评估。
截至 2026年10月5日，向经认证的美国组织传输数据，可以依据第 (UE) 2023/1795 号充分性决定，即“数据隐私框架”（Data Privacy Framework）。该决定现行有效，但存在争议，DAC Beachcroft 和 WilmerHale 两家律师事务所均指出了这一点。据后者所述，欧盟普通法院于 2025 年 9 月 3 日驳回了一项撤销之诉，随后于 2025 年 10 月 31 日向欧盟法院提起了上诉。审慎的企业会在其处理活动记录中记载这一法律基础，并预先规划该基础一旦失效时的应对措施。
当业务依赖高级 Excel、Power BI、Office 插件、作为行业标准的 Teams，或数十个已投入生产的集成时，美国云仍然适用。出于法律原因更换工具，结果却失去了支撑企业运转的用途，是得不偿失的。Microsoft 365 与主权解决方案对比一页详细说明了这一门槛。
当对数据传输的法律分析、数据处理协议（DPA）以及数据驻留选项能够满足处理活动记录的实际需要时，美国云同样适用。许多欧洲企业正是在这一框架下使用 Microsoft 365 或 Google Workspace 的。说明这一点，是诚实比较的一部分。需要进行的核查见GDPR 与 Microsoft 365和GDPR 与 Google Workspace。
当管理层希望持有邮件和文件的公司是一家欧洲公司、希望技术支持在这一框架内可以联系到，并且用途限于电子邮件（邮件服务）、文件及其在线编辑、视频会议、CRM 和电话系统时，欧洲运营方就变得适合了。当企业完全不想使用云，而希望部署在自己处时，欧洲运营方同样适合。
这两种选择并不互相排斥。企业可以为依赖美国套件的岗位保留该套件，而将其余部分交给欧洲运营方。这种组合需要更多的管理工作；在用途划分清晰时，这样做是合理的。
指南Microsoft 365 的欧洲替代方案逐一介绍了 Microsoft 365、Google Workspace、OVHcloud、Nextcloud、Infomaniak、其他厂商以及 Klytic，并说明了各自的适用场景。
假设案例。一家工业中小企业拥有两个厂区。设计部门使用高级 Excel 工作，并通过 Teams 与委托方沟通。车间、采购和行政部门主要使用电子邮件（邮件服务）和共享文件夹，其中存放着图纸。
一家委托方要求其图纸由欧洲公司持有。对设计部门而言，放弃高级 Excel 和 Teams 会打乱与客户的合作：保留美国套件仍然合理，同时对数据传输进行有文件记录的分析。对于其他部门的图纸和电子邮件（邮件服务），欧洲运营方能够满足这一要求，且不损失任何用途。决策依据的是表格中的各行，而不是某种原则。
不能。CLOUD Act 针对的是受美国法律约束的服务商所持有或控制的数据，无论存储地点在何处。欧洲区域减少了数据传输，但并不改变持有数据的公司。
可能，如果它隶属于受该法律约束的集团，或将数据交给受该法律约束的分包商。因此，必须审阅其母公司和分包商名单，而不仅仅是运营方的名称。
就 GDPR 而言，它为向经认证的美国组织传输数据提供了法律基础。它现行有效，但存在争议。它既不改变软件开发商的国籍，也不改变美国法律所规定的命令的效力范围。
Klytic 属于表格的第二栏。它由法国公司 Dedicace Software 运营。托管可以设在与适用司法管辖相对应的任何地理区域（以所需服务的可用性为前提），例如欧洲或毛里求斯，也可以设在客户自己的服务器上。
电子邮件（邮件服务）基于 Zimbra，由美国的 Synacor 开发、由 Klytic 运营。文档基于为每个客户专用的 Nextcloud 实例。Klytic 不具备 SecNumCloud 资质，也不能替代高级 Excel、Power BI 或 Teams。各项服务可单独购买：企业可以保留 Microsoft 365，只增加部署在其邮件系统前端的 Klytic MTA 过滤服务。托管详情见托管与主权一页。
本页描述的是一般性框架，不能替代对您合同的分析。
截至2026年10月5日的法律状况。本文不能替代对合同的分析。欧盟—美国充分性决定（EU）2023/1795 目前有效，但正受到质疑。关于 SecNumCloud，以 ANSSI 目录为准。
2026年10月查阅。
