欧洲主权云：驻留不等于司法管辖。

本页面是工程视角的解读。如果你的 DPO、审计人员或采购流程正在追问 2026 年“主权可控”究竟意味着什么，这个版本经得起推敲。

驻留与主权：决定一切的区别

云计算行业花了十五年时间，训练买家去问错误的问题。“数据托管在哪里？”是一个驻留问题。这个答案可能在技术上正确，但在法律上毫无意义，因为主权与地理位置无关，而在于哪个法院能够强制供应商采取行动。

在美国大型云服务商上使用欧盟区域（例如 AWS Frankfurt、Azure West Europe 或 GCP Belgium）能确保数据留在欧盟境内，但不能使母公司脱离美国司法管辖。根据美国 CLOUD Act（2018 年），总部位于美国的提供商可能被要求披露其在全球任何地方（包括欧盟区域）持有的客户数据。FISA 702 在监控层面带来同样的风险。欧洲数据保护委员会已明确将此列为 Schrems II 问题。

因此，「主权」意味着三件具体的事情，且必须同时满足：

1. 持有您数据的法律实体，其母公司不在具有域外数据披露法律的第三国。
2. 数据路径中的任何子处理方也都不在此类国家。
3. 由您而非服务商掌控加密密钥，或密钥由第三国以外的托管方保管。

三项全部满足，才算真正拥有主权；只要有一项不满足，就只是驻留而已。您的 DPA、隐私政策和面向客户的页面中使用的术语，应该准确反映实际情况。

为何“欧盟子公司”并非解决方案

美国大型云服务商常提出的一种变通方案是欧盟子公司架构，例如 Microsoft Ireland、AWS EMEA SARL、Google Cloud EMEA Ltd。其论点是，根据欧盟法律，欧洲实体是合同的签约方。

这并不能解决司法管辖权的问题。根据 CLOUD Act，判断标准并不在于哪个子公司签署了合同，而在于母公司是否对数据拥有“占有、保管或控制权”。一家全资拥有的欧盟子公司，从设计上就受母公司控制。CJEU 和 EDPB 在 Schrems II 中的分析将母公司所面临的风险视为实际生效的判定依据。

因此，当供应商提供由美国集团的欧盟子公司运营的“欧洲”方案时，正确的问题应该是：“您的美国母公司是否可能被强制要求指示贵公司在未经我们同意或知情的情况下披露数据？”诚实的答案是：可能。

伪主权中间层

2024 至 2026 年间出现了一波所谓「主权」合作浪潮，通常是欧洲系统集成商获得美国超大规模云厂商技术栈的授权，并以欧洲管理团队运营。目前市场上的例子包括：

• 授权的主权云产品，基于美国超大规模云厂商技术构建，由欧洲电信（Europeane Telekom）子公司运营。
• Bleu，一个基于 Microsoft Azure 技术构建的法国主权云，由 Capgemini 和 Orange 运营。
• S3NS，Thales 与 Google 在法国的合资企业。

这些产品在特定合规制度下可能有用，但工程团队不应毫无保留地称之为主权可控。技术栈、平台更新、安全补丁，以及最关键的运维专业知识，均来自美方合作伙伴。在最坏情况的威胁模型下，一旦美方撤回合作或被迫这样做，欧洲运营方将继承一套自己无法独立维护的技术栈。

对大多数买家而言，更清晰的架构方案是构建在供应链中完全不存在美国依赖的基础设施之上。这正是我们在Binadit谈论主权技术栈时所指的含义。

真正的欧盟主权技术栈是什么样的

以下是一个完全在欧盟司法管辖权下运行的中端市场SaaS或受监管工作负载的具体参考架构。这些都不是什么特殊方案；全部都是生产级配置。

• 计算与存储：Binadit 托管计算和专用硬件，运行于欧盟基础设施之上，受欧盟司法管辖。
• 对象存储：Ceph 或 MinIO，兼容 S3，由我们在同一基础设施上运营。
• CDN：Bunny.net（斯洛文尼亚）、KeyCDN（瑞士），或在边缘自行管理以获得完全控制权。
• DNS：PowerDNS 或 Knot，具备权威解析和 DNSSEC 签名，或使用 Bunny DNS 以便与 CDN 捆绑。
• 邮件发送：Mailgun EU（需谨慎使用，因其母公司在美国），或完全欧盟的方案，如 Postmark EU、Mailpace、Tuta business，或在同一基础设施上自托管 Postfix。
• 错误追踪：自托管 GlitchTip 或 Sentry，或使用 Sentry 的欧盟区域部署（并明确记录其中的权衡取舍）。
• 分析工具：Plausible（欧盟托管）、Matomo（自托管或欧盟云）、Pirsch。
• 可观测性：自托管 Prometheus + Grafana + Loki，或欧盟托管的等效方案（Grafana Cloud EU、Last9 欧盟区域）。
• 密钥管理：部署在欧盟基础设施上的 Hashicorp Vault，或由欧盟管理的 KMS 提供商；对于高信任场景，可采用本地 HSM 配合云端 BYOK。
• CI/CD：GitLab 自托管、Forgejo、Gitea，或 GitLab.com 欧盟实例。对于涉及个人数据且没有补充保护措施的代码，绝不使用默认的 github.com。

重点不在于其中某一个是“标准答案”，而在于整个技术栈完全可以由总部位于欧盟的供应商搭建组成，托管基础设施合作伙伴可以像 AWS 原生合作伙伴运营 AWS 一样，为您运营这套技术栈。

四问测试详解

1. 数据驻留：数据究竟存放在哪里

重点不是“在欧盟境内”，而是在哪个国家的哪个数据中心、受哪个司法管辖权约束。欧盟并非单一的法律体系；GDPR虽已协调统一，但监管机构是本地的，提供商出现问题时的法律救济途径也是本地的。请在您的DPA中记录主用、备用及灾备位置的国家代码。

2. 子处理方：每一个都要说清楚

在我们对中端市场环境的审计中，未被梳理清楚的子处理方链条是最常见的发现问题。应用程序部署在欧盟基础设施上，这很好。但它调用的图像优化API托管在美国。事务性邮件通过美国的ESP发送。错误追踪工具用的是美国默认方案。客户支持组件从美国CDN加载JavaScript。每一项都是独立的数据流。只要数据流向第三国，就都需要有合法依据。

主权技术栈需要一份完整的分包处理者清单，不仅包括基础设施提供商，还包括应用程序调用的第三方 API。我们的清单会在数据处理协议中完整列出，并在你签署任何文件之前发送给你。

3. 司法管辖权：谁有权强制披露数据

法律程序问题。针对数据路径中的每个实体，确认其母公司总部所在地。如果任何母公司位于美国、中国、俄罗斯或其他具有域外数据访问法律的国家，该实体就存在风险敞口。美国母公司的欧盟子公司身份并不能解决这个问题。

此时，架构图就变成了一份法律文件。绘制一次，每季度审查一次。

4. 密钥托管：谁在技术上能够读取数据

静态加密是必要的，但还不够。关键在于谁掌握密钥。由提供商管理的密钥无法防止提供商被强制解密。BYOK（自带密钥）有助于合规叙事，但提供商仍持有运行时副本。HYOK（自持密钥）是唯一一种云提供商在没有主动联系你的密钥托管方的情况下，物理上无法读取数据的模式。选择威胁模型所要求的方案。

迁移路径：从 AWS 法兰克福到主权技术栈

对脱离超大规模云厂商的担忧，通常比实际项目本身要大得多。典型的中端市场迁移分为三个阶段：

1. 盘点与审计（1-2 周）。梳理每一条数据流，识别每一个子处理方，按美国相关风险敞口分类。产出：按风险和迁移复杂度排序的整改清单。
2. 快速见效的替换项（2-4 周）。先替换软依赖：错误追踪、分析、CDN、DNS、邮件。这些迁移几乎不需要修改应用程序。
3. 核心迁移（4-8 周）。计算、存储、数据库。使用流复制实现数据库零停机迁移；在应用层使用蓝绿部署或 DNS 故障转移模式。真正困难的部分很少是技术本身，而是各环节的协调配合。

对于一个需要兼顾本职工作的 6-8 人工程团队而言，总耗时为十到十六周；若由托管基础设施合作伙伴主导迁移，则为四到十二周。根据我们的经验，运行主权可控技术栈与超大规模云服务商相比，在成本上对于稳定负载而言基本持平或略低，对于波动负载而言略高，而一旦计入出站流量和带宽成本，则明显更低。

「主权云更贵吗？」诚实的答案

对于80%的中端市场工作负载而言，五年期内主权技术栈更便宜，主要原因是欧盟提供商不收取惩罚性的出口流量费用，而且专用服务器和裸机定价比同等的hyperscaler实例类型要好得多。主权技术栈成本更高的情况包括：受益于亚秒级自动扩缩容的高突发性工作负载、依赖特定托管服务（如DynamoDB、BigQuery、Lambda）且没有清晰替代方案的工作负载，以及需要特定加速器代际的ML训练工作负载。

一次专业的工程评估会在一周内告诉你属于哪一类。如果你需要这样的评估，这正是我们的专长。

监管顺风：NIS2、DORA、EHDS 和 AI Act

2025 年到 2027 年的监管发展方向，是朝着更严格的供应链问责制迈进：

• NIS2（第 21 条）：核心实体和重要实体必须开展供应链风险评估，并通过合同将安全义务传导至子处理方。在此评估中，若没有补充保护措施，受美国司法管辖的子处理方将很难站得住脚。
• DORA（2025 年 1 月起生效）：金融实体必须维护 ICT 第三方供应商登记册，并为关键供应商制定退出策略。其中集中风险相关条款明确针对过度依赖非欧盟主导供应商的情况。
• 欧洲健康数据空间（EHDS）：健康数据的二次使用仅限于受欧盟司法管辖的处理环境。
• 欧盟人工智能法案（EU AI Act）：高风险 AI 系统需要可追溯的训练数据来源，而这在使用美国基础模型 API 时实际上很难实现。

这些法规都没有禁止美国提供商。但它们使文档编制和补充措施的负担变得如此之高，以至于对大多数应用场景而言，主权技术栈成为了阻力更小的选择。

我们不做出的声明

说句实话：确实存在一些工作负载，用欧盟主权技术栈比用hyperscaler更困难。例如全球延迟低于50毫秒的多区域双活架构、特定的托管分析数据仓库，以及基于最新加速器的超大规模ML推理。如果您的工作负载属于这类情况，我们会明确告知。但对于我们所见的90%的SaaS、电商、B2B平台和受监管工作负载而言，主权技术栈不仅合规，而且更快、更便宜、也更易于理解和把控。

Binadit的定位

我们是一家总部位于荷兰鹿特丹的第28条数据处理者。我们的基础设施完全部署在总部位于欧盟的供应商之上。我们的次级处理者名单已在数据处理协议中完整列明，并可应要求提供。我们不接受在默认数据路径中需要美国司法管辖区次级处理者的项目。若某项工作负载确实需要使用此类服务（例如客户坚持使用的第三方SaaS），我们会以书面形式记录，纳入补充措施，并在签约前向DPO说明剩余风险。

如果这听起来正是您一直在寻找的合作伙伴，下一步就是安排一次30分钟的需求梳理通话。