SaaS数据驻留

SaaS数据驻留描述云软件服务中某类数据与特定地理区域的关系。它不是一个笼统的“数据都在本地”开关：正文、附件、配置、日志、计算过程、技术支持记录和备份，可能由不同产品组件处理，也可能适用不同的位置规则。理解驻留范围，须同时问清数据类别、服务、租户设置、服务商承诺与适用条件。

“静态数据”通常指持续保存在数据库、文件系统或对象存储中的内容；“处理中的数据”则正被检索、计算、转换或传送。选定一个区域作为存储位置，并不自动说明每次计算、网络路由或跨区协作也只发生在那里。服务商文档还可能仅列出特定版本、数据类型和服务的覆盖范围。

Google Workspace的数据区域功能可为受覆盖的数据指定美国或欧洲。官方清单说明，它覆盖特定核心服务的静态数据（包括备份），并按服务列出处理期间的数据；是否覆盖处理还随版本而异。清单未列出的客户数据类型、日志和缓存不在该数据区域政策范围内。政策也可能按组织部门或配置群组配置；例如，Google Drive文件按文件创建者的数据区域政策存储。不同区域用户之间的直聊内容可能同时存于两个区域。这些细节说明，租户位置不能简单归结为一个统一国家字段。

服务商常把用户直接输入的内容、服务配置、日志与分析数据分别定义。Atlassian Cloud允许管理员按应用为Jira、Confluence等产品的数据选择区域，但其文档把部分内容列为无法固定的范围，包括用户账户信息、应用分析、部分人工智能数据、日志、传输中的数据、缓存内容和第三方应用集成数据。Jira应用中的问题、附件、评论和项目配置则属于可固定项目的示例。因而，“某应用已设区域”仍须继续核对其中哪些数据类型实际受覆盖。

Microsoft 365的默认数据地理位置由租户创建时提供的国家或地区及各服务可用的地理位置共同决定。微软的区域承诺也按服务与产品条款划定；例如，特定资格客户购买Advanced Data Residency后，Exchange Online邮箱内容、SharePoint与OneDrive文件、Teams消息等指定数据才适用该方案列出的静态存储承诺。Multi-Geo订阅还可依租户配置让部分客户数据存放在多个地理区域。不能把一个产品名称或订阅标签扩写为所有组件、所有数据都受同一种承诺约束。

处理位置要单独核对。Google把“数据静态存储区域”和“数据处理区域”设为不同政策选项，并限制为符合条件的版本与服务。微软说明，服务请求有时由客户数据静态存储区域以外的服务器处理，但这不等于静态数据被搬到另一个存储地点；其Microsoft 365文档亦指出，处理中的数据与静态数据是不同概念，并提示详细的处理地点文档仍在补充。用网络出口地址、员工所在地或租户注册国家，不能代替对具体数据流的核查。

技术支持也是一类独立的数据流。支持工单可能包括客户提供的问题描述和复现步骤；工单标题可由客户提供，也可能由服务商生成。支持人员的访问地点与这些记录的持久存储地点并非同一问题。微软的欧盟数据边界概述将技术支持归入Professional Services，并说明适用在线服务的Professional Services Data按静态数据方式存于边界内；具体适用范围取决于产品条款与客户条件。对应转移说明也列出有限的跨边界访问、临时处理，以及可能在边界外保存的工单标题或升级案例资料。该例只适用于所述服务、客户条件与边界承诺，不能推广为所有厂商的通用规则。

备份有自己的创建时间、存储位置、保留期限和恢复目标。Google的数据区域覆盖清单将特定服务的备份列入静态数据范围；Atlassian则说明，自2026年4月28日起，通过Atlassian Backup and Restore为符合范围的Jira、Jira Service Management和Confluence新建的备份会存于应用固定区域。应用固定区域前创建的备份不会因此迁移；变更区域后，已有备份仍留在原区域，而备份策略和部分运行报告、配置元数据目前不属于可固定范围。评估备份时，应分别问新旧副本、快照、长期归档和管理元数据的位置，不能由主库的位置反推。

租户控制台中的区域设置是服务商技术控制的一部分，可能依用户、组织部门、配置群组或应用生效，也可能要求特定版本与权限。它显示客户选择或部署了什么，并不一定等同于服务商合同中对特定数据类型的承诺；设置项本身也可能被排除在特定数据承诺的定义之外。微软的EU Data Boundary说明就将资源技术设置与名称排除在其“Customer Data”定义之外。微软把默认地理位置、Multi-Geo和Advanced Data Residency等机制分别说明；Atlassian按应用设置；Google则允许对支持的用户群组设政策。核对时应同时查看租户当前配置、服务商适用条款、数据范围、区域迁移与备份规则，并留意更改区域后的未迁移旧数据。

产品区域设置、合同承诺与法律义务是相关但不同的层次。前两者帮助描述服务商如何配置系统、承诺保存哪些数据以及有哪些例外；法律义务则取决于主体、个人数据类别、处理目的、跨境路径和具体适用法规。以欧盟《通用数据保护条例》为例，第28条涉及控制者选择处理者及其保障措施，第44条规定向第三国或国际组织转移个人数据时须满足该章条件；条文本身不能简化成“所有个人数据必须留在一个区域”。区域设置或供应商声明本身也不能证明某组织已经满足全部法律要求。

实际评估可以先列一份数据清单：用户内容与附件、服务配置、日志和分析、支持工单、处理中的数据、备份及第三方集成；再逐项记录服务与版本、覆盖区域、配置方式、合同承诺、例外、保留期限和迁移状态。缺少某一类资料时，应把它标为待核，而不要由主数据区域推断其他数据也具有相同位置保证。

• Google Workspace数据区域覆盖的数据类别与服务：https://knowledge.workspace.google.com/admin/compliance/data-covered-by-data-regions?hl=en
• Google Workspace选择数据地理位置与配置区域政策：https://knowledge.workspace.google.com/admin/compliance/choose-a-geographic-location-for-your-data
• Atlassian Cloud数据驻留范围、应用位置与备份规则：https://support.atlassian.com/security-and-access-policies/docs/understand-data-residency/
• Microsoft 365数据驻留概览：静态数据、处理与租户地理位置：https://learn.microsoft.com/en-us/microsoft-365/enterprise/m365-dr-what-is-data-residency?view=o365-worldwide
• Microsoft 365 Advanced Data Residency数据承诺：https://learn.microsoft.com/en-us/microsoft-365/enterprise/m365-dr-adr-commitments?view=o365-worldwide
• Microsoft EU Data Boundary服务、数据类别与支持资料概览：https://learn.microsoft.com/en-us/privacy/eudb/eu-data-boundary-learn?country=us&culture=en-us
• Microsoft EU Data Boundary跨边界访问、支持资料与有限转移说明：https://learn.microsoft.com/en-us/privacy/eudb/eu-data-boundary-transfers-for-all-services
• 欧盟《通用数据保护条例》（GDPR）官方文本：https://eur-lex.europa.eu/eli/reg/2016/679/oj/eng