موقع الإقامة البياناتية في الاتحاد الأوروبي: متطلبات الاستضافة

الإقامة البياناتية في الاتحاد الأوروبي تعني بقاء البيانات الشخصية فعلياً على خوادم داخل المنطقة الاقتصادية الأوروبية، مع تقييد النسخ الاحتياطية والذواكر المؤقتة وأدوات الدعم بحدود المنطقة ذاتها. لا يُلزم GDPR بالإقامة صراحةً — بل يُلزم بأن يستوفي أي نقل خارج المنطقة الاقتصادية الأوروبية شروط الفصل الخامس (قرار كفاية، أو بنود تعاقدية قياسية، أو قواعد ملزمة للشركات). لكن قواعد القطاعات المتراكمة فوق ذلك — فقه Schrems II، وSecNumCloud الفرنسي، وC5 الألماني، وقواعد المشتريات في القطاع العام — تُفرض فعلياً الإقامة لملفات الصحة والمالية والحكومة. إذا كنت تستضيف ملفات العملاء، فالسؤال ليس هل تهم الإقامة؛ بل أي رف في مركز البيانات يحمل البايتات.

ما تعنيه "الإقامة" فعلياً على مستوى البايت

الإقامة ليست مجرد منطقة تخزين الكائنات. تشمل أين تحتفظ ذواكر CDN الحافية بالملف، وأين تُعيد نسخ قاعدة البيانات الكتابات، وأين ترقد النسخ الاحتياطية، وأين يتصل جهاز مهندس الدعم عند استخراج عينة للتصحيح. AWS Frankfurt (eu-central-1) تُخزّن الكائنات في ألمانيا، لكن مواقع حافة CloudFront في Ashburn بولاية فيرجينيا ستُخزّن نسخاً مؤقتة ما لم تُقيّد التوزيع على عقد حافة الاتحاد الأوروبي. تخزين Azure الجغرافي المتكرر يُنسّخ عبر مناطق مزدوجة، وهو لـWest Europe يعني أمستردام ودبلن — مقبول. لـNorth Europe المقترنة بـWest Europe، مقبول أيضاً. خطأ في إعداد الاقتران وستجد البيانات في المملكة المتحدة أو الولايات المتحدة.

التأثير المضاعف لـSchrems II

حكم محكمة العدل الأوروبية في يوليو 2020 في قضية مفوض حماية البيانات ضد Facebook Ireland وSchrems ألغى درع الخصوصية وأجبر كل نقل من الاتحاد الأوروبي إلى الولايات المتحدة على اجتياز تقييم أثر النقل. النتيجة العملية: بدأ المشترون المؤسسيون يسألون الموردين "أين تقع بياناتي؟" بدلاً من "هل المورد متوافق مع GDPR؟". لأن القانون الأمريكي (FISA 702، CLOUD Act) يمتد إلى مزودي الولايات المتحدة حتى للبيانات المُخزَّنة في الخارج، فإن الإقامة وحدها لا تحمي عملاء الاتحاد الأوروبي من أوامر القضاء — إلا إذا كان المزود مملوكاً للاتحاد الأوروبي ولا يمتلك فرعاً أمريكياً. لهذا تفوز Gaia-X وOVH وScaleway وHetzner وInfomaniak في طلبات العطاءات التي تخسرها Microsoft Azure وGoogle Cloud رغم مساحة جغرافية إقليمية متماثلة.

SecNumCloud الفرنسي وC5 الألماني

تنشر ANSSI الفرنسية SecNumCloud، وهو تأهيل لمزودي السحابة المتعاملين مع البيانات الحساسة. يتضمن الإصدار 3.2 (مارس 2022) بنداً يُعفي المزودين من قوانين غير الاتحاد الأوروبي (أي CLOUD Act). OVH Bleu وOutscale تحملان تأهيل SecNumCloud؛ أما AWS فلا. تنشر BSI الألمانية كتالوج معايير C5، وهو أقل صرامةً على ملكية المزود لكن أكثر تفصيلاً في الضوابط التقنية — 125 معياراً عبر 17 فئة. مشترو الرعاية الصحية والدفاع في كلا البلدين يُلزمون بهذه الشهادات عادةً بالعقد. مزود نقل ملفات يستهدف تلك القطاعات دون شهادة C5 Type 2 على الأقل غير قابل للبيع.

فئات التخزين وبصمتها من حيث الإقامة

التخزين الساخن — S3 Standard وAzure Hot Blob وGCS Standard — يحترم عموماً المنطقة المُهيَّأة. التخزين البارد قد يُفاجئك. AWS Glacier Deep Archive يضمن المنطقة التي تختارها، لكن عملية الاسترداد تُدرج البيانات مؤقتاً في مواقع حافة إقليمية؛ للملفات الحساسة، تحقق من تطابق منطقة الاسترداد. Backblaze B2 يوفر EU Central (أمستردام)؛ Cloudflare R2 يوفر مناطق قضائية EU مع تثبيت البيانات التعريفية بحيث تبقى البايتات والبيانات التعريفية داخل الاتحاد الأوروبي. تخزين OVH Object Storage في Gravelines أو Strasbourg يمنحك ضمانات أرض فرنسية بقوة تعاقدية.

البيانات التعريفية مقابل محتوى الملف

يُركّز الناس على محتوى الملف ويتجاهلون البيانات التعريفية التي تكشف بالقدر ذاته. اسم الملف وبريد المرسل وبريد المستلم وعنوان IP والطابع الزمني وحجم الملف معاً تكشف ما يكفي لإعادة بناء العلاقات التجارية. خدمة نقل تُشفّر المحتوى من جانب العميل لكنها ترسل أسماء الملفات وعناوين البريد الإلكتروني إلى منصة تحليلات أمريكية قد أخفقت في الإقامة. تحقق من سياسة الخصوصية لكل معالج فرعي طرف ثالث — تسجيل الأخطاء (Sentry وDatadog) والتحليلات (Mixpanel وAmplitude) وتسليم البريد الإلكتروني (SendGrid وPostmark). إذا مرّت أيٌّ من هذه عبر بنية تحتية أمريكية، تغادر البيانات التعريفية المنطقة الاقتصادية الأوروبية حتى حين لا يفعل الحمولة.

ولايات الإقامة القطاعية الخاصة

بيانات الرعاية الصحية بموجب التطبيقات الوطنية لـGDPR بالإضافة إلى القواعد المحلية: تأهيل HDS الفرنسي (Hébergeur de Données de Santé) يُلزم باستضافة فرنسية أو أوروبية لسجلات المرضى. المادة 203 StGB الألمانية والمادة 75b SGB V تشترطان حماية مكافئة. الخدمات المالية بموجب DORA (اللائحة 2022/2554، السارية منذ يناير 2025) تفرض إدارة مخاطر تكنولوجيا المعلومات مع متطلبات تركيز الطرف الثالث الصريحة ورسم خرائط المقاولين الفرعيين. المشتريات العامة بموجب الأطر الوطنية — Doctrine Cloud au Centre الفرنسي، وACN Cloud الإيطالي — تشترط مزودي EUCS High-level المؤهلين من ENISA للتصنيفات الحساسة.

سلاسل المعالجين الفرعيين والشفافية

قد يقع مزودك في فرانكفورت لكنه يستخدم بائع CDN يُوجَّه عبر Cloudflare (anycast عالمي)، ومنصة دعم على Zendesk (أمريكي)، وفهرس بحث على Algolia (فرنسا/الولايات المتحدة). كل حلقة في تلك السلسلة كسر محتمل للإقامة. المادة 28(4) تجعل المتحكم مسؤولاً عن امتثال المعالجين الفرعيين. اطلب قائمة كاملة مع إخطارات التحديث — إشعار مسبق بثلاثين يوماً هو معيار السوق للتغييرات الجوهرية. المزودون المتمحورون حول الاتحاد الأوروبي يُنشرون هذا في صفحات الثقة لديهم: Tresorit وProton وInfomaniak وHexaTransfer جميعهم يُديرون سجلات معالجين فرعيين عامة.

التحقق من ادعاءات الإقامة

صفحات التسويق تقول "مُستضافة في أوروبا." العقود تقول أقل. صفحات الثقة تقول الأكثر. اطلب ثلاثة وثائق قبل التوقيع: (1) اتفاقية معالجة البيانات التي تُسمّي مدينة مركز البيانات المحدد لا مجرد البلد أو المنطقة؛ (2) بيان نطاق ISO 27001 أو SOC 2 Type 2 الذي يُدرج المواقع المُغطاة؛ (3) سجل المعالجين الفرعيين بالولايات القضائية والأغراض. أجرِ بحوث DNS الخاصة بك على نقاط نهاية الرفع والتنزيل — إذا حلّ سجل A إلى anycast Cloudflare أو Fastly، اسأل أي موقع حافة يخدم مستخدميك. جرّب رفع ملف من متصفح بعنوان IP أوروبي وتحقق من ترويسات الاستجابة؛ معظم شبكات CDN تكشف نقطة الوجود في x-amz-cf-pop أو cf-ray.

التوازن بين التكلفة والأداء

الاستضافة الأوروبية الحصرية تكلف 10-20% أكثر من نظيراتها متعددة المناطق لأن الحجم أصغر وأسعار الكهرباء أعلى. الكمون يتحسن للمستخدمين الأوروبيين (باريس إلى فرانكفورت ~20 ميلي ثانية) ويزداد للمستخدمين الأمريكيين (باريس إلى نيويورك ~75 ميلي ثانية). إذا كان 80% من مستخدميك أوروبيين، فالمقايضة واضحة. إذا كنت تخدم متعاقدين عالميين، فالإعداد الهجين — إقامة أوروبية للعملاء الأوروبيين مع قواعد توجيه واضحة — يتفوق على إجبار الجميع على منطقة واحدة. مزودون كـHexaTransfer يحتفظون بجميع الملفات في بنية تحتية أوروبية بينما يعني التشفير من جانب العميل أن المستلمين عبر الحدود لا يُعرّضون النص الصريح أبداً لخوادم أجنبية.

اختر الإقامة كما تختار التأمين: متطابقة بدقة مع المخاطر. جرّبها على hexatransfer.com — مجاني، بدون حساب، حتى 10 جيجابايت.