ファイル転送サービスのデータ所在地比較

ファイル転送サービスのデータ所在地はサービスによって大きく異なります。 WeTransfer はアイルランドと米国にファイルを保管し、 Smash はフランスでホスティング、 SwissTransfer はすべてをスイスに保管し、 Dropbox Transfer は米国とEUリージョンに分散しています。GDPRの第44条（EEA外への移転）を遵守するには、個人データを扱う場合はEU専用サービスを選択してください。 HexaTransfer は専用フランスサーバーでホスティングしており、ファイルが大西洋を越えることはありません。これはSchrems II判決を受けて厳格なデータ主権ルールに従うヘルスケア、法律、金融チームにとって重要です。

Schrems II後にデータ所在地が重要な理由

2020年7月のSchrems II判決はEU・米国プライバシーシールドを無効化し、ほとんどの大西洋横断転送を法的に不安定な状態に置きました。標準契約条項は引き続き機能しますが、米国の監視法（FISA 702、大統領令12333）がデータを侵害しないことを証明する補足措置と組み合わせた場合のみです。2022年2月のCNIL（フランスのデータ保護機関）の Google Analytics に関する判決はこれを具体化しました。SCCを使用していても、訪問者データを米国サーバーに送信したとしてEU企業が制裁を受けました。ファイル転送においては、米国拠点のサービスを通じてクライアント契約書を送信すると、転送影響評価（TIA）が必要な国境を越えた転送を引き起こす可能性があります。

WeTransfer：アイルランド＋米国エッジサーバー

WeTransfer の主要ストレージはアイルランド（AWS eu-west-1）にあり、データをEUの法的境界内に保ちます。ただしCDNエッジはグローバルに展開しており、メタデータのルーティングは親会社のインフラを経由します。2023年以降、 WeTransfer はイタリアの Bending Spoons に買収され、一部の業務がミランに移転しました。EUユーザーのファイル自体はアイルランドに留まりますが、ログ、認証トークン、サムネイルは転送中に米国ノードに触れる可能性があります。フランスの法律事務所が陳述書を送信する場合、ファイルは技術的にEU所在ですが業務メタデータはそうではないという曖昧さが生じます。

Smash：OVHを使った100%フランスホスティング

パリ拠点の競合 Smash は、ルーベとグラブリーヌにあるOVHで専用ホスティングしています。AWS、Azure、 Google Cloud は使用していません。これにより、CLOUD法のような米国域外法の対象となるプロバイダーを除外するフランスのSecNumCloud要件に縛られた公共部門クライアントにとって、よりクリーンな実績となります。 Smash は2024年にデータパスへの米国の関与がゼロであることを確認する詳細なインフラページを公開しました。トレードオフはパフォーマンスです。シンガポールやシドニーのユーザーは地理的に分散したサービスよりも高いレイテンシを経験します。ただし、欧州ユーザーには欠点ではなく利点です。

SwissTransfer：Infomaniakのグリーンスイスデータセンター

SwissTransfer はジュネーブとスイスジュラにある Infomaniak のインフラで動作します。スイスはEUに加盟していませんが、GDPRの十分性決定を取得しており、EU・スイス間の転送はEEA内部として扱われます。2023年9月にGDPRに合わせて更新されたスイス連邦データ保護法（FADP）がさらなる法的整合性をもたらしています。Infomaniakはカーボンフットプリントを公開しており、再生可能な水力発電で全電力を賄っています。持続可能性を重視する組織には、所在地の話題を超えたボーナスです。ファイルは30日後に期限切れとなり、保存時にAES-256で暗号化されます。

Dropbox Transfer：米国デフォルト、EUはオプション

Dropbox Transfer は有料 Dropbox プランにバンドルされており、デフォルトでは米国ストレージとなります。エンタープライズ顧客は追加料金を支払ってEU所在地を選択でき、ドイツのAWSリージョンにデータが送られます。ただし、コントロールプレーン（アカウントメタデータ、請求、監査ログ）は米国ホスティングのままです。ハイパースケーラーのほとんどはこのパターンに従います。地域データプレーンと集中型コントロールプレーンです。EU・米国データプライバシーフレームワーク（2023年7月）のもとで Dropbox は認定されており、転送の法的根拠を提供します。ただしDPFはすでに法廷で争われており、Schrems IIIの判決が2年以内にそれを無効化する可能性があります。

HexaTransfer：単一管轄の簡潔さ

HexaTransfer はEU外にレプリケーションなしでフランスサーバーにすべてを保管します。ファイルはアップロード前にAES-256-GCMでクライアント側で暗号化されるため、フランスのインフラでも保持するのは暗号文のみです。鍵導出はPBKDF2（60万回イテレーション）を使用し、ダウンロードURLにはURLフラグメント（サーバーに送信されない）として復号鍵が含まれます。GDPRの第32条（処理のセキュリティ）の観点から、このアーキテクチャはデータ最小化、暗号化、単一管轄ホスティングを一つのパッケージで組み合わせています。転送影響評価は自明です。国際転送は存在しません。

比較表

サービス	主要ロケーション	副次ロケーション	GDPRステータス	ゼロ知識
WeTransfer	アイルランド（AWS）	米国CDNエッジ	EU所在	なし
Smash	フランス（OVH）	なし	EU所在	なし
SwissTransfer	スイス	なし	十分性	部分的
Dropbox Transfer	米国デフォルト、EUオプション	グローバル	DPF認定	なし
HexaTransfer	フランス	なし	EU所在	あり
Tresorit	アイルランド、スイス	米国（エンタープライズは除外可）	EU所在	あり

業種別の考慮事項

患者記録をHIPAAで扱うヘルスケア組織は、HHS公民権局がEU所在地を考慮せず、Business Associate Agreementを重視するという追加の複雑さに直面します。2026年に発効するEHDS（欧州健康データ空間規則）のもとで欧州ヘルスケアの計算は逆転します。EU所在地が前提条件となります。

海外の共同弁護人に.pdfや.docxの事件ファイルを送信する法律チームは、現地のバー規則を確認する必要があります。GDPRのもとでのフランスの弁護士たちは逆のアプローチをとります。米国ホスティングが正当化を必要とする例外です。DORA（デジタル運用強靭性法、2025年1月適用）のもとでの金融サービスは、すべてのICTサードパーティプロバイダーとそのサブコントラクターチェーンをマッピングしなければなりません。一国、一ベンダーでホスティングするサービスの方が、5つのサブプロセッサーにまたがる多リージョンのハイパースケーラー設定よりも文書化が簡単です。

現在のプロバイダーへ確認すべきこと

ファイル転送契約を更新する前に、データ処理契約を要求して三点を確認してください。第一にサブプロセッサーのリストとその国。第二にコンテンツとメタデータの流れを示すデータフロー図。第三に暗号化の姿勢、特にプロバイダーが令状の下でファイルを復号できる鍵を保持しているかどうかです。回答に予想外の内容があれば、一時的なファイル転送の切り替えはクラウドストレージアーカイブの移行と違って簡単です。過去のデータを移動する必要はなく、アップロードエンドポイントを変更するだけです。

hexatransfer.comでお試しください — 無料、登録不要、最大10GB。