파일 전송 서비스 데이터 소재지 비교

파일 전송 서비스의 데이터 소재지는 서비스마다 크게 다릅니다. WeTransfer는 아일랜드와 미국에 파일을 저장하고, Smash는 프랑스에 호스팅하며, SwissTransfer는 모든 것을 스위스에 보관하고, Dropbox Transfer는 미국과 EU 지역에 분산합니다. GDPR 제44조(EEA 외부 이전) 준수를 위해 개인 데이터를 처리할 때는 EU 전용 서비스를 선택하는 것이 좋습니다. HexaTransfer는 프랑스 서버에만 호스팅하므로 파일이 대서양을 건너지 않습니다. 이는 Schrems II 판결에 따른 엄격한 주권 규칙을 적용받는 헬스케어, 법률, 금융 팀에 중요합니다.

Schrems II 이후 데이터 소재지가 실질적으로 중요한 이유

2020년 7월 Schrems II 판결은 EU-미국 Privacy Shield를 무효화했고, 대부분의 대서양 횡단 이전이 법적으로 불안정한 상태에 놓였습니다. 표준 계약 조항(SCC)은 여전히 유효하지만, 미국 감시법(FISA 702, 행정 명령 12333)이 데이터를 침해하지 않음을 증명하는 보완 조치와 함께해야 합니다. 2022년 2월 CNIL의 Google Analytics 판결은 이를 구체화했습니다. EU 기업들은 SCC가 있어도 방문자 데이터를 미국 서버로 라우팅한 것만으로 제재를 받았습니다.

파일 전송에 대한 함의는 직접적입니다. 미국 기반 서비스로 고객 계약서를 전송하면 전송 영향 평가가 필요한 국경 간 이전이 발생할 수 있습니다. 프랑스나 스위스 서비스로 전송하면 적절성 결정이 있는 관할권 내에 머뭅니다.

WeTransfer: 아일랜드 + 미국 엣지 서버

WeTransfer의 기본 스토리지는 아일랜드(AWS eu-west-1)에 있어 EU 법적 경계 내에 데이터가 유지됩니다. 그러나 CDN 엣지는 전 세계에 걸쳐 있고, 메타데이터 라우팅은 모회사 인프라를 통과합니다. 2023년부터 WeTransfer는 이탈리아 기업 Bending Spoons의 소유가 됐고 일부 운영이 밀란으로 이전됐습니다. 파일 자체는 EU 사용자의 경우 아일랜드에 남지만, 로그, 인증 토큰, 썸네일은 전송 중 미국 노드에 닿을 수 있습니다.

Smash: OVH와 함께 100% 프랑스 호스팅

파리 기반 경쟁사인 Smash는 프랑스 루베와 그라블린에 있는 OVH에만 호스팅합니다. AWS, Azure, Google Cloud 없음. 이로 인해 미국 CLOUD Act 같은 역외 법률의 적용을 받는 공급업체를 제외하는 프랑스 SecNumCloud 요건에 구속된 공공부문 클라이언트에게 더 명확한 스토리를 제공합니다. Smash는 2024년 미국이 데이터 경로에 전혀 관여하지 않음을 확인하는 상세 인프라 페이지를 발행했습니다.

SwissTransfer: Infomaniak의 친환경 스위스 데이터 센터

SwissTransfer는 제네바와 스위스 쥐라에 있는 Infomaniak 인프라에서 실행됩니다. 스위스는 EU 회원국이 아니지만 GDPR에 따른 적절성 결정이 있어 EU-스위스 이전은 EEA 내부 이전으로 취급됩니다. 2023년 9월 GDPR을 반영하도록 업데이트된 스위스 연방 데이터 보호법(FADP)이 법적 대칭성을 더합니다. Infomaniak은 탄소 발자국을 공시하고 재생 가능한 수력 전기로 전체를 운영합니다. 파일은 30일 후 만료되며 AES-256으로 저장됩니다.

Dropbox Transfer: 미국 기본, EU 선택 사항

유료 Dropbox 플랜에 번들로 제공되는 Dropbox Transfer는 미국 스토리지를 기본으로 합니다. 엔터프라이즈 고객은 추가 비용을 내고 EU 소재지를 선택할 수 있어 데이터가 독일 AWS 리전으로 라우팅됩니다. 그러나 제어 플레인(계정 메타데이터, 결제, 감사 로그)은 미국에 머뭅니다. 2023년 7월 EU-미국 Data Privacy Framework에 따라 Dropbox는 인증을 받아 법적 근거를 확보했습니다. 하지만 DPF는 법원에서 이미 도전받고 있으며 Schrems III 판결로 2년 내에 무효화될 수 있습니다.

HexaTransfer: 단일 관할권의 단순함

HexaTransfer는 EU 외부에 복제 없이 모든 것을 프랑스 서버에 저장합니다. 파일은 업로드 전에 클라이언트 측에서 AES-256-GCM으로 암호화되어 프랑스 인프라에도 암호문만 있습니다. 키 파생에는 PBKDF2(60만 회 반복)를 사용하고, 다운로드 URL에는 URL 프래그먼트(서버에 전송되지 않는)로 복호화 키가 포함됩니다.

GDPR 제32조(처리 보안) 목적에서 이 아키텍처는 데이터 최소화, 암호화, 단일 관할권 호스팅을 하나의 패키지로 결합합니다. 전송 영향 평가가 간단해집니다. 국제 이전이 없기 때문입니다.

비교 표

| 서비스 | 주 위치 | 보조 위치 | GDPR 상태 | 제로 지식 | |---|---|---|---|---| | WeTransfer | 아일랜드(AWS) | 미국 CDN 엣지 | EU 소재 | 아니오 | | Smash | 프랑스(OVH) | 없음 | EU 소재 | 아니오 | | SwissTransfer | 스위스 | 없음 | 적절성 결정 | 부분적 | | Dropbox Transfer | 미국 기본, EU 선택 | 글로벌 | DPF 인증 | 아니오 | | HexaTransfer | 프랑스 | 없음 | EU 소재 | 예 | | Tresorit | 아일랜드, 스위스 | 미국(기업 선택 제외) | EU 소재 | 예 |

업종별 고려 사항

HIPAA에 따라 환자 기록을 처리하는 헬스케어 조직은 HHS 민권국이 EU 소재지를 신경 쓰지 않고 Business Associate Agreement를 신경 씀을 알아야 합니다. 2026년 발효되는 EHDS(유럽 건강 데이터 공간 규정)에 따르면 EU 헬스케어에서는 EU 소재지가 전제 조건이 됩니다.

외부 변호사에게 .pdf 및 .docx 사건 파일을 전송하는 법률팀은 현지 변호사 규정을 확인해야 합니다. 뉴욕주 변호사협회는 외국 호스팅 서비스에 고객 파일을 저장하려면 고지된 동의가 필요하다는 의견을 표명했습니다.

DORA(디지털 운영 회복력법, 2025년 1월 적용)에 따르는 금융 서비스는 모든 ICT 제3자 공급업체와 하위 계약자 체인을 매핑해야 합니다. 한 국가, 한 공급업체에 호스팅하는 서비스는 다섯 개 하위 처리자에 걸친 다중 지역 하이퍼스케일러 설정보다 문서화가 간단합니다.

현재 공급업체에 물어봐야 할 것

파일 전송 계약을 갱신하기 전에 데이터 처리 계약을 요청하고 세 가지를 확인하세요. 첫째, 하위 처리자 목록과 국가. 둘째, 콘텐츠와 메타데이터가 이동하는 경로를 보여주는 데이터 흐름 다이어그램. 셋째, 공급업체가 소환장에 따라 파일을 복호화할 수 있는 키를 보유하는지 여부인 암호화 자세. 답변이 놀라움을 준다면 전환이 필요합니다. 에피메럴 파일 전송은 클라우드 스토리지 아카이브 마이그레이션과 달리 기록 데이터를 이동할 필요 없이 업로드 엔드포인트만 변경하면 됩니다.

hexatransfer.com에서 사용해 보세요 — 무료, 계정 불필요, 최대 10GB.