Сравнение локации данных сервисов передачи файлов

Локация данных у разных сервисов передачи файлов кардинально различается. WeTransfer хранит файлы в Ирландии и США, Smash — во Франции, SwissTransfer — исключительно в Швейцарии, Dropbox Transfer распределяет данные между регионами США и ЕС. Для соответствия статье 44 GDPR (трансграничные передачи за пределы ЕЭП) при работе с персональными данными выбирайте сервисы исключительно с европейским хостингом. HexaTransfer хранит данные только на французских серверах — ваши файлы никогда не пересекают Атлантику. Это принципиально для медицинских, юридических и финансовых команд, подпадающих под жёсткие требования суверенитета в соответствии с решением Schrems II.

Почему локация данных важна после Schrems II

Решение Schrems II (июль 2020 года) аннулировало механизм EU-US Privacy Shield, поставив большинство трансатлантических передач на шаткую правовую почву. Стандартные договорные условия (SCC) по-прежнему работают, но только в сочетании с дополнительными мерами, доказывающими, что законодательство США о слежке (FISA 702, Исполнительный приказ № 12333) не компрометирует данные. Постановление CNIL против Google Analytics в феврале 2022 года сделало это конкретным: европейские компании получали штрафы за передачу данных посетителей на американские серверы — даже при наличии SCC.

Для передачи файлов последствия прямые. Отправьте клиентский договор через американский сервис — и вы, возможно, инициировали трансграничную передачу, требующую Оценки воздействия на передачу данных (Transfer Impact Assessment). Отправьте через французский или швейцарский сервис — и вы остаётесь в юрисдикциях с решением об адекватности или более сильными рамочными механизмами защиты.

WeTransfer: Ирландия плюс американские edge-серверы

Основное хранилище WeTransfer находится в Ирландии (AWS eu-west-1), что удерживает данные в правовом пространстве ЕС. Однако CDN-узлы распределены по всему миру, и маршрутизация метаданных проходит через инфраструктуру материнской компании. С 2023 года WeTransfer принадлежит итальянской Bending Spoons, перенёсшей часть операций в Милан. Сами файлы для европейских пользователей остаются в Ирландии, но логи, токены аутентификации и миниатюры могут касаться американских узлов во время транзита.

Для французской юридической фирмы, отправляющей процессуальные документы, это создаёт неоднозначность. Файлы технически находятся в ЕС, но операционные метаданные — нет. Записи о деятельности по обработке согласно статье 30 GDPR должны документировать этот нюанс.

Smash: 100% французский хостинг на OVH

Парижский конкурент Smash работает исключительно на OVH в Рубе и Гравлине, Франция. Никакого AWS, Azure или Google Cloud. Это даёт более чистую историю для государственных клиентов, связанных требованиями SecNumCloud Франции, исключающими любого провайдера, подпадающего под экстерриториальное американское законодательство вроде CLOUD Act. В 2024 году Smash опубликовал подробную страницу об инфраструктуре, подтверждающую полное отсутствие американской составляющей в цепочке обработки данных.

Компромисс — производительность. Пользователи в Сингапуре или Сиднее испытывают более высокую задержку, чем при работе с географически распределённым сервисом. Однако для европейских пользователей это преимущество, а не недостаток.

SwissTransfer: «зелёные» швейцарские дата-центры Infomaniak

SwissTransfer работает на инфраструктуре Infomaniak в Женеве и швейцарской Юре. Швейцария не входит в ЕС, однако имеет решение об адекватности по GDPR, то есть передачи данных ЕС–Швейцария приравниваются к внутриэзп-передачам. Федеральный закон Швейцарии о защите данных (nDSG), обновлённый в сентябре 2023 года в соответствии с GDPR, добавляет ещё один слой правовой симметрии.

Infomaniak публикует углеродный след и работает полностью на возобновляемой гидроэлектроэнергии. Для организаций, ориентированных на устойчивое развитие, это бонус помимо истории с локацией данных. Файлы удаляются через 30 дней, хранятся в зашифрованном виде AES-256.

Dropbox Transfer: США по умолчанию, ЕС — опционально

Dropbox Transfer, входящий в платные планы Dropbox, по умолчанию использует американское хранилище. Корпоративные клиенты могут доплатить за локацию в ЕС, перенаправляя данные в немецкие регионы AWS. Но контрольная плоскость (метаданные аккаунта, биллинг, журналы аудита) остаётся в США. Именно по этой схеме работают большинство гиперскейлеров: региональные плоскости данных, централизованные контрольные плоскости.

В рамках Рамочного соглашения о конфиденциальности данных ЕС–США (июль 2023 года) Dropbox сертифицирован, что обеспечивает правовую основу для передачи. Однако DPF уже оспаривается в суде, и решение Schrems III может аннулировать его в течение двух лет. Долгосрочные контракты должны учитывать этот риск.

HexaTransfer: простота единой юрисдикции

HexaTransfer хранит всё на французских серверах без репликации за пределы ЕС. Файлы шифруются на стороне клиента с помощью AES-256-GCM до загрузки, то есть даже французская инфраструктура содержит только зашифрованный текст. Производство ключей использует PBKDF2 с 600 000 итераций, а URL для скачивания содержит ключ дешифрования во фрагменте URL (никогда не передаётся серверу).

Для целей статьи 32 GDPR (безопасность обработки) эта архитектура объединяет минимизацию данных, шифрование и единую юрисдикцию в одном пакете. Оценка воздействия на передачу данных становится тривиальной: никакой международной передачи нет.

Сравнительная таблица

| Сервис | Основная локация | Дополнительные локации | Статус GDPR | Zero-knowledge | |---------|-----------------|---------------------|-------------|----------------| | WeTransfer | Ирландия (AWS) | CDN-узлы в США | Резидент ЕС | Нет | | Smash | Франция (OVH) | Нет | Резидент ЕС | Нет | | SwissTransfer | Швейцария | Нет | Адекватность | Частичная | | Dropbox Transfer | США по умолчанию, ЕС опционально | Глобальный | DPF-сертификат | Нет | | HexaTransfer | Франция | Нет | Резидент ЕС | Да | | Tresorit | Ирландия, Швейцария | США (корп. отказ) | Резидент ЕС | Да |

Отраслевые особенности

Медицинские организации, работающие с историями болезни по HIPAA, сталкиваются с дополнительной сложностью: Управление по гражданским правам HHS не заинтересовано в европейской локации данных, зато требует Соглашения о бизнес-партнёрстве. Французский сервис может не подписывать BAA, если не работает на американском рынке. При регулировании по EHDS (Регламент о европейском пространстве медицинских данных, вступает в силу в 2026 году) расчёт меняется: европейская локация становится обязательным условием.

Юридические команды, отправляющие файлы .pdf и .docx сопровождающим консультантам за рубеж, должны проверять местные правила адвокатских палат. Ассоциация адвокатов штата Нью-Йорк, например, считает, что хранение клиентских файлов у зарубежных провайдеров требует информированного согласия. Французские авокаты по RGPD придерживаются противоположной позиции: американский хостинг — это аномалия, требующая обоснования.

Финансовые организации, подпадающие под DORA (Закон о цифровой операционной устойчивости, применяется с января 2025 года), должны картировать всех ИКТ-провайдеров и цепочки их субподрядчиков. Сервис с хостингом в одной стране у одного провайдера проще задокументировать, чем многорегиональную установку гиперскейлера с пятью суб-обработчиками.

Что спросить у текущего провайдера

Перед продлением любого договора на передачу файлов запросите соглашение об обработке данных и проверьте три вещи. Первое: список суб-обработчиков и их страны. Второе: схему потоков данных, показывающую, куда движутся содержимое и метаданные. Третье: позицию по шифрованию — конкретно, хранит ли провайдер ключи, которыми мог бы расшифровать ваши файлы по судебному предписанию.

Если ответы удивят, смена сервиса при эфемерной передаче файлов проста (в отличие от миграции архива облачного хранилища). Исторические данные переносить не нужно — достаточно изменить конечную точку загрузки.

Попробуйте на hexatransfer.com — бесплатно, без регистрации, до 10 ГБ.