文件传输服务的数据驻留对比
对比主流文件传输服务的数据存储位置,包括服务器位置、数据主权和GDPR合规影响。
各文件传输服务的数据驻留情况差异显著：WeTransfer 将文件存储在爱尔兰和美国，Smash 托管于法国，SwissTransfer 将一切存储在瑞士，而 Dropbox Transfer 数据分布在美国和欧盟多个地区。出于 GDPR 第 44 条（欧洲经济区以外的数据传输）合规考虑，处理个人数据时应选择纯欧盟服务。HexaTransfer 完全托管于法国服务器，文件从不跨越大西洋。对于受 Schrems II 判决约束、遵守严格数据主权规则的医疗、法律和金融团队，这一点至关重要。
Schrems II 之后数据驻留为何真正重要
2020 年 7 月的 Schrems II 判决废止了欧美《隐私盾》协议，使绝大多数跨大西洋数据传输处于法律不确定状态。标准合同条款（SCC）仍然有效，但必须辅以补充措施，证明美国监控法律（FISA 第 702 条、第 12333 号行政令）不会损害数据的保护水平。2022 年 2 月，法国数据保护机构 CNIL 对 Google Analytics 作出裁决，将这一问题落到实处：欧盟企业仅因将访客数据路由至美国服务器就遭到处罚，即使已签订 SCC。
对于文件传输，含义是直接的。通过美国服务发送一份客户合同，可能触发跨境数据传输要求，需要进行传输影响评估（Transfer Impact Assessment）。通过法国或瑞士服务发送，则始终处于具有充分性认定或更严格隐私框架的司法管辖区内。
WeTransfer：爱尔兰主存储加美国边缘节点
WeTransfer 的主要存储位于爱尔兰（AWS eu-west-1），使数据保持在欧盟法律边界内。但其 CDN 边缘节点遍布全球，元数据路由会经过其母公司的基础设施。自 2024 年 WeTransfer 被意大利公司 Bending Spoons 收购后，部分运营迁移至米兰。对于欧盟用户，文件本身留在爱尔兰，但日志、身份验证令牌和缩略图在传输过程中可能触碰美国节点。
对于一家发送开庭文件的法国律师事务所而言，这制造了模糊性。文件技术上驻留于欧盟，但操作元数据并不如此。GDPR 第 30 条的处理活动记录需要记录这一细节。
Smash：通过 OVH 实现 100% 法国托管
总部位于巴黎的 Smash 完全托管于 OVH 在法国鲁贝和格拉沃利讷的数据中心，不使用 AWS、Azure 或 Google Cloud。这为受法国 SecNumCloud 要求约束的公共部门客户提供了更清晰的合规依据——SecNumCloud 排除任何受美国 CLOUD Act 等境外法律管辖的服务商。Smash 于 2024 年发布了详细的基础设施说明页，确认其数据路径中不涉及任何美国环节。
代价是性能。新加坡或悉尼的用户会比使用地理分布式服务时经历更高的延迟。但对于欧洲用户而言，这是优点，而非缺点。
SwissTransfer：Infomaniak 的绿色瑞士数据中心
SwissTransfer 运行在 Infomaniak 位于日内瓦和瑞士汝拉地区的基础设施上。瑞士不是欧盟成员国，但已获得 GDPR 充分性认定，意味着欧盟与瑞士之间的数据传输被视同欧洲经济区内部传输。2023 年 9 月起施行的修订版瑞士《联邦数据保护法》（FADP）在法律层面与 GDPR 进一步对齐。
Infomaniak 公开其碳足迹数据，并完全使用可再生水力发电。对于注重可持续发展的组织，这是数据驻留优势之外的额外加分。文件 30 天后过期，静态加密方式为 AES-256。
Dropbox Transfer：默认美国，欧盟可选
Dropbox Transfer 捆绑在 Dropbox 付费套餐中，默认使用美国存储。企业客户可额外付费开通欧盟数据驻留，将数据路由至德国 AWS 区域。但控制平面（账户元数据、账单、审计日志）仍托管于美国。这是大多数超大型云服务商遵循的模式：区域数据平面，集中化控制平面。
根据 2023 年 7 月签署的《欧美数据隐私框架》（DPF），Dropbox 已通过认证，为数据传输提供了法律依据。但 DPF 已面临法律挑战，可能在两年内被 Schrems III 判决废止。长期合同应将这一风险纳入考量。
HexaTransfer：单一司法管辖区的简洁方案
HexaTransfer 将所有数据存储在法国服务器上，不在欧盟以外复制。文件在上传前经客户端 AES-256-GCM 加密，意味着即使是法国基础设施也只持有密文。密钥派生使用 PBKDF2（600,000 次迭代），下载 URL 中的解密密钥以 URL fragment 形式存在（永远不会发送至服务器）。
就 GDPR 第 32 条（处理安全）而言，这一架构将数据最小化、加密和单一司法管辖托管集于一身。传输影响评估变得轻而易举：不存在国际传输。
对比表
| 服务 | 主要存储地 | 次要存储地 | GDPR 状态 | 零知识 |
|---|---|---|---|---|
| WeTransfer | 爱尔兰（AWS） | 美国 CDN 边缘 | 欧盟驻留 | 否 |
| Smash | 法国（OVH） | 无 | 欧盟驻留 | 否 |
| SwissTransfer | 瑞士 | 无 | 充分性认定 | 部分 |
| Dropbox Transfer | 美国（默认），欧盟（可选） | 全球 | DPF 认证 | 否 |
| HexaTransfer | 法国 | 无 | 欧盟驻留 | 是 |
| Tresorit | 爱尔兰、瑞士 | 美国（企业可选退出） | 欧盟驻留 | 是 |
特定行业的合规考量
处理患者记录的医疗机构除须遵守 HIPAA 外，还面临额外复杂性：美国卫生与公众服务部民权办公室不关心欧盟数据驻留问题，但关心业务合作协议（BAA）。如果法国服务商不在美国市场运营，可能不会签署 BAA。对于 2026 年起适用的欧洲《欧洲健康数据空间法规》（EHDS），逻辑则完全相反：欧盟数据驻留成为前提条件。
向共同代理律师发送 .pdf 和 .docx 案件文件的法律团队，应核查当地律师协会的规定。例如，纽约州律师协会曾发表意见认为，在境外服务商存储客户文件需要当事人知情同意。而法国律师在 RGPD 框架下的立场恰恰相反：美国托管才是需要论证合理性的例外情形。
受《数字运营韧性法案》（DORA，2025 年 1 月起适用）约束的金融服务机构，须对所有 ICT 第三方服务商及其分包链进行梳理和记录。在单一国家使用单一服务商托管的方案，比横跨五个子处理商的多区域超大型云部署更易于记录归档。
向现有服务商应当提出的问题
在续签任何文件传输合同之前，请求提供数据处理协议，并核查三项内容：第一，子处理商名单及其所在国家；第二，显示内容与元数据流向的数据流图；第三，加密立场——具体而言，服务商是否持有在传票下可解密你文件的密钥。
如果核查结果令人意外，切换服务对于临时性文件传输而言相当便捷（不同于迁移云存储档案库）。你无需迁移历史数据，只需更换上传端点即可。
在 hexatransfer.com 上试试 — 免费、无需注册、最多 10 GB。