服务器放在哪里，过去只是一项采购细节。如今它同时决定三件事：用户感受到的应用速度、其所存数据受哪些法律管辖，以及在某个设施或区域发生故障时您的恢复能力。
本指南按照基础设施团队应有的方式来梳理这一决策：从数据和用户出发，量化延迟，概述法律约束，核算数据的每一份副本（而不仅是主副本），并将结论写入合同。
开始之前先说明一点：这是一份工程指南，而非法律意见。隐私和数据驻留规则会不断变化，取决于您业务的具体事实，不同监管机构的解释也不尽相同。请用本文来梳理问题，然后与您所涉司法辖区的合格法律顾问确认每一项法律结论。
从数据出发，而不是从地图出发
在选择城市之前，先对系统存储和处理的数据进行分类。大多数组织最终会形成少数几类数据，每一类都有各自的部署规则。
- 个人数据。任何能够识别个人身份的信息：姓名、电子邮件、IP 地址、设备标识符、位置历史。大多数隐私法律都以此为适用对象。
- 敏感或特殊类别数据。健康、生物识别、金融、政府身份证件、儿童数据。这些数据通常适用更严格的处理和传输规则。
- 受监管行业数据。支付数据、银行记录、医疗记录、公共部门数据。行业监管机构往往会在一般隐私法律之上附加额外要求。
- 商业机密数据。源代码、模型、合同、定价。这类数据不一定受监管，但客户仍可能要求控制其存储位置。
- 运维数据。日志、指标、链路追踪、支持工单。这类数据常被忽视，其中往往充斥个人数据，并且默认情况下经常被传送到第三国。
针对每一类数据，记录数据主体在哪里、数据在哪里产生、谁需要从哪里访问这些数据，以及现有客户合同已经做出了哪些承诺。
延迟：距离的真实代价
光在光纤中的传播速度约为每秒 200,000 km，约为真空中光速的三分之二。折算下来，每 100 km 光纤约产生 1 ms 的往返时间。实际光缆路由比直线更长，每台路由器和每个交换点也会增加少许延迟，因此实测往返时间通常是直线距离推算值的 1.3 到 2 倍。
以下是真实环境中的大致往返时间。
- 同一都市圈内。1 至 5 ms。
- 同一区域内，距离约 1,000 km 以内。10 至 25 ms。
- 横跨美国本土，从东海岸到西海岸。60 至 80 ms。
- 美国东海岸至西欧。75 至 100 ms。
- 美国东海岸至印度。180 至 250 ms。
- 新加坡至印度。50 至 80 ms。
- 美国西海岸至新加坡。160 至 200 ms。
- 美国东海岸至圣保罗。110 至 140 ms。
为什么这比看上去更重要：一个页面或 API 调用很少只需要一次往返。在每次往返 200 ms 的情况下，五次串行往返意味着在服务器开始处理之前就要等待整整一秒。同样的流程在 20 ms 下只需 100 ms。
实用建议：当到源站的往返时间保持在约 50 ms 以内时，交互式应用会让人感觉响应迅速；一旦总响应时间超过几百毫秒，大多数用户就会察觉到延迟。您自身各层之间的延迟同样重要：应用服务器与其数据库通常应位于同一设施或同一可用区，因为频繁交互的数据库流量会把每一毫秒成倍放大。
数据驻留、数据主权与跨境传输规则概述
有三个术语常被混用。数据驻留指数据实际存储的物理位置。数据本地化是要求某些数据必须留在一国境内的法律规定。数据主权是一个更宽泛的概念，指数据受其所在地法律的管辖，有时还受服务商总部所在国法律的管辖。大多数一般性隐私法规并不要求本地化，而是对跨境传输及相关保障措施进行规范。
- GDPR（欧盟与欧洲经济区）。个人数据可以离开欧洲经济区，但必须依据认可的机制：针对目的地国家的充分性认定、附带传输风险评估的标准合同条款、有约束力的公司规则，或范围很窄的例外情形。向依据欧美数据隐私框架（EU-US Data Privacy Framework）获得认证的美国机构传输数据，受充分性认定覆盖。从其他国家进行远程访问也被视为数据传输。
- 经 CPRA 修订的 CCPA（加利福尼亚州）。没有数据本地化要求。其重点在于消费者权利（访问、删除、选择不出售或不共享），以及与服务提供商签订限制其数据使用方式的合同。美国其他多个州也已通过大体类似的法律。
- LGPD（巴西）。其结构与 GDPR 十分相似。国际传输需要有法律依据，例如充分性认定、经国家数据保护局（ANPD）批准的标准合同条款或特定同意，该机构已发布细化这些机制的法规。
- DPDP Act（印度）。2023 年《数字个人数据保护法》（Digital Personal Data Protection Act）总体上允许将数据传输到印度境外，但政府通过通知加以限制的国家除外，相关实施细则正在分阶段推出。印度的行业规定可能比一般法律更严格，在适用时优先于一般法律。
- 其他国家。一些司法管辖区要求特定类别的数据（或至少其副本）存储在本地，或要求跨境传输须经审批。如果您为某个国家的用户提供服务，请尽早核查其规定，而不是等到签约时才处理。
总部位于一个国家、而在另一个国家托管的服务商，可能同时受到两国法律请求的约束。请向法律顾问咨询其对您具体情况的影响，并将结论记录在设计文档中。
凌驾于一般规则之上的行业规定
行业规则往往比一般隐私法规提出更严格或更具体的要求。常见示例包括：
- 支付。PCI DSS 并未规定数据所在国家，但规定了持卡人数据环境的隔离、访问和审计方式，这会影响哪些设施和服务商符合要求。一些国家的监管机构要求更严：例如印度储备银行（RBI）要求支付系统数据只能存储在印度境内。
- 医疗健康。在美国，HIPAA 并不要求在境内托管，但要求与任何处理受保护健康信息的服务商签订业务伙伴协议（business associate agreement）。尽管如此，许多医疗行业客户仍会在合同中附加仅限美国境内的要求。
- 金融服务。银行和保险监管机构通常要求对重大外包事项进行报告或审批，赋予监管机构审计权，并要求制定书面的退出计划。
- 公共部门。政府项目通常要求境内托管、具备安全审查资格的人员或特定的授权框架，而这些要求通常会传递给分包商。
当客户合同或监管机构提出位置要求时，它就成为硬性约束。
备份、副本以及容易被遗忘的数据副本
大多数数据驻留问题并不出在主数据库上。一个将生产数据存储在一个国家，却把每晚备份、日志流或支持导出数据发往另一个国家的系统，实际上已经分布在多个国家。
列出数据副本可能落地的每一个位置：
- 备份与快照。它们存储在哪里、保留多久，是否使用由您控制的密钥加密？
- 副本。只读副本、备用数据库，以及用于灾难恢复的跨区域复制。
- 日志与可观测性。应用日志、访问日志、链路追踪和错误报告中往往包含 IP 地址、用户 ID 和请求正文。
- CDN 与缓存。边缘缓存可能在许多国家保存个人内容。请配置哪些内容可以缓存以及在何处缓存。
- 支持与管理。根据多部法律，位于其他国家的工程师或支持人员进行远程访问，可能被视为数据传输。
- 分析与 AI 管道。为分析、模型训练或推理而导出的数据，可能会被转移到其他区域或其他服务商。
一种常见且站得住脚的模式是：将主系统及其直接备用系统放在同一司法管辖区内，在可能的情况下将灾难恢复副本放在同一司法管辖区内的第二个设施中；如果必须进行跨境备份，则在传输前加密，并将密钥保存在主司法管辖区内。加密是否会改变法律分析的结论，取决于具体法律和事实，因此也请就这一点向法律顾问确认。
一条专用 1 Gbps 链路在满载时每天约传输 10 TB，实际会更少。如果通过该链路完整恢复您最大的数据集所需时间超过恢复时间目标，您就需要更大的链路、更近的副本或另一套恢复方案。
多区域设计及其成本
在多个区域运行解决的是两个不同的问题：靠近不同地域的用户，以及在区域性故障中存活。
- 单一区域，多个设施。主备环境位于同一都市圈或同一国家内的不同数据中心。复制延迟低，数据驻留问题简单，可以防范单一设施故障，但无法应对区域性事件。
- 跨区域主备。一个区域承载流量，另一个区域保存副本并可被提升为主。异步复制意味着恢复点会落后数秒至数分钟。对大多数业务系统而言，这是很好的平衡。
- 跨区域双活。两个区域同时承载流量。需要谨慎处理写入、冲突解决或数据的分区归属，测试工作量也大得多。适用于对可用性要求严格的全球用户群。
- 区域单元。每个区域保存本区域用户的数据，并只为这些用户提供服务，共享状态降到最低。这与数据驻留要求高度契合：欧洲用户位于欧洲单元，印度用户位于印度单元，依此类推。
跨区域的同步复制会给每次写入增加完整的往返时延，因此一条 70 ms 的链路会让每个已提交事务至少增加 70 ms。大多数团队只在同一都市圈内使用同步复制，在更远的距离上使用异步复制。还要为重复建设的基础设施、适用情况下的跨区域流量费用，以及定期进行故障切换测试所需的工程时间做好预算。
应在合同中要求的条款
技术设计只有在合同支持的情况下才能站得住。评估任何托管或云服务商时，请要求对方就以下事项提供合同条款或书面承诺，并请法律顾问审阅最终措辞。
- 指定位置。在订单或工作说明书中写明主数据、备份和副本所在的国家，最好也写明具体设施或区域。
- 未经批准不得迁移。未经您事先书面同意，服务商不会将数据迁移到其他地点。
- 数据处理协议。角色（控制者与处理者）、处理目的、安全措施，以及存在跨境流动时的传输机制。
- 分包处理方清单与通知。提供最新的分包处理方清单及其所在地，并在变更前提前通知，同时赋予您提出异议的权利。
- 远程访问披露。服务商员工可以从哪些国家访问系统或数据，以及受哪些控制措施约束。
- 数据泄露通知。约定与您自身监管时限相匹配的通知时间窗口，以及服务商将提供的信息。
- 政府调取数据请求。承诺在法律允许的情况下通知您，并对范围过宽的请求提出异议。
- 审计与证据。能够获取与您所在行业相关的第三方审计报告或机房认证，并在需要时具备配合监管审计的流程。
- 退出与删除。以可用格式导出数据、设置过渡期，并在合同结束时对包括备份在内的所有副本进行有证明的删除。
下一次设计评审可用的检查清单
- 每类数据均已盘点，并记录数据主体的司法辖区。
- 法律、监管和合同规定的位置约束已列出，并经法律顾问确认。
- 主要用户群到各候选位置的 RTT：实测，而非估算。
- 应用服务器与数据库位于同一设施或可用区。
- 所有副本均已梳理：主数据、副本、备份、日志、缓存、分析、支持导出。
- 跨境数据流：传输机制有记录，责任人已指定。
- 备份密钥保存在预定司法辖区。
- 已定义 RPO 和 RTO，且备份链路能够满足。
- 过去六个月内测试过故障切换并记录结果。
- 合同固定部署地点，禁止未经批准迁移，并涵盖分包处理方、泄露通知和退出。
- 决策及理由已书面记录。下次审计或客户问卷：数小时，而非数周。
Vonahost 能提供哪些帮助
Vonahost 允许客户选择每台服务器所在的国家，未经客户批准，数据不会迁移。专用服务器、NVMe VPS 和 SSD VPS 部署在您选择的区域，托管云可运行在 Vonahost 自有平台上，也可运行在 AWS 和 Google Cloud 区域中。当架构需要区域单元或在特定司法管辖区设置灾备站点时，这一点尤为有用。
每份 Vonahost 方案书都会写明配置、部署地点、职责划分和以美元计价的月度价格，因此您在设计评审中做出的部署决策会直接写入订单。法律结论仍应由您的法律顾问作出。