TG在线咨询选择境外机房，不能只比较价格、带宽和可用性。企业选择境外数据中心的合规评估清单，核心是先弄清数据去了哪里、谁能访问，以及服务终止后如何取回或删除。以下7项适用于托管、租用服务器或使用云服务等场景；具体义务仍取决于数据类型、企业所在地区和服务方式。
签约前逐项核验的7项要求
1. 明确数据类型与跨境处理依据
先列出拟存储和处理的数据：个人信息、敏感个人信息、业务记录、日志、备份分别标注；再确认数据从哪个国家或地区传出、由哪一主体决定处理目的。若涉及中国境内个人信息出境，应结合《个人信息保护法》等现行规定判断适用的跨境传输机制及所需程序，不能把供应商的一句“合规”当作企业自身已履责。涉及欧盟个人数据时，还要核对《通用数据保护条例》（GDPR）下的传输条件；使用欧盟标准合同条款（SCC）时，需确认签约主体、数据流向及相关评估是否匹配实际业务。
2. 核实主存、备份和访问所在地区
要求服务商书面列明生产环境、备份、灾备副本、日志、技术支持和远程运维分别可能落在哪些国家或地区。数据存储地与人员访问地并不总是相同：数据留在当地，境外工程师仍可能远程查看。若合同要求数据不得离境，应把备份、故障迁移、支持访问和遥测数据一并纳入限制，并约定变更前通知及审批流程。
3. 检查认证及其覆盖范围
可索取 ISO/IEC 27001 证书、适用时的 SOC 2 报告，以及独立审计或安全评估摘要，但要核对证书有效期、认证主体、具体机房和服务范围。认证不等于所有数据处理都符合法律，也不能替代企业自己的风险评估。若服务商只提供集团层面的证书，应追问实际承载业务的设施和运营团队是否在覆盖范围内。
4. 查清分包商和责任边界
确认签约方是机房运营商、云服务商还是经销商，并索取分包商清单，重点看网络、备份、客服和安全监控等环节。合同应规定新增分包商的通知方式、异议处理期限，以及各方在数据处理、访问控制和事件响应上的责任。对共享责任模式，还要把企业必须自行完成的配置和管理事项写进内部清单。
5. 核对安全控制与密钥管理
不要只看“已加密”三个字。分别询问传输和静态存储的加密方式、密钥由谁保管、哪些角色能申请解密，以及是否有多因素认证、最小权限、访问日志和定期权限复核。若企业自行持有密钥，需确认服务商能否在故障处理时绕过控制；若由服务商管理，则要了解密钥轮换、人员审批和撤销流程。数据中心物理门禁、访客登记和设备处置也应纳入核验。
6. 约定安全事件与政府访问请求处理
合同应写明服务商发现疑似泄露、未授权访问或设施故障后，通知企业的时限、通知渠道、初始信息和后续更新方式，并约定配合调查、保全日志和提供证据的义务。对于政府或执法机关的数据请求，可要求服务商在法律允许时及时通知、审查请求合法性，并仅披露被要求的范围。注意：通知期限不能只写“尽快”，应约定明确的小时数或工作日，并与企业自身的法定报告时限衔接。
7. 规划业务连续性、迁移与删除
了解机房停电、网络中断、自然灾害或供应商退出时的恢复方案，索取适用的灾备说明和演练摘要；确认恢复目标是否满足业务要求，而不是照搬供应商宣传指标。合同还应约定数据导出格式、迁移协助、终止后的删除期限，以及备份副本何时清除、能否提供删除证明。若迁移依赖专有格式或专用设备，应在签约前评估替代方案和切换成本。
把核验结果变成签约动作
- 绘制数据流：标出数据来源、存储地、备份地、访问人员和接收方。
- 按数据类别匹配适用法律与内部要求，记录跨境处理依据及尚待确认的问题。
- 索取服务范围、分包商、认证、访问控制和事件响应材料，逐项对照实际业务。
- 将数据位置、变更通知、事件时限、审计配合、删除证明和迁移支持写入合同附件。
- 由法务、安全、业务和采购共同确认例外事项，并保留审批与供应商答复记录。
企业选择境外数据中心的合规评估清单不是一次性打分表：服务地点、分包商或适用规则变化时，应重新评估。若关键数据流向说不清、责任条款无法落地，先暂停签约并补齐证据，比事后补救更稳妥。
常见问题
境外数据中心是否都要求数据本地化？
不是。是否必须在特定地区存储或处理，取决于适用法律、数据类别、行业规则和合同义务。应区分法定要求与企业自行设定的数据驻留要求。
供应商有 ISO 27001 证书，企业还要做评估吗？
要。证书说明特定范围内的管理体系经过审核，不代表企业的数据出境依据、处理目的和合同责任已自动满足要求。
数据存放在当地，是否就没有跨境问题？
不一定。远程运维、境外备份、日志传输和关联服务都可能形成跨境访问或传输，应按实际数据流逐项核实。
签约前最先要拿到什么材料？
优先索取数据处理及存储地点说明、分包商清单、安全控制说明、认证范围、事件响应流程和退出删除方案，并要求这些内容与合同条款一致。