你的客戶資料存在哪裡，還有誰能碰到
兩個不同的問題常被合併成「是否符合 GDPR」。第一個是資料實體上在哪裡。第二個是還有哪些公司代表供應商處理它——子處理者——以及它們在哪裡。一家供應商可以把第一個問題答得很好，同時仍然讓你的客戶名單流經半打你從沒聽過的公司。
把真正的回答和行銷話術區分開來的，是供應商是否連同所在地公開完整的子處理者名錄。只列出好看條目的名單，比沒有名單更糟，因為它看上去像披露。索取完整名錄，包括不在歐洲的那些部分——任何認真的供應商都會有幾家。
分三步核對什麼
弄清資料庫實際在哪裡
不是公司在哪裡註冊，也不是某個頁面寫著「歐洲」。而是主資料庫和檔案儲存實體上在哪裡。答案應當是一個有名字的區域或城市，而不是一個大洲。
讀子處理者名錄，而不是隱私權政策
隱私政策描述意圖，名錄點出公司名。看數量、各自的所在地，以及用途。如果根本沒有名錄，那本身就是答案。
確認你能把資料取出來，也能讓它被刪除
匯出與刪除是權利而非功能，但只有存在能用的操作時才算數。做決定前兩個都試一遍：落進客服信箱的請求，和一個能產生檔案的按鈕，不是同一回事。
ClientFlow 的回答
應用程式與主資料庫託管於德國（歐盟）。上傳的檔案和資料庫備份由 Cloudflare 保管，公開的子處理者名錄中列有該公司。客戶紀錄可隨時從後台匯出。刪除帳號會執行個人資料的永久清除，並回傳一份記錄了刪除內容的收據。稽核紀錄僅可附加，這由資料庫觸發器強制執行而非仰賴制度——更新與刪除是被資料庫本身拒絕的，而不只是在實作層面迴避。
多數供應商略過的部分
ClientFlow 公開其使用的每一家子處理者及其所在地。兩家在德國；其餘的被歸為歐盟/歐洲經濟區以外——包括 AI 推理、支付、郵件投遞和錯誤監控。這正是我們只說客戶資料儲存在歐盟、而不把整個服務稱作歐洲服務的原因——它並不是，名錄也會把那些不便公開的條目與其餘條目並列寫出。
常見問題
客戶資料是否儲存於歐盟？
是的——應用程式和資料庫託管於德國。檔案儲存在 Cloudflare；公開的子處理者名錄列明了具體位置。我們不會把整個服務稱作歐洲服務，因為部分子處理者，包括 AI 推理、支付、郵件投遞和錯誤監控，在歐盟/歐洲經濟區以外營運。公開名錄列出了它們。
我能匯出或刪除全部資料嗎？
兩者都可以。匯出從後台執行並產生檔案。刪除帳號會執行個人資料的永久清除，並回傳一份記錄了刪除內容的收據。
子處理者名單在哪裡？
公開在本站，列出每一條目的所在地與用途，並從隱私文件連結過去。