国际腾讯账号开通后的数据驻留：节点、备份落点与删除权

国际腾讯账号开通后的第三周，一个客户被法务问住了：我们的用户数据到底存在哪几个国家？运维在群里回了句"新加坡"，法务接着问备份呢、日志呢、CDN 缓存呢，群里安静了两分钟。那两分钟里没人能答上来，因为当初选地域的时候，大家只盯着控制台上那个下拉框。

把"驻留"这个词拆开：一个请求落在几个地方

数据驻留（data residency）说的是数据实际存放在哪个司法辖区，它是一项配置结果，也是一项合同承诺。它跟数据本地化（data localization）不是一回事：后者是法律强制某类数据必须留在境内，前者是你自己选、并且要向客户说清楚的选择。

国际腾讯云账号的地域选择，本质上是一次数据落点的承诺，不是一次机房位置的选择。问题在于，一次页面请求经过的组件比大多数人想的多。用户打开首页，DNS 解析一次，静态资源从 CDN 边缘节点返回，动态请求打到负载均衡，再转发到云服务器 CVM，应用查数据库，写一条访问日志，监控系统再采一个指标。这条链上每个环节都可能是独立的数据落点，而且分布在不同地域。

所以当有人说"我们的数据在新加坡"，他大概率只说了主库在哪。对象存储的存储桶可能建在另一个地域，因为当时图方便；数据库的自动备份跟着实例走，但跨地域备份是另外开的；日志服务的日志集又是一处；CDN 缓存分布在几十个边缘节点上，你根本没法逐个点名。

我一般让客户画一张表，横轴是数据类型，纵轴是"产生—存储—复制—删除"四个阶段。画完往往发现，自己以为的单一落点，实际有六七个。

三类落点：计算地域、存储地域、复制目标

第一类是计算地域。云服务器、容器、数据库主节点在哪个地域，决定了数据在哪儿被处理。这一层最好理解，也最容易被当成全部。

第二类是存储地域。对象存储 COS 的存储桶是地域级的，建在哪就存哪；云硬盘是可用区级的，跟着实例走；数据库的数据文件在实例所在地域。这一层的问题是"顺手"：创建资源时默认选中上次用过的地域，一年后没人记得这个桶为什么在别处。

第三类是复制目标。跨区域复制、跨地域备份、日志投递、镜像同步，这些功能的目的都是"再存一份到别处"，而每多一个副本，就多一个需要被管理、被审计、被删除的落点。复制不是备份的终点，而是数据落点的增加。

还有个常被混淆的概念：同地域多可用区不等于跨境。可用区是同一地域内的独立机房，跨 AZ 部署通常被视为高可用手段，不构成跨境传输。真正的跨境，是数据从一个国家或地区的地域，流到另一个国家或地区的地域。

按数据类型排的落点与删除清单

这张表是我给客户做驻留盘点时用的底稿，左边的类型按"最容易被漏掉"的顺序排。

数据类型 默认落点 常见跨区复制 删除要点

云服务器系统盘与数据盘 实例所在可用区 不自动复制 随实例释放，云盘要单独确认已销毁

云硬盘快照 地域级，跟随源盘 可配置跨地域复制 复制副本不随源快照删除，需单独清理

对象存储 COS 存储桶所在地域 可开启跨区域复制 开过版本控制的，历史版本要显式删除

数据库自动备份 实例所在地域 可另设跨地域备份 保留期到期才释放，删实例未必删备份

日志服务日志集 日志集所在地域 按投递规则决定 日志常含个人信息，保留期应短于数据承诺

CDN 缓存内容 各地边缘节点 天然多地分布 刷新有延迟，回源日志往往另存一份

KMS 密钥 创建时选定的地域 不跨地域 跨区加密数据要先解决密钥可用性

监控与审计指标 地域级，汇总展示 汇总到控制台 指标与审计记录本身也是数据，别当元数据

表里最右一列是我最看重的。大部分人做驻留规划只做前半张表，到了要删数据的时候才发现，删得掉对象、删不掉版本，删得掉实例、删不掉备份。

跨境备份的合规面：法规、机制与合同

这一节只讲框架，具体适用哪部法规、走哪种传输机制，以当地法规与法律顾问意见为准。

GDPR 的第五章管的就是跨境传输。常见路径有三条：欧委会作出充分性认定（adequacy decision），把数据传到被认定提供同等保护的国家；签署标准合同条款（SCC），并对接收方所在辖区的法律环境做传输影响评估；或者集团内部采用约束性公司规则（BCR）。三条路径的文书工作量差别很大，SCC 最常用，但也最容易被当成"签个字就完了"。

东南亚这边，新加坡 PDPA 对跨境传输的要求核心是"可比保护"——你得确保数据出境后仍获得不低于本法的保护水平；泰国 PDPA、印尼 PDP Law、马来西亚 PDPA 修正案各有自己的通知、同意或者评估要求。同一个应用在五个国家上线，很可能要准备五套表述，而不是一份英文 DPA 打天下。

合同层面，客户要看的通常是数据处理的附件（DPA）：处理者与子处理者清单、数据位置条款、传输机制、审计权、泄露通知时限、以及合同终止后的删除或返还义务。数据位置条款写"主要在某某地域"，和写"仅在某地域"，法律含义完全不同，前者给了你复制的空间，后者一旦开了跨区复制就是违约。

我吃过一次亏：客户合同里写的是"数据不得转移至境外"，我们按可用区做了高可用，以为没事，结果审计时被问到备份策略，跨地域备份正好落在境外。技术上完全合理，合同上完全站不住。后来改成本地域多可用区加本地快照，成本上去了，但条款对上了。

技术选点：用户在哪、主库在哪、只读副本放哪

选地域有个顺序，我一般按这三步走，不跳步。

先定"写在哪"。写请求的落点决定主库位置，而主库位置基本决定了核心数据的驻留地。跨洋写一次，往返延迟可能上百毫秒，一个下单流程串几次写，体验就塌了。

再定"读在哪"。读多写少的业务，把只读副本放到离用户近的地域，能明显降延迟。但副本也是数据落点，它的存在本身就要写进合规清单，别以为"只读"就不算存储。

最后定"备份去哪"。备份的地域选择是成本和合规的交叉点：同地域最省事也最省钱，跨地域更抗灾但多一处落点，跨境就多一层法律手续。先想清楚"灾难恢复目标"是什么，再决定复制到哪，而不是反过来先开了复制再解释。

还有个细节：跨区复制的带宽是要花钱的，全量同步第一次的量往往比想象中大。做预算时按数据量增长曲线估，别按当前快照大小估。

还有一步很多人跳过：确认目标地域有没有你要的规格和镜像。国际腾讯云服务器的实例规格族在不同地域的上架节奏不一样，本地盘、GPU 型号、特定代次的 CPU 更是如此。我遇到过一次，客户为了就近用户把服务放过去，结果想要的规格在那边不提供，只能降一档，压测结论全部推翻。所以顺序里其实还有第零步——先查货，再谈延迟。

密钥和日志也有国界

密钥管理服务 KMS 的密钥是地域级的。你在 A 地域创建的密钥，通常不能直接用于 B 地域的解密，跨区加密数据要先解决"密钥在不在那边"的问题。这件事在做多地域架构时最容易漏，等到灾备演练才发现备区解不开主区的数据。

日志更容易被忽略。访问日志里有 IP、User-Agent、URL 参数，业务日志里可能有手机号、身份证号、订单号，这些在法规口径下都可能是个人信息。日志服务的日志集在地域内，投递规则又可能把它转到另一个存储桶。日志的保留期，应该比你对客户承诺的数据保留期更短，而不是更长。

审计日志是另一类：谁在什么时间改了安全组、删了实例、导出过数据，这些记录本身既是合规证据，也是敏感信息。保留多久、存在哪、谁能看，最好在开户第一个月就定下来。

顺带说一个实操细节：腾讯云服务器的访问日志如果直接投递到对象存储，桶在哪个地域，日志就落在哪个地域，这一步常常和"日志留在本地"的设想相反。开户时把投递链路画成一张图，比审计时临时解释省事。

删除权怎么落到快照和历史备份上

用户行使删除权时，最难的从来不是删主库那一行记录，而是回答"所有副本都删了吗"。

删除至少有三层。第一层是对象删除，接口调用成功不等于物理删除，开了版本控制的存储桶会保留历史版本。第二层是副本删除，跨区域复制出去的副本、跨地域备份的副本，都是独立生命周期，源端删了它们不会跟着消失。第三层是留存期约束，备份有保留策略，快照有到期时间，没到期就是还在。

比较稳的做法是三条并行：给每类数据设生命周期规则，到期自动清理，减少人工遗漏；收到删除请求时按数据类型逐项处理，并保留操作记录；要求服务商出具处理回执或者工单结论，作为对客户的说明材料。

还有一层冲突要提前想：法务保留义务要求你"不能删"，删除权要求你"必须删"。这两个诉求撞上时，得有书面判断，不能靠工程师临场决定。

顺带提醒开户环节的一个默认值：国际腾讯服务器开户时选的地域，会成为后续创建腾讯云服务器时的默认选项。图省事一路下一步，半年后才发现一半资源长在默认地域，再迁移就是停机加改合同的双重成本。

FAQ

Q：地域选了新加坡，数据就一定不出新加坡吗？

A：不一定。业务数据的主副本在新加坡，但控制面信息、备份复制、日志投递、CDN 缓存、甚至工单里附的排查文件，都可能是独立落点。想做到"只在新加坡"，需要逐个产品确认并关掉跨区能力。

Q：同地域多可用区算跨境传输吗？

A：通常不算。可用区是同一地域内的独立基础设施，跨 AZ 部署属于高可用设计，一般不构成跨境。但如果客户合同写的是"数据不得离开某城市"，那就要单独核对机房位置。

Q：开了跨区域复制，删除源对象后副本会消失吗？

A：一般不会。复制关系不等于同步删除，副本有自己的生命周期。要清理必须对副本单独操作，或者配置相应的同步删除策略，具体行为以产品文档为准。

Q：客户要求数据只能留在境内，还能用国际站吗？

A：要看具体辖区和合同措辞。可行的做法是选择对应地域、关闭跨区域复制与跨地域备份、把日志与密钥都放在同一地域，并逐项做书面确认。是否满足监管要求，需要法律意见，不是技术配置能单方面保证的。

结语

开户当天，把这三件事确认掉：

列出所有会产生数据的组件，包括对象存储、日志、备份、CDN、密钥，逐个写下地域。

把跨区域复制和跨地域备份的开关状态截一张图，存进项目文档，作为"第一天的事实"。

和法务或客户确认合同里关于数据位置的措辞，再回来决定复制策略，顺序不要反。

节点选错可以迁，数据落点定错，迁的是合同和信任。如果需要更深入咨询了解可以联系全球代理上TG:jinniuge 他们在云平台领域有更专业的知识和建议，他们有国际阿里云，国际腾讯云，国际华为云，aws亚马逊，谷歌云一级代理的渠道，客服1V1服务，支持免实名、免备案、免绑卡。开通即享专属VIP优惠、充值秒到账、官网下单享双重售后支持。不懂找他们就对了。