Określenie „skracacz URL w UE" jest używane dość swobodnie. Dwie kwestie należy wyjaśnić przed przeglądem rynku: dostawca z siedzibą w UE niekoniecznie przetwarza dane w UE, a dostawca przetwarzający dane w UE niekoniecznie oferuje to jako zobowiązanie umowne. Pytanie nabywcy - „czy mogę wymagać na piśmie, że dane osobowe moich podmiotów z UE pozostaną w EOG?" - sprowadza te rozróżnienia do prostej odpowiedzi tak lub nie.
Ten artykuł to praktyczne spojrzenie na temat zgodności: które skracacze URL faktycznie spełniają ten standard w 2026 roku, jak wygląda ich infrastruktura i jak weryfikować deklarację rezydencji danych w odniesieniu do operacyjnej rzeczywistości. Ograniczyłem stwierdzenia do tego, co jest weryfikowalne z publicznych źródeł - stron cenowych, list podmiotów przetwarzających, stron bezpieczeństwa, standardowych umów DPA dostępnych na żądanie. Tam, gdzie stanowisko dostawcy jest niejednoznaczne, wyraźnie to zaznaczyłem.
Tak, Elido jest jedną z opcji. Będę precyzyjny co do kompromisów w porównaniu z alternatywami, zamiast je pomijać.
Co właściwie oznacza „skracacz w UE"#
Trzy warstwy, przy czym dostawca może deklarować „UE" na każdej z nich. Nie są one równoważne.
Podmiot prawny. Firma jest zarejestrowana w państwie członkowskim UE. To najłatwiejsze do zweryfikowania twierdzenie (Companies House, lokalny rejestr handlowy) i operacyjnie najmniej znaczące. Dostawca z siedzibą w Berlinie hostujący na AWS US-East jest podmiotem w UE korporacyjnie, a poza nią jako podmiot przetwarzający dane.
Region hostingu. Dane są przetwarzane na infrastrukturze zlokalizowanej w UE/EOG. To jest operacyjnie znaczące twierdzenie. Trudniej je zweryfikować bezpośrednio - trzeba przeczytać listę podmiotów przetwarzających i zidentyfikować region hyperscalera - ale to właśnie to twierdzenie obchodzi twojego DPO.
Klauzula umowna rezydencji. Umowa z klientem lub DPA zawiera wiążące zobowiązanie, że dane nie opuszczą UE/EOG bez powiadomienia i zgody. To jest to, czego używa dział zamówień do spełnienia obowiązków wobec regulatorów. Bez tej klauzuli nawet dostawca, który akurat hostuje w UE dzisiaj, może jutro kierować ruch do regionu US bez naruszenia umowy.
Poważny skracacz w UE spełnia wszystkie trzy warunki. Dostawca spełniający tylko pierwszy lub drugi jest tym, co sprzedawane jest pod eufemizmem „przyjazny dla UE".
Kamień węgielny RODO dla skracaczy URL omawia podstawy prawne na poziomie artykułów, wyjaśniające, dlaczego te rozróżnienia mają znaczenie; ten artykuł koncentruje się na krajobrazie dostawców.
Jak czytać listę podmiotów przetwarzających#
Każdy poważny SaaS publikuje listę podmiotów przetwarzających. Lista to artefakt, który przeczyta twój DPO; to również najbardziej wiarygodny sygnał dotyczący tego, jak dostawca naprawdę myśli o kwestii rezydencji danych.
Na co zwracać uwagę:
- Nazwane regiony hyperscalerów. „AWS" samo w sobie jest niewystarczające; „AWS eu-central-1" to użyteczna odpowiedź. Podobnie dla GCP (
europe-west1) i Azure (westeurope,germanywestcentral). - Zachowanie regionu CDN. Cloudflare i Fastly są domyślnie globalne. Dostawca powinien dokumentować, czy egzekwowany jest podzestaw EU (opcja Regional Services Cloudflare to opcja wyłącznie europejskiej płaszczyzny danych), czy CDN pozostaje w domyślnym globalnym trybie routingu.
- Dostawcy e-mail i powiadomień. Postmark, SendGrid, Mailgun, Resend - większość jest hostowana w USA. Jeśli są na liście podmiotów przetwarzających, transakcyjne e-maile zawierają identyfikatory podmiotów z UE (adres e-mail odbiorcy), a deklaracja rezydencji musi albo uwzględniać tych dostawców, albo wykluczać transakcyjne e-maile z zakresu deklaracji.
- Dostawcy płatności. Często hostowani w USA (Stripe to oczywisty przykład). W przypadku SaaS dla firm jest to zazwyczaj akceptowalne - udostępniane dane to dane rozliczeniowe nabywcy, a nie dane o kliknięciach użytkowników końcowych - ale powinno być ujawnione.
- Liczba podmiotów przetwarzających. Mniejsza jest bardziej czytelna. Lista pięciu pozycji daje się sprawdzić w jedno popołudnie; lista czterdziestu to obciążenie administracyjne za każdym razem, gdy dostawca doda kolejną.
Lista to sygnał. Dostawca, który nie chce pokazać swojej listy podmiotów przetwarzających, nie ma nic do dodania do rozmowy.
Lista skrócona#
Tak wygląda segment hostowany w UE w momencie pisania. Pogrupowałem według modelu wdrożenia, ponieważ implikacje umowne są różne.
Hosted SaaS, domyślnie region UE#
To komercyjne skracacze, które domyślnie przetwarzają dane klientów w UE, z udokumentowanym w umowie zobowiązaniem do rezydencji danych.
Elido. Domyślnie region UE. Klienci Business+ mogą przypiąć się do regionu USA Wschód lub Azja-Pacyfik, gdy ich profil ruchu tego wymaga. Lista podmiotów przetwarzających obejmuje łącznie pięć podmiotów - compute, edge, e-mail, płatności oraz proxy + WAF - opublikowana na /trust. DPA jest wstępnie podpisana w standardowej umowie z klientem; obowiązki wynikające z artykułu 28 są spełnione bez negocjacji. Certyfikat ISO 27001; SOC 2 Type II w toku (cel: H2 2026). Wersja do samohostingu na licencji Apache 2.0 dla organizacji wymagających pełnej kontroli nad płaszczyzną danych. Ujawnienie: pracuję dla Elido.
Capsulink (capsulink.com). Vilnius, Litwa. Region hostingu jest udokumentowany jako UE; lista podmiotów przetwarzających jest stosunkowo mała. Mniejszy zakres funkcji niż u ugruntowanych komercyjnych skracaczy - ubogi w głębię reguł inteligentnych linków i przekazywanie konwersji po stronie serwera - ale stanowisko w zakresie rezydencji jest czyste dla zespołów, których przypadek użycia to proste skracanie linków z brandowanymi domenami.
Switchy (switchy.io). Cypr, hostowany w UE. Silniejszy po stronie funkcji marketingowych (nakładki CTA, piksele retargetingu). Klauzula rezydencji jest w standardowej umowie; dokumentacja podmiotów przetwarzających dostępna na żądanie, nie publikowana.
Celowo nie wymieniłem każdego skracacza, który reklamuje się wśród kupujących z UE - tylko tych, gdzie osobiście zweryfikowałem region hostingu i widziałem klauzulę rezydencji w umowie. Kilku innych dostawców określa się jako „przyjaznych dla UE", korzystając jednocześnie z infrastruktury w USA; proces po stronie kupującego powinien zawsze obejmować pytanie o podmioty przetwarzające już na pierwszej rozmowie.
Hosted SaaS, domyślnie USA z dostępnymi regionami UE#
Większe skracacze działające przede wszystkim w USA, ale z pewnym stanowiskiem dotyczącym UE.
Bitly jest hostowany w USA w momencie pisania. Ich publiczna strona z podmiotami przetwarzającymi wymienia US-East jako podstawową lokalizację. Klienci enterprise mogą negocjować klauzule rezydencji w UE, ale jest to rozmowa o indywidualnej umowie, a nie standardowa oferta. Praktyczna implikacja: jeśli twój nabywca wymaga rezydencji w UE w umowie, spodziewaj się sześcio- do ośmiotygodniowego cyklu zamówień po stronie Bitly. Post Elido vs Bitly szczegółowo omawia kompromis kosztowy.
Rebrandly ma siedzibę we Włoszech, ale hostuje na AWS w regionach obejmujących USA i UE. Standardowa umowa nie zawiera klauzuli wyłącznie dla UE; jest dostępna na żądanie dla klientów enterprise. To samo zastrzeżenie dotyczące zamówień.
Short.io ma siedzibę w Estonii (znaczący sygnał - estońskie firmy są z natury RODO-natywne, działając z państwa członkowskiego), ale hostuje na AWS bez opublikowanego powiązania z regionem w standardowej umowie. Rozmowa o rezydencji jest otwarta na negocjacje; standardowa umowa jej nie wiąże.
Opisuję to, co jest weryfikowalne z publicznych materiałów. Jeśli jesteś na etapie zamówień, poproś każdy zespół sprzedaży o standardową listę podmiotów przetwarzających i treść klauzuli rezydencji bezpośrednio. Dostawcy, którzy nie mogą dostarczyć obu w ciągu dnia roboczego, sygnalizują coś o swojej gotowości do współpracy z działem zakupów.
Samohostowanie#
Dla organizacji pragnących mieć płaszczyznę danych we własnym VPC - usługi finansowe z regulacyjnymi wymogami lokalnego przechowywania danych, nabywcy z sektora publicznego, systemy opieki zdrowotnej - samohostowanie to najczystsza odpowiedź na pytanie o rezydencję.
Elido self-hosted. Helm chart na licencji Apache 2.0; własny KMS, baza danych, magazyn analityczny i pamięć podręczna. Ten sam kod, który obsługuje usługę hostowaną, działa w wersji samohostowanej. Wdrożenie dokumentujemy w poradniku samohostingu, a Helm chart jest dostępny w publicznym repozytorium.
YOURLS (yourls.org). Weteran wśród samohostowanych skracaczy. Oparty na PHP, baza danych MySQL. Utrzymywany, ale codebase odzwierciedla jego początek z 2009 roku - ograniczony routing inteligentnych linków, brak natywnego przekazywania konwersji po stronie serwera, a warstwa analityczna jest rudymentarna. Odpowiedni, gdy przypadek użycia to „minimalna infrastruktura skracania linków pod naszą kontrolą"; nieodpowiedni, gdy oczekujesz bogatego w funkcje skracacza.
Shlink (shlink.io). Nowoczesny samohostowany skracacz zbudowany w PHP/Symfony. Aktywne utrzymanie, przyzwoity zakres funkcji (inteligentne linki, domeny niestandardowe, REST API), licencja MIT. Zespół ma siedzibę w Hiszpanii. Rozsądny kompromis, jeśli twój przypadek użycia to samohostowanie ze średnim zestawem funkcji i masz zdolność operacyjną do jego uruchomienia.
Kutt.it (kutt.it). Skracacz open-source TypeScript/Node, może być samohostowany. Lżejszy zakres funkcji niż Shlink; wersja hostowana istnieje, ale jest obsługiwana przez osobę prywatną, a nie podmiot komercyjny. Odpowiedni dla bardzo małych zespołów.
Wzorzec kompromisów wśród opcji open-source: zakres funkcji jest wyraźnie mniejszy niż w komercyjnych alternatywach hostowanych. Jeśli twoje kryteria ewaluacji obejmują głębię reguł inteligentnych linków, przekazywanie konwersji po stronie serwera, brandowane wieloznaczne domeny, SSO/SCIM lub wstępnie podpisaną DPA, ścieżka open-source wymaga samodzielnego zbudowania tych elementów. Jeśli kryteria to wyłącznie „minimalna kontrola nad krótkimi linkami w naszym własnym VPC", opcje te są solidne.
Co pytać dostawców#
Najszybszym sposobem na ocenę stanowiska dostawcy w zakresie rezydencji jest rozmowa rozpoznawcza. Osiem pytań, jeden dzień roboczy, odpowiedzi na piśmie.
- Jaki jest region hostingu dla nowych klientów podpisujących dziś umowę? Podaj nazwę regionu hyperscalera.
- Czy region hostingu jest zobowiązaniem umownym w standardowej umowie z klientem, czy udokumentowaną praktyką operacyjną?
- Czy DPA jest wstępnie podpisana w standardowej umowie, czy negocjowana per klient?
- Ile podmiotów przetwarzających obejmuje standardowy łańcuch przetwarzania? Wymień je.
- Jaki jest SLA dla powiadamiania o naruszeniu? (Norma branżowa: 24 godziny od momentu wykrycia do powiadomienia administratora.)
- Jaki jest SLA dla usunięcia danych podmiotu i czy jest operacyjnie osiągalny na magazynie zdarzeń kliknięć?
- Jakie niezależne atestacje posiada dostawca? Kiedy zamknięto ostatni audyt?
- Jeśli klient wymaga przetwarzania wyłącznie w UE, jak przebiega proces zmiany umowy?
Dostawca, który może odpowiedzieć na te osiem pytań na piśmie w ciągu pierwszego dnia roboczego, jest gotowy do procesu zamówień. Dostawca, który nie może, pochłonie tygodnie twojego cyklu sprzedaży i może ujawnić problemy przy podpisywaniu, które nie były oczywiste z góry.
Zastrzeżenie dotyczące Schrems II#
Schrems II (TSUE C-311/18, 2020) unieważnił Tarczę Prywatności. Jej następca - Ramy Ochrony Danych UE-USA przyjęte w 2023 roku - przywrócił mechanizm transferu dla uczestniczących organizacji z USA. Dwa zastrzeżenia mają znaczenie przy wyborze skracacza.
DPF jest dobrowolny. Nie każdy skracacz z USA jest certyfikowany; przed poleganiem na nim jako podstawie transferu sprawdź listę uczestników DPF. W momencie pisania kilka głównych skracaczy z USA nie widnieje na liście, co oznacza, że transfery na podstawie standardowej umowy nadal opierają się na SCC plus Ocenie Skutków Transferu.
DPF sam w sobie jest przedmiotem toczącego się postępowania sądowego. NOYB zasygnalizowało zamiar zaskarżenia go przed TSUE. Wyrok Schrems III jest możliwy w ciągu najbliższych 24–36 miesięcy; jeśli zapadnie, DPF podzieli los Tarczy Prywatności, a SaaS z USA, który na nim polegał, będzie musiał z dnia na dzień wrócić do SCC+TIA. Kupujący planujący ten scenariusz coraz częściej wymagają umownie przetwarzania wyłącznie w UE w swoim standardowym szablonie zamówień.
Praktyczny wniosek: skracacz hostowany w UE to zabezpieczenie przed kolejnym wyrokiem Schrems w równym stopniu, co odpowiedź na obecny reżim prawny. Kupujący z regulowanych sektorów - niemiecka opieka zdrowotna, francuskie dane zdrowotne na podstawie certyfikacji HDS, usługi finansowe zgodnie z wytycznymi EBA - coraz wyraźniej formalizują to zabezpieczenie.
Gdy pytanie dotyczy „analityki hostowanej w UE", a nie „skracacza w UE"#
Niektóre zespoły trafiają do tej oceny po podjęciu decyzji, że sam skracacz jest w porządku, ale potok analityczny za nim już nie. Skracacz jest hostowany w UE; zdarzenia kliknięć są eksportowane do magazynu hostowanego w USA do analizy; deklaracja rezydencji traci ważność przy eksporcie.
Rozwiązaniem jest magazyn i potok eksportu, a nie skracacz. ClickHouse Cloud ma region we Frankfurcie; BigQuery i Snowflake mają regiony frankfurckie; eksport ze skracacza musi być skonfigurowany tak, aby trafiał do regionu UE, a nie do domyślnego regionu US. Przewodnik eksportu analityki Elido omawia konfigurację; to samo dotyczy eksportów do BigQuery i Snowflake.
Jeśli twój zespół korzysta z hostowanego CDP (Segment, mParticle, RudderStack), to samo pytanie dotyczy ich - większość CDP ma opcję regionu UE, którą trzeba włączyć przy tworzeniu przestrzeni roboczej i trudno ją później migrować. Zadbaj o to na początku ewaluacji; koszt późniejszego dostosowania jest realny.
Podsumowanie#
Dla większości zespołów SaaS dla firm sprzedających na rynku UE pytanie o rezydencję danych na pewno się pojawi. Szablon zamówień nabywcy będzie zawierał to pytanie; DPO przeczyta odpowiedź; dostawca, który odpowie wyczerpująco podczas pierwszej rozmowy, zyskuje czas w cyklu. Dla zespołów sprzedających do sektora finansowego, opieki zdrowotnej lub publicznego rezydencja danych bywa filtrem pass/fail, a nie miękką preferencją.
Skracacze hostowane w UE to mały segment rynku. Trzy komercyjne opcje z rozsądnym zakresem funkcji - Elido, Capsulink, Switchy - plus samohostowane alternatywy open-source. Większe skracacze z domyślną lokalizacją w USA (Bitly, Rebrandly, Short.io) mogą zazwyczaj zapewnić rezydencję w UE w ramach umów enterprise, z kosztem cyklu zamówień typowym dla rozmów o indywidualnych umowach.
Szczera odpowiedź na pytanie „który powinniśmy wybrać" brzmi: skróć listę do trzech lub czterech opcji spełniających twoje wymagania dotyczące rezydencji, funkcji i cen, wyślij do każdego osiem pytań rozpoznawczych na piśmie, podpisz umowę z tym, który jako pierwszy odpowie wyczerpująco na wszystkie osiem. Ten filtr jest bardziej decydujący niż jakakolwiek lista kontrolna funkcji - dostawcy, którzy nie radzą sobie z rygorem po stronie zamówień, nie poradzą sobie też z eskalacjami wsparcia klienta.
Przeczytaj klaster#
To artykuł powiązany w klastrze porównań. Kamieniem węgielnym jest Bitly alternatives - the actual feature gap; patrz także Elido vs Bitly dla arytmetyki kosztów. Dla szczegółów prawnych stojących za deklaracją rezydencji, GDPR for URL shorteners jest kamieniem węgielnym klastra zgodności. Artefakty dla działu zamówień: /trust, /solutions/compliance, /solutions/enterprise.
Powiązane na blogu#
Wypróbuj Elido
Wklej URL, otrzymaj krótki link
Bez rejestracji. Link działa 30 dni. Zarejestruj się, aby zachować go na zawsze.
Za darmo, bez rejestracji · 2 dziennie