«Размещены ли данные клиентов в ЕС?» - первый флажок в большинстве анкет по безопасности, и останавливаться на нём неправильно. Вендор может поставить «да» и всё равно передать вашему DPO стек, в котором настоящие передачи происходят в другом месте: в пикселе на вашей посадочной странице, в трекере открытия писем или в вызове конверсии в рекламную платформу.
Этот материал разделяет слои. Он рассказывает, чего требует закон, куда маркетинговые стеки на самом деле отправляют данные ЕС, что серверная пересылка меняет и чего не меняет, и какие восемь письменных ответов стоит потребовать до подписания. Он написан для маркетолога, которому предстоит сидеть напротив DPO, а не для юриста. Разбор обязанностей обработчика по статьям вы найдёте в материале GDPR для сокращателей ссылок.
Короткий ответ: резидентность - свойство каждого слоя
- «Размещено в ЕС» описывает, где находятся собственные серверы вендора. Это ничего не говорит о браузерных скриптах, почтовых трекерах и вызовах рекламных платформ, подключённых к вашим кампаниям.
- Серверная пересылка конверсий даёт вам контроль над передачей. Она её не устраняет. Если рекламная платформа находится за пределами ЕЭЗ, вам по-прежнему нужен механизм передачи.
- Короткий публичный список субобработчиков с названными местоположениями поддаётся аудиту. Длинный список с расплывчатыми записями - постоянные затраты на проверку.
- Запросите восемь письменных ответов из чек-листа ниже уже на первом звонке. Вендоры, у которых они готовы, обычно проходят проверку за дни, а не за недели.
Чего на самом деле требует закон
Основную работу выполняют четыре нормы. Первичные тексты находятся на EUR-Lex; 2026-10-24 страница EUR-Lex не вернула содержимого на автоматический запрос, поэтому ссылки на статьи ниже даны по опубликованной нумерации Регламента, а сам текст стоит прочитать там напрямую.
Статья 3(2), территориальная сфера действия. GDPR применяется к контролёру или обработчику за пределами ЕС, когда обработка связана с предложением товаров или услуг людям в ЕС либо с наблюдением за их поведением в ЕС. Отслеживание кликов посетителей из ЕС - это наблюдение. Текст находится в Регламенте (ЕС) 2016/679 (проверено 2026-10-24, страница не загрузилась на наш запрос).
Статья 28, обработчики. Каждому вендору, который обрабатывает персональные данные для вас, нужен договор, охватывающий условия статьи 28(3). Статья 28(2) требует вашего предварительного разрешения, конкретного или общего, прежде чем обработчик привлечёт другого обработчика, а общее разрешение должно давать вам возможность возразить против изменений. Поэтому на практике так важен список субобработчиков.
Статьи 44-49, передачи. Глава V запрещает передавать персональные данные в третью страну, если не применим один из перечисленных путей: решение об адекватности, надлежащие гарантии, такие как Standard Contractual Clauses, либо узкое исключение. Связанная обязанность по ведению документации содержится в статье 30: ваш реестр обработки должен называть каждую передачу и её основание.
Schrems II и Data Privacy Framework. В деле C-311/18 Суд ЕС признал Privacy Shield недействительным в июле 2020 года и постановил, что применяющие SCC должны проверять, не подрывает ли право страны назначения эти положения (решение на Curia, проверено 2026-10-24, страница перенаправляет на просмотрщик на скриптах, который не отобразился на наш запрос). Комиссия приняла новое решение об адекватности для сертифицированных получателей в США 10 июля 2023 года (страница Комиссии, проверено 2026-10-24). Общий суд отклонил иск Latombe против него 3 сентября 2025 года, а апелляция рассматривается в Суде ЕС как дело C-703/25 P (извещение в Официальном журнале C/2025/6610, проверено 2026-10-24, краткое содержание взято из результата поиска, потому что страница не отобразилась). Актуальный статус смотрите в реестре суда. Рекомендации EDPB 01/2020 о дополнительных мерах (окончательная версия принята 18 июня 2021 года, проверено 2026-10-24) остаются эталоном для команд, которым нужен режим передачи, переживающий смену правового климата.
Куда маркетинговые стеки отправляют данные ЕС
Разрыв между «наш сокращатель размещён в ЕС» и «наши данные остаются в ЕС» возникает в слоях вокруг сокращателя. Вместо того чтобы гадать о настройках вендоров по умолчанию, которые меняются, вот схема и вопрос, который стоит задать каждому владельцу.
| Слой | Что передаётся | Вопрос владельцу |
|---|---|---|
| Браузерные пиксели и теги (Meta, Google, другие) | URL страницы с UTM-параметрами, IP, идентификаторы cookie, отправляются из браузера посетителя вендору | Какой endpoint вендора, какое основание передачи и собирается ли сначала согласие? |
| Трекеры открытий и кликов в письмах | Идентификатор подписчика в URL отслеживания, размещённый в CDN почтового провайдера | В каком регионе наш аккаунт и следует ли за ним домен отслеживания? |
| CRM и автоматизация маркетинга | Карточки контактов и отправки форм | В каком регионе данных наш тенант и можно ли его потом изменить? |
| Серверные пересылки | События кликов или конверсий, отправляемые с сервера, которым вы управляете | Находится ли принимающий endpoint в пределах ЕЭЗ и какие идентификаторы уходят? |
| Сокращатель | Запрос редиректа и журнал кликов | Где обрабатываются и хранятся редирект и запись о клике? |
Большинство команд, которые я вижу, используют сразу несколько из этих слоёв без оценки передачи в документах и с записью в реестре вроде «Google Analytics, Meta Pixel», где не назван никакой механизм. Сокращатель - обычно самая маленькая позиция в списке, потому что редирект длится несколько миллисекунд, а журнал кликов - единственная запись, которую он создаёт. Браузерные элементы срабатывают раньше, чем запрос увидит любой сервер в ЕС. Практические последствия этого разобраны в материале Schrems II и трекинговые пиксели, а работа с согласием для коротких ссылок описана в материале о согласии на cookie для коротких ссылок.
Что серверная пересылка меняет и чего не меняет
При серверной схеме браузер посетителя общается только с редиректом. Затем сервер отправляет событие конверсии в API рекламной платформы, например в Meta Conversions API или Measurement Protocol Google Analytics 4 (обе страницы проверены 2026-10-24; страница Meta - сайт документации, формируемый скриптом, поэтому опирайтесь на её актуальный текст, а не на это краткое изложение).
Что меняется. Передача теперь происходит на инфраструктуре, которую вы настраиваете, с полями, которые вы выбираете, а не в скрипте, который трудно проверить. Ваша запись в реестре может описывать одну контролируемую передачу между серверами, а не «инициированную браузером, основание уточняется».
Что не меняется. Если принимающий endpoint находится за пределами ЕЭЗ, передача всё равно происходит. Для этого звена по-прежнему нужны SCC или путь через Data Privacy Framework и запись о нём. Серверная пересылка улучшает контроль и минимизацию данных. Это не освобождение от требований, и ваш DPO должен услышать это до проверки, а не после.
Что касается Elido сегодня, он может пересылать клики по ссылкам на стороне сервера в Google Analytics 4 (Measurement Protocol), Mixpanel, Klaviyo, Brevo и Datadog. Он не пересылает в Meta или TikTok и не пересылает покупки или конверсии ни на одну платформу. Я проверил пересылку в коде, и для DPO важны две детали. Mixpanel по умолчанию использует американский endpoint, пока вы не зададите регион проекта EU или India, поэтому выставьте EU, если ваш проект там; руководство по резидентности данных Mixpanel в ЕС показывает, как это сделать. Неудавшиеся доставки повторяются один раз через секунду, а затем отбрасываются, поэтому считайте пересылаемые события доставкой по мере возможности, а не журналом учёта. Идентификаторы дедупликации событий и хеширование идентификаторов пока не реализованы.
Почему список субобработчиков - тот документ, который стоит читать
По статье 28(2) обработчик не должен добавлять субобработчиков без вашего разрешения, а общее разрешение должно позволять вам возражать против добавлений. На практике это превращается в публичный список плюс срок уведомления. Пригодный список называет вендора, чем он занимается и где обрабатываются данные на уровне страны или облачного региона, а также говорит, как объявляются изменения.
Список Elido находится по адресу /legal/subprocessors. Сейчас в нём названы 13 вендоров, у каждого указаны цель и местоположение. Несколько из них находятся за пределами ЕС или имеют резерв вне ЕС, и политика прямо об этом говорит и опирается на SCC для таких случаев. Тринадцать - не малое число, и я бы предпочёл, чтобы вы прочитали список, а не верили счёту на слово: полезный тест состоит в том, можете ли вы за один день разобрать каждую строку, когда рядом с каждой указано местоположение. Условия договора находятся в DPA, а политика конфиденциальности Elido обязывает уведомлять об изменениях списка за 30 дней.
Восемь письменных ответов, которые нужно запросить
Задайте их любому маркетинговому вендору в письменной форме до проверки.
- Какой регион размещения хранит новые данные клиентов, названный до региона дата-центра или хотя бы до страны? «ЕС» одним словом - не ответ.
- Закреплён ли этот регион в стандартном договоре или это операционный выбор, который вендор может изменить без уведомления?
- Доступно ли заранее подписанное соглашение об обработке данных, охватывающее статью 28(3), до конца звонка с отделом продаж?
- Сколько субобработчиков в стандартной цепочке и где обрабатывается каждый? Публичен ли список и можно ли дать на него ссылку в ваших документах?
- Пересылается ли отслеживание конверсий на стороне сервера, и какие идентификаторы отправляются хешированными, а какие в открытом виде?
- Что происходит с IP-адресом посетителя в журналах кликов: усекается, хешируется или хранится как получен, и как долго?
- Как выполняется запрос субъекта данных на удаление и доходит ли он до хранилища событий кликов?
- Какие независимые аттестации есть у вендора сегодня, с датами, а какие только запланированы?
По вопросу 6: Elido усекает IP посетителя на edge (IPv4 до /24, IPv6 до /48) перед сохранением клика. Страна, регион, город и приблизительные координаты определяются заранее и хранятся вместе с кликом, а также хранится полный user agent, поэтому считайте строку клика персональными данными. По вопросу 8: SOC 2 находится в подготовке, отчёт не выпущен, а Elido не сертифицирован по ISO 27001, то есть ни один из них не является полученным сертификатом. Клиентам тарифа Business доступен HIPAA BAA. Требуйте от каждого вендора, включая нас, различия между «получено» и «запланировано».
Что Elido заявляет, а что нет
Elido - это слой ссылок. Политика конфиденциальности гласит, что операционные данные хранятся в дата-центрах ЕС, при этом основная база данных, аналитическое хранилище и резервные копии находятся в ЕС. Юридические страницы раскрывают узлы редиректа в США и Сингапуре, которые обрабатывают запросы посетителей и могут кэшировать данные ссылок, а созданное там событие клика всё равно является персональными данными, обработанными в этом месте, поэтому я не стану утверждать, что каждый клик обрабатывается только внутри ЕС.
Закрепление региона по рабочему пространству, например выбор данных только в США или только в Азии, в Elido сегодня не существует. Не принимайте формулировки договора, которые это предполагают. Страница решений для комплаенса обобщает текущее положение для закупочных команд.
Если ваша политика такова, что никакие персональные данные субъектов из ЕС не должны покидать ЕЭЗ вообще, другой сокращатель этого не исправит. Выход - не отправлять события конверсий платформам за пределами ЕЭЗ. Это маркетинговое решение, а не вопрос размещения. Более широкий вопрос о вендорах из ЕС и США разбирает материал европейские альтернативы американскому SaaS, а об обязанностях обработчика читайте в GDPR для сокращателей ссылок.
Читайте также в блоге
Частые вопросы
Что означает резидентность данных в ЕС для маркетингового инструмента?
Это значит, что вендор хранит и обрабатывает ваши данные в дата-центрах ЕС. Это не значит, что персональные данные никогда не покидают ЕС. Пиксели в браузере посетителя, серверные пересылки в рекламные платформы и инструменты поддержки могут каждый переносить данные в третью страну, и для каждого нужно своё основание для передачи по главе V GDPR.
Достаточно ли размещения в ЕС для соответствия GDPR?
Нет. Место размещения - лишь один из факторов. Вам по-прежнему нужны соглашение об обработке данных по статье 28, правовое основание, запись в реестре по статье 30 и механизм передачи для любого субобработчика или рекламной платформы за пределами ЕЭЗ. Размещение в ЕС лишь сокращает число передач, которые приходится обосновывать.
Отменяет ли серверное отслеживание необходимость в гарантиях передачи?
Нет. Перенос вызова конверсии из браузера на сервер меняет то, кто отправляет данные и что вы контролируете, но если принимающая платформа находится за пределами ЕЭЗ, передача всё равно происходит. Для этого звена по-прежнему нужны SCC или механизм адекватности вроде Data Privacy Framework.
Действует ли ещё соглашение EU-US Data Privacy Framework?
Да, по состоянию на 24 октября 2026 года решение об адекватности от 10 июля 2023 года остаётся в силе. Общий суд отклонил иск Latombe 3 сентября 2025 года, но в Суд ЕС подана апелляция (C-703/25 P), поэтому держите в документах запасной вариант, например SCC.
Сколько субобработчиков должно быть у сокращателя ссылок?
Юридического числа нет. Важно, чтобы список был публичным, называл каждого вендора с целью и местоположением и менялся с заблаговременным уведомлением. Elido публикует 13 субобработчиков, у каждого указаны цель и местоположение, и уведомляет об изменениях за 30 дней.
Хранит ли Elido данные о кликах только в ЕС?
В политике конфиденциальности Elido сказано, что операционные данные хранятся в дата-центрах ЕС, а основной регион находится в ЕС. Юридические страницы также раскрывают узлы редиректа в США и Сингапуре, которые обрабатывают запросы посетителей, поэтому IP посетителей могут обрабатываться за пределами ЕС. Серверные пересылки в рекламные платформы, которые вы настраиваете, по замыслу покидают ЕС.
Попробуйте Elido
Вставьте URL - получите короткую ссылку
Без регистрации. Ссылка живёт 30 дней. Зарегистрируйтесь, чтобы оставить её навсегда.
Без регистрации. Зарегистрируйтесь бесплатно и получите 50 ссылок в месяц.