Data Residency & Localization: Where Your Data Lives Matters

जब संचार के पर्यवेक्षण के लिए रूस की संघीय सेवा ने देश के भीतर सर्वर पर रूसी उपयोगकर्ता डेटा संग्रहीत करने में विफल रहने के लिए 2016 में लिंक्डइन को अवरुद्ध कर दिया, तो यह वैश्विक प्रौद्योगिकी कंपनियों के लिए एक चेतावनी थी। तब से, डेटा स्थानीयकरण आवश्यकताओं का विस्तार 60 से अधिक देशों में हो गया है, और प्रवृत्ति में तेजी आ रही है। 2025 में, भारत ने व्यक्तिगत डेटा की कुछ श्रेणियों को विशेष रूप से भारतीय सीमाओं के भीतर संग्रहीत करने की आवश्यकता वाले नियमों को अंतिम रूप दिया, और यूरोपीय संघ के उभरते डेटा संप्रभुता ढांचे को फिर से आकार दिया जा रहा है कि कैसे यूरोपीय कंपनियां भी क्लाउड इंफ्रास्ट्रक्चर के बारे में सोचती हैं।

सीमाओं के पार काम करने वाली कंपनियों के लिए --- जिसमें वेबसाइट, SaaS एप्लिकेशन या अंतरराष्ट्रीय ग्राहकों को सेवा देने वाले ईकॉमर्स स्टोर वाला कोई भी व्यवसाय शामिल है --- यह समझना कि डेटा भौतिक रूप से कहां रहता है, अब कोई तकनीकी जिज्ञासा नहीं है। यह एक अनुपालन अनिवार्यता है.

मुख्य बातें

• 60 से अधिक देशों में अब किसी न किसी रूप में डेटा स्थानीयकरण की आवश्यकता है, जिसमें नरम प्राथमिकताओं से लेकर कठोर अधिदेश तक शामिल हैं
• डेटा रेजीडेंसी आवश्यकताएँ क्लाउड क्षेत्र चयन, बैकअप रणनीतियों और आपदा पुनर्प्राप्ति आर्किटेक्चर को प्रभावित करती हैं
• डेटा स्थानीयकरण (स्थानीय रूप से संग्रहीत होना चाहिए), डेटा रेजिडेंसी (कहीं भी संग्रहीत हो सकता है लेकिन एक स्थानीय प्रतिलिपि होनी चाहिए), और डेटा संप्रभुता (स्थानीय कानून के अधीन) के बीच अंतर महत्वपूर्ण है
• सीमा पार स्थानांतरण तंत्र (एससीसी, बीसीआर, पर्याप्तता निर्णय) विशिष्ट परिस्थितियों में डेटा को अंतरराष्ट्रीय स्तर पर प्रवाहित करने की अनुमति देते हैं

---

प्रमुख अवधारणाओं को समझना

तीन संबंधित लेकिन अलग-अलग अवधारणाएँ यह नियंत्रित करती हैं कि डेटा कहाँ रह सकता है और कहाँ स्थानांतरित हो सकता है।

परिभाषाएँ

डेटा स्थानीयकरण: किसी विशिष्ट देश की सीमाओं के भीतर डेटा को संग्रहीत और/या संसाधित करने की कानूनी आवश्यकता। डेटा बिल्कुल भी देश नहीं छोड़ सकता है, या केवल सख्त शर्तों के तहत ही जा सकता है। उदाहरण: रूस के संघीय कानून 242-एफजेड के अनुसार रूसी नागरिकों के व्यक्तिगत डेटा को रूस में स्थित डेटाबेस पर संग्रहीत करने की आवश्यकता है।

डेटा रेजीडेंसी: वह भौगोलिक स्थान जहां डेटा संग्रहीत किया जाता है। डेटा रेजीडेंसी एक कानूनी आवश्यकता के बजाय एक संविदात्मक प्रतिबद्धता हो सकती है (ग्राहक को एक विशिष्ट क्षेत्र में डेटा संग्रहीत करने की आवश्यकता होती है)। जब तक प्राथमिक भंडारण निर्दिष्ट स्थान पर है तब तक डेटा को कहीं और संसाधित किया जा सकता है।

डेटा संप्रभुता: यह सिद्धांत कि डेटा उस देश के कानूनों और शासन संरचनाओं के अधीन है जहां इसे एकत्र या संग्रहीत किया जाता है। भले ही डेटा भौतिक रूप से देश ए में रहता हो, यह देश बी के कानूनों के अधीन हो सकता है यदि यह देश बी के नागरिकों से संबंधित है (जीडीपीआर की बाह्य-क्षेत्रीय पहुंच के साथ)।

यह क्लाउड इन्फ्रास्ट्रक्चर के लिए क्यों महत्वपूर्ण है

जब आप AWS us-east-1 में डेटा संग्रहीत करते हैं, तो वह डेटा भौतिक रूप से वर्जीनिया, संयुक्त राज्य अमेरिका में रहता है, और अमेरिकी कानून (CLOUD अधिनियम के तहत संभावित पहुंच सहित) के अधीन है। यदि वह डेटा यूरोपीय संघ के नागरिकों का है, तो आपको जीडीपीआर के तहत पर्याप्त सुरक्षा सुनिश्चित करनी होगी। यदि यह रूसी नागरिकों का है, तो आप रूसी डेटा स्थानीयकरण कानून का उल्लंघन कर सकते हैं, भले ही आपके पास कितनी भी सुरक्षा क्यों न हो।

---

देश-विशिष्ट डेटा रेजीडेंसी नियम

देश से डेटा रेजीडेंसी नियम

---

क्लाउड क्षेत्र चयन रणनीति

डेटा रेजिडेंसी अनुपालन के लिए सही क्लाउड क्षेत्र चुनना सबसे प्रभावशाली निर्णयों में से एक है। इसे सही करें और अनुपालन आपके आर्किटेक्चर में निर्मित हो जाएगा। इसे गलत करें और आपको महँगे री-आर्किटेक्चर या विनियामक दंड का सामना करना पड़ेगा।

बहु-क्षेत्रीय वास्तुकला पैटर्न

पैटर्न 1: एकल क्षेत्र (सरल)

सारा डेटा एक क्लाउड क्षेत्र में संग्रहीत है। प्रबंधन करने में सबसे सरल लेकिन कम विलंबता के साथ वैश्विक ग्राहकों को सेवा देने की आपकी क्षमता सीमित है और यदि आपके पास कठिन स्थानीयकरण जनादेश वाले देशों में ग्राहक हैं तो स्थानीयकरण आवश्यकताओं को पूरा नहीं कर सकते हैं।

इसके लिए सर्वोत्तम: ऐसी कंपनियां जो मुख्य रूप से एक ही देश या क्षेत्र में काम कर रही हैं और अन्यत्र स्थानीयकरण की कोई सख्त आवश्यकता नहीं है।

पैटर्न 2: क्षेत्रीय केंद्र (संतुलित)

2-4 रणनीतिक क्षेत्रों में तैनाती करें जो परिचालन जटिलता को प्रबंधनीय रखते हुए भौगोलिक कवरेज प्रदान करते हैं:

इसके लिए सर्वोत्तम: अधिकांश अंतर्राष्ट्रीय व्यवसाय। अच्छी विलंबता, नियामक कवरेज और प्रबंधनीय जटिलता प्रदान करता है।

पैटर्न 3: प्रति-देश परिनियोजन (अधिकतम अनुपालन)

कठिन स्थानीयकरण आवश्यकताओं वाले प्रत्येक देश में तैनाती। उच्चतम अनुपालन लेकिन उच्चतम परिचालन लागत और जटिलता।

इसके लिए सर्वोत्तम: सख्त स्थानीयकरण जनादेश (रूस, चीन, भारत) वाले देशों में संचालित अत्यधिक विनियमित उद्योग (बैंकिंग, स्वास्थ्य सेवा, सरकार)।

क्लाउड प्रदाता क्षेत्र उपलब्धता

---

सीमा पार डेटा स्थानांतरण तंत्र

डेटा रेजिडेंसी आवश्यकताओं के साथ भी, व्यापार संचालन के लिए सीमा पार डेटा स्थानांतरण अक्सर आवश्यक होते हैं। कई कानूनी तंत्र अनुपालन हस्तांतरण को सक्षम बनाते हैं।

जीडीपीआर के तहत स्थानांतरण तंत्र

पर्याप्तता निर्णय। यूरोपीय आयोग निर्धारित करता है कि कुछ देश पर्याप्त डेटा सुरक्षा प्रदान करते हैं। इन देशों में स्थानांतरण को इंट्रा-ईयू स्थानांतरण की तरह माना जाता है। वर्तमान में पर्याप्त देशों में शामिल हैं: अंडोरा, अर्जेंटीना, कनाडा (वाणिज्यिक), फरो आइलैंड्स, ग्वेर्नसे, इज़राइल, आइल ऑफ मैन, जापान, जर्सी, न्यूजीलैंड, कोरिया गणराज्य, स्विट्जरलैंड, यूके, उरुग्वे और अमेरिका (प्रमाणित कंपनियों के लिए ईयू-यूएस डेटा गोपनीयता ढांचे के तहत)।

मानक संविदात्मक खंड (एससीसी)। पूर्व-अनुमोदित संविदात्मक शर्तें जिनसे डेटा आयातकों को सहमत होना होगा। 2021 अद्यतन एससीसी में विभिन्न स्थानांतरण परिदृश्यों (नियंत्रक-से-नियंत्रक, नियंत्रक-से-प्रोसेसर, प्रोसेसर-से-प्रोसेसर, प्रोसेसर-से-नियंत्रक) के लिए चार मॉड्यूल शामिल हैं।

बाध्यकारी कॉर्पोरेट नियम (बीसीआर)। यूरोपीय संघ डेटा संरक्षण अधिकारियों द्वारा अनुमोदित आंतरिक नीतियां जो बहुराष्ट्रीय कंपनियों को अपने कॉर्पोरेट समूह के भीतर डेटा स्थानांतरित करने की अनुमति देती हैं। बीसीआर महंगे हैं और कार्यान्वयन में समय लगता है (12-18 महीने) लेकिन बड़े उद्यमों के लिए एक टिकाऊ समाधान प्रदान करते हैं।

स्पष्ट सहमति। डेटा विषय सीमा पार हस्तांतरण के लिए सहमति दे सकते हैं, लेकिन यह विशिष्ट, सूचित और वास्तव में स्वैच्छिक होना चाहिए। यह व्यवस्थित या बड़े पैमाने पर स्थानांतरण के लिए एक व्यवहार्य तंत्र नहीं है।

संविदात्मक आवश्यकता। डेटा विषय और नियंत्रक के बीच अनुबंध के निष्पादन के लिए आवश्यक स्थानांतरण (उदाहरण के लिए, किसी अन्य देश में होटल बुक करना)। अनुबंध के लिए सीधे आवश्यक स्थानान्तरण तक सीमित।

स्थानांतरण प्रभाव आकलन

श्रेम्स II निर्णय के बाद से, एससीसी का उपयोग करने वाले संगठनों को प्रत्येक स्थानांतरण के लिए स्थानांतरण प्रभाव आकलन (टीआईए) आयोजित करना होगा:

1. विशिष्ट स्थानांतरण की पहचान करें (डेटा प्रकार, उद्देश्य, प्राप्तकर्ता, गंतव्य)
2. गंतव्य देश के कानूनी ढांचे (निगरानी कानून, सरकारी पहुंच अधिकार) का आकलन करें
3. मूल्यांकन करें कि क्या पूरक उपायों की आवश्यकता है (एन्क्रिप्शन, छद्मनामकरण, संविदात्मक प्रतिबंध)
4. मूल्यांकन का दस्तावेजीकरण करें और अनुरोध पर इसे उपलब्ध कराएं

सीमा पार स्थानांतरण को नियंत्रित करने वाले गोपनीयता नियमों के व्यापक दृष्टिकोण के लिए, हमारी डेटा गोपनीयता तुलना मार्गदर्शिका देखें।

---

कार्यान्वयन चेकलिस्ट

डेटा रेजीडेंसी अनुपालन के लिए कदम

1. अपने डेटा की सूची बनाएं। सभी व्यक्तिगत और संवेदनशील डेटा को मैप करें, पहचानें कि यह कहां संग्रहीत है, और निर्धारित करें कि डेटा विषयों के स्थानों के आधार पर कौन से क्षेत्राधिकार के कानून लागू होते हैं।

2. लागू आवश्यकताओं की पहचान करें। प्रत्येक क्षेत्राधिकार के लिए जहां आपके पास डेटा विषय या ग्राहक हैं, विशिष्ट डेटा निवास या स्थानीयकरण आवश्यकताओं को निर्धारित करें।

3. अपने वर्तमान आर्किटेक्चर का आकलन करें। अपने वर्तमान क्लाउड क्षेत्रों, बैकअप स्थानों, सीडीएन एज कैश और डेटा को संसाधित या संग्रहीत करने वाली किसी भी तृतीय-पक्ष सेवाओं का दस्तावेज़ीकरण करें।

4. अंतरालों को पहचानें। आवश्यकताओं के विरुद्ध अपने वर्तमान आर्किटेक्चर की तुलना करें। सामान्य अंतराल में शामिल हैं: गैर-अनुपालक क्षेत्रों में संग्रहीत बैकअप, विश्व स्तर पर डेटा की प्रतिलिपि बनाने वाले सीडीएन कैश, गैर-अनुपालक स्थानों में डेटा संग्रहीत करने वाले SaaS विक्रेता।

5. लक्ष्य वास्तुकला का चयन करें। एक बहु-क्षेत्रीय पैटर्न चुनें जो लागत, प्रदर्शन और परिचालन जटिलता को संतुलित करते हुए सभी पहचानी गई आवश्यकताओं को पूरा करता हो।

6. डेटा रूटिंग लागू करें। डेटा विषय के अधिकार क्षेत्र के आधार पर डेटा को उचित क्षेत्र में रूट करने के लिए अपने एप्लिकेशन को कॉन्फ़िगर करें। इसके लिए क्षेत्र के आधार पर डेटाबेस शेयरिंग, प्रति क्षेत्र अलग स्टोरेज बकेट या डेटा रूटिंग परत की आवश्यकता हो सकती है।

7. विक्रेता अनुबंधों को अद्यतन करें। सुनिश्चित करें कि सभी तृतीय-पक्ष विक्रेता अनुपालन क्षेत्रों में डेटा संग्रहीत करें। आवश्यकतानुसार डीपीए और एससीसी को अद्यतन करें। विक्रेता उप-प्रोसेसरों की समीक्षा करें।

8. बैकअप और डीआर कॉन्फ़िगर करें। सुनिश्चित करें कि बैकअप और डिजास्टर रिकवरी इंफ्रास्ट्रक्चर रेजीडेंसी आवश्यकताओं का अनुपालन करता है। डीआर के लिए क्रॉस-क्षेत्र प्रतिकृति को अनुपालन क्षेत्रों के भीतर रहना चाहिए।

9. हर चीज़ का दस्तावेजीकरण करें। डेटा प्रवाह, भंडारण स्थान, स्थानांतरण तंत्र और अनुपालन निर्णयों का रिकॉर्ड बनाए रखें। यह दस्तावेज़ जीडीपीआर (आरओपीए) के लिए आवश्यक है और लेखा परीक्षकों द्वारा अपेक्षित है।

10. लगातार निगरानी करें। डेटा रेजीडेंसी एक बार का प्रोजेक्ट नहीं है। नई सेवाएँ, नए विक्रेता, नए ग्राहक और नए नियम आपकी आवश्यकताओं को बदल सकते हैं। अपनी खरीद और वास्तुकला समीक्षा प्रक्रियाओं में डेटा रेजिडेंसी जांच बनाएं।

डेटा रेजिडेंसी अनुपालन प्रदर्शित करने के लिए आवश्यक ऑडिट ट्रेल्स के निर्माण के विवरण के लिए, हमारी ऑडिट ट्रेल अनुपालन मार्गदर्शिका देखें। व्यापक अनुपालन संदर्भ के लिए, हमारी उद्यम अनुपालन पुस्तिका देखें।

---

अक्सर पूछे जाने वाले प्रश्न

क्या डेटा रेजीडेंसी बैकअप और डिजास्टर रिकवरी प्रतियों पर लागू होती है?

हाँ। यदि किसी विनियमन के लिए किसी विशिष्ट देश में डेटा संग्रहीत करने की आवश्यकता होती है, तो बैकअप और डीआर प्रतियां भी उस देश के भीतर होनी चाहिए। यह आपदा पुनर्प्राप्ति के लिए सर्वोत्तम प्रथाओं के साथ तनाव पैदा करता है, जिसमें आम तौर पर भौगोलिक रूप से दूर के बैकअप शामिल होते हैं। समाधान अनुपालन देश के भीतर कई उपलब्धता क्षेत्रों का उपयोग करना है (एडब्ल्यूएस के अधिकांश क्षेत्रों में कई एजेड हैं) या, जहां नियम अनुमति देते हैं, समकक्ष डेटा सुरक्षा वाले देशों में बैकअप स्थानों का उपयोग करें (उदाहरण के लिए, फ्रांस में जर्मन डेटा का बैकअप आमतौर पर जीडीपीआर के तहत स्वीकार्य है)।

हम वैश्विक सीडीएन के साथ डेटा रेजिडेंसी को कैसे संभालेंगे?

Cloudflare और AWS CloudFront जैसे CDN दुनिया भर के प्रमुख स्थानों पर सामग्री को कैश करते हैं। स्थिर सामग्री (चित्र, सीएसएस, जावास्क्रिप्ट) के लिए, यह आम तौर पर डेटा रेजिडेंसी चिंता का विषय नहीं है। हालाँकि, यदि आपका सीडीएन उन प्रतिक्रियाओं को कैश करता है जिनमें व्यक्तिगत डेटा होता है, तो वे कैश्ड प्रतियां गैर-अनुपालक क्षेत्राधिकार में रह सकती हैं। समाधानों में शामिल हैं: व्यक्तिगत डेटा वाली प्रतिक्रियाओं के लिए कैशिंग अक्षम करें, कैशिंग को अनुपालन क्षेत्रों तक सीमित करने के लिए भू-प्रतिबंध क्षमताओं वाले सीडीएन का उपयोग करें, या यह सुनिश्चित करें कि व्यक्तिगत डेटा कभी भी कैश करने योग्य प्रतिक्रियाओं में शामिल न हो।

क्या हम डेटा रेजिडेंसी आवश्यकताओं को पूरा करने के लिए एन्क्रिप्शन का उपयोग कर सकते हैं?

आम तौर पर, नहीं. अधिकांश डेटा स्थानीयकरण कानून डेटा के भौतिक स्थान पर ध्यान केंद्रित करते हैं, न कि यह एन्क्रिप्टेड है या नहीं। गैर-अनुपालक स्थान पर संग्रहीत एन्क्रिप्टेड डेटा अभी भी गैर-अनुपालक स्थान पर संग्रहीत है। हालाँकि, एन्क्रिप्शन जीडीपीआर (विशेष रूप से पोस्ट-श्रेम्स II) के तहत सीमा पार हस्तांतरण के लिए एक पूरक उपाय हो सकता है और कुछ हस्तांतरण प्रभाव मूल्यांकन आवश्यकताओं को पूरा कर सकता है।

ट्रांज़िट में संसाधित डेटा के बारे में क्या --- क्या रूटिंग मायने रखती है?

पारगमन में डेटा के बारे में कुछ नियम अस्पष्ट हैं। आम सहमति यह है कि गैर-अनुपालक क्षेत्राधिकार (उदाहरण के लिए, इंटरनेट रूटिंग) के माध्यम से एन्क्रिप्टेड डेटा की क्षणिक रूटिंग उस क्षेत्राधिकार में भंडारण या प्रसंस्करण का गठन नहीं करती है। हालाँकि, यदि डेटा को गैर-अनुपालक क्षेत्राधिकार में सार्थक रूप से संसाधित (डिक्रिप्ट, विश्लेषण, रूपांतरित) किया जाता है, तो वह प्रसंस्करण स्थानीयकरण आवश्यकताओं का उल्लंघन करता है।

मल्टी-टेनेंट SaaS प्लेटफ़ॉर्म डेटा रेजिडेंसी को कैसे संभालते हैं?

बहु-किरायेदार SaaS प्लेटफ़ॉर्म सबसे जटिल डेटा रेजीडेंसी चुनौतियों का सामना करते हैं। सामान्य दृष्टिकोण में शामिल हैं: प्रति क्षेत्र अलग-अलग उदाहरणों को तैनात करना (सबसे अधिक आज्ञाकारी लेकिन सबसे महंगा), क्षेत्र-जागरूक रूटिंग (संतुलित दृष्टिकोण) के साथ डेटाबेस-स्तरीय किरायेदार अलगाव, या एप्लिकेशन-स्तरीय डेटा रूटिंग जो विशिष्ट किरायेदारों के डेटा को विशिष्ट भंडारण क्षेत्रों में निर्देशित करता है (सबसे लचीला लेकिन लागू करने के लिए सबसे जटिल)।

---

आगे क्या है

जैसे-जैसे अधिक देश डेटा संप्रभुता कानून लागू करेंगे और मौजूदा नियमों को मजबूत किया जाएगा, डेटा रेजिडेंसी आवश्यकताओं का विस्तार जारी रहेगा। शुरू से ही आपके आर्किटेक्चर में डेटा रेजीडेंसी अनुपालन बनाना बाद में इसे दोबारा लगाने की तुलना में बहुत कम महंगा है।

ECOSIRE कंपनियों को उनके ERP और ईकॉमर्स सिस्टम के लिए डेटा-रेजीडेंसी-अनुपालक आर्किटेक्चर डिजाइन करने में मदद करता है। हमारे Odoo ERP कार्यान्वयन अनुरूप डेटा रूटिंग के साथ बहु-क्षेत्रीय तैनाती का समर्थन करते हैं, और हमारी क्लाउड इंफ्रास्ट्रक्चर सेवाओं में डेटा रेजिडेंसी मूल्यांकन और आर्किटेक्चर डिज़ाइन शामिल हैं। AI-संचालित डेटा प्रवाह मैपिंग और अनुपालन निगरानी के लिए, हमारे OpenClaw AI प्लेटफ़ॉर्म को देखें। हमसे संपर्क करें अपनी डेटा रेजिडेंसी रणनीति पर चर्चा करने के लिए।

---

ECOSIRE द्वारा प्रकाशित - Odoo ERP, Shopify eCommerce, और OpenClaw AI में AI-संचालित समाधानों के साथ व्यवसायों को बढ़ाने में मदद करना।