DocuSign、BC FIPPA 与数据驻留：需要核查什么

简短的回答是：不列颠哥伦比亚省的《信息自由与隐私保护法》（FIPPA）限制公共机构将个人信息存储于加拿大境外，或允许从加拿大境外访问这些信息，仅在第 30.1 条规定的有限例外下才被允许。DocuSign 是否"合规"，并不是一个笼统的"是"或"否"——它取决于你账户中的信封、审计追踪和备份存放在哪里，以及供应商内部谁能访问它们。BC 信息与隐私专员办公室（OIPC）多年来不断更新其云计算指南，推动采购团队在合同中核实存储与访问位置、完成隐私影响评估，而不是接受笼统的合规声明。更广泛的背景可参见我们的加拿大电子签名数据驻留概述。

BC FIPPA 数据驻留要求适用于你的机构吗？

首先，确认 FIPPA 是否管辖你。FIPPA 覆盖的对象是"公共机构"——大致包括省级政府部门、市政当局、地区政府、学区、公立高等院校、卫生当局，以及许多皇家公司。BC 的私营公司适用《个人信息保护法》（PIPA），后者并不施加同样的地理存储与访问限制。

这一区分是双向的。评估 DocuSign 的公共机构，必须对每一个涉及个人信息的工作流程套用第 30.1 条分析，从人力资源入职流程到面向市民的表单都是如此。面向公共部门销售产品的私营供应商，则通过要求其支持公共机构数据驻留义务的采购问卷感受到 FIPPA 的存在。无论哪一边，问题最终都落在配置证据上，而不是营销声明上。

第 30.1 条究竟限制了什么

第 30.1 条本质上是一项"默认禁止、附有例外"的规定：概括而言，公共机构不得将个人信息存储于加拿大境外，也不得允许其保管或控制下的个人信息被从加拿大境外访问，除非适用某项例外。常见例外包括：当事人已同意；存储或访问为履行该机构职责所必需，且已采取被认为充分的安全措施；或访问为临时目的所必需，一般限于通常所说的最多 90 天的窗口期。该条款历经修订——包括 2021 年的修订——因此在依赖任何例外之前，务必与法律顾问确认现行条文。

有两点最容易让签署工作流程栽跟头。第一，限制覆盖的是"访问"而不只是"存储"：一位支持工程师从加拿大境外远程查看文档，就可能触发分析。第二，"个人信息"的定义相当宽泛——信封内的姓名、电子邮件地址、签名和元数据通常都算，所以日常的人力资源审批也在范围内。当这些文档经由云平台流转，云端签署的现实问题就不只是 IT 问题，而是 FIPPA 问题。

更新的云计算指南如何改变采购

OIPC 发布了面向公共机构的云计算指南，并逐年修订。指南不是法律，但它反映了专员的期望，实际上已成为公共部门采购的事实标准。概括而言，更新的指南期望公共机构做到：

• 在部署任何将持有个人信息的服务之前，先完成隐私影响评估（PIA），并在部署发生变化时更新该评估。
• 弄清并记录数据存储在哪里、从哪里被访问、由谁访问——包括供应商人员和子处理方。
• 在合同中落实安全、保留和泄露通知条款，使保护措施在供应商变动后依然有效。
• 审慎对待"临时性"的跨境访问，因为它仍可能落入访问限制的范围。

供应商一句"服务安全且合规"的声明，已经不够用了。公共机构被期望去追问：信封负载、审计追踪和备份位于何处；支持服务是否涉及跨境访问；当前套餐是否存在加拿大境内驻留选项。平台安全也应在同一审查之中——我们关于企业使用电子签名的网络安全风险一文覆盖的访问控制问题同样适用，尽管那篇文章的例子来自另一个司法辖区。

DocuSign 的加拿大数据驻留现状

DocuSign 是一家总部位于美国的云服务。"DocuSign 是否符合 FIPPA"这个问题的诚实答案是：取决于你的配置——要核查，不要假设。DocuSign 至少在部分套餐和地区提供数据驻留选项，但可用性取决于你的套餐版本、账户类型和所在地区。向你的 DocuSign 客户团队确认，你要购买的套餐是否有加拿大境内存储选项，并把答复落到书面。

四个追问值得花力气：

1. 审计追踪和完成证书存放在哪里？ 签署证据往往是整个工作流程中最敏感的产物。
2. 备份和灾难恢复副本存放在哪里？ 主区域在加拿大、却配置跨境复制的方案，会让分析前功尽弃。
3. 全球支持团队的访问如何运作？ 从加拿大境外提供的支持访问也是访问，所以要问清楚哪些人员能查看哪些内容、受什么管控。
4. 涉及哪些子处理方？ 通知邮件、身份验证和存储层，每一层都可能牵涉位于各自地区的第三方。

答案因套餐和地区而异。如果你在功能和成本之外，还以这一维度比较供应商，我们的DocuSign 与 Adobe Sign 对比说明了主流平台在安全与适配度上的差异。

团队往往为时已晚才发现的合规缺口

大多数 FIPPA 问题都是在合同签署之后才浮出水面，藏在这样一些细节里：

• 保留与删除。 无法按期清除的信封，会把个人信息留在供应商环境中超出政策期限——这正是我们关于处理 GDPR 被遗忘权请求的指南所讲的生命周期纪律，法规不同，问题相同。
• 邮件路由。 签署邀请经由加拿大境外的设施中转，根据内容和配置，可能构成访问或披露。
• 管理员导出。 从任何位置批量下载已签署文档的能力，正是分析必须覆盖的跨境访问。
• 集成副本。 把信封镜像进 CRM 的连接器，会新增一个需要单独回答数据驻留问题的存储位置。

电子签名平台的 FIPPA 数据驻留检查清单

把这份清单作为任何 FIPPA 下云签署评估（包括 DocuSign）的供应商问卷骨架。每一行都应该能拿出书面证据来回答。

含糊的回答本身就是一项发现；具体的信息——区域名称、管控措施和合同承诺——才能通过一场运作良好的审查。

BC 数据驻留问题，Nota Sign 的答案

像上文这样的"司法辖区优先"评估，正是 Nota Sign——法大大（FaDaDa）的全球化电子签名平台——所擅长应对的。其背后的团队已在 IDC 中国电子签名软件市场评比中连续多年排名第一，这套合规工程能力延伸到覆盖 100 多个国家和地区的法律适用范围，在亚太地区的签署制度方面尤为深入。区域性数据中心为数据驻留讨论提供了一个具体的部署模型作为起点，而不是一句承诺。商业上不按席位收费，中型和企业客户可以申请按其签署量及驻留要求定制的方案。

如果你正在整理 BC 公共部门的采购文件，把你的 FIPPA 数据驻留问卷发给 Nota Sign 团队，他们会逐行答复。