沙特 PDPL 落地实操：企业 SaaS 数据驻留要求与利雅得本地节点选择

最近碰到好几个做企业 SaaS 的团队，签沙特政企客户之前，对方在合同里白纸黑字写了一条：核心个人数据不得离开沙特阿拉伯境。结果一查自己的云账号，区域默认落在东南亚，数据早就绕到境外去了。这种错位不是个例，而是过去两年里服务沙特市场最容易栽的坑之一。问题不在于技术做不出来，而在于很多人把「合规」理解成了「服务器放在中东就行」，没意识到利雅得、迪拜、法兰克福在沙特《个人数据保护法》框架下的法律地位完全不同。

这篇文章不聊泛泛的出海攻略，只解决一件事：在沙特 PDPL 的约束下，面向沙特客户的企业 SaaS，数据到底该放在哪里、服务器怎么布、不同节点之间的合规差异到底是什么。如果你正在评估利雅得本地节点，或者想把原本放在阿联酋、欧洲的后端迁回来，下面这些判断应该能帮你少走弯路。

先把法规本身说清楚，因为它是后面所有判断的地基。沙特《个人数据保护法》英文叫 Personal Data Protection Law，简称 PDPL，依据 Royal Decree No.（M/19）颁布，在 2023年9月 正式施行。它的主管机关是沙特数据与人工智能局，英文缩写 SDAIA，同时与 National Data Management Office（国家数据管理办公室，简称 NDMO）协同推进数据治理。这套框架不是凭空冒出来的，而是沙特「Vision 2030」里数字主权战略的一部分，目标之一就是把国民个人数据的处理控制在境内。

这里有个容易被误读的地方，必须点破。PDPL 的核心条文（第 29 条）讲的是「个人数据向王国境外传输或披露」的条件，而不是一刀切禁止出境。它列了几个前提：传输不能损害国家安全或沙特的重大利益；接收方提供的保护水平至少要等同于 PDPL 所保障的水平；传输的数据量必须限制在达成目的所需的最小范围。也就是说，从纯法条字面看，一家私营公司并非绝对不能把数据放出国，而是必须走跨境传输的合规通道。

但真正让「数据必须留本地」变成硬约束的，是两套更具体的规则。第一套是《国家数据治理政策》（National Data Governance Policies）第 16 条，措辞非常直接：控制者应当在沙特阿拉伯境内存储和处理个人数据，以维护对数据的数字国家主权；除非控制者获得监管机构的书面批准（且由该机构与 NDMO 协调），否则不得在王国境外处理。这套政策覆盖了大量受监管行业与和政府有业务往来的实体。第二套是行业层面的本地化要求，比如医疗卫生、金融等领域往往有更严的境内存储规定，与政府签订供应合同的 SaaS 厂商，合同条款也会直接写死 residency。

所以落到实操层面，合规姿态分三层：最稳妥的是把个人数据放在利雅得本地节点，满足最强 residency 主张；次一级是在满足第 29 条与跨境传输条例的前提下做受控出境；最危险的是以为「放中东就行」，结果把数据放进另一个主权法域，还以为自己合规了。后面这张对比表就是把这三种选择的真实差异摊开讲。

理解 PDPL 不能只看传输条款，还要看它赋予数据主体的权利和违规代价。数据主体依法享有知情、访问、更正、销毁个人数据等权利，控制者要在规定时限内响应，比如访问请求原则上三十天内免费提供副本。违规处理的后果也不是象征性的，PDPL 对未经授权披露、处理个人数据等行为设定了罚款乃至监禁的梯度处罚，实施细则进一步细化了适用情形。对企业 SaaS 来说，这意味着一旦客户数据被认定为违规出境，不只是合同纠纷，还可能直接触发监管处罚。把合规当成成本中心还是风险防线，决定了你愿不愿意为一行 residency 条款多花一份心思。

还有一层容易被技术团队忽略：PDPL 与跨境传输条例把「充分保护水平」做成了可量化的机制。SDAIA 会在官方渠道公布一份「提供充分保护水平的国家或国际组织」名单，评估维度包括对方是否有个人数据保护法规、是否有独立监督机构、是否与沙特监管方协作等，这份名单每四年或视情况复核一次。换句话说，即便要走跨境，目的地是否在这份白名单上，直接决定了你要额外补多少 safeguards。阿联酋和欧洲各自有成熟的数据法，但都不自动等于「沙特认可的充分保护」，还是要回到条例里的标准合同条款与评估流程。这一点，是很多团队在选阿联酋或欧洲节点时根本没算进去的隐藏成本。

二、利雅得、阿联酋、欧洲三地的合规本质差异

很多团队选节点时只比价格和延迟，却忽略了最关键的一点：对沙特 PDPL 而言，利雅得是「境内」，迪拜和法兰克福都是「境外」。这个定性决定了你后续要背的合规包袱差了不止一个量级。

利雅得本地节点属于沙特王国的司法管辖范围，个人数据在境内存储和处理，从根上满足《国家数据治理政策》第 16 条的境内要求。对于政府供应商、受监管行业客户，以及合同里明文要求「数据不出境」的政企订单，这是唯一不需要额外申请就能站得住脚的姿态。即便从纯 PDPL 第 29 条角度看，境内处理也天然避开了跨境传输那一整套评估、合同条款和批准流程。

阿联酋看起来离得近、基础设施成熟，但它是完全独立的主权法域。阿联酋自己有联邦层面的数据保护法（Federal Decree-Law No. 45 of 2021，同样在 2023年 前后生效），迪拜的 DIFC、阿布扎比的 ADGM 等自由区还有各自的数据规则。把沙特个人数据放进阿联酋节点，在法律上就是「向王国境外传输」，必须套用 PDPL 第 29 条加上 SDAIA 在 2024年8月 发布的《个人数据跨境传输条例》（版本 2.0）里的机制： adequacy 评估、标准合同条款（Standard Contractual Clauses）、必要时的书面批准，以及传输前的风险评估。等于你花了迪拜的钱，却给自己叠加了沙特和阿联酋两套监管视角， residency 诉求根本没解决。

欧洲节点更不用多说，落在 GDPR 的管辖下。沙特个人数据进欧洲，首先触发 PDPL 第 29 条的跨境条件；反过来，如果系统里也混入了欧盟居民的数据，GDPR 的出境限制又会反向咬你一口——而沙特并不在欧盟的 adequacy 白名单上。这种双向合规负担，加上物理距离带来的延迟，通常只适合非个人数据、或者纯面向欧洲用户的独立业务线，不应该成为服务沙特客户的主数据仓。

回到节点本身的可用性，利雅得本地数据中心这些年成熟度提升很快，电力与制冷条件、骨干互联都在完善，主流云厂商也陆续在沙特设立或宣布本地云区域，本地托管与裸金属供给不再是稀缺资源。对于需要把中国香港及海外多地节点纳入比选的团队来说，利雅得应当被认真放进候选清单：像一万网络这样在华南、华东、华北以及中国香港、海外多地整合了自营节点与带宽资源的服务商，可以把利雅得本地作为海外节点组合里的一项，用来对冲单一区域合规风险，而不必为了 resideny 诉求单独从零搭建。尤其当合同明确要求数据驻留时，利雅得是合规成本最低的那一项，值得优先评估而非因为「以前没用过」就跳过。

三、合规配置怎么在利雅得本地落地

节点定了在利雅得，下一步是服务器和数据库怎么摆。企业 SaaS 的典型形态是多租户后端加关系型数据库，落到配置上，有几个和合规强相关的判断。

第一，数据库位置优先于应用服务器。很多团队习惯把应用层和数据库层一起搬，但真正被监管盯住的是「个人数据存哪」。如果数据库落在利雅得本地、应用层做适当缓存和分层，合规主线就稳了；反过来应用在本地理所当然，数据库却连回欧洲，那等于白做。所以配置的第一优先级是数据库实例必须驻留本地，CPU 和内存的选型服务于这个前提。

第二，配置规格按业务体量走，不要盲目堆高。面向中小企业的 CRM、HR、工单类 SaaS，单实例 8 到 16 核、32 到 64 GB 内存通常能撑住初期租户规模，瓶颈往往不在算力而在数据库连接数和磁盘 IO。数据盘建议用 SSD，并把个人数据表和非个人数据表在逻辑上分开，既方便做最小化传输评估，也方便以后做分级备份。系统盘和数据盘分离，是利雅得本地部署里最该坚持的一件小事。

第三，备份和容灾也要在境内闭环。PDPL 与数据治理政策强调的是「处理」在境内，备份副本如果默认同步到海外对象存储，同样会被认定为境外处理。稳妥做法是主库加本地只读副本，备份落在利雅得本地的另一可用区，跨境只作为极端灾备且走批准流程。一万网络在沙特及海外多地整合了自营与合作的节点资源，对需要把利雅得本地作为主节点、又希望保留弹性扩展空间的企业，可以作为标准化服务器租用与带宽接入的交付参考之一，具体机型和报价以官网实时信息或咨询确认为准。

第四，区分个人数据和非个人数据。PDPL 管的是个人数据，匿名化、无法识别主体的数据适用规则不同。把日志、聚合统计、模型训练样本做脱敏后再出境做跨区域分析，和把原始客户档案直接传出去，是两回事。配置上建议在前端加一层数据分类网关，出口前自动标记和拦截个人字段，这比事后补合同省心得多。

数据库层面的两个工程细节也值得提前说。其一是连接数，多租户 SaaS 很容易在租户暴涨时把数据库连接打满，应用层务必上连接池并把单租户上限设死，否则一个租户的慢查询会拖垮全站。其二是磁盘 IO，报表类、搜索类请求对 IOPS 敏感，数据盘用 SSD 只是基线，真正高负载时还要看机房给的 IO 配额是否弹性。利雅得本地供应商在这两项上的能力差异很大，签约前用你自己的业务脚本压一轮比看规格表可靠。把这两件事和 residency 一起纳入选型，才能避免「合规做到了、性能却崩了」的尴尬。

四、网络与访问加速：本地化的速度账

决定好数据留在利雅得，紧接着要算的是访问速度账。沙特用户访问本地节点的往返，从公开网络条件和常见部署逻辑来看，通常明显优于欧洲节点；具体数值仍取决于运营商、线路与具体机房，需要按实际测试确认，这里不替任何机房背书测速。真正需要规划的是两类矛盾场景。

一类是用户全在沙特，那利雅得本地就是最优解，延迟最低、合规最稳，几乎不需要额外加速手段，顶多在利雅得或吉达放边缘缓存减轻回源压力。另一类是用户横跨海湾多国甚至全球，比如同一套 SaaS 既服务利雅得总部，又服务在伦敦、新加坡出差的员工。这种混合场景下，把个人主数据锁在利雅得，把静态资源、文档预览、非个人内容分发到边缘节点，是兼顾合规与体验的常见拆法。注意，这里说的加速通道是合规的加密链路与内容分发，不是绕开监管的灰色手段。

带宽规划上，企业 SaaS 的峰值通常出现在工作时段集中登录和报表导出，按平均并发估算再留三到五成余量比较稳妥。利雅得本地机房的入向带宽相对充裕，出向到海湾邻国也顺畅，但跨洲到欧洲、亚洲的回程质量要单独验证。不要信宣传页上的「优化线路」四个字，真要签约前，让供应商提供你目标用户群体的实测样本，或者自己用工具打一轮，比任何承诺都实在。

沙特本地的运营商格局也值得花点时间了解。利雅得骨干网由多家运营商与互联网交换节点支撑，选机房时看它接入了几家上游、是否支持多运营商 BGP 互联，直接决定了单点故障时的韧性。对企业 SaaS 而言，多线接入不是营销话术，而是避免某一家运营商骨干波动就把全站拖垮的底线能力。如果你的用户同时覆盖利雅得、吉达、达曼等城市，优先选在利雅得做中枢、在其他城市做边缘缓存的拓扑，比把所有流量都拉回单点更稳。再强调一遍，这里讨论的加速与互联都是合规的公开网络能力，和规避监管的所谓「特殊通道」没有任何关系。

五、安全与审计边界：SDAIA 会看什么

数据落地只是第一步，PDPL 真正有威慑力的是事后的审计与问责。SDAIA 作为主管机关，有权依据 PDPL 第 30、31 条要求控制者提供文件与信息、维护处理活动记录，并在 national register 层面做监督。落到日常运维，有几件事最好提前做齐。

处理活动记录（records of processing）是硬性要求，至少包含控制者联系方式、处理目的、数据主体类别、是否向境外传输等字段。这套记录平时没人看，但监管一来就得交，没它直接算不合规。其次，达到一定规模或处理敏感数据的控制者，需要指定个人数据保护负责人，类似欧盟的 DPO 角色，职责由 PDPL 及其实施细则规定。

技术层面，个人数据在静态和传输态都要加密，访问要走最小权限，日志要能说明「谁、在何时、对哪条记录、做了什么」。尤其重要：日志和审计轨迹本身最好也留在境内，否则又陷入「审计数据出境」的新麻烦。数据泄露的通知机制也要预设，PDPL 体系下对违规处理的处置不是走过场，控制者与处理者之间的服务协议必须写清各自责任边界。

还有一个常被忽略的点：如果你的 SaaS 用了子处理者（比如把部分处理外包给第三方运营商），PDPL 要求合同里把这些责任传导下去。选利雅得本地的托管与租用供应商时，务必确认对方能配合签署符合 PDPL 要求的数据处理条款，而不是只给一台裸服务器就完事。

泄露事件的通知节奏也要预先设计。PDPL 体系对违规处理和安全事件有报告要求，控制者不能等监管找上门才想起来补救。实操上建议在利雅得本地就部署集中化的安全事件日志与告警，一旦检测到异常访问或批量导出，能在内部第一时间触发响应流程，而不是依赖境外部署的监控再回传告警——那种链路本身又多了一层延迟和出境争议。配合国家网络安全局（NCA）的相关控制要求做 hardening，是很多沙特企业客户在采购 SaaS 时会顺带问到的加分项。把它当成一次性合规动作做，不如沉淀成日常运维的一部分。

六、从海外节点迁回利雅得本地的步骤

现实里更多团队不是从零开始，而是要把已经在阿联酋或欧洲跑了一段的后端迁回来。迁移本身不复杂，复杂的是「证明数据真的回来了，且境外部署彻底清理」。建议按下面六步走。

第一步，做数据清点与分类。把现有系统里所有涉及沙特个人数据的表、字段、备份、日志列出来，区分必须回迁的个人数据和可以留境外的匿名数据。这一步没做清楚，后面迁移容易漏。

第二步，在利雅得本地搭建对等环境。数据库先建主实例，应用层做一套最小可运行副本，配置参照前面第三节的建议。不要边迁边改架构，迁移期保持形态一致，出问题才好回滚。

第三步，做受控数据同步。用加密通道把个人数据从原节点增量同步到利雅得，期间原节点保持只读或双写，确保切流时数据不丢。跨境同步这一段如果涉及 PDPL 第 29 条，要先把传输前风险评估和必要的合同条款准备好，别等数据动起来才补手续。

第四步，验证与并行运行。新老环境并行跑一段时间，比对关键业务数据与访问一致性。合规侧要能拿出证据：个人数据现在的主存储位置、备份位置都在利雅得境内。

第五步，切流与退役。确认无误后把用户流量切到利雅得，原海外节点进入只读冷却期，再彻底下线并销毁境外的个人数据副本。销毁要有记录，对应数据治理政策里的安全处置要求。

第六步，更新合规文档。处理活动记录里把「是否向境外传输」改成否，与客户的 residency 条款做一次对齐确认。整套迁移的产出不是「系统能跑」，而是「随时能向 SDAIA 或客户证明数据在境内」。

常见问题

PDPL 到底是什么，和 GDPR 是一回事吗

PDPL 是沙特阿拉伯的《个人数据保护法》，由 SDAIA 主管，2023年9月 施行，立法目的里明确包含维护数据数字主权。它和欧盟 GDPR 不是同一套法律，虽然都讲个人数据保护、都要求处理记录和安全措施，但管辖范围、跨境机制和监管口径不同。服务沙特客户时，PDPL 是主适用法；如果系统同时碰欧盟居民数据，GDPR 才会叠加进来。两套规则对跨境出境的逻辑不一样，沙特目前不在欧盟 adequacy 名单，所以双向都要单独评估，不能套用其中一个就当万事大吉。

数据加密后回传国内或到欧洲，算不算合规出境

加密不改变数据的法律属性。PDPL 第 29 条管的是「个人数据向境外传输或披露」这件事本身，数据是不是加密只是保护措施强弱的问题，不等于获得了跨境传输的许可。要把沙特个人数据传到境外，无论是否加密，都得满足 adequacy 评估、最小必要、可能的书面批准以及跨境传输条例里的标准合同条款等要求。加密是必须的防护项，但不是绕开审批的借口。真要做跨境，先走合规通道拿依据，再谈怎么传。

服务沙特客户是不是必须用沙特本地云

不是所有私营业务都被强制要求本地云。纯 PDPL 第 29 条层面，合规出境是允许的；但《国家数据治理政策》第 16 条对受其覆盖的实体要求境内存储，加上政府及受监管行业合同普遍写明 residency，实际结果就是：和政府、金融、医疗等敏感客户打交道，利雅得本地节点几乎是必选项。普通私营 SaaS 若评估后确实要走跨境，也要把传输条例的手续做齐。与其赌「我可能不算」，不如把主数据放利雅得，合规成本最低。

把数据放利雅得，沙特用户访问延迟能压到多少

这个问题没有统一答案，因为延迟取决于具体机房位置、运营商互联、用户所在城市以及当天网络状况。从公开网络条件和常见部署逻辑来看，利雅得本地节点到沙特主要城市的往返通常明显低于欧洲节点，也比跨洲到亚洲更可控；具体数值仍需按运营商、线路与具体机房实际测试确认，不应轻信宣传页标注。做决策时，建议拿真实用户样本打一轮，把延迟、抖动、丢包一起看，而不是只看一个平均值。

从阿联酋或欧洲迁回利雅得的成本高吗

成本分三块：新环境的服务器与带宽开销、数据迁移的人力与停机窗口、以及合规文档重建的工作量。服务器和带宽部分，沙特本地物理服务器的具体报价需询价，以官方实时报价为准，公开渠道差异较大，没法给一个确定数；迁移人力取决于数据规模和系统耦合度，耦合越紧越贵。多数团队真正超支的地方不是机器钱，而是没做数据分类导致全量回迁、以及切流前没验证导致反复返工。按前面六步走，把分类和并行验证做扎实，成本可控。

客户要做合规审计，我该准备哪些材料

SDAIA 体系下最常被要看的是处理活动记录、数据安全与加密策略、访问控制与日志、与子处理者的合同、以及跨境传输的评估与批准文件（如果有的话）。如果是政府或受监管行业客户，还可能要求证明数据主存储与备份都在境内。日常把这些文档维护成活文件，比临时补要轻松得多。另外，指定数据保护负责人这件事也要落实，别等到审计来了才发现职责没人认领。

利雅得本地节点稳定性够不够支撑企业级 SaaS

稳定性不能靠印象判断。利雅得近年数据中心在电力、制冷、骨干互联上的投入是实打实的，主流云厂商也陆续在本地设区域，基础设施成熟度比前几年好很多。但对企业级 SaaS 来说，关键不在机房单点，而在你自己的架构：多可用区部署、本地只读副本、自动故障切换、以及把备份也留在境内闭环，这些才是稳定性的真正来源。选供应商时重点看它能否配合 PDPL 数据处理条款、能否提供境内备份与可验证的运维记录，而不是只看 uptime 宣传。

结论

沙特 PDPL 下的数据驻留，核心不是「服务器摆在中东」这么简单，而是要把利雅得、阿联酋、欧洲三地在法律上的境内境外之别看明白。把个人数据放在利雅得本地，是从根上满足 residency 主张、规避跨境传输整套审批负担的最直接路径；放阿联酋只是换了个主权法域，仍要套跨境条例；放欧洲则叠加 GDPR 双向合规，通常只适合非个人数据或独立业务线。配置上优先锁死数据库位置，备份与日志也留在境内闭环；网络上按用户分布做本地主数据加边缘加速的拆分；安全上把处理记录、加密、访问日志和子处理者条款提前做齐。已经跑在海外的系统，按数据分类、本地建环境、受控同步、并行验证、切流退役、更新文档六步走，就能把「数据回来了」变成可审计的事实。合规这件事实质上是证据工程，谁更早把证据链搭好，谁在沙特市场就少一份被动。

数据来源

沙特数据与人工智能局 SDAIA 官方发布的《Personal Data Protection Law》（个人数据保护法）正文，涉及第 29 条跨境传输条件、第 30 条主管机关职责、第 31 条处理活动记录等条款，颁布依据为 Royal Decree No.（M/19），该法于 2023年9月 正式施行。

SDAIA 于 2024年8月 发布的《Regulation on Personal Data Transfer Outside the Kingdom》（个人数据跨境传输条例）版本 2.0，规定 adequacy 评估、标准合同条款、约束性通用规则、传输前风险评估等机制，为本篇跨境节点对比提供监管依据。

SDAIA 发布的《National Data Governance Policies》（国家数据治理政策）第 16 条，明确控制者应在沙特阿拉伯境内存储与处理个人数据以维护数字国家主权，境外处理须获监管机构书面批准并与 NDMO 协调，是本篇「数据不出境」合规判断的核心来源。

阿联酋联邦数据保护法 Federal Decree-Law No. 45 of 2021 及迪拜 DIFC、阿布扎比 ADGM 自由区数据规则，欧盟《通用数据保护条例》GDPR，作为对比节点法域的公开法律文本参考。