Dokumente tragen die Daten, die man einer Aufsichtsbehörde am wenigsten erklären möchte: Namen, Adressen, Beträge, manchmal Gesundheits- oder Beschäftigungsdaten. „In der EU gehostet“ verdient deshalb mehr als ein Fähnchen auf der Preisseite. Hier die vollständige Komponentenliste.
| Komponente | Wo | Was sie hält |
|---|---|---|
| Datenbank, Authentifizierung, Schriften | Frankfurt | Konten, Vorlagen, Render-Metadaten |
| Rendering | Frankfurt | Dokumente im Arbeitsspeicher während des Renderings, nichts Dauerhaftes |
| Ausgabespeicher und CDN | Cloudflare R2, EU-Jurisdiktion | gerenderte Dateien bis zum Ablauf |
| Bibliotheks- und Vorlagendateien | Cloudflare R2, EU-Jurisdiktion | Uploads der Dateibibliothek, Logos des Brand Kits, Word- und PowerPoint-Vorlagen |
| API-Gateway | Cloudflare-Edge, nahe am Aufrufer | Anfrageverarbeitung, keine Nutzlasten; kurzlebige Caches für Schlüssel-Metadaten und Vorlagenversionen, idempotente Antworten einen Tag |
| Resend, USA, Standardvertragsklauseln | Empfängeradresse und Mailtext | |
| Abrechnung | Stripe | Rechnungskontakt, Rechnungen, Zahlungsdaten |
| Fehler und Verfügbarkeit | Sentry EU-Region, Better Stack | Traces ohne Dokumentinhalt |
Gerenderte Dokumente verlassen die EU nur, wenn ein Workspace sie in einen eigenen Bucket kopiert. Ein Teil ist nicht an die EU gebunden: Das Gateway läuft auf Cloudflares Edge, kann also nahe an einem Aufrufer außerhalb der EU ausgeführt werden; es leitet nach Frankfurt weiter, speichert keine Nutzlast und hält nur kurzlebige Caches im globalen Key-Value-Speicher von Cloudflare. Konto-Mails und Zahlungsdaten gehen unter Standardvertragsklauseln an Verarbeiter in den USA, und das ist die ehrliche Antwort statt der Behauptung, es sei überhaupt kein Drittland beteiligt.
Der Endpunkt sagt es
Der dokumentierte Host ist api-eu.formfeed.dev. Der Alias api.formfeed.dev und
api-us.formfeed.dev, der für eine spätere US-Region reserviert ist, erreichen dasselbe Gateway, und
das nimmt keine Region aus dem Hostnamen: Ein Rendering läuft in der Region des Workspace, zu dem der
Schlüssel gehört, und jeder Workspace liegt in der EU. Jede Render-Antwort sagt, wo sie entstanden
ist, im Feld region und im Header X-Render-Region, und GET /v1/account nennt die Region des
Workspace. Genau das ist der Punkt: Wo ein Dokument gerendert wird, ist eine Eigenschaft des
Workspace, die Sie nachlesen können, nicht eines Hostnamens, den ein Aufrufer falsch schreiben kann.
Lassen Sie das Feld region in der Anfrage weg; die EU ist die einzige Region, die rendert.
Aufbewahrung in Ihrer Hand
Ausgaben laufen mit der Aufbewahrungsdauer des Plans ab, oder früher, wo die Einstellung des
Workspace oder das expires_in einer Anfrage es sagt, und ein Lösch-Endpunkt entfernt sie sofort.
Einträge im Render-Protokoll behalten Metadaten, nie das Dokument, 13 Monate lang; das macht
Abrechnung und Support erst möglich. Anfrage-Nutzlasten werden nur gespeichert, wenn ein Workspace das aktiviert. Das Löschen einer
Organisation entfernt ihre Daten innerhalb von dreißig Tagen und Backups innerhalb weiterer dreißig.
Papier für die Rechtsabteilung
Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO gehört zu jedem bezahlten Plan und ist für kostenlose Workspaces auf Anfrage erhältlich. Die Liste der Unterauftragsverarbeiter ist eine Seite mit Änderungsbenachrichtigung, kein Satz in den Bedingungen. Die Sicherheitsseite beschreibt die Maßnahmen: Verschlüsselung bei Übertragung und Speicherung, minimale Rechte im Render-Pfad, zeilenbasierte Isolation je Workspace in der Datenbank sowie signierte, ablaufende Download-URLs.
Warum zum Start nur die EU
Weil eine zweite Region kein Häkchen ist. Sie ist eine weitere Datenbank, ein weiterer Speicher, eine weitere Render-Flotte und eine Routing-Regel, die jedes Mal stimmen muss. Eine US-Region in Ashburn ist geplant, für dann, wenn sie sich ordentlich machen lässt; ein Datum hat sie noch nicht. Bis dahin: eine Region, dokumentiert, mit dem Endpunkt, der es belegt.