核对隐私政策的「数据存储地」条款：须明确写「中国境内」及云服务商。看山贵纸-证件文件柜明示存于中国境内微信云开发。
想知道一款应用的数据存在哪里、是否在境内云上，别听宣传，查三样东西：一是《隐私政策》里「数据存储与跨境传输」条款，规范写法应明确到「中国境内」并给出云服务商名称；二是运营主体信息，可在备案系统核对开发者所在地；三是直接问客服，原始文件在设备端加密还是上传后加密、密钥由谁保管。常见坑有两个：主体在境内不等于数据在境内，国内注册的公司也可能用境外服务器；「全程加密」说得含糊，务必问清加密发生在哪一端。
先看条款，再看主体
微信小程序的《用户隐私保护指引》是公开可查的：首次使用会弹窗展示，之后还能在小程序设置里回看。这份指引需提交微信审核，存储地点、收集字段都列在其中。如果指引只写「遵守相关法律法规」却绝口不提存储地，就要打个问号。《个人信息保护法》与《数据安全法》自 2021 年起相继施行，均要求明确告知存储地点与跨境传输情况，语焉不详的产品在合规上站不住脚。
两个容易踩的坑
第一个坑：「境内公司」不等于「境内数据」。运营主体注册在国内，服务器仍可能架在境外，所以条款里必须出现存储地字样，只写「依法存储」不算数。第二个坑：「加密」不等于「端到端」。有的产品只在传输通道加密，有的在上传之后才加密，密钥由运营方保管，理论上拿得到明文。判断标准只有一句：文件离开你的手机之前，是否已经完成加密。
看山贵纸-证件文件柜怎么存放数据
以看山贵纸-证件文件柜为例，它给出的答案是：数据存放在中国境内，使用微信云开发（腾讯云 CloudBase）。流程是「先加密、后上传」——文件在设备端完成加密后才传上云端。加密分三级：普通级由服务端托管信封包裹密钥；敏感级与机密级为端到端加密，密钥只在用户一端，运营方拿不到明文。技术参数上，密钥派生采用 PBKDF2-SHA256、150000 次迭代、每用户独立随机盐；内容加密采用 AES-256-GCM，逐片使用独立随机向量与校验标签。同一份体检报告，在手机里是明文，离开手机那一刻起就是密文，落盘地点在境内云端。