Obligatorio “No soy abogado, ni nada de esto es asesoramiento legal”. 
Sí, y nos llevó meses resolverlo (valió la pena).
El equipo de Discourse fue excepcionalmente paciente con nosotros e hizo una serie de mejoras. Por ejemplo, la lista de subprocesadores es ahora significativamente más detallada, informándonos de qué servicio se utiliza dónde. Cualquiera de los subprocesadores que no nos gustan, simplemente lo deshabilitamos en nuestra instancia.
En última instancia, nuestra instancia está alojada en la UE y actualmente solo utilizamos CDN europeos. Desafortunadamente, los usuarios en China no pueden recuperar este contenido, por lo que podríamos necesitar abrirnos a CDN de todo el mundo. Los usuarios de otros países no pertenecientes a la UE no tienen problemas para acceder a las CDN europeas.
En términos de GDPR, nuestra política es algo así como “Cualquier transferencia a un país que no sea un estado miembro de la Unión Europea o un estado que sea parte del acuerdo sobre el Espacio Económico Europeo requiere el consentimiento previo por escrito del Cliente y solo puede realizarse si se cumplen los requisitos especiales del artículo 44 del GDPR”.
Tenemos un par de cláusulas como esta, que entiendo que significan “Si no estás almacenando datos en la UE, pero cumple con los estándares de la UE, entonces está bien”.