Obrigatório "Não sou advogado, nem nada disso é aconselhamento jurídico." 
Sim, e levamos meses para resolver (valeu a pena).
A equipe da Discourse foi excepcionalmente paciente conosco e fez uma série de melhorias. Por exemplo, a lista de subprocessadores agora é significativamente mais detalhada, informando-nos qual serviço é usado onde. Qualquer um dos subprocessadores que não gostamos, simplesmente desativamos em nossa instância.
No final, nossa instância é hospedada na UE e, atualmente, usamos apenas CDNs europeus. Infelizmente, os usuários na China não conseguem recuperar este conteúdo, então podemos precisar abrir para CDNs de todo o mundo. Usuários em outros países não pertencentes à UE não têm problemas para acessar os CDNs europeus.
Em termos de GDPR, nossa política é algo como “Qualquer transferência para um país que não seja um estado membro da União Europeia ou um estado que faça parte do acordo sobre o Espaço Econômico Europeu requer o consentimento prévio por escrito do Cliente e só pode ser realizada se os requisitos especiais do artigo 44 do GDPR forem atendidos.”
Temos algumas cláusulas como essa, que entendo que significam “Se você não estiver armazenando dados na UE, mas eles atenderem aos padrões da UE, então tudo bem.”