您好，
这对我的公司来说极其重要，因为在我们工作的领域，我们面临着非常严格的法规，强制要求我们将用户数据保留在本国境内。禁止将任何类型的云托管服务用于我们国外的服务。
我们使用 SSO 进行 Discourse 登录，并使用 Discourse 的商业计划进行托管。我担心的是，当我访问用户个人资料页面，切换到管理员视图并滚动到页面底部时；我可以看到我们不允许发送到国外的确切敏感用户数据。我对这方面不太了解，因此不明白这些信息是否会在任何时候，在 SSO 发生期间或之后被发送到国外。我将非常感谢您的任何帮助 
国外……从美国出发还是到美国？
但一般来说，在使用 SSO 时，Discourse 会从 SSO 获取姓名和电子邮件等敏感数据，无论其数据位于何处，而不是反之。
我们位于土耳其，我们的 Discourse 托管在欧盟。抱歉之前没有说明这一点。
所以，您必须遵守 GDPR？ Discourse 使用的所有 SSO 都不会违反 GDPR。但是，公司（和/或土耳其）的法规可能会改变情况。但仍然……SSO 不会传输任何敏感数据——除非知道用户正在使用您的论坛被视为敏感数据 
这是我无法理解的一点：
然而，您却有 Discourse 的商业计划。如果规定真的那么严格，您就必须自托管论坛。
什么数据？他们的电子邮件地址和IP地址？Discourse 会获取这两项信息。
关于我们的托管网站，您可以在我们的隐私政策 discourse.org/privacy 中找到有关 GDPR/数据区域性的信息。如果您对付费托管服务有任何具体问题，请随时发送私信给 @team 或发送电子邮件至 team@discourse.org，我们将很乐意为您提供帮助。
我们国家的法规（对金融行业有额外规定）规定，您不能使用云服务存储用户的敏感信息。@Jagster 所以，只要我们不存储敏感数据，就可以使用云服务。
如果只在国外存储电子邮件地址是可以的——这本身不被视为敏感信息。但是，如果我存储的电子邮件地址与用户的全名一起出现，这将被视为敏感信息，因为用户现在可以被识别为个人。我担心的是，在 SSO 用于登录后，由于我可以在平台上看到我们用户的电子邮件地址和全名，我不知道这些数据是否会发送到 Discourse 托管并存储在那里，这是否违反了我们当地的法规。
为了说明我们法规的思路：假设，例如，一个具有恶意意图的第三方能够访问位于欧盟的 Discourse 云服务器的物理硬盘。如果他们使用 SSO 登录，他们能否同时读取我们用户的全名和电子邮件？
如果您可以在 Discourse 管理员 UI 中看到这些信息，那么是的，这些信息正在 Discourse 服务器上存储。要停止 Discourse 存储这些信息，您可能需要更新您的 SSO 系统，以便它不会将敏感信息传输到 Discourse 等外部平台。
非常感谢，这正是我想要的答案。
您确定您对敏感信息的定义吗？
如果您想到上面提到的《欧盟通用数据保护条例》(GDPR) 或基于它的立法，那么快速进行一次互联网搜索可能值得 - 因为我隐约记得它与健康数据、宗教或政治信仰等有关，而不仅仅是可识别个人的数据。
实际上并非如此。
电子邮件和姓名等基本信息在欧洲不属于敏感数据。在土耳其可能算，但那里的情况有点棘手。但最重要的是要明白，您的 Discourse 没有将所需的登录数据发送到 SSO。您的 Discourse 是从 SSO 获取这些数据的。
您需要担心的只是不要将这些数据进一步出售/赠送。您可以根据需要存储它们。您存储所有用户数据的地点取决于您是否可能违反 GDPR。如果您遵守 GDPR，那么您必须确保您使用的服务（如 Google、Discourse 公司、电子邮件处理器等）都遵守 GDPR。这些公司大多都遵守。
但如前所述，电子邮件和姓名并非 GDPR 所监管的敏感信息。如果您需要，可以从用户那里收集这些信息，例如用于创建用户帐户。但您不能随意使用它们，例如电子邮件。使用受到监管。
如果您无缘无故开始收集家庭住址、工作地点，甚至婚姻状况，您就违反了 GDPR。
因此，您需要的信息，但不知何故您不喜欢它，那就是 SSO 与 GDPR 和欧盟法规完全无关。当然，您应该在安全声明中说明这一点，但仅此而已。
出于好奇，我快速搜索了一下。这是众多结果中的一个页面：IAPP 看起来土耳其的数据保护法受到了 GDPR 的启发。关于敏感数据和跨境转移的情况，看起来并不像您上面描述的那么严格。
这一点只涉及土耳其语。
如果他们有任何一个普通的欧盟用户（B2B 是另一回事），则必须遵守 GDPR，无论公司位于何处。但这也不难。而且，如果公司政策有不同的规定，但那是内部问题（如果禁止所有欧盟以外的云服务，那么他们也不能使用商业版 Discourse）。
我们需要了解发帖人的具体情况，才能做出明确的论断。
抱歉，这根本不是关于敏感信息。而是关于任何可用于识别个人的用户数据。例如，电子邮件地址可能属于任何人，或者两个人可能拥有完全相同的姓名；但将两者结合起来，您可能更容易确定某个人。我不知道您是否称之为个人数据、私有数据或只是用户数据。但这与敏感数据无关。
当你考虑 GDPR 时，这完全是同一回事。
仍然：Discourse 不会利用个人数据进行 SSO。SSO 将这些数据提供给 Discourse。你在 Discourse 上看到的是必需的。它在欧盟不受监管，而且我非常确定在土耳其也不受监管。