开发合作方选在亚美尼亚或格鲁吉亚而不是波兰：欧盟金融科技公司在 GDPR、DORA 和合同上要面对哪些变化

对欧盟的金融科技公司来说，亚美尼亚或格鲁吉亚的开发公司，比波兰的公司需要在合同上多做一些工作。如果它的工程师能看到个人数据，合同里就需要一种传输工具，例如标准合同条款，而争议解决条款应当能得到一个在当地可以执行的裁决。如果你受 DORA 约束，而这项服务支持关键或重要职能，风险评估还必须考虑该国的数据保护和法律执行情况。工程核查、制裁筛查、代码所有权和大部分合同条款，与在波兰时一样。

与波兰的公司相比，哪些会变，哪些不变？

波兰在欧盟之内，亚美尼亚和格鲁吉亚不在。大部分差别都由此而来：

• 数据：如果埃里温或第比利斯某家公司的工程师能看到你客户的个人数据，这种访问就算作向欧盟以外传输数据。从华沙访问则不算
• DORA：对于支持关键或重要职能的服务，欧盟以外的提供方会让你的风险评估多出两个问题，一个关于数据保护，一个关于该国的法律能否得到有效执行
• 争议：另一个欧盟国家法院的判决，在波兰按欧盟规则得到承认。在亚美尼亚和格鲁吉亚，仲裁裁决比法院判决更容易执行
• 登记簿：欧洲电子司法门户（e-Justice）可以在一个地方检索波兰和其他欧盟国家的企业登记簿。亚美尼亚和格鲁吉亚的公司登记在各自的国家登记簿里，部分内容是亚美尼亚文或格鲁吉亚文

其余的事情与国家无关：见一见实际干活的工程师、以书面形式把代码转让给你的公司、以你公司的名义开设代码仓库和云账户、对这家公司及其所有者做制裁筛查，以及 DORA 列出的大部分合同条款。

我们和埃里温或第比利斯的团队有多少共同的工作时间？

根据 IANA 时区数据库，亚美尼亚和格鲁吉亚全年都使用 UTC+4。欧盟国家在 3 月的最后一个星期日把时钟拨快，在 10 月的最后一个星期日拨回。因此，埃里温和第比利斯冬季比法兰克福、巴黎和华沙快三个小时，夏季快两个小时。

如果双方都是早 9 点到晚 6 点上班，埃里温的团队与法兰克福冬季有六个小时的共同办公时间，夏季有七个小时。与伦敦则是冬季五个小时、夏季六个小时。把每天的例会、代码评审和发布安排在这个时间窗口里，并把共同的工作时间写进合同。

签约之前，通过视频通话听一听工程师和日常负责推进工作的人用你团队的工作语言交流。

如果工程师只是从埃里温登录系统，这算数据传输吗？

算，只要他们能看到个人数据。欧洲数据保护委员会（European Data Protection Board）汇集了欧盟各国的数据保护机构，它在第 05/2021 号指南中写道：只要满足指南规定的三项传输标准，“从第三国进行的远程访问（即便只是在屏幕上显示个人数据，例如在支持、故障排查或管理的场景下）”同样算作传输。如果工程师受雇于另一家公司，例如你的开发合作方，这些标准就满足了。

要把传输压到最少，最简单的办法是让个人数据远离工程师：使用测试数据和脱敏副本，只在需要时开放生产环境访问并留下记录。关于在数据不外流的前提下外包 AI 开发的文章介绍了这种做法。

充分性认定让个人数据无需额外保障即可流向某个国家。截至 2026 年 10 月 26 日，欧盟委员会的充分性认定清单中既没有亚美尼亚，也没有格鲁吉亚。对这两个国家，常用的工具是标准合同条款，即欧盟委员会于 2021 年 6 月 4 日通过的现成合同条款。

如果开发公司按照你的指示处理你的数据，适用的是条款中的模块 2，即从控制者向处理者的传输。如果你的金融科技公司本身是在为企业客户处理这些数据，适用的则是模块 3，即从处理者向处理者的传输。欧盟委员会关于这些条款的问答说，使用模块 2 时你“无需另行签订数据处理协议”，因为它已经包含 GDPR 第 28 条要求的条款。条款文本不得修改，只能选择模块和选项、填写附件以及增加保障措施。

签约之前，双方必须评估“第三国目的地的法律和实践”是否可能妨碍这家公司遵守这些条款。这份问答还列出了需要考察的内容，例如数据的类别和格式，以及处理链条的长度。

英国的金融科技公司则适用英国 GDPR。英国的充分性规则把波兰作为欧洲经济区的一部分涵盖在内，但不涵盖亚美尼亚和格鲁吉亚。向这两个国家传输数据时，英国信息专员办公室（ICO）列出的是国际数据传输协议（IDTA）和国际数据传输附录（附加在欧盟条款之上），同时还要求做传输风险评估。

提供方在欧盟以外时，DORA 有哪些要求？

DORA，即欧盟《数字运营韧性法案》，自 2025 年 1 月 17 日起适用。它涵盖银行、支付机构和电子货币机构、投资公司、加密资产服务提供商、交易场所以及其他金融实体。它的规则适用于 ICT 服务，这是该法规对技术服务的称呼。一份开发合同是否算 ICT 服务，取决于其中包含什么，例如上线后的支持、维护或托管，所以先问问你的合规团队。

如果算，按照第 28 条的说法，你仍对自己在 DORA 下的义务“负全部责任”，并要把这份合同记入你的信息登记册，也就是 DORA 要求的 ICT 合同记录。第 30 条列出了每份此类合同必须具备的条款，其中包括提供服务和处理数据的国家、变更这些地点之前的提前通知，以及在提供方出问题或合同终止时返还你的数据。波兰的公司同样必须接受这些条款。

差别在于风险评估的一部分，即针对支持关键或重要职能的服务所做的评估，这类职能一旦出故障，就会严重损害你的业务或合规。对任何这类提供方，第 29 条都要求你考虑将适用的破产规则，以及对“金融实体数据的紧急恢复”可能存在的任何限制。对亚美尼亚或格鲁吉亚的公司来说，适用的是亚美尼亚或格鲁吉亚的规则。对于“设立在第三国”的提供方，该条还要求考虑“对欧盟数据保护规则的遵守情况以及该第三国法律的有效执行”。

问这家公司：它的人员和服务器将在哪里处理你的系统；如果它不再为你工作，你如何拿回自己的代码和数据。再问你的律师：对你有利的裁决能否在那里执行。无论提供方在哪里，这类服务的合同还需要审计和访问权，以及带过渡期的退出策略。

与亚美尼亚或格鲁吉亚的公司签的合同能得到执行吗？

能，前提是在签约前规划好路径。针对这家公司的裁决，必须在它的账户和财产所在地执行，通常就是它自己的国家。

仲裁裁决更容易执行。亚美尼亚、格鲁吉亚和波兰都是 1958 年《纽约公约》的缔约国，根据该公约，缔约国承认并执行在其他缔约国作出的仲裁裁决。联合国国际贸易法委员会（UNCITRAL）的现状表显示，该公约对格鲁吉亚自 1994 年起生效，对亚美尼亚自 1998 年起生效。亚美尼亚只对在另一缔约国作出的裁决、以及其本国法律视为商事的争议适用该公约。

法院判决就难一些。在欧盟内部，根据《布鲁塞尔条例 Ia》，德国或法国法院的判决在波兰无需特别程序即可得到承认。波兰还通过欧盟受 2019 年《海牙判决公约》覆盖，该公约自 2025 年 7 月 1 日起对英国适用。根据海牙国际私法会议的现状表，截至 2026 年 10 月 26 日，亚美尼亚和格鲁吉亚都不是该公约的缔约国，也不是 2005 年《海牙选择法院协议公约》的缔约国。

因此，如果公司在亚美尼亚或格鲁吉亚，就向你的律师咨询仲裁条款，把仲裁地，也就是仲裁在法律上的所在地，定在《纽约公约》缔约国。还要问清楚，你本国法院的判决在那里会被如何对待。对于关键或重要职能，这个答案正是 DORA 要求你考虑的内容之一。

与俄罗斯或白俄罗斯的公司相比，亚美尼亚或格鲁吉亚的公司有制裁风险吗？

从国家层面看，不是。截至 2026 年 10 月 26 日，欧盟制裁地图（EU Sanctions Map）显示，欧盟对俄罗斯和白俄罗斯有制裁制度，对亚美尼亚或格鲁吉亚则一个都没有。英国的制裁制度清单和美国财政部的制裁项目清单中，也没有针对亚美尼亚或格鲁吉亚的制度。

一个国家没有制裁制度，并不能证明其中任何一家公司没有问题。在欧盟金融制裁综合名单中检索这家公司、登记簿上列出的每一位所有者、董事以及收款银行；如果你是英国公司，还要检索 UK Sanctions List。在 2024 年 7 月 3 日更新的《有效实施限制性措施的最佳做法》中，欧盟理事会自“50% 或以上的所有权权益”起，就认定一个实体归被列名者所有。向这样的实体付款，原则上会被视为间接向被列名者提供资金。

还要问清楚你项目上的每位工程师在哪里工作；如果有人会在俄罗斯或白俄罗斯工作，签约前先听取制裁律师的意见。关于在东欧或高加索挑选公司的文章介绍了美国在这方面的规则。

如果你的集团里有一家美国公司，还要核查这家公司的所有者和工程师住在哪里：美国司法部的数据安全计划（Data Security Program）自 2025 年 4 月 8 日起生效，列出了六个“受关注国家”（countries of concern），其中有俄罗斯，但没有白俄罗斯、亚美尼亚或格鲁吉亚。根据该计划，美国公司只有在满足计划的安全和合规要求时，才能让在俄罗斯设立的供应商访问超过 10,000 名美国人士（US persons）的个人财务数据，人数按此前十二个月计算。这条规则同样适用于 50% 或以上股权归这类公司或主要居住在俄罗斯的人所有的非美国供应商。主要居住在俄罗斯的工程师，无论受雇于谁，也属于受管辖人员（covered person）。

我们该和哪家公司签约？怎样核实它是真实存在的？

和雇用你项目工程师的那家公司签约。如果某家公司提出用它在欧盟或美国的公司签合同，而工程师却受雇于它在亚美尼亚或格鲁吉亚的公司，就要求对方说明代码和权利如何从一家公司转到另一家，再转到你手里。

然后自己去官方登记簿里查找这家公司。在亚美尼亚，是司法部的法人登记簿，网址为 e-register.moj.am。在格鲁吉亚，是国家公共登记局的登记簿。对波兰公司，欧洲电子司法门户（e-Justice）可以检索各国的企业登记簿。关于在东欧或高加索挑选公司的文章说明了每个登记簿显示什么，以及应拿什么来比对。

真实存在的公司也可能做到一半就停工。关于不会中途消失的专属团队的文章介绍了针对这种风险的核查。上面提到的 DORA 条款在这里同样能保护你：代码在你的仓库里，数据以可用的格式返还给你，迁移期间有过渡期。

amBrain 在其中处于什么位置？

发布本博客的 amBrain 是一家位于亚美尼亚埃里温的软件工程公司，所以本文中关于亚美尼亚的部分同样适用于它。它的服务包括“交易终端开发、订单管理系统和 FIX 协议交易所对接”。它自 2019 年起开发软件，有三种合作方式：整体交付、专属团队，或工程师嵌入你的团队。

它关于所有权的说法是：“客户拥有产品与代码的全部所有权，我们的可复用组件除外。”如果 amBrain 在你的候选名单上，就像对待其他任何公司一样，向它提出上面这些问题：它是否签署标准合同条款、每位工程师在哪里工作、它是否接受第 30 条的条款，以及它所说的可复用组件具体指哪些。

本文不构成法律建议：签约之前，请律师把合同读一遍。