Alternatywa tylko UE dla AWS.

Amazon Web Services is the original public cloud - and the original Schrems II problem. The same EU regions that make AWS technically usable for European workloads do not change the parent jurisdiction: AWS Inc. is a Delaware corporation, AWS EMEA SARL is a Luxembourg subsidiary fully controlled by it, and the CLOUD Act applies to both. For audited workloads, regulated industries and any business that has had a customer ask "is your provider US-subpoenable?", the honest answer on AWS is yes. Below is the engineering-grade map for getting off it.

United States Stack zastępczy, wyłącznie UE 14 zmapowanych usług

Umów rozmowę Najpierw zeskanuj swoją domenę

Dostawca: AWS
Siedziba: Seattle, WA
Jurysdykcja: United States
Reżim prawny: CLOUD Act, FISA 702, EO 12333

"Region UE" to nie suwerenność. Decydują cztery pytania.

Rezydencja danych mówi, gdzie leżą bity. Suwerenność mówi, który system prawny może wymusić dostęp. Odpowiedź musi się bronić we wszystkich czterech punktach, inaczej stack nie jest suwerenny.

Rezydencja

Gdzie dane są fizycznie przechowywane?

Nie "w chmurze": które centrum danych, w jakim kraju, pod jaką jurysdykcją.

Podprzetwarzający

Kto jeszcze znajduje się w Państwa ścieżce danych?

Każdy dostawca dotykający danych: CDN, przekaźnik e-mail, tracker błędów, pipeline analityczny.

Jurysdykcja

Czyje prawa mogą wymusić ujawnienie?

Dostawca z siedzibą w USA podlega FISA 702 i CLOUD Act, nawet gdy dane leżą we Frankfurcie.

Depozyt kluczy

Kto faktycznie ma klucze szyfrujące?

Jeśli dostawca chmury trzyma zarówno dane, jak i klucze, może je odczytać, niezależnie od jakiejkolwiek umowy powierzenia.

Nie spełnia AWS · Azure · GCP · Region UE

Nie spełnia kryterium jurysdykcji i depozytu kluczy.

Bity w UE, spółka matka w USA, podprzetwarzający z USA w domyślnej ścieżce, klucze zarządzane przez dostawcę.

Spełnia Stack zarządzany przez Binadit

Spełnia wszystkie cztery kryteria.

Hostowane w UE na infrastrukturze z siedzibą europejską. Zero podprzetwarzających z USA w domyślnej ścieżce. Klucze klienta lub europejskiego KMS. Wymienieni z nazwy w Państwa DPA z Artykułu 28.

Dlaczego zespoły wychodzą AWS

The drivers we hear in scoping calls are consistent: a procurement gate that now demands "no third-country data processor" (NIS2, DORA, public sector), a customer audit (typically B2B enterprise or healthcare) that flagged the AWS relationship, escalating egress and bandwidth costs that look worse every quarter, or a leadership-level concern after the 2024-2025 round of EU-US transfer mechanism uncertainty. The technical lift to leave AWS is rarely the blocker it appears to be. The real friction is choreography: zero-downtime database migrations, DNS cutover, observability continuity. That is where a managed-infrastructure partner saves months.

AWS usługi i ich odpowiedniki tylko z UE

Migracja to nie "zamiana jednej skrzynki na drugą". Poniższe mapowanie jest tym, co uruchamiamy dla klientów opuszczających AWS na gruncie Schrems II: pełna jurysdykcja UE, brak amerykańskiej spółki matki w ścieżce danych.

AWS usługa	Czego używamy zamiast tego	Notatka inżynierska
EC2 (compute)	Binadit Managed Cloud Platform. Maszyny wirtualne KVM na Debianie lub Ubuntu, provisionowane za pomocą Terraform i konfigurowane za pomocą Ansible.	Dobieramy rozmiar instancji na podstawie rzeczywistego profilu obciążenia, a nie sztywnych poziomów z cennika, dzięki czemu większość migracji kończy się mniejszą liczbą lepiej wykorzystanych maszyn.
S3 (object storage)	Binadit Managed Cloud Platform. MinIO lub Ceph RGW, kompatybilne z S3.	API kompatybilne z S3 są uniwersalne; w większości przypadków kod aplikacji wymaga jedynie zmiany endpointu. Większość dostawców z UE nie pobiera opłat za egress.
RDS / Aurora (managed DB)	Binadit Managed Cloud Platform. PostgreSQL lub MySQL z Patroni do failover i pgBackRest do point-in-time recovery.	Replikacja strumieniowa umożliwia przełączenie bez przestoju. Ceny zarządzanego PostgreSQL w UE są zwykle o 30-50% niższe niż równoważny RDS.
CloudFront (CDN)	Wdrażamy i utrzymujemy dla Ciebie CDN w UE: Bunny.net lub KeyCDN, z cache'owaniem Nginx i Varnish na Twoim origin.	CDN to jedna z niewielu warstw, których nie utrzymujemy samodzielnie. Wybieramy dostawcę z UE, konfigurujemy nagłówki cache, strategię czyszczenia cache oraz origin shielding, i zarządzamy tym w ramach usługi managed.
Route 53 (DNS)	Binadit Managed Cloud Platform. PowerDNS lub Knot, autorytatywne, podpisane DNSSEC.	Strefy są eksportowane i importowane jako standardowe pliki stref, więc zazwyczaj jest to najmniej problematyczna część migracji. Obniż TTL na tydzień przed migracją.
Lambda (serverless)	Binadit Managed Cloud Platform. Knative lub OpenFaaS na Twoim klastrze Kubernetes.	Dla suwerennych wdrożeń najczystszym rozwiązaniem jest samodzielnie hostowany Knative na zasobach obliczeniowych w UE. Większość obciążeń Lambda mieści się w małym klastrze Kubernetes.
SES (email)	Binadit Managed Cloud Platform. Postfix z DKIM, SPF i DMARC, oraz Rspamd do filtrowania.	Przy wolumenie transakcyjnym poniżej 1 mln miesięcznie, prawidłowo skonfigurowany przekaźnik Postfix jest operacyjnie prostszy i tańszy niż SES.
SQS / SNS	Binadit Managed Cloud Platform. RabbitMQ, NATS lub Redis Streams, w zależności od gwarancji dostarczania.	Zarządzane brokery wiadomości są rzadkością w suwerennym środowisku UE. Standardowym wzorcem jest rozwiązanie self-managed; obsługujemy je dla klientów.
EKS (managed Kubernetes)	Binadit Managed Cloud Platform. Kubernetes na Debianie lub Talos, z siecią Cilium i cert-manager do certyfikatów.	Zarządzane K8s u dostawców europejskich oferuje pełną funkcjonalną paralelność dla 95% obciążeń.
CloudWatch / X-Ray	Binadit Managed Cloud Platform. Prometheus, Grafana, Loki i Tempo, połączone za pomocą OpenTelemetry.	Standard OpenTelemetry sprawia, że migracja jest trywialna; korzyścią operacyjną są skonsolidowane dashboardy i brak opłat za metrykę.
IAM	Binadit Managed Cloud Platform. Keycloak lub Authentik jako dostawca identity, z OIDC i SAML.	Nie istnieje odpowiednik 1:1; tożsamość międzyplatformowa jest odbudowywana przy użyciu Vault, dostawców OIDC (Keycloak) oraz ról przypisanych do poszczególnych narzędzi.
WAF / Shield	Binadit Managed Cloud Platform. Coraza lub ModSecurity z OWASP Core Rule Set, plus CrowdSec do blokowania behawioralnego.	Reguły są dostrajane na podstawie Twojego ruchu, a nie dostarczane jako domyślny zestaw, co zapobiega sytuacji, w której WAF po cichu blokuje prawdziwych klientów.
KMS	Binadit Private Infrastructure. Vault Transit do zarządzania kluczami, z kluczami wspieranymi przez HSM tam, gdzie wymaga tego reżim zgodności.	Dla scenariuszy HYOK, standardowym suwerennym wzorcem jest lokalny (on-premises) HSM w połączeniu z BYOK po stronie chmury.
Secrets Manager / SSM Parameter Store	Binadit Managed Cloud Platform. HashiCorp Vault lub Infisical, self-hosted, z automatyczną rotacją lease.	Vault na infrastrukturze UE to rozwiązanie produkcyjnej klasy. Wdrażamy je i utrzymujemy.

EC2 (compute)

Czego używamy zamiast tego: Binadit Managed Cloud Platform. Maszyny wirtualne KVM na Debianie lub Ubuntu, provisionowane za pomocą Terraform i konfigurowane za pomocą Ansible.
Notatka inżynierska: Dobieramy rozmiar instancji na podstawie rzeczywistego profilu obciążenia, a nie sztywnych poziomów z cennika, dzięki czemu większość migracji kończy się mniejszą liczbą lepiej wykorzystanych maszyn.

S3 (object storage)

Czego używamy zamiast tego: Binadit Managed Cloud Platform. MinIO lub Ceph RGW, kompatybilne z S3.
Notatka inżynierska: API kompatybilne z S3 są uniwersalne; w większości przypadków kod aplikacji wymaga jedynie zmiany endpointu. Większość dostawców z UE nie pobiera opłat za egress.

RDS / Aurora (managed DB)

Czego używamy zamiast tego: Binadit Managed Cloud Platform. PostgreSQL lub MySQL z Patroni do failover i pgBackRest do point-in-time recovery.
Notatka inżynierska: Replikacja strumieniowa umożliwia przełączenie bez przestoju. Ceny zarządzanego PostgreSQL w UE są zwykle o 30-50% niższe niż równoważny RDS.

CloudFront (CDN)

Czego używamy zamiast tego: Wdrażamy i utrzymujemy dla Ciebie CDN w UE: Bunny.net lub KeyCDN, z cache'owaniem Nginx i Varnish na Twoim origin.
Notatka inżynierska: CDN to jedna z niewielu warstw, których nie utrzymujemy samodzielnie. Wybieramy dostawcę z UE, konfigurujemy nagłówki cache, strategię czyszczenia cache oraz origin shielding, i zarządzamy tym w ramach usługi managed.

Route 53 (DNS)

Czego używamy zamiast tego: Binadit Managed Cloud Platform. PowerDNS lub Knot, autorytatywne, podpisane DNSSEC.
Notatka inżynierska: Strefy są eksportowane i importowane jako standardowe pliki stref, więc zazwyczaj jest to najmniej problematyczna część migracji. Obniż TTL na tydzień przed migracją.

Lambda (serverless)

Czego używamy zamiast tego: Binadit Managed Cloud Platform. Knative lub OpenFaaS na Twoim klastrze Kubernetes.
Notatka inżynierska: Dla suwerennych wdrożeń najczystszym rozwiązaniem jest samodzielnie hostowany Knative na zasobach obliczeniowych w UE. Większość obciążeń Lambda mieści się w małym klastrze Kubernetes.

SES (email)

Czego używamy zamiast tego: Binadit Managed Cloud Platform. Postfix z DKIM, SPF i DMARC, oraz Rspamd do filtrowania.
Notatka inżynierska: Przy wolumenie transakcyjnym poniżej 1 mln miesięcznie, prawidłowo skonfigurowany przekaźnik Postfix jest operacyjnie prostszy i tańszy niż SES.

SQS / SNS

Czego używamy zamiast tego: Binadit Managed Cloud Platform. RabbitMQ, NATS lub Redis Streams, w zależności od gwarancji dostarczania.
Notatka inżynierska: Zarządzane brokery wiadomości są rzadkością w suwerennym środowisku UE. Standardowym wzorcem jest rozwiązanie self-managed; obsługujemy je dla klientów.

EKS (managed Kubernetes)

Czego używamy zamiast tego: Binadit Managed Cloud Platform. Kubernetes na Debianie lub Talos, z siecią Cilium i cert-manager do certyfikatów.
Notatka inżynierska: Zarządzane K8s u dostawców europejskich oferuje pełną funkcjonalną paralelność dla 95% obciążeń.

CloudWatch / X-Ray

Czego używamy zamiast tego: Binadit Managed Cloud Platform. Prometheus, Grafana, Loki i Tempo, połączone za pomocą OpenTelemetry.
Notatka inżynierska: Standard OpenTelemetry sprawia, że migracja jest trywialna; korzyścią operacyjną są skonsolidowane dashboardy i brak opłat za metrykę.

IAM

Czego używamy zamiast tego: Binadit Managed Cloud Platform. Keycloak lub Authentik jako dostawca identity, z OIDC i SAML.
Notatka inżynierska: Nie istnieje odpowiednik 1:1; tożsamość międzyplatformowa jest odbudowywana przy użyciu Vault, dostawców OIDC (Keycloak) oraz ról przypisanych do poszczególnych narzędzi.

WAF / Shield

Czego używamy zamiast tego: Binadit Managed Cloud Platform. Coraza lub ModSecurity z OWASP Core Rule Set, plus CrowdSec do blokowania behawioralnego.
Notatka inżynierska: Reguły są dostrajane na podstawie Twojego ruchu, a nie dostarczane jako domyślny zestaw, co zapobiega sytuacji, w której WAF po cichu blokuje prawdziwych klientów.

KMS

Czego używamy zamiast tego: Binadit Private Infrastructure. Vault Transit do zarządzania kluczami, z kluczami wspieranymi przez HSM tam, gdzie wymaga tego reżim zgodności.
Notatka inżynierska: Dla scenariuszy HYOK, standardowym suwerennym wzorcem jest lokalny (on-premises) HSM w połączeniu z BYOK po stronie chmury.

Secrets Manager / SSM Parameter Store

Czego używamy zamiast tego: Binadit Managed Cloud Platform. HashiCorp Vault lub Infisical, self-hosted, z automatyczną rotacją lease.
Notatka inżynierska: Vault na infrastrukturze UE to rozwiązanie produkcyjnej klasy. Wdrażamy je i utrzymujemy.

Jak migrujemy z AWS

Typowa migracja segmentu mid-market przebiega w trzech fazach. Poniższe liczby zakładają zespół inżynierski 6-10 osób i umiarkowanie złożony stack aplikacyjny.

Weeks 1-2

Audit & dependency map

Inventory every AWS service in use, every IAM role, every Lambda, every cross-service call. Tag personal data flows. Output: a remediation plan with risk-ranked findings and an effort estimate per service.
Weeks 3-6

Soft dependencies & egress prep

Replace CloudFront, Route 53, SES and CloudWatch first - zero application code changes for most. Move S3 buckets behind S3-compatible EU storage with dual-write during cutover. Pre-stage replicas of RDS in EU.
Weeks 6-14

Core compute & DB cutover

Blue-green compute migration with DNS-level traffic shift. Streaming-replication database cutover during a low-traffic window. EKS workloads moved to managed EU K8s or self-managed Talos. Decommission AWS account once verified.

5-year TCO modelling on workloads we have actually migrated: typically 30-55% cheaper on EU sovereign infrastructure for predictable workloads, neutral to slightly higher for highly bursty workloads that benefit from sub-second autoscaling. Egress savings alone are often the difference between a positive and negative ROI.

Często zadawane pytania

Zobacz wszystkie często zadawane pytania

Does using an AWS EU region (Frankfurt, Ireland, Stockholm) solve the Schrems II problem?

No. The data residency is in the EU but Amazon Web Services Inc. is the controller of the infrastructure under US law. The CLOUD Act allows US authorities to compel disclosure of data held by US-controlled entities anywhere in the world. The EDPB has explicitly flagged this as a Schrems II issue. AWS EMEA SARL is a Luxembourg subsidiary fully owned by AWS Inc.; that ownership chain is what the analysis turns on.

How long does an AWS exit take in practice?

For a mid-market application (10-50 EC2 instances, a couple of RDS databases, S3, CloudFront, SES) with a 6-10 person engineering team and competent operational support: 10-16 weeks elapsed time. With a managed-infrastructure partner driving the choreography (which is most of the actual work), 6-10 weeks.

What about AWS GovCloud or AWS Sovereign Cloud Europe?

AWS GovCloud is for US federal workloads and is not relevant to EU buyers. AWS European Sovereign Cloud (announced 2023, in build-out) is operated by EU-headquartered AWS staff in EU regions, but the parent legal entity remains Amazon Web Services Inc. Whether it is "sovereign enough" depends on your specific compliance regime; for many Schrems II analyses it is not sufficient because the parent jurisdiction is unchanged.

Will we lose features by leaving AWS?

Specific managed services (DynamoDB single-digit-ms, Aurora Serverless v2, Bedrock model access, SageMaker training on H100s) have no clean EU sovereign equivalents. For 90% of mid-market workloads - web applications, APIs, e-commerce, B2B SaaS, analytics on warehouses - the EU sovereign stack covers it. We tell you upfront if your workload sits in the 10% category.

Can we keep some AWS services and migrate the rest?

Yes - a hybrid is sometimes the right answer. The discipline is to keep AWS only for clearly non-personal workloads, and document the boundary in your DPA. We have run hybrids where AWS handles ML training (no personal data, batch-only) and the EU sovereign stack handles all customer-facing infrastructure.

What does a managed exit cost?

Project-based pricing, scoped after the audit. Typical mid-market AWS exit: €25-80k for the project, plus the ongoing managed-infrastructure retainer for the new EU stack. The first-year savings on AWS spend usually exceed the project cost.

Zaplanuj wyjście z AWS.

30-minutowa rozmowa zakresowa. Mapujemy Państwa stack względem alternatyw tylko z UE, szacujemy nakład pracy migracji i mówimy, czy to właściwa decyzja.

Umów rozmowę Porównaj innego dostawcę