Tu región, tus controles, tu contrato.

Todo lo anterior, más los controles de residencia, el contrato y el modelo de soporte que el departamento de compras exige antes de firmar.

SSO, roles con alcance definido y un registro de auditoría que registra cambios de configuración, no solo solicitudes.
Controles de residencia de datos que declaran una región para el espacio de trabajo y particionan la evidencia en ella. Un aislamiento más estricto es una conversación con el equipo de ventas, no una casilla de verificación.
Compromisos de SLA y soporte dedicado, con paquetes de frameworks ya conectados a los controles de tiempo de ejecución.

Dónde pueden residir tus datos.

Cierto tráfico no puede salir de una región, y ninguna certificación cambia eso. Declara una región por espacio de trabajo y la evidencia queda marcada con ella, particionada en ella y excluida de lecturas entre regiones. Lo que no garantiza es inferencia con ubicación geográfica fija: los proveedores externos procesan las solicitudes en sus propias regiones, y el informe lo indica explícitamente. Si tus requisitos van más allá, eso es una conversación con el equipo de ventas, no una característica de plan.

Lo que exige el departamento de compras.

SSO y roles con alcance definido. Un registro de auditoría que cubre la configuración, no solo las solicitudes. Paquetes de framework ya conectados a los controles en tiempo de ejecución. Compromisos de SLA y un contacto designado en lugar de una cola de soporte.