В порядке мозгового штурма: храните данные на стороне клиента в localstorage. Не всё конечно, а только то, что подпадает под такие законы. Что-то вроде первой копии, главной порции, первичного сбора. В РФ, например, нужно вести "первичную" обработку персональных данных на территории РФ, а дублировать-то можно и на зарубежных серверах. Таким образом, на вопрос "где данные пользователей?" вы отвечаете: "У пользователей же!", а сами их "резервируете" и всякое с ними делаете уже у себя.
Из практики: по такому принципу (первичное в РФ, а типа копии за рубежом) поступают большие зарубежные компании, у которых, например, на весь мир одна корпоративная система, а представительств много. В РФ они арендуют сервер и держат здесь копию данных. С точки зрения технологий копия на территории РФ - это вторичная копия, а с точки зрения закона ("О персональных данных" в данном случае) - это первичная копия.
