Спрашиваете разрешения у клиента?
да, опираемся на механизм SCC (standard contractual clauses).
по поводу технических механизмов - тоже изучали, но, к сожалению, gdpr пока не внес ясности относительно возможности хранения EU данных в US в зашифрованном виде