si, puoi comprare fuori, ma il problema è che i dati sensibili (email, partita iva, indirizzo) sono fuori dalla UE, e questo il GDPR non lo permette, o meglio, è possibile a determinate condizioni. Per i tuoi clienti, devi fornire l'informativa sulla privacy corretta, cioè che i loro dati sono trasferiti fuori dalla EU.
Per questo cerco un'azienda europea che rilascia certificati e mantiene i dati all'interno della EU.
Diversi servizi che ho trovato, anche se Italiani/Europei si appoggiano ad emittenti Americani, lasciando a loro i dati, quindi non regolare.