La pregunta llega por tres vías: el cuestionario de homologación de un cliente grande, el pliego de un organismo público o la propia dirección, que quiere saber qué contestar si la AEPD pregunta. «Está en la nube» no es una respuesta. Levantamos un mapa de cada sistema que usa su empresa, la región donde se aloja, los subencargados que intervienen y la garantía que ampara cada transferencia internacional. Después trasladamos a España o a otro país de la UE lo que deba estar allí. Todo el trabajo es en remoto. La valoración jurídica corresponde a su delegado de protección de datos o a su abogado; nosotros les damos hechos técnicos comprobables.
El ERP o el correo rara vez dan sorpresas: su región se ve en el panel. Los datos se escapan por lo pequeño, como el chat de la web, el plugin de reservas, la herramienta de firma o la copia que alguien configuró hace años y nadie ha vuelto a mirar.
Para cada aplicación anotamos quién la presta, en qué región corre su instancia, qué subencargados declara y desde qué país entra su soporte técnico cuando abre una incidencia. Revisamos también lo que carga su web: analítica, píxeles de publicidad, tipografías externas, widgets de WhatsApp o de valoraciones.
Cada transferencia fuera del EEE aparece con la garantía que alega el proveedor: decisión de adecuación, cláusulas contractuales tipo o normas corporativas vinculantes, y las medidas adicionales que dice aplicar. Con ese material su delegado actualiza el registro de actividades de tratamiento y decide. Nosotros no emitimos dictámenes jurídicos.
Comprobamos en qué geografía se creó el tenant, qué opciones de residencia de datos incluye realmente su licencia y qué complementos, conectores o asistentes de IA envían contenido a otras regiones. Es habitual encontrar aplicaciones de terceros con permisos sobre el buzón que nadie recuerda haber autorizado.
Según carga, presupuesto y exigencias de sus clientes proponemos una región española de AWS, Azure o Google Cloud, o un proveedor europeo como OVHcloud, Hetzner, Arsys o IONOS. Tenemos en cuenta no solo dónde está el centro de datos, sino también la nacionalidad de la empresa matriz, algo que cada vez más pliegos preguntan.
Un caso típico: la tienda online vive en un servidor de Madrid y las copias se van a un bucket en Virginia porque era la región por defecto del asistente. Movemos las copias, activamos el cifrado, dejamos claro quién custodia las claves y hacemos una restauración de prueba antes de dar el tema por cerrado.
Datos, configuraciones e integraciones se mueven con un plan que incluye ensayo previo y vuelta atrás. Tras el cambio vigilamos el nuevo entorno con más atención durante el periodo acordado y entregamos la documentación y el mapa de sistemas al día.
No todo tiene que mudarse. A veces basta con cambiar la región en un panel; otras, con sustituir una herramienta; y en ocasiones lo sensato es quedarse con el proveedor y documentar bien la transferencia. El calendario sale del inventario, no al revés.
Sistemas, regiones, subencargados y dependencias entre aplicaciones en una sola tabla. Con ella su DPD y la dirección deciden qué se queda y qué se mueve.
Preparamos la infraestructura en la UE, copiamos los datos y un pequeño grupo de usuarios prueba el trabajo diario. Los fallos aparecen en el ensayo, no un lunes a primera hora.
Por la noche o en fin de semana, aplicación por aplicación. El entorno antiguo sigue encendido hasta que usted confirma que todo funciona, facturación e integraciones incluidas.
Damos de baja lo que sobra para no pagar dos veces, solicitamos al proveedor anterior el borrado de los datos y le entregamos el mapa actualizado.
Las transferencias internacionales casi nunca están donde se buscan. El formulario de contacto reenvía las consultas a través de un servicio de mailing con sede fuera de Europa, el software de citas guarda los recordatorios en otra región, la herramienta de firma archiva los contratos al otro lado del Atlántico y el plugin de estadísticas que se instaló «para probar» sigue activo. Por eso empezamos por el mapa y no por elegir centro de datos.
No. Dentro del EEE los datos circulan libremente, y sacarlos fuera exige una garantía adecuada, no una prohibición general. Si la suya es suficiente lo decide su DPD o su abogado. En la práctica, la exigencia de «todo en Europa» o «todo en España» suele venir de un cliente grande, de un pliego público o de la propia dirección, que no quiere revisar el asunto cada año. Nuestro papel es mostrar la situación técnica real y lo que costaría cambiarla.
Resuelve dónde se guardan los datos, pero no todo. Algunos servicios de la misma nube, como la gestión global de identidades o ciertas funciones de IA, pueden tratar información en otras regiones, y el soporte del proveedor puede acceder desde fuera del EEE. Además, la matriz sigue siendo la que es. Revisamos qué servicios concretos usa y qué limitaciones de región admite cada uno para que su DPD valore el conjunto.
La conformidad con el Esquema Nacional de Seguridad la acredita el servicio en la nube en la categoría que corresponda; hay que comprobarla en su certificado y en el alcance que cubre. Apply no está certificada en el ENS y no lo afirmamos. Lo que hacemos es localizar servicios con la certificación adecuada que encajen con sus aplicaciones, estimar el esfuerzo del traslado y preparar la parte técnica de su respuesta a la licitación.
Una copia contiene los mismos datos que el original, así que en general se le aplican los mismos requisitos. Y es lo que más se olvida: la producción se trajo a España hace dos años y la copia externa sigue saliendo hacia otra región. En el inventario revisamos siempre dónde están las copias, si van cifradas y quién tiene de verdad las claves para descifrarlas.
Hay tres caminos. Instalar una alternativa de código abierto en un servidor de la UE, lo que traslada el coste a la administración del sistema. Separar los datos para que al servicio extranjero solo lleguen datos seudonimizados o sin identificadores. O mantener la herramienta y documentar bien la base de la transferencia. La elección depende del presupuesto y del criterio jurídico, que es cosa de su DPD y no nuestra.
Enumere las aplicaciones y servicios que usa su empresa y, si lo sabe, dónde se alojan. Le respondemos en un día laborable con una propuesta de inventario y su precio.
Hemos recibido su solicitud
Tendrá respuesta en un día laborable. Si nos avisa de una avería que tiene parado a su equipo, la tratamos con prioridad.
No encontramos esa ciudad. Revise cómo está escrita o elija la capital de provincia más cercana: como trabajamos en remoto, el servicio es el mismo en cualquier punto de España.
