¿Por qué elegir un alojamiento soberano para sus datos?

«Sus datos están alojados en Francia.» La frase tranquiliza, y hoy aparece en muchos sitios de software en línea. Sin embargo, solo cuenta una parte de la historia. Lo que importa no es solo el lugar donde se encuentran los servidores, sino también el derecho al que está sometido quien los opera, y el de cada uno de sus proveedores.

Esa es toda la cuestión de un alojamiento soberano. Para una pyme que confía a un software los datos de sus empleados o de sus clientes, la pregunta merece unos minutos.

Ubicación y jurisdicción: dos cosas diferentes

Dos nociones se confunden a menudo:

• La ubicación: el país donde se encuentran físicamente los servidores y las copias de seguridad.
• La jurisdicción: el derecho al que está sometida la empresa que explota esos servidores, o que tiene acceso a ellos.

Una empresa estadounidense puede explotar un centro de datos en París. Los datos están entonces ubicados en Francia, pero la empresa sigue sometida al derecho estadounidense, incluso para los datos almacenados fuera de Estados Unidos. Un alojamiento soberano, en el sentido en que se entiende generalmente, combina ambas cosas: datos en Europa, en proveedores que no dependen de una ley extranjera de alcance extraterritorial.

Lo que dicen las leyes estadounidenses

Se suele citar la Patriot Act. Los textos que hay que conocer hoy son sobre todo otros dos.

La CLOUD Act (2018)

La Clarifying Lawful Overseas Use of Data Act, aprobada en marzo de 2018, precisó que los proveedores de servicios de comunicación o de almacenamiento sometidos a la jurisdicción estadounidense deben entregar, a petición legal de las autoridades estadounidenses, los datos que estén en su «posesión, custodia o control», dondequiera que se encuentren esos datos. El criterio no es, por tanto, la ubicación del servidor, sino el control que ejerce el proveedor sobre los datos.

La sección 702 de la FISA

La sección 702 de la Foreign Intelligence Surveillance Act, introducida en 2008, permite a los servicios de inteligencia estadounidenses vigilar las comunicaciones de personas no estadounidenses situadas fuera de Estados Unidos, apoyándose en los proveedores de servicios estadounidenses, sin una decisión judicial individual. El Congreso la ha prorrogado en varias ocasiones, y su renovación sigue siendo objeto de debate en 2026.

Las consecuencias en Europa

Fue en particular por estos programas de vigilancia por lo que el Tribunal de Justicia de la Unión Europea invalidó el Privacy Shield, el acuerdo que regulaba las transferencias de datos hacia Estados Unidos, mediante la sentencia Schrems II del 16 de julio de 2020. La Comisión Europea adoptó un nuevo marco, el Data Privacy Framework, el 10 de julio de 2023. Sigue siendo objeto de impugnación, y muchas empresas prefieren no hacer depender sus datos de un equilibrio jurídico que ya se ha puesto en entredicho dos veces.

Por qué un alojamiento soberano importa para una pyme

Podría pensarse que estas cuestiones solo afectan a los grandes grupos o a los datos sensibles. Sin embargo:

• el RGPD le hace responsable de los datos que confía a sus proveedores, incluidas sus posibles transferencias fuera de la Unión Europea;
• sus clientes y contratantes plantean cada vez más la pregunta, en particular en las licitaciones públicas;
• los datos de sus empleados y de sus prospectos (datos de contacto, organización, contactos comerciales) tienen un valor competitivo real;
• la coherencia importa: es difícil presumir de rigor con los datos mientras se confían los de sus equipos a herramientas cuyo alojamiento se desconoce.

Las preguntas que hay que hacer a un editor de software

Antes de elegir una herramienta en línea, haga estas preguntas y espere respuestas precisas:

1. ¿Dónde están alojados la aplicación, la base de datos, los archivos y las copias de seguridad? Las copias de seguridad se olvidan a menudo.
2. ¿Quién es el proveedor de alojamiento y de qué derecho depende? Un nombre, un país, una región.
3. ¿Cuáles son los demás subencargados? Envío de correos, pago, soporte, herramientas de análisis: cada uno es un eslabón de la cadena.
4. ¿Está publicada y fechada la lista de subencargados? Un editor serio la mantiene al día y avisa de sus cambios.
5. ¿Hay transferencias fuera de la Unión Europea? Si las hay, ¿con qué base jurídica?
6. ¿De qué derecho depende el contrato y qué pasa con sus datos al final de la suscripción?

Los límites honestos de la soberanía

Una soberanía total es poco frecuente, y conviene desconfiar cuando se promete sin matices. Algunos ejemplos concretos:

• Las tarjetas de Apple Wallet y Google Wallet implican necesariamente a Apple y a Google, ya que la tarjeta vive en su aplicación.
• El pago con tarjeta bancaria pasa a menudo por proveedores internacionales.
• El envío de correos transaccionales (códigos de inicio de sesión, notificaciones) se apoya a menudo en servicios especializados, no siempre europeos.

Lo importante es que estas dependencias se conozcan, se limiten a lo estrictamente necesario y se pongan por escrito.

¿Y en Profiles Flow?

Profiles Flow lo edita una empresa francesa, y sus contratos se rigen por el derecho francés. Esta es la situación tal como es, eslabón por eslabón:

• Alojamiento de la aplicación, la base de datos, los archivos y las copias de seguridad: Scaleway, proveedor de alojamiento francés, en centros de datos en Francia.
• Correos transaccionales (códigos de inicio de sesión, notificaciones de leads): Scaleway, en Francia.
• Pago: Stripe, con tarjeta bancaria o adeudo SEPA. Profiles Flow nunca ve los números de tarjeta ni los datos bancarios.
• Facturación: Sellsy, editor francés.
• Tarjetas Wallet: Apple y Google, necesariamente, para la propia tarjeta.

En cuanto a los datos, varias decisiones limitan lo que circula: estadísticas sin cookies y sin dirección IP almacenada, inicio de sesión sin contraseña, contraseña del directorio Active Directory cifrada y nunca vuelta a mostrar, delegación de Google Workspace sin ningún acceso a los mensajes. La lista de subencargados está publicada y fechada en la página legal correspondiente. El detalle está en la página nube soberana, y los compromisos contractuales en las CGV.

Preguntas frecuentes

¿Quiere ver cómo se tratan sus datos? Profiles Flow ofrece una prueba gratuita de 30 días, sin tarjeta bancaria.