Tus datos están en la nube. ¿En qué nube, en qué país, bajo qué legislación?

"Estamos en la nube."

Es la respuesta que casi cualquier empresa mediana da hoy cuando se le pregunta dónde está su infraestructura. A veces con orgullo. A veces con alivio. Casi nunca con detalle.

Pongamos el detalle. ¿En qué nube? ¿En qué país? ¿Bajo qué legislación?

"En la nube" suele significar tres o cuatro palabras que no leíste

Para la mayoría de empresas, "estamos en la nube" se decodifica como: "Estamos en AWS, Azure o Google Cloud. Región por defecto. Nunca hicimos una pregunta más profunda."

Eso vale para una web de marketing. No vale para datos de clientes en sectores regulados. Y el momento en que firmas tu primer contrato con un cliente de sanidad, banca, defensa o administración pública, "vale para marketing" deja de ser aceptable.

El Cloud Act en dos párrafos

El Cloud Act estadounidense (Clarifying Lawful Overseas Use of Data Act, 2018) permite a las autoridades de EE. UU. obligar a los proveedores con sede en EE. UU. — Amazon, Microsoft, Google y cualquier entidad sujeta a jurisdicción estadounidense — a entregar los datos que tengan o procesen, independientemente de dónde estén físicamente los servidores.

En cristiano: contratar la región "Fráncfort" de AWS no te protege de una orden judicial emitida desde Washington. El dato está en Europa, pero el proveedor es americano. Y el proveedor es el objetivo legal.

Para sectores regulados, esto ya no es teórico

Para empresas con clientes en sanidad, banca, defensa o administración pública, esto ha dejado de ser un debate teórico. Es un riesgo legal, contractual y reputacional.

• Legal: el régimen de transferencias del RGPD tras Schrems II hace indefendible el "región por defecto" para datos personales sensibles.
• Contractual: los acuerdos marco del sector público incluyen cada vez más cláusulas de soberanía. Incumplirlas anula el contrato — y a menudo el siguiente.
• Reputacional: un cliente que descubre, después de un incidente, que sus datos estaban sujetos a una jurisdicción extranjera de la que nunca se le habló, no vuelve.

La soberanía del dato no es una moda europea

Es un requisito que tus clientes, tus auditores o el regulador te van a pedir tarde o temprano. La pregunta es si vas a estar listo para esa conversación, o vas a enterarte por una carta de no conformidad.

Si no sabes dónde están tus datos, lo sabe otro. Y normalmente no juega en tu equipo.

Qué pinta tiene "soberano por defecto"

• Proveedor europeo, entidad operadora europea. No una filial europea de una empresa estadounidense.
• Residencia del dato documentada a nivel de país, no solo "región UE".
• Claves de cifrado gestionadas por ti o por una entidad fuera de la jurisdicción estadounidense.
• Respuestas claras sobre subprocesadores: ¿quién toca exactamente el dato y dónde está?
• Registros de auditoría que puedas inspeccionar — no una caja negra que tienes que creerte.

Y aquí entramos nosotros

AP Interactive opera su propia infraestructura bajo el sistema autónomo AS215691, con presencia en Madrid, Países Bajos, Alemania y Nueva York. Para nuestros clientes europeos mantenemos las cargas en jurisdicciones europeas, con residencia documentada y nuestra propia cadena de subprocesadores.

Si no sabes exactamente dónde están los datos de tu empresa — o si sospechas que "región Fráncfort" es todo lo que tu proveedor te respondería — habla con nosotros. Te lo mapeamos en términos concretos.