Cloud europeo: qué es soberanía del dato y qué no
«Cloud europeo» se ha convertido en un adhesivo que se pega en cualquier web. Esta guía separa lo que significa algo — jurisdicción, contrato, subencargados — de lo que es decoración, y termina con la lista de preguntas que deberías hacer a cualquier proveedor. También a nosotros.
Soberanía son tres cosas a la vez
Ubicación: dónde están físicamente los datos y sus copias. Jurisdicción: qué legislaciones pueden obligar a entregarlos o bloquearlos. Contrato: qué de todo eso está firmado y qué es solo texto de la web.
El RGPD ya obliga a cualquiera que trate datos de personas en Europa, sea de donde sea. La diferencia real entre proveedores no está en cumplir el RGPD — eso se presupone — sino en a qué otras jurisdicciones responde el operador además de la europea.
Qué no es soberanía
- Una bandera europea en la home. La soberanía se verifica en el contrato, no en el diseño.
- Un datacenter en la UE operado por una empresa que responde ante legislación extracomunitaria: la ubicación acompaña, pero la jurisdicción manda.
- Una filial europea de una matriz extranjera: la matriz sigue sujeta a sus propias obligaciones legales, y la filial a la matriz.
- «Cumplimos RGPD»: es el mínimo legal para operar, no un diferencial.
Dónde se mira: el contrato, no el folleto
- El contrato de encargo de tratamiento (art. 28 RGPD): quién trata qué, con qué finalidad y con qué medidas.
- La lista de subencargados: quién más toca tus datos, dónde, y cómo se te notifican los cambios.
- La ubicación de datos y copias como cláusula, con nombre de país — no como afirmación de marketing.
- Las transferencias internacionales, si existen: con qué base legal y con qué salvaguardas.
- La salida: cómo recuperas tus datos al terminar, en qué formato y en cuánto tiempo.
Las preguntas que incomodan (hazlas)
- ¿En qué país están mis datos y mis copias, y en qué cláusula del contrato lo pone?
- ¿A qué jurisdicciones responde la empresa operadora — no la marca, la sociedad?
- ¿Quiénes son los subencargados y qué pasa si añadís uno nuevo?
- ¿Qué recibo al irme, en qué formato y en cuánto tiempo?
Nuestro caso, con la misma vara
Loop Cloud opera con datacenters en la Unión Europea y la ubicación de datos y copias se documenta en el contrato, no en un banner. La sociedad operadora es española y la lista de subencargados forma parte del contrato de encargo de tratamiento.
Lo que no tenemos, no lo prometemos: si una certificación o un compromiso no aparece en nuestra documentación contractual, es que todavía no existe. Preferimos esa frase a un adhesivo.