EU residencia de datos para agencias: cómo garantizarla realmente

EU residencia de datos significa que los datos de tu cliente residen físicamente en una región EU y sigue regido por la ley EU, y la única forma de garantizarlo es controlar dónde se crea la base de datos, en una cuenta de tu propiedad, en lugar de confiar en la promesa de un proveedor de “alojar en el EU” en tu nombre. Residencia y soberanía son dos preguntas diferentes, la mayoría SaaS responde solo a la primera, y la brecha entre ellos es donde se esconde el riesgo de transferencia.

Esta publicación explica qué significa realmente la residencia de datos, por qué “alojado en el EU” es un afirmación más débil de lo que parece, cómo Schrems II y EE.UU. CLOUD Act dan forma al riesgo, y cómo elegir tu propia región por tu cuenta hace que la residencia deje de ser una promesa en un recurso al que pueda señalar. Es información general, no legal. Consejo: confirme sus propias obligaciones con un abogado.

¿Qué significa realmente “EU residencia de datos”?

La residencia de datos es la respuesta a una pregunta física: en qué país o ¿En qué región se encuentran estos datos? Para una agencia que maneja datos de clientes EU, el La respuesta objetivo suele ser “en una región EU”, por lo que los datos personales permanecen dentro el Espacio Económico Europeo en lugar de copiarlos a servidores en otros lugares.

Pero la residencia por sí sola es sólo la mitad del panorama. La otra mitad son datos soberanía: cuyas leyes rigen los datos y quién puede obligar a acceder a ellos. Los datos pueden residir en Frankfurt y aún estar bajo un régimen legal no EU si la sociedad que lo posee está sujeta al derecho extranjero. GDPR en sí está construido alrededor esta distinción: Capítulo V (Artículos 44 a 50 del Reglamento (EU) 2016/679) restringe las transferencias de datos personales a “terceros países” precisamente porque adónde van los datos y quién puede acceder a ellos son riesgos separados de dónde van los datos el disco es.

Entonces, un reclamo de residencia completo tiene que responder a tres cosas, no a una:

1. Ubicación: región en la que se encuentran físicamente los datos.
2. Jurisdicción: cuya ley la rige y quién puede obligar a revelarla.
3. Control: quién eligió la región y quién puede cambiarla silenciosamente más tarde.

La mayoría de las declaraciones “alojadas en el EU” responden solo a la primera.

Por qué “alojado en el EU” es una promesa de residencia débil

“Somos anfitriones en el EU” suena tranquilizador, pero como garantía de residencia tiene tres puntos débiles que son importantes para una agencia que firma un acuerdo de procesamiento de datos.

Es una política, no una construcción. Un proveedor que elige una región EU hoy Puedes elegir uno diferente mañana, agregar una conmutación por error de EE. UU. para mayor resiliencia o moverte. soporte de herramientas en el extranjero, generalmente sin preguntarle. El reclamo es sólo como tan duradero como la configuración actual y la buena voluntad del proveedor.

Rara vez cubre toda la cadena. La base de datos principal puede estar en el EU mientras que las copias de seguridad, los registros, el monitoreo de errores, la entrega de correo electrónico o las funciones de IA se dirigen a través de subprocesadores que no son EU. Cada uno de ellos es una posible transferencia de derechos personales. datos. “Alojado en el EU” describe un componente; tu subprocesador Article 28 las obligaciones cubren a todos ellos.

No establece jurisdicción. Si el proveedor, o tu matriz, está sujeto Según las leyes de acceso extranjeras, los servidores ubicados en EU no ponen los datos fuera del alcance. de esas leyes. Este es el núcleo del problema de la transferencia, y es donde Schrems II y EE.UU. CLOUD Act entran.

Escribimos sobre la mecánica de la cadena del subprocesador con más profundidad en residencia de datos y GDPR para agencias — la versión corta es que la consolidación sin propiedad simplemente centraliza el riesgo en un proveedor en lugar de distribuirlo entre tres.

¿Qué cambian el Schrems II y el CLOUD Act de EE. UU. sobre los datos del EU?

Dos novedades convirtieron “dónde está el servidor” en “cuya ley llega a los datos” y cualquier conversación honesta sobre residencia debe tener en cuenta ambos.

Schrems II (2020). En caso C-311/18, el Tribunal de La Justicia de la Unión Europea invalidó el marco EU-US Privacy Shield y dictaminó que las Cláusulas Contractuales Tipo sólo son un mecanismo de transferencia válido si los datos aún reciben protección esencialmente equivalente a la ley EU en el país de destino. El efecto práctico: no se pueden transferir datos personales fuera del EU solo en el papeleo: hay que evaluar el régimen legal real los datos estarían expuestos. (Una decisión sucesora de adecuación, la EU-US Data Marco de privacidad, se adoptó en julio de 2023, pero ya cuenta con disposiciones legales. desafíos, por lo que confiar en ello como permanente es optimista).

Estados Unidos CLOUD Act (2018). El Ley de aclaración del uso legal de datos en el extranjero permite a las autoridades estadounidenses obligar a las empresas sujetas a la jurisdicción estadounidense a producir datos que controlan, independientemente de dónde se almacenen físicamente esos datos. Por lo tanto, la empresa (o una filial EU de una) puede ser accesible incluso cuando la Los servidores están en el EU. Esta es la razón concreta por la que “alojado en el EU” y “bajo EU jurisdicción” no son la misma frase.

Ninguna de estas cosas significa que las agencias EU no puedan utilizar tecnología con ninguna conexión con los EE. UU. Existen muchas configuraciones compatibles. Significa la jurisdicción y control Las preguntas son cargantes y un reclamo de residencia que solo habla de La geografía las está dejando silenciosamente sin respuesta.

“Alojado en el EU” frente a residencia por cuenta propia

La diferencia es más fácil de ver uno al lado del otro. Las columnas siguientes comparan una proveedor típico “alojado en la promesa EU” con una base de datos proporcionada en su propia cuenta en la nube, en la región que tú elija.

Pregunta	“Alojado en el EU” (promesa del proveedor)	Residencia por cuenta propia
¿Quién elige la región? El vendedor, como política	Tú, en el momento del aprovisionamiento
¿Quién puede cambiarlo más tarde? El vendedor, a menudo sin previo aviso	Tú, es tu recurso
¿De quién es la cuenta que contiene los datos? El vendedor	Tuyo
Exposición a la jurisdicción	Depende del domicilio legal del proveedor/de los padres	Delimitado por tu cuenta y región elegida
Cadena de subprocesador	La lista completa de proveedores, que puede crecer	Más breve: infraestructura con la que ya tienes contrato
Prueba para un auditor	Una cláusula en una póliza	Un recurso visible en tu propio panel
¿Qué pasa al salir? Exportar, luego confiar en la eliminación	La base de datos sigue siendo suya; el proveedor pierde el acceso

La cuestión no es que “alojado en el EU” sea deshonesto: muchos proveedores quieren decir sinceramente. Es que cada fila de la izquierda es una promesa en la que tienes que confiar, y cada fila de la derecha es un hecho que puedes inspeccionar. Para una soberanía de datos En cuestión a escala de agencia, lo inspeccionable supera a lo confiable.

Cómo elegir tu propia región por tu cuenta garantiza la residencia

Esta es la decisión de diseño detrás de sSystm y, más ampliamente, el modeloBYOC (Bring Your Own Cloud): hay no hay una base de datos central de proveedores que contenga sus datos CRM. Cuando tu organización se registra con tu propia cuenta Cloudflare, sSystm provisiona un Cloudflare dedicado D1 base de datos en tu cuenta, en la región que elija, con un disco duro opcional EU-garantía de jurisdicción.

Por qué ese es un reclamo de residencia más sólido que “alojado en el EU”:

• Tú eliges la región y es tu recurso. La base de datos aparece en tu propio tablero Cloudflare. La residencia no es un entorno que el proveedor gestiona usted: es una elección que tú hizo en la infraestructura que controla.
• La garantía de jurisdicción EU es estricta, no una preferencia. Con ella habilitada, la base de datos está fijada a la jurisdicción EU en lugar de incumplir allí y potencialmente movido. Eso aborda directamente la soberanía de la mitad del pregunta, no sólo la mitad de la geografía.
• La cadena es más corta y más cercana a usted. Los datos se basan en la infraestructura con quien ya tienes una relación directa, lo que acorta la lista de partes con acceso técnico: lo que sus registros Article 30 deben rastrear.
• Salir no mueve los datos. Debido a que la base de datos siempre estuvo en su cuenta, abandonar la plataforma revoca el acceso del proveedor en lugar de desencadenando una migración. No hay nada que exportar porque no hay nada que dejar atrás.

Nada de esto elimina sus responsabilidades como responsable del tratamiento de datos. sSystm todavía opera el software y todavía cuenta como un procesador bajo GDPR, por lo que aún necesita tu propio DPA, tu propia documentación de subprocesador y, si se trata de un pregunta de cumplimiento: tu propia revisión legal. Lo que cambia es la fuerza del reclamo subyacente: puede mostrar la base de datos, la cuenta y la región en tu lugar de cotizar una póliza. Más detalles sobre el modelo de datos y seguridad se encuentran en el página de seguridad.

Cómo garantizar realmente la residencia de datos EU: una lista de verificación

Antes de escribir un reclamo de residencia en un DPA de cliente, confirme lo siguiente sobre cualquier herramienta que utilice - sSystm incluye:

1. ¿La base de datos está en mi cuenta o en la del proveedor? Dedicada pero propiedad del proveedor Lo que tú controla es el aislamiento, no la residencia.
2. ¿Puedo elegir la región? ¿Es esa una opción de aprovisionamiento real o una ¿Línea de marketing? Pide verlo en tu propia consola.
3. ¿Está garantizada la jurisdicción EU o simplemente está en incumplimiento? Un incumplimiento puede variar; un La garantía es un compromiso.
4. ¿Cuál es la lista completa de subprocesadores, incluidas copias de seguridad, registros, correo electrónico e inteligencia artificial? ¿Características? Los puntos débiles suelen estar fuera de la base de datos principal.
5. ¿Está el proveedor (o tu matriz) sujeto a leyes de acceso extranjeras? Esta es la Schrems II / CLOUD Act pregunta, y sobrevive a una región EU.
6. ¿Qué sucede al salir? La respuesta correcta es: el proveedor pierde el acceso, usted conservar los datos, sin paso de exportación.

Si un proveedor responde a las tres primeras preguntas con “en tu cuenta, la región elegida, jurisdicción EU garantizada”, tú tiene un reclamo de residencia que puede probar. si el Todas las respuestas son “confía en nuestra política”, tienes una promesa, que bien puede ser honrado, pero no es lo mismo.

Donde te deja esto

EU la residencia de datos no es una casilla de verificación; son tres preguntas: ubicación, jurisdicción y control, y “alojado en el EU” solo responde a uno de ellos. Schrems II y EE.UU. CLOUD Act son la razón por la que los otros dos importan, porque Muestran que el lugar donde se asienta un disco y cuya ley lo alcanza pueden divergir. lo mas La respuesta sólida disponible para una agencia hoy en día es mantener la base de datos por tu cuenta. cuenta, en la región que tú elija, bajo una estricta garantía de jurisdicción EU, por lo que La residencia se convierte en un recurso al que puedes apuntar en lugar de una promesa que debes cumplir. creer.

Comience con qué es un sistema operativo de agencia BYOC para modelo subyacente, lea más profundamente GDPR y avería del subprocesador, y consulte el modelo de datos y seguridad para saber cómo funciona la conexión en práctica. Este artículo es información general sobre la residencia de datos, no legal. consejo; Para sus obligaciones específicas, hable con un abogado.