Por qué la soberanía de datos en la UE
Cumplir el RGPD significa que tienes una política de privacidad y un banner de cookies. Ser EU-soberano significa que los datos nunca llegan a tocar un proveedor de nube estadounidense. La diferencia importa.
La Clarifying Lawful Overseas Use of Data Act (18 U.S.C. § 2713) obliga a las empresas estadounidenses a entregar los datos almacenados en cualquier parte del mundo cuando reciben una orden judicial estadounidense válida. AWS, Azure, Google Cloud, Cloudflare, Salesforce y HubSpot son todas empresas estadounidenses. Si alguna de ellas está en tu ruta de datos, la CLOUD Act se aplica, independientemente de dónde estén los servidores o de lo que diga la política de privacidad.
El Tribunal de Justicia de la UE invalidó el Privacy Shield UE–EE. UU. en 2020. Las transferencias de datos personales de la UE a EE. UU. se presumen ilícitas sin garantías caso por caso. Las evaluaciones de impacto de transferencias son caras de encargar y difíciles de mantener. Cualquier proveedor de nube estadounidense en tu ruta de datos es una transferencia que tienes que justificar, cada año, por escrito, ante tu DPO.
Ni como nodo de cómputo, ni como edge de CDN, ni como relay de correo, ni como endpoint de inferencia de IA. Todo el ruta de datos permanece dentro de infraestructura bajo jurisdicción de la UE.
Cada empresa que toca tus datos — cómputo, almacenamiento, correo, identidad, IA — es una persona jurídica de la UE no sujeta a la CLOUD Act.
Las claves AES-256-GCM se generan y almacenan en infraestructura de la UE. Ningún material de claves sale de la jurisdicción de la UE. La rotación de claves es posible sin volver a cifrar los datos.
Publicamos nuestras decisiones de infraestructura en Architecture Decision Records. Nuestro alojamiento es verificable, no solo afirmado en un PDF de marketing.
Cada dependencia, cada jurisdicción, cada empresa que hay detrás.
| Component | Provider | Location | Legal entity |
|---|---|---|---|
| Cómputo | Hetzner Cloud | Falkenstein, Alemania | Hetzner Online GmbH (alemana) |
| Base de datos | Postgres en Hetzner | Falkenstein, Alemania | Hetzner Online GmbH (alemana) |
| Copias de seguridad externas | Scaleway Object Storage | París, Francia | Scaleway SAS (francesa) |
| Identidad | Keycloak (autoalojado) | Falkenstein, Alemania | Red Hat / open source, operado por nosotros |
| Correo transaccional | Scaleway TEM | París, Francia | Scaleway SAS (francesa) |
| DNS | deSEC | Berlín, Alemania | deSEC e.V. (entidad alemana sin ánimo de lucro) |
| CDN (sitio de marketing) | BunnyCDN | PoPs en la UE | BunnyWay d.o.o. (eslovena) |
| IA / LLM | Mistral AI | París, Francia | Mistral AI SAS (francesa) |
Si tu organización trata alguno de los siguientes datos, la automatización EU-soberana no es opcional — es el requisito de compra.
Los historiales médicos, los datos de diagnóstico y las comunicaciones con pacientes son datos de categoría especial bajo el RGPD. Un subencargado en nube estadounidense que los trate sin una justificación explícita es una brecha de datos esperando a ocurrir.
El secreto bancario, DORA y las políticas internas de seguridad suelen prohibir el tratamiento de datos financieros fuera de la jurisdicción de la UE. Los requisitos de auditoría exigen una cadena de custodia completa y demostrable.
El secreto profesional y la confidencialidad entre abogado y cliente exigen que las comunicaciones con clientes y los datos de los expedientes permanezcan en un entorno controlado y auditable — no en un SaaS en nube estadounidense.
NIS2 trata las herramientas de automatización como una dependencia de la cadena de suministro. Las normas de contratación pública de la mayoría de los Estados miembros de la UE exigen expresamente residencia de datos en la UE para los sistemas que tocan datos de la ciudadanía.
Bridgekit es la única plataforma de automatización de workflows en la que todos los componentes de la ruta de datos están en la UE. Empieza gratis o habla con nosotros sobre tus requisitos concretos de cumplimiento.
