El DPO valida el alojamiento francés “100% UE”. Luego, el líder técnico habilita Cloudflare para el almacenamiento en caché y la protección DDoS: sin DPA, sin restricciones regionales, registros visibles desde el panel de EE. UU. La residencia de producción es europea; la capa de borde no lo es.
La residencia europea es una promesa a lo largo de toda la cadena de tratamiento. Una CDN, un firewall de aplicaciones administradas o un balanceador global redistribuye copias, registros y, a veces, cuerpos de solicitudes, que a menudo se olvidan en el registro.
Las políticas de privacidad copian y pegan "nuestros datos están alojados en Francia en [host]" sin mencionar Cloudflare, reCAPTCHA o Polylang Analytics. El DPO lee el registro; el usuario lee la póliza; el oyente rastrea el DNS. Los tres deben contar la misma historia; de lo contrario, la residencia en la UE es una ficción de marketing.
Cadena de producción → borde → troncos
| Enlace | Datos típicos | Pregunta de residencia |
|---|---|---|
| Origen (anfitrión de la UE) | Archivos, HTML, API | DC documentado |
| Borde CDN | Caché, IP del visitante | ¿POP fuera del EEE? |
| Registros CDN | IP, URL, UA | ¿Retención dónde? |
| WAF / lucha contra robots | Solicitudes bloqueadas | ¿Subcontratista estadounidense? |
| Soporte CDN | Entradas con periódicos | Acceso global |
Supervisar una CDN bajo GDPR
Firme un DPA con el proveedor de CDN. Restringir regiones si está disponible (solo PoP de la UE). Minimizar registros: duración, anonimización de IP. Actualice el registro: CDN = subcontratista separado del host. Lleve a cabo un análisis de transferencia si la entidad o los registros se encuentran fuera del EEE; consulte Schrems II.
Algunos hosts incluyen una CDN europea; verifique si los registros permanecen con ellos o con un tercero.
Escenarios A frente a B
Escenario A: UE estricta: origen de la UE más CDN con PoP contractual de la UE más registros de la UE y sin soporte de EE. UU. A veces, menor costo y rendimiento de vanguardia: opción aceptada.
Escenario B: Desempeño general supervisado: CDN global más cláusulas contractuales estándar más medidas adicionales más análisis de impacto documentado. Más gravoso desde el punto de vista jurídico; aceptable si está justificado.
Compárese con CDN de cookies de consentimiento si el seguimiento está acoplado.
Auditoría práctica de DNS
Desde su computadora, resuelva el dominio público y anote las direcciones IP de los bordes. Utilice herramientas de seguimiento de solicitudes para ver si el organismo de respuesta pasa a través de una red fuera de la UE. Solicite a la CDN una exportación de las regiones activadas en su cuenta; el mapa de marketing de “presencia global” no dice qué zonas están activas para usted.
En el caso de un cliente que requiera una residencia estricta, archive esta evidencia en la DPA: la auditoría se basa en capturas fechadas, no en una declaración de comercialización.
El DPO debe poder responder: dónde está registrada la IP hoy, durante cuánto tiempo, quién accede a ella y con qué base legal. Sin una respuesta definitiva, la promesa de “100% europeo” colapsa ante la primera pregunta de diligencia debida.
Los clientes B2B solicitan cada vez más un diagrama de flujo y una lista de subcontratistas incluido CDN. Integre este mapeo en su proceso comercial, no solo en el registro interno después de la firma.
La cumbre: la promesa de la UE se detiene en el primer CNAME
Esta es la brecha de las políticas de privacidad copiadas y pegadas: origen ≠ recorrido del usuario.
Decide y avanza sin puntos ciegos
Primero haga un inventario de todos los CNAME y proxies frente a su origen. Firme el CDN DPA y configure el modo UE solo si es necesario. Actualice el registro y la política de privacidad en consecuencia. Pruebe los encabezados y la resolución de DNS para ver dónde responde realmente el borde. Finalmente, compare las CDN europeas a través del directorio y el comparador.
Preguntas frecuentes
¿CDN no es válido en la UE?
Puede crear transferencias y procesamientos fuera del EEE: analizar DPA, regiones activadas y registrar contenidos.
¿Qué metadatos ve la CDN?
IP, URL, encabezados, posibles cookies, agente de usuario, registros de seguridad (a menudo datos personales).
¿Limitar CDN a la UE?
Posible en algunas ofertas: verifique el contrato y la configuración, no los valores predeterminados.
¿Anfitrión de la UE + Cloudflare gratis?
Posible con DPA, cláusulas estándar y configuración de la UE; nunca automático ni exento del análisis de Schrems.
Rastree el CNAME antes de firmar la promesa “100% europea”; aquí es donde suelen comenzar los periódicos.