Una inspección de la CNIL o una empresa cliente solicita su registro del artículo 30. Línea de hosting: “Proveedor de servicios en la nube, datos de clientes, UE”. Insuficiente: ¿qué proveedor? ¿Qué datos exactos (registros de IP de doce meses, copias de seguridad cifradas y dónde)? ¿Qué subcontratistas ascendentes (CDN de EE. UU., soporte de India)?
El registro no es una formalidad. Este es el mapa de lo que realmente hace el anfitrión con tus datos personales.
Rol de anfitrión: subcontratista de infraestructura
Usted = controlador de datos (contenido del sitio, base de datos de usuarios). Anfitrión = subcontratista (almacenamiento, ejecución, infraregistros) excepto en los casos en que determine los fines (raro).
Documento: nombre de la empresa, DPO o contacto de privacidad, ubicación del centro de datos contractual.
Contenido del registro: campos útiles para el host
| Campo de registro | Ejemplo de anfitrión |
|---|---|
| Propósito | Alojamiento y provisión del sitio |
| Categorías de datos | Archivos de aplicaciones, bases de datos de clientes, registros de acceso IP |
| Personas interesadas | Visitantes, clientes, administradores |
| Destinatarios / ST | OVHcloud SAS — ver lista DPA + ST |
| Transferencias fuera de la UE | No / sí + garantías (SCC) |
| Duración | Duración del contrato + retención de registros (ver política) |
| Medidas de seguridad | Cifrado de tránsito/reposo, copias de seguridad, ISO si procede |
Subprocesadores para rastrear
CDN, correo electrónico transaccional, monitoreo SaaS conectado por el host o por usted en el mismo servidor: cada uno puede ser un subcontratista que debe figurar en DPA y registrarse.
Solicitar al anfitrión la lista de subcontratistas upstream (artículo 28.3). Cruce con acuerdo de subcontratación y traslados fuera de la UE.
En la auditoría, el inspector compara el registro, la DPA y la arquitectura real. Una línea "Hosting VPS de OVH Gravelines" con un período de retención de registros de doce meses y una mención de la CDN estadounidense de Cloudflare es mejor que un párrafo genérico y evita el incumplimiento señalado por la discrepancia documental.
Actualice el registro el día que agregue una CDN, una herramienta de monitoreo o cambie de región, no el día antes de la auditoría anual.
La cumbre: el registro revela los agujeros en la DPA
Decide y avanza sin puntos ciegos
Inventario de datos personales en su infraestructura: aplicación, registros, copias de seguridad. Complete la línea de host con el producto del contrato, la región y los períodos de retención. Cruz DPA y listado de subcontratistas. Actualice el registro cada vez que cambie su pila o proveedor, antes del cambio de DNS, no después. Consulte nuestras guías de cumplimiento y el directorio.
Preguntas frecuentes
¿El anfitrión tiene que aparecer en el registro?
Sí, en cuanto trate datos personales por su cuenta — subcontratista artículo 28. Compartido o dedicado: misma obligación, diferente alcance.
¿Qué escribir exactamente?
Identidad, finalidad de la infraestructura, categorías de datos, duración, subencargados, ubicación contractual, no una “nube de la UE” genérica.
¿Compartido o dedicado?
Misma lógica de subcontratista; especifique el producto y la región del contrato, no una redacción vaga.
¿Cambio de anfitrión?
El controlador de datos actualiza el registro y el DPA antes del cambio de DNS, no en caso de emergencia posterior a la migración.
Un historial honesto sobre el anfitrión fuerza la claridad que prometía la cita "cumple con GDPR" sin detalles.