Imaginemos la diligencia debida de un SaaS de recursos humanos: la diapositiva comercial promete un “alojamiento 100% francés”, el contrato no dice nada sobre las copias de seguridad, el soporte indio no aparece por ninguna parte y una cláusula autoriza una transferencia “si es necesario” a los Estados Unidos. El delegado de protección de datos bloquea la firma, no por paranoia, sino porque art. 28 requiere garantías que el PDF no contiene.
Elegir un servidor según el RGPD no significa marcar "Unión Europea". Esto supone comprobar que tramitación, subcontratación e incidencias están reguladas antes de que se cargue el primer euro. La buena noticia: las preguntas adecuadas son las mismas para una tienda, una asociación o un editor de software. Lo malo: pocos vendedores responden espontáneamente.
Cuestiones contractuales: la DPA antes de la insignia
El contrato de hosting (CGV) y el Acuerdo de Procesamiento de Datos (DPA) no juegan el mismo papel. Los Términos y Condiciones Generales protegen ante todo al proveedor del servicio; la DPA regula lo que hace con sus datos personales. Antes de firmar, compruebe que la DPA menciona explícitamente su función como responsable del tratamiento y la del anfitrión como subcontratista.
Deberán figurar o anexarse nueve puntos: la finalidad y duración del tratamiento; la naturaleza de los datos (cuentas, registros de direcciones IP, contenido del usuario); instrucciones documentadas (eliminación, exportación, localización); confidencialidad del personal; la lista de subencargados y el procedimiento de notificación en caso de cambio; soporte para DPO, análisis de impacto y notificación de incumplimiento cada 72 horas; el destino de los datos al final del contrato (supresión de datos); y el derecho a la información o a la auditoría.
| Respuesta débil | Respuesta sólida |
|---|---|
| “Somos RGPD” | DPA firmada en anexo, fechada |
| “Datos en Europa” | Regiones de producción, copias de seguridad y CDN enumeradas |
| “ISO en progreso” | Certificado de alcance fechado y verificable |
Preguntas técnicas: adónde van realmente los datos
Más allá del contrato, solicite un mapa simple: producción, copias de seguridad, registros, tickets de soporte. ¿Estos flujos están en el mismo país? ¿Las copias de seguridad salen de la Unión Europea? En caso de transferencia fuera de la UE, ¿qué garantías se aplican (cláusulas contractuales tipo, decisión de adecuación) y cómo se aborda la Cloud Act en caso de intervención de un subcontratista estadounidense?
También cuestione el cifrado en reposo y en tránsito, la administración de claves y los registros de acceso del administrador en el lado del host: quién puede leer qué, durante cuánto tiempo y con qué proceso de aprobación. En caso de incidente, ¿en qué plazo y canal para la notificación de infracción? ¿Está documentada la reversibilidad (formato de exportación, tiempo, coste)?
Cruze estas respuestas con nuestra encuesta de ubicación real y los archivos del directorio, dos fuentes que complementan el discurso comercial.
Escenarios dependiendo de la sensibilidad del proyecto
No todas las aplicaciones requieren el mismo nivel de rigor. Se puede mantener un blog de exhibición con un DPA estándar, una región de la Unión Europea y registros minimizados. Un sitio de comercio electrónico debe gestionar las copias de seguridad, la red de distribución de contenidos y, si es un pago integrado, el cumplimiento de PCI además del RGPD.
Para la salud o cualquier dato sensible en Francia, el marco HDS se puede agregar al RGPD; un servicio compartido genérico sin certificación no es suficiente. Compare los marcos en GDPR, HDS, SecNumCloud: ¿quién necesita qué? antes de mezclar acrónimos en un párrafo con comillas simples.
Errores comunes antes de firmar
Registrador y alojamiento confusos: dos proveedores, a veces dos DPA separados. Olvídese de la red de entrega de contenido de terceros sin DPA en cadena. Elegir una oferta “gratuita” sin leer la subcontratación en la nube subyacente. No actualice el registro de procesamiento después de la firma: la auditoría interna revelará la discrepancia seis meses después.
La cumbre: el cumplimiento mostrado no es cumplimiento contratado
Haga las preguntas antes del compromiso anual. Renegociar después de la migración es más caro que rechazar una oferta incompleta.
Decide y avanza sin puntos ciegos
Comience descargando el DPA y los términos y condiciones completos, no un resumen comercial. Luego mapee los flujos de datos: producción, copias de seguridad, red de distribución, mensajería transaccional. Consulta el listado de subcontratas y posibles traslados fuera de la Unión Europea. Alinee su registro de procesamiento y, si es necesario, su análisis de impacto con lo que realmente permite el contrato. Finalmente, compare los anfitriones que documentan estos puntos a través del comparador y las guías: la lista corta se reduce rápidamente una vez que se formulan las preguntas correctas.
Preguntas frecuentes
¿Un servidor de la UE cumple automáticamente con el RGPD?
No. El RGPD exige un marco contractual y técnico documentado. Un centro de datos en Francia no garantiza nada si las copias de seguridad, el soporte o la red de distribución pasan por países o proveedores de servicios no cubiertos por la DPA.
¿Se requiere un DPA con el anfitrión?
Sí, tan pronto como el anfitrión procese datos personales en su nombre – art. 28. Un rechazo o un modelo vacío es una señal de alerta. Sin un DPA firmado, no se puede demostrar una subcontratación conforme.
¿Qué preguntar sobre los subcontratistas?
Un listado actualizado con garantías de ubicación y traslado. Su registro y su DPA deben reflejarlos. Cualquier modificación de la cadena deberá ser notificada antes de su puesta en producción.
¿Es suficiente la norma ISO 27001?
Útil si el alcance certificado cubre su oferta. La ISO complementa el RGPD pero no sustituye ni a la DPA ni a los derechos de las personas. Lea el certificado antes de citarlo en una reunión.
Antes de registrarse con un proveedor de alojamiento GDPR, la pregunta correcta no es "¿estás en Europa?" » — es “muéstrame el DPA y la ruta de respaldo”.