"Queremos un servidor compatible. » Esta frase aparece en casi todas las licitaciones. El problema: ¿consistente con qué? El vendedor a menudo responde con un cóctel de acrónimos (RGPD, HDS, SecNumCloud, ISO 27001) como si fueran intercambiables. No lo son.
Esta guía sirve para decidir antes de comparar las hojas. Para cada proyecto, solo importa una pregunta: ¿qué obligación real pesa sobre sus datos y qué nivel de prueba debe exigir al proveedor del servicio?
Las tres capas, en un minuto
| Repositorio | Qué cubre | ¿Quién realmente lo necesita? |
|---|---|---|
| RGPD | Datos personales en Europa | Casi todos |
| HDS | Datos personales de salud (Francia) | Editores de expedientes sanitarios, médico-sociales y de pacientes |
| Nube de números de seguridad | Nube de confianza ante leyes extraterritoriales | Estado, OIV, cargos muy sensibles |
El GDPR es la base. No “certifica” a un anfitrión: impone reglas de procesamiento, subcontratación y documentación. Un buen anfitrión europeo debe ser capaz de elaborar un contrato de subcontratación claro, localización de datos y una respuesta a los derechos de las personas.
La HDS es una certificación sectorial francesa. Sin el alcance certificado correcto, no se pueden alojar legalmente datos de salud personales. Leer la credencial no basta: hay que leer el certificado. Nuestra encuesta ¿Dónde se almacenan realmente sus datos de salud? detalla esta trampa.
SecNumCloud, entregado por ANSSI, aborda principalmente el riesgo de acceso extraterritorial (Cloud Act y equivalentes). Útil para ciertos cargos públicos o estratégicos; inútil como sustituto de HDS y, a menudo, excesivo para un sitio de comercio electrónico clásico.
Caso 1: sitio de exhibición, blog, pequeña tienda
Recopila cuentas de clientes, boletines informativos y registros. Sin registros médicos, sin cargo estatal.
Lo que necesita: un host capaz de cumplir con el RGPD a diario: DPA (acuerdo de subcontratación), región de datos, subcontratistas listados, procedimiento de incidentes. Solicite estos documentos antes de firmar, no después de comenzar a funcionar.
Lo que no necesitas: HDS, SecNumCloud. Pagarles “por prudencia” encarece el proyecto sin reducir el riesgo real si su exposición sigue siendo la de un sitio web clásico.
Para estructurar sus preguntas antes de firmar, consulte también RGPD: las preguntas adecuadas que debe formular antes de firmar.
Caso 2: Datos de salud
Expediente del paciente, teleconsulta, diario médico enriquecido, almacén de datos de salud, solicitud de establecimiento: tan pronto como se alojan los datos de salud personales, se aplica en principio el marco HDS.
Lo que necesitas:
- Un certificado HDS válido
- Un alcance que cubra su pila (aplicación, base de datos, archivos, copias de seguridad, posible subcontratación)
- Ubicación explícita y cadena de subcontratación
Lo que no es suficiente: “somos GDPR”, “centro de datos en Francia”, “ISO 27001” o un SecNumCloud sin HDS en el producto adecuado.
Aquí la decisión ya no es “qué host tiene la insignia más bonita”, sino “qué producto certificado coincide con mi arquitectura”. Luego compare los jugadores en el directorio filtrando el cumplimiento de la salud.
Caso 3 — Carga pública o muy sensible
Comunidad, operador de vital importancia, aplicación expuesta a un riesgo de interferencia extraterritorial, secreto industrial crítico: SecNumCloud puede volverse relevante, a veces impuesto por la estructura del proyecto.
Qué verificar: la calificación se relaciona con qué servicio exacto, qué reversibilidad, qué acceso de administrador, qué jurisdicción de los subcontratistas. Una guía dedicada: SecNumCloud: ¿a quién ofrece esta cualificación una respuesta real?.
Si los datos de salud también están en juego, SecNumCloud no exime del HDS. Se combinan las dos capas.
La cuadrícula de decisiones
Antes de lanzar una comparación precio/rendimiento, responda estas cinco preguntas por escrito:
- ¿Qué datos procesas (personales, de salud, sensibles, anonimizados)?
- ¿Quién es el responsable del tratamiento y quién es el subcontratista?
- ¿Dónde deben residir la producción, las copias de seguridad y los registros?
- ¿Es el acceso extraterritorial un riesgo comercial real o un temor de marketing?
- ¿Necesita subcontratación o solo infraestructura?
| Respuesta dominante | Nivel requerido |
|---|---|
| Datos personales “clásicos” | RGPD + pruebas contractuales |
| Datos de salud | HDS en el perímetro exacto |
| Carga pública/Acceso extranjero crítico | SecNumCloud (a menudo + RGPD) |
| Salud y alta soberanía | HDS + SecNumCloud, sin mezclar pruebas |
Cómo leer una oferta sin dejarse engañar
Cuando una cotización mencione varias etiquetas, solicite una línea por etiqueta:
- GDPR → contrato de subcontratación, lista de subcontratistas, ubicación, período de retención de registros
- HDS → número de certificado, fecha, alcance técnico, productos afectados
- SecNumCloud → repositorio/nivel, servicios calificados, condiciones de reversibilidad
Si el vendedor fusiona los tres en una sola frase (“nube soberana compatible con la salud”), solicite los documentos. No las diapositivas.
Para comparar concretamente los anfitriones europeos según estos criterios, empiece por el directorio y las guías. Y si su tema central es la localización real de los datos de salud, la encuesta datos de salud y HDS sigue siendo el complemento natural de esta guía.
Preguntas frecuentes
¿Un sitio de exhibición necesita HDS?
No, salvo que trate datos personales de salud. Un sitio corporativo, un blog o una tienda tradicional están sujetos al RGPD, no al HDS.
¿SecNumCloud reemplaza a HDS?
No. SecNumCloud tiene como objetivo principal proteger contra el acceso extraterritorial. El HDS sigue siendo obligatorio tan pronto como aloje datos personales de salud en Francia.
¿El RGPD exige un servidor francés?
No. Impone garantías en procesamiento, subcontratación y transferencias. Un servidor europeo bien documentado puede ser suficiente, siempre que el contrato y los flujos de datos se mantengan.
¿Por dónde empiezo si mi proyecto es “un poco delicado”?
Primero anota qué datos procesas, para quién y dónde circulan. Sólo entonces, elija el repositorio: GDPR solo, HDS, SecNumCloud o una combinación.
La próxima vez que una cita diga “cumple”, pregunte: ¿cumple con qué estándares, en qué alcance, con qué evidencia? Si la respuesta es un eslogan, todavía no es una oferta.