Su análisis de impacto indica “alojamiento de OVH Francia”. El oyente abre encabezados HTTP: Cloudflare US. Los registros van a Datadog US. El ticket de soporte se procesa desde una herramienta alojada en Ohio. El registro decía “UE”; la realidad es un gráfico transatlántico que nadie había dibujado.
Asignar dependencias no se trata de marcar una casilla legal. Realiza un seguimiento de cada subcontratista que toca datos personales, no sólo del marcador en el mapa del centro de datos.
Por qué la ubicación del servidor no es suficiente
Un servidor francés puede alojar su origen en Roubaix activando servicios de terceros: CDN, anti-DDoS, seguimiento, correo electrónico, chat de soporte, copia de seguridad de objetos. Cada integración puede generar una transferencia fuera de la Unión Europea si el procesamiento o el acceso administrativo se encuentra en otro lugar. El cliente final sólo ve tu dominio; el DPO debe ver la cadena completa.
Muchos equipos descubren una transferencia a EE. UU. el día que el auditor solicita el CDN DPA, no el día en que se elige el alojamiento.
Capas para auditar detrás del hosting
| Capa | Ejemplos | Riesgo de transferencia |
|---|---|---|
| Borde/CDN | Cloudflare, rápidamente | Entidad estadounidense frecuente |
| Origen | VPS Francia | OK si solo enlace |
| Copia de seguridad | S3 nosotros-este-1 | Transferir si datos personales |
| Monitoreo | Datadog, nueva reliquia | Incumplimiento de EE.UU. |
| Soporte | Zendesk, Intercomunicador | Si los boletos contienen PII |
| Correo electrónico | SendGrid, Mailgun | Metadatos y contenido |
Método de cinco pasos
Comience enumerando todos los flujos de datos personales: visitantes, clientes, administradores. Identificar luego procesador y subcontratistas por flujo, con país de sede y área de procesamiento. Consulta el mecanismo del artículo 44 RGPD: decisión de adecuación, cláusulas contractuales tipo o normas corporativas vinculantes.
Escriba una TIA para países sin coincidencia: Estados Unidos sigue siendo el caso más común. Actualice finalmente el registro, DPA y la política de privacidad para reflejar el esquema real, no la intención original.
Schrems II y medidas adicionales
Los SCC firmados no cierran el expediente si el acceso del gobierno sigue siendo plausible. La TIA debe documentar las claves de cifrado, seudonimización, minimización y, en su caso, de cifrado fuera del país de que se trate. Cruce con Schrems II y hosting y Cloud Act y contrato para alinear contrato, arquitectura y registro.
El vértice: la región elegida no es el límite de datos
Decide y avanza sin puntos ciegos
Dibujar el gráfico de producción, puesta en escena y respaldos con actor, país y base legal en cada flecha. Reemplazar los servicios estadounidenses con equivalentes europeos cuando sea posible sin interrumpir el negocio. Documente una TIA para cada flujo restante en EE. UU. y actualice el registro GDPR en consecuencia. Valide el diagrama con el equipo técnico antes de que el departamento jurídico lo vuelva a leer: un registro sin arquitectura sigue siendo frágil. Consulte nuestras guías de cumplimiento y el directorio para comparar hosts que documenten claramente a los subcontratistas y las regiones.
Preguntas frecuentes
Francia = ¿cero transferencias?
No. CDN, soporte, respaldo, empresa matriz estadounidense o herramientas SaaS pueden transferir datos incluso con origen en Francia. El centro de datos es sólo un enlace.
¿Cómo mapear?
Dibuja la ruta completa con actor, país y base legal en cada flecha. Comience con la producción, luego las copias de seguridad, los registros y las herramientas de soporte.
¿Son suficientes los SCC?
Después de Schrems II: SCC más medidas adicionales más TIA si el país está en riesgo. Firmar sin análisis no es suficiente.
¿Servicio esencial de EE. UU.?
Minimizar, cifrar, documentar una TIA, evaluar una alternativa de la UE e informar a las personas si es necesario. La elección debe estar fechada y aceptada.
El centro de datos francés es un nodo, no una frontera. Traza las flechas hasta el final.