«Sus datos se quedan en Europa»: la frase tranquiliza, pero no lo dice todo. Le explico de forma sencilla qué cambian el CLOUD Act y la sentencia Schrems II, y cómo mantener los datos de sus clientes bajo su propia jurisdicción.
Muchos programas de empresas estadounidenses se lo prometen: sus datos se alojan en Fráncfort, Dublín o París. Es cierto. Pero la ubicación del servidor es solo una parte de la respuesta. La otra parte es el país de la empresa que publica el software.
Seamos claros: para la lista de la compra del equipo, no es un problema. Para los documentos de los expedientes de sus clientes, merece diez minutos de lectura.
El CLOUD Act, en pocas palabras
Aprobado en Estados Unidos en 2018, el CLOUD Act permite a las autoridades estadounidenses exigir a una empresa sujeta al derecho de EE. UU. los datos que controla, estén almacenados donde estén en el mundo.
En la práctica, si su software lo publica una sociedad estadounidense, tener los servidores en Europa no cambia esta regla. Y no siempre se le informa.
Schrems II: lo que respondió Europa
En julio de 2020, el Tribunal de Justicia de la Unión Europea invalidó el Privacy Shield, el acuerdo que regulaba las transferencias de datos a Estados Unidos.
«Las exigencias del Derecho interno de los Estados Unidos […] comportan limitaciones de la protección de los datos personales que no están reguladas de manera que se cumplan requisitos sustancialmente equivalentes a los exigidos en el Derecho de la Unión.»
TJUE, sentencia Schrems II, 16 de julio de 2020, asunto C-311/18
En 2023 se adoptó un nuevo marco, el Data Privacy Framework. Simplifica las cosas para muchas empresas. Sin embargo, sigue impugnado, como lo fueron sus dos predecesores. Basar la protección de sus expedientes sensibles solo en él es aceptar una incertidumbre.
Qué cambia para un despacho
Abogado, asesor contable, corredor de seguros, profesional sanitario: casi siempre trata datos personales, a menudo sensibles. Si confía esos datos a un encargado estadounidense, el RGPD le pide que evalúe usted mismo el riesgo de la transferencia y que pueda justificarlo en una inspección.
El contrato de su proveedor documenta la conformidad del proveedor. Su propio análisis le corresponde a usted. Y es ese documento el que le pedirán.
Cómo comprobar que un proveedor es realmente europeo
- Mire el aviso legal. ¿La sociedad que publica el software está registrada en un país de la Unión?
- Mire quién la controla. Una filial europea de un grupo estadounidense puede seguir sujeta al derecho de EE. UU.
- Mire dónde está el alojamiento. Un proveedor de alojamiento europeo, independiente de los grupos estadounidenses, completa la respuesta.
Cómo Client Vault mantiene sus datos en su casa
Client Vault es una caja fuerte digital segura que usted instala en su propia web WordPress. La publica Sdravobiz, una sociedad europea. Y sobre todo, no almacena nada en los servidores del proveedor: sus documentos viven en su servidor, con el alojamiento y en el país que usted elija.
- Ninguna transferencia al proveedor: los documentos se quedan en su instalación.
- Archivos cifrados en AES-256 desde su llegada.
- Un registro de actividad sellado que fecha cada envío y cada consulta.
- Una exportación ZIP para devolver un expediente en pocos clics.
Resultado: su análisis de riesgos es más breve y más sólido. Para elegir su proveedor de alojamiento, he comparado OVH, Scaleway, Infomaniak y o2switch. Y para dar tranquilidad a sus clientes, aquí tiene cinco respuestas listas para usar.
¿Tiene usted una agencia WordPress?
Muchos de sus clientes no saben que un software estadounidense les exige un análisis adicional. Proponerles una instalación en su propio servidor, con sus colores, es un consejo útil y un servicio facturable.
Lo que Client Vault no hace
Seamos claros. No se trata de prohibir todas las herramientas estadounidenses. Para la mensajería interna o las notas del equipo, el riesgo suele ser bajo y el análisis, más sencillo. La cuestión se plantea de verdad con los datos sensibles de sus clientes.
Client Vault también es un plugin de su propiedad: su web necesita actualizaciones y copias de seguridad, idealmente a cargo de una agencia de confianza.
Siguiente paso
Client Vault
Los datos de sus clientes, bajo su jurisdicción
Por videollamada, vemos dónde viven hoy sus datos y le muestro la caja fuerte instalada en su propio servidor.
- La caja fuerte vista por su cliente
- El cifrado y el registro de actividad
- La exportación de un expediente
- Sus preguntas sobre el alojamiento
Preguntas frecuentes
¿Qué es el CLOUD Act?
Una ley estadounidense de 2018 que permite a las autoridades de EE. UU. exigir a una empresa sujeta al derecho estadounidense los datos que controla, estén almacenados donde estén.
¿Un software alojado en Europa está protegido frente al CLOUD Act?
No necesariamente. Si el proveedor está sujeto al derecho estadounidense, que los servidores estén en Europa no basta.
¿Qué cambió la sentencia Schrems II?
En 2020 invalidó el Privacy Shield y pidió a las empresas europeas que evaluaran ellas mismas el riesgo de cada transferencia a Estados Unidos.
¿Resuelve la cuestión el Data Privacy Framework?
Simplifica las transferencias a empresas certificadas, pero sigue impugnado. Para datos sensibles, mantenerlos bajo su jurisdicción sigue siendo la vía más tranquila.
¿Dónde se almacenan los datos con Client Vault?
En su propio servidor, con el alojamiento y en el país que usted elija. Nada se almacena en los servidores del proveedor.
