«Sus datos están seguros en la nube» no dice nada. La pregunta útil es otra: ¿en qué país están físicamente, bajo qué jurisdicción, quién puede solicitar acceso a ellos y qué pasa si usted decide irse mañana?
Soberanía de datos no es un eslogan comercial ni una preferencia política. Es un conjunto de propiedades técnicas y contractuales verificables. Este es el mínimo que debería exigirle a cualquier proveedor, incluidos nosotros.
1. Ubicación física, no región comercial
Las grandes plataformas hablan de «regiones». Una región es una etiqueta comercial que suele agrupar varios centros de datos, a veces en países distintos, y cuyos servicios de respaldo o réplica pueden salir de ella sin que usted lo note.
Pida por escrito:
- La dirección del centro de datos donde residen los datos primarios.
- Dónde residen las réplicas y los respaldos.
- Si algún servicio auxiliar (registro de eventos, métricas, antispam, análisis) envía datos fuera del país.
Ese último punto es el que más incumplimientos silenciosos genera: la base de datos está dentro del país, pero los registros de actividad se procesan afuera.
2. Jurisdicción aplicable
La ubicación física y la jurisdicción no siempre coinciden. Un proveedor constituido en el extranjero puede estar obligado a entregar datos a autoridades de su país de origen aunque los servidores estén en otro lugar. Verifique dónde está constituida la empresa que firma el contrato, no la marca comercial.
3. Cifrado, y quién tiene las llaves
Distinga tres capas:
- En tránsito: TLS actualizado en cada salto, incluidos los internos entre servidores. No solo en la puerta de entrada.
- En reposo: cifrado del volumen o del campo, según la sensibilidad.
- Gestión de claves: la pregunta decisiva. Si el proveedor custodia las llaves, el proveedor puede leer los datos. Si las custodia usted, asume la responsabilidad de no perderlas. Ambas opciones son válidas; lo que no es válido es no saber cuál está usando.
4. Trazabilidad de accesos
Debe poder responder, sin depender de la buena voluntad del proveedor: quién accedió a qué dato, cuándo y desde dónde. Eso implica registros de acceso inmutables, retenidos por un plazo definido y consultables por usted, incluidos los accesos del personal técnico del proveedor.
Un proveedor que no puede mostrarle los accesos de sus propios administradores no le está ofreciendo trazabilidad.
5. Portabilidad y salida
La prueba real de soberanía es poder irse. Antes de firmar, acuerde:
- El formato de exportación completo de datos y configuración (formatos abiertos, no propietarios).
- El plazo máximo de entrega tras la solicitud.
- El procedimiento y el plazo de borrado certificado en la infraestructura del proveedor.
- Si hay costo por la exportación, cuál es.
Un contrato sin cláusula de salida es una dependencia, no un servicio.
6. Continuidad frente a decisiones externas
Un proveedor extranjero puede suspender un servicio por razones ajenas a su desempeño como cliente: cambios de política, restricciones comerciales, decisiones corporativas. Para una institución que presta un servicio ciudadano, esa es una dependencia operativa que conviene evaluar con la misma seriedad que una falla técnica.
La pregunta de planificación es concreta: si mañana pierde el acceso a esa plataforma, ¿cuánto tarda en volver a operar y con qué datos cuenta?
Lista de verificación
Antes de contratar, exija respuestas por escrito a estas siete preguntas:
- ¿Dónde están físicamente los datos primarios, las réplicas y los respaldos?
- ¿Qué jurisdicción rige el contrato y dónde está constituida la empresa?
- ¿Qué se cifra, con qué algoritmo y quién custodia las llaves?
- ¿Puedo consultar los registros de acceso, incluidos los del personal del proveedor?
- ¿Cómo exporto todo, en qué formato y en cuánto tiempo?
- ¿Cómo se certifica el borrado al terminar?
- ¿Qué servicios auxiliares procesan datos fuera del país?
Si alguna respuesta llega como «depende» o «consulte con su ejecutivo», ahí está su respuesta.