Por qué tus datos no deberían salir de Europa (y por qué eso también te protege a ti)
Cuando una pyme elige dónde alojar sus datos, casi nunca es una decisión consciente. Es la que viene por defecto: el ERP que usan sus proveedores corre en AWS, el CRM en Google Cloud, el backup en Microsoft 365. Nadie se sienta a decidir "quiero que mis datos estén en Estados Unidos" — simplemente ocurre, porque es lo que trae la herramienta.
El problema es que esa decisión, tomada sin querer, tiene una consecuencia legal concreta que casi nadie conoce: la CLOUD Act estadounidense.
Qué es la CLOUD Act y por qué te afecta aunque nunca hayas oído hablar de ella
La CLOUD Act (2018) obliga a las empresas tecnológicas estadounidenses — AWS, Google, Microsoft, entre otras — a entregar datos a las autoridades de EE. UU. cuando estas lo requieran, incluso si esos datos están físicamente almacenados en servidores dentro de la Unión Europea. No importa que el negocio esté en Canarias y el servidor en Fráncfort: si el proveedor es una empresa sujeta a jurisdicción estadounidense, ese dato es alcanzable.
Esto entra en tensión directa con el RGPD, que exige que los datos personales de ciudadanos europeos estén protegidos frente a accesos de terceros países sin las garantías adecuadas. La consecuencia práctica es que muchas pymes europeas están, sin saberlo, en una situación de cumplimiento ambiguo: cumplen el RGPD sobre el papel, pero el proveedor que usan puede verse obligado a entregar esos mismos datos a un tercer país.
No es una teoría legal abstracta. Es la razón por la que, cuando Inari diseñó la infraestructura, descartó AWS desde el principio y eligió Hetzner, un proveedor alemán, sujeto a jurisdicción europea y sin esa exposición.
Esto no es ideología: es saber qué responder
La soberanía de datos no es una postura estética. Es poder responder con precisión a una pregunta que cada vez hacen más clientes, auditores y administraciones: ¿dónde están los datos, y bajo qué jurisdicción? Cuando una pyme canaria pregunta dónde van a estar los suyos, la respuesta no es "en la nube" — es "en Europa, bajo jurisdicción europea, sin que un tercer país pueda reclamarlos". No todos los proveedores pueden darla con esa claridad — depende de si su stack se lo permite.
Gobernanza no es solo dónde viven los datos — es quién responde por ellos
La soberanía de infraestructura es la mitad de la ecuación. La otra mitad es una pregunta más aburrida pero igual de importante: si algo falla, ¿quién es responsable?
En la mayoría de pymes la respuesta es "nadie, en realidad". Los datos se reparten entre hojas de cálculo, el ERP, el móvil del encargado y la memoria del dueño, y si aparece un error nadie tiene claro si corregirlo es su trabajo. Esto no es solo un problema de organización — es, literalmente, una de las siete dimensiones que Inari evalúa en el diagnóstico NDMI: si existe un rol claro con responsabilidad y un proceso definido de calidad de datos, o si los errores simplemente se acumulan sin que nadie los rastree.
La gobernanza de datos, bien entendida, no es un documento que se firma una vez. Es la respuesta a tres preguntas muy concretas:
- ¿Quién es responsable de que el dato esté bien?
- ¿Qué pasa cuando algo falla?
- ¿Dónde vive físicamente ese dato, y bajo qué ley?
Cualquier pyme puede responder a las tres sin contratar a nadie. La mayoría, simplemente, no se las ha planteado.
El marco legal que viene: no es solo el RGPD
Esto no es un debate estático. La Unión Europea está construyendo activamente una infraestructura legal e institucional que refuerza exactamente esta idea de soberanía: la Data Governance Act regula cómo deben operar los intermediarios de datos que faciliten su intercambio bajo condiciones de neutralidad, y el propio Data Act, en vigor desde septiembre de 2025, refuerza el derecho de las empresas a portar sus propios datos entre proveedores sin barreras — un golpe directo al vendor lock-in de los grandes clouds.
En paralelo, España y Canarias están desplegando infraestructura pública alineada con este mismo principio: el espacio de datos de turismo español, con un piloto específico Baleares-Andalucía-Canarias dentro del proyecto europeo DEPLOYTOUR, apunta en la misma dirección — datos que se comparten bajo reglas claras de soberanía y neutralidad, no que se entregan a quien tenga la nube más grande.
Qué significa esto en la práctica para tu negocio
No hace falta migrar nada mañana ni entender la CLOUD Act en detalle. Hace falta hacerse una pregunta simple la próxima vez que elijas una herramienta: ¿sé dónde van a estar mis datos, y bajo qué jurisdicción?
Si la respuesta es "no lo sé", esa es ya la señal de que hay un hueco de gobernanza que merece la pena cerrar — antes de que sea una migración de emergencia y no una decisión tranquila.
Cómo lo aplico en Inari
Trabajo con infraestructura europea (Hetzner) desde el primer proyecto, no como añadido posterior. La frontera está trazada a propósito: los datos de negocio de los clientes viven en esa infraestructura europea, y los canales de mensajería — como WhatsApp para conversar — se quedan en eso, conversación; nunca transportan ficheros ni datos de la operativa. Y la gobernanza no es una casilla que marco al final: es una de las dimensiones que evalúo en el diagnóstico NDMI, junto con quién es responsable de la calidad del dato y qué pasaría si un sistema fallara mañana.
Si hoy no sabrías decir bajo qué jurisdicción viven los datos de tu negocio, esa pregunta es un buen motivo para escribirme.