Empieza por las entidades reales
Identifica al proveedor contratante, al operador de la infraestructura y a los subencargados pertinentes. Una empresa puede tener un domicilio legal distinto de la ubicación física del servidor. Tu propia ubicación y las personas presentes en tus datos también pueden importar.
Comprende el marco regional
Suecia y Finlandia pertenecen a la UE; Noruega e Islandia participan en el EEE. Las obligaciones específicas siguen dependiendo del servicio, la actividad y las partes. Recurra a asesoramiento cualificado para un requisito legal o normativo concreto.
Inspecciona el mapa de datos
Registra la ubicación del servidor principal, las copias de seguridad, los registros y el acceso de soporte. Un servidor en la UE o el EEE no implica automáticamente que todos los encargados y administradores permanezcan en el mismo lugar.
Prefiere un compromiso documentado
Un contrato completado, términos de procesamiento y una política clara son pruebas más sólidas que una declaración de que una región es privada por naturaleza. Confirma el operador, el acuerdo aplicable y la instalación real para el pedido que estás evaluando.
No heredes afirmaciones legales de otro proveedor
Una declaración sobre una empresa, instalación o proceso judicial no se transfiere a un servicio con una marca nueva. Verifique el operador real y haga revisar las políticas pertinentes para ese acuerdo. Confirme directamente la información del operador de KoalaVPS en lugar de atribuirle la identidad, los registros o la historia de otro proveedor.
Mantén la revisión al día
Registre la fecha y la versión del acuerdo y la política en los que se basó. Revise el mapa de datos después de cambiar una ubicación, un procesador de pagos, una herramienta de soporte o un destino de copia de seguridad. Una revisión de cumplimiento debe describir el sistema que existe hoy.
Usa los cuatro países como puntos de partida para la revisión
Suecia y Finlandia son países de la UE; Noruega e Islandia son países del EEE fuera de la UE. Sus autoridades de protección de datos ofrecen un punto de partida oficial útil: la IMY de Suecia, la Oficina del Defensor de Protección de Datos de Finlandia, la Datatilsynet de Noruega y la Persónuvernd de Islandia. Esto no clasifica a un país como inmune a la divulgación lícita ni establece qué autoridad es competente para una reclamación concreta.
- Stockholm / Suecia: verifica el operador real y sus compromisos contractuales antes de confiar en la ubicación.
- Helsinki / Finlandia: comprueba por separado el almacenamiento principal, la ubicación geográfica de las copias de seguridad y el acceso al soporte.
- Oslo / Noruega: distingue la participación en la protección de datos del EEE de la pertenencia a la UE.
- Reykjavík / Islandia: evalúa la entidad contratante, las rutas de red y el plan de copias de seguridad en lugar de inferir una inmunidad a partir del nombre del país.
Documentación oficial: EDPB: autoridades nacionales de control
Pregunta quién puede acceder a los datos, no solo dónde está el disco
Crea un registro de flujo de datos que cubra producción, réplicas, copias de seguridad, telemetría y soporte. Una organización separada fuera del EEE que reciba o acceda a datos personales puede plantear cuestiones de transferencia internacional bajo las condiciones pertinentes; una etiqueta de servidor regional por sí sola no resuelve el análisis. Pide al proveedor que identifique sus subencargados y sus acuerdos de acceso. Haz que se evalúen el procesamiento real y el contrato para tu carga de trabajo cuando generen obligaciones legales.
- Identifica tu rol y el rol del proveedor para cada actividad de tratamiento, en lugar de asumir que toda relación de servicio es idéntica.
- Solicite el acuerdo de procesamiento, el procedimiento de cambio de subprocesadores, las condiciones de eliminación y el contacto para incidentes.
- Cuando cambia una herramienta de soporte o un destino de copia de seguridad, actualiza la revisión antes de confiar en la declaración de ubicación anterior.
Documentación oficial: EDPB: transferencias internacionales de datos · EDPB: responsabilidades del responsable y del encargado del tratamiento