Empieza con tres preguntas separadas
Una ubicación de alojamiento indica dónde se pretende ejecutar una máquina. No describe a todas las partes que gestionan una cuenta, una copia de seguridad o una solicitud de soporte. El operador, los proveedores de infraestructura y el cliente pueden tener responsabilidades legales distintas. Una evaluación útil sigue el servicio completo en lugar de tratar una etiqueta de país como la respuesta a todas las cuestiones legales.
- Operador: ¿quién presta el servicio y celebra el acuerdo?
- Ubicación: ¿dónde están el sistema principal, las copias almacenadas y los registros operativos?
- Acceso: ¿qué partes pueden administrar el servicio o recibir datos?
El operador del servicio es KoalaVPS
KoalaVPS es el operador nombrado para este servicio. Los términos explican la relación de servicio; la política de privacidad explica el tratamiento de la información de cuenta y operativa. Seleccionar una región se refiere a la ubicación de la infraestructura. No especifica por sí mismo el domicilio social de una empresa ni decide todas las obligaciones que puedan aplicarse al operador, al cliente o a la carga de trabajo.
Cuatro regiones, con su propio contexto nacional
El catálogo incluye Stockholm, Helsinki, Oslo y Reykjavík. Suecia y Finlandia son Estados miembros de la UE. Noruega e Islandia participan en el Espacio Económico Europeo a través de la AELC. El RGPD se ha incorporado al Acuerdo EEE, por lo que elegir una ubicación del EEE perteneciente a la AELC no elimina el marco europeo de protección de datos. Aun así, en cada país hay que prestar atención a la legislación y los procedimientos nacionales.
- STO / Stockholm / Suecia / UE
- HEL / Helsinki / Finlandia / UE
- OSL / Oslo / Noruega / EEE AELC
- RKV / Reykjavík / Islandia / EEE AELC
Documentación oficial: EFTA: el Espacio Económico Europeo · EFTA: incorporación del RGPD y estatus legal
Stockholm: la región sueca
Stockholm nombra la opción de ubicación sueca. Suecia es miembro de la UE y su autoridad nacional de protección de datos es Integritetsskyddsmyndigheten, normalmente llamada IMY. Para un pedido que utilice esta región, evalúe el servicio seleccionado, sus copias almacenadas y las partes con acceso junto con el marco sueco y europeo aplicable. La ciudad por sí sola no determina dónde reside cada registro de cuenta o dependencia de aplicación externa.
- Código de región: STO
- País: Suecia
- Marco europeo: Estado miembro de la UE
- Autoridad nacional de protección de datos: IMY
Documentación oficial: Unión Europea: Suecia · EDPB: autoridades nacionales de control
Helsinki: la región finlandesa
Helsinki identifica la opción de ubicación en Finlandia. Finlandia es un Estado miembro de la UE y su autoridad nacional de supervisión es la Oficina del Defensor de Protección de Datos. Incluye las réplicas de base de datos, los destinos de copia de seguridad y el acceso administrativo en una decisión de ubicación en Finlandia. Si una aplicación envía información a un servicio separado, ese tratamiento adicional debe considerarse por sus propios términos.
- Código de región: HEL
- País: Finlandia
- Marco europeo: Estado miembro de la UE
- Autoridad nacional de protección de datos: Office of the Data Protection Ombudsman
Documentación oficial: Unión Europea: Finlandia · EDPB: autoridades nacionales de control
Oslo: la región de Noruega
Oslo es la región del catálogo noruego. Noruega es un Estado del EEE y la AELC fuera de la UE, y Datatilsynet es su autoridad nacional de protección de datos. La participación en el EEE y la incorporación del RGPD son partes relevantes de la evaluación. No significan que cada instrumento de la UE o cada procedimiento legal nacional sea idéntico en las cuatro regiones.
- Código de región: OSL
- País: Noruega
- Marco europeo: EEE AELC
- Autoridad nacional de protección de datos: Datatilsynet
Documentación oficial: EFTA: participación y alcance del EEE · EDPB: autoridades nacionales de control
Reykjavík: la región de Islandia
Reykjavík identifica la opción de ubicación en Islandia. Islandia participa en el EEE a través de la AELC, y Persónuvernd es su autoridad nacional de protección de datos. Su separación física de la Europa continental es un hecho geográfico; el alcance legal, los acuerdos de acceso y la ubicación de las copias de recuperación requieren su propia evaluación. El servicio seleccionado y los flujos de datos reales siguen siendo el punto de partida útil.
- Código de región: RKV
- País: Islandia
- Marco europeo: EEE AELC
- Autoridad nacional de protección de datos: Persónuvernd
Documentación oficial: EFTA: RGPD en el EEE · EDPB: autoridades nacionales de control
Una región elegida debe seguir siendo una decisión visible
El principio de ubicación es mantener la región seleccionada explícita durante todo el ciclo de vida del servicio. Un traslado previsto a otro país debe describirse antes de que ocurra y acordarse con el cliente. La replicación, las restauraciones y la recuperación de emergencia necesitan un tratamiento igualmente claro en las condiciones del servicio. La región principal, el destino de cualquier copia de recuperación y el país de una migración posterior nunca deben tratarse silenciosamente como intercambiables.
- Registre la región seleccionada con el pedido
- Identifica el destino antes de una migración transfronteriza planificada
- Describe cualquier excepción de recuperación y su proceso de notificación
- Mantener el registro de ubicación del cliente alineado con el servicio real
El alcance legal puede implicar más que el país de almacenamiento
Las normas aplicables pueden depender del establecimiento de una organización, la actividad de tratamiento, las personas afectadas y el instrumento jurídico utilizado. Por lo tanto, el ámbito territorial del RGPD requiere más que un punto en un mapa. También existen mecanismos transfronterizos para pruebas electrónicas; el marco de la UE es un ejemplo para proveedores y solicitudes dentro de su ámbito. Cada solicitud requiere una evaluación de los hechos y del procedimiento pertinente.
Documentación oficial: EDPB: ámbito territorial del RGPD · Comisión Europea: pruebas electrónicas transfronterizas
Revise la autoridad, acote el alcance, documente la respuesta
El principio de actuación es verificar quién solicita la información, la autoridad legal en la que se ampara y los datos o el servicio concretos implicados. Una solicitud debe recibir una revisión cualificada, cuestionando las exigencias no respaldadas o excesivas mediante el procedimiento disponible. Cualquier divulgación debe limitarse a lo legalmente exigido o justificado por otro motivo legal. La notificación al cliente debe respetar las restricciones aplicables.
- Verifica al solicitante y la base legal
- Identifica la cuenta, el servicio, el periodo y las categorías de datos afectados
- Compruebe la jurisdicción, el procedimiento y cualquier obligación en conflicto
- Buscar aclaraciones o cuestionar una exigencia demasiado amplia cuando corresponda
- Mantén un registro proporcionado y divulga solo el alcance justificado
Las solicitudes extranjeras necesitan su propio análisis de transferencia
La exigencia de una autoridad de un tercer país no es un permiso automático para divulgar datos personales desde la UE. La orientación del artículo 48 del EDPB distingue el reconocimiento de una decisión extranjera de la base jurídica del tratamiento y del fundamento para una transferencia internacional. Un acuerdo aplicable u otra vía permitida debe evaluarse en su contexto; ni la aceptación automática ni una promesa general de negativa constituyen una política sólida.
Documentación oficial: EDPB: Artículo 48 y solicitudes de autoridades de terceros países
Sigue los datos más allá del disco principal
El almacenamiento principal, las instantáneas, las copias de seguridad, los registros, los datos de cuenta y los archivos adjuntos de soporte pueden seguir rutas distintas. Una elección regional solo tiene sentido cuando se comprenden esas rutas. El registro del servicio y la información de privacidad deben distinguir cada categoría y explicar las partes autorizadas a acceder a ella. La administración remota y los procesadores externos también forman parte de ese inventario.
- Datos principales del sistema y de las aplicaciones
- Instantáneas, copias de seguridad independientes y réplicas de recuperación
- Registros de cuenta, facturación, seguridad y soporte
- Acceso administrativo y proveedores de servicios externos
Protege las transferencias regionales y también la ubicación regional
La replicación y la migración deben usar cifrado autenticado, credenciales restringidas y endpoints definidos. Mantenga las claves y los permisos de acceso separados del trabajo de transferencia cuando corresponda. La retención y eliminación de la copia anterior deben formar parte del traslado. El enrutamiento por una conexión privada y el cifrado de los datos son controles distintos; ni la geografía ni una etiqueta de red por sí solas demuestran confidencialidad.
Minimice la recopilación sin prometer inmunidad legal
El modelo de cuenta evita la recopilación rutinaria de documentos de identidad. Eso limita la información innecesaria recopilada en el registro; no borra los registros de pago, seguridad, infraestructura o soporte que un servicio pueda necesitar. Las obligaciones de retención y conservación deben evaluarse según las normas aplicables. Las páginas de privacidad y transparencia describen esos principios, mientras que la política de uso aceptable se aplica en todas las regiones.
Convierte una preferencia de ubicación en una lista de verificación operativa
Antes de colocar una carga de trabajo sensible, documenta las partes del servicio, la ubicación principal, los destinos de recuperación, el modelo de acceso y los requisitos contractuales. Mantén el registro actualizado cuando cambies de proveedor o de dependencias de la aplicación. Esta página explica el marco general; una actividad regulada específica o una disputa necesita una evaluación de sus propios hechos.
- Coincide la región seleccionada con el pedido y la descripción del servicio
- Revise la ubicación de las copias de seguridad y los registros en lugar de suponer que coincide
- Revisa juntos los términos de privacidad, uso aceptable y servicio
- Identifica cualquier tratamiento fuera de la región elegida o del EEE
- Usa las fuentes primarias enlazadas para el marco legal y su alcance actual
Un poco más de claridad.
¿Elegir una región de servidor selecciona el país de registro del operador?
No. El operador y la ubicación de la infraestructura son cuestiones separadas. Una región seleccionada identifica la ubicación prevista del servidor; por sí sola no especifica una oficina registrada ni resuelve todas las obligaciones aplicables.
¿Están los cuatro países en la Unión Europea?
Suecia y Finlandia son miembros de la UE. Noruega e Islandia son estados de la AELC del EEE fuera de la UE. La incorporación del RGPD al Acuerdo del EEE es relevante para las cuatro ubicaciones, aunque los procedimientos nacionales y otros instrumentos legales pueden diferir.
¿Una región noruega o islandesa queda fuera del marco del RGPD?
No. El RGPD se ha incorporado al Acuerdo EEE. La aplicabilidad sigue dependiendo del tratamiento y de las partes implicadas; una etiqueta EEE EFTA no es una exención general de las obligaciones de protección de datos.
¿Puede una autoridad extranjera llegar alguna vez a los datos almacenados en otro país?
Existen mecanismos legales transfronterizos. Que una solicitud surta efecto depende de la ley, el procedimiento, las partes y los hechos pertinentes. El país de almacenamiento por sí solo no puede establecer que toda solicitud extranjera sea ineficaz.
¿Será visible para mí un traslado previsto a otro país?
El principio de ubicación exige que el destino y el efecto de un traslado transfronterizo planificado se divulguen y se acuerden antes del traslado. Las excepciones de recuperación y los procedimientos de notificación deben figurar en los términos del servicio.
¿Las copias de seguridad permanecen automáticamente en el mismo país que el servidor?
La ubicación principal no determina por sí sola la ubicación de las copias de seguridad. Revise por separado los destinos de instantáneas, copias de seguridad y recuperación del servicio, incluidos la retención y el acceso.
¿Una conexión privada entre regiones significa que los datos están cifrados?
El enrutamiento y el cifrado son controles separados. Una transferencia debería usar cifrado autenticado y una política de acceso explícita; una descripción de red privada por sí sola no es prueba de ninguno de los dos.
¿El no-KYC impide que un proveedor reciba una solicitud legal?
No. Describe el modelo de verificación de identidad. Un proveedor puede seguir teniendo registros operativos y obligaciones legales. Los límites de recopilación, la retención y el alcance de una solicitud deben evaluarse con precisión.
¿Cambia la política de uso aceptable según el país seleccionado?
La política de uso aceptable de KoalaVPS se aplica a todo el catálogo. La selección de una región no exime al cliente de sus propias obligaciones conforme a la legislación aplicable.