Dónde se almacenan tus datos, a quién se puede obligar a entregarlos y qué demuestra realmente un certificado son tres preguntas distintas. Esta guía las separa y te da 10 preguntas para cualquier proveedor de nube.
ISO/IEC 27001 es la norma internacional para un sistema de gestión de la seguridad de la información (SGSI). Una empresa que tiene el certificado ha demostrado, mediante una auditoría de un organismo de certificación independiente, que identifica los riesgos de seguridad de la información y los gestiona de forma estructurada, documentada y en mejora continua.
Conviene saber tres cosas antes de confiar en un certificado. Primero, abarca un alcance definido: comprueba que los servicios y ubicaciones que vas a usar están incluidos. Segundo, no garantiza que nunca ocurran incidentes; demuestra que el proceso existe. Tercero, los certificados duran tres años, con auditorías de seguimiento entre medias, así que revisa las fechas de validez y el nombre del organismo de certificación.
| Término | La pregunta que responde | Por qué importa |
|---|---|---|
| Residencia de datos | ¿En qué país están los servidores? | Determina qué ubicación física y qué legislación local se aplican al hardware. Las copias de seguridad y los metadatos también cuentan. |
| Soberanía de los datos | ¿Qué leyes pueden alcanzar los datos? | Los datos pueden estar en la UE y aun así estar sujetos a legislación extranjera si el proveedor tiene su sede en otro lugar. |
| Jurisdicción y propiedad | ¿Quién es el propietario y el operador del proveedor? | La CLOUD Act de EE. UU., por ejemplo, permite a las autoridades estadounidenses solicitar datos a proveedores con sede en EE. UU. dondequiera que se almacenen. |
Esta es información general y no constituye asesoramiento jurídico. Pide a tu asesor jurídico o a tu delegado de protección de datos que valore tu situación.
Usa estas preguntas en una licitación, una revisión de seguridad o una evaluación de proveedores. Un proveedor que ha hecho los deberes las responde por escrito.
Los Países Bajos tienen una conectividad densa, un gran mercado de centros de datos y una Autoriteit Persoonsgegevens que supervisa el RGPD. Para una empresa europea la ventaja práctica es simple: los datos se mantienen bajo el derecho de la UE y cerca de los puntos de intercambio de internet que mueven tu tráfico.
Estas son las ubicaciones que usa vBoxx. Dos están en los Países Bajos y una en Alemania para la recuperación ante desastres.
| Ubicación | Operador y localidad | Función | Certificaciones |
|---|---|---|---|
| AMS-1 | maincubes AMS01, Schiphol-Rijk (NL) | Región principal: almacenamiento y computación de producción | ISO/IEC 27001:2017, ISO 9001, ISO 14001, ISO 50001, SOC 1 y SOC 2 |
| NLD-1 | Greenhouse Datacenters, Naaldwijk (NL) | Región secundaria: réplica síncrona y copias de seguridad | ISO/IEC 27001, ISO 9001, ISO 14001, PCI-DSS, ISAE 3402 |
| FRA-1 | maincubes FRA01, Fráncfort (DE) | Recuperación ante desastres y región EU-DE | ISO/IEC 27001:2017, ISO 9001, ISO 14001, ISO 50001, DIN EN 50600, SOC 1 y SOC 2 |
Fuente: documentación de los operadores, consulta nuestra página de centros de datos.
La propia vBoxx está certificada, no solo los centros de datos. Descarga el certificado (PDF).
Los datos, metadatos, copias de seguridad y herramientas de soporte permanecen dentro de la UE. Sin exposición a la CLOUD Act de EE. UU.
Disponible para todos los servicios. Consulta la documentación legal.
Los archivos de vBoxxCloud se cifran en tránsito y en reposo.
Electricidad 100 % renovable o verde en las tres ubicaciones. Consulta el alojamiento ecológico.
Pídenos la Declaración de aplicabilidad o un cuestionario de seguridad y te ayudamos.
No. ISO 27001 certifica un sistema de gestión de la seguridad de la información. Respalda el requisito del RGPD de una seguridad adecuada, pero no es un certificado del RGPD. Sigues necesitando un acuerdo de encargado del tratamiento y una base legal para el tratamiento.
Comprueba el nombre de la empresa, el alcance, las fechas de validez y el organismo de certificación. Pregunta si los servicios y ubicaciones que vas a usar están dentro del alcance. Los organismos de certificación suelen publicar los certificados que emiten.
No necesariamente. Si el proveedor tiene su sede fuera de la UE, la legislación extranjera, como la CLOUD Act de EE. UU., puede aplicarse a los datos que controla, dondequiera que estén. La propiedad y el operador importan tanto como la ubicación.
Los Países Bajos combinan protección jurídica de la UE, una conectividad sólida (AMS-IX) y un mercado de centros de datos maduro. vBoxx usa ubicaciones en Schiphol-Rijk y Naaldwijk, con un centro de recuperación ante desastres en Fráncfort.
¿Necesitas el certificado o responder un cuestionario de seguridad?
Habla con nosotros sobre un alojamiento que se queda en Europa.