Avantatges i sobirania¶
On són ara mateix els teus deures de Classroom: a Madrid, a Irlanda, a Iowa? Qui ho ha decidit, tu o l'institut? I si un jutge d'un altre país els demanàs al proveïdor, el proveïdor els hauria d'entregar?
La majoria de gent no s'ho pregunta mai. Una empresa s'ho ha de preguntar. Quan una cadena hotelera de Palma posa al núvol els passaports i les dades de targeta dels seus clients, continua sent-ne legalment responsable, acabin on acabin. Avui sospesaràs què aporta realment el núvol a una empresa connectada, què arrisca, i faràs la recerca que fa un equip d'IT acurat abans de signar: esbrinar on guarda les dades un servei real i quina llei s'hi aplica.
Què aprendràs
- Identificar els avantatges que el núvol aporta als sistemes connectats, i els seus riscos principals
- Explicar la sobirania de les dades: saber i controlar on són les dades, qui hi pot accedir i quina llei s'hi aplica
- Reconèixer les normes que ho decideixen: el RGPD i les seves regles de transferència, la CLOUD Act dels EUA i el Data Act (Reglament de dades) de la UE
- Esbrinar, amb fonts públiques, on guarda les dades un servei real i si surten de la UE
- Evitar la trampa: "l'adreça IP d'un web et diu on es guarden les dades"
Què aporta el núvol als sistemes connectats¶
Un sistema connectat és un conjunt de dispositius, aplicacions i persones que intercanvien dades per una xarxa: els sensors i l'SCADA de la Unitat 1, l'IoT de la Unitat 2, els aerogeneradors de la lliçó anterior.
| Avantatge | Què vol dir | Exemple |
|---|---|---|
| Un punt comú per a les dades | Tots els dispositius i llocs envien les dades al mateix lloc. | Les dades de tots els hotels d'una cadena, juntes i comparables |
| Escalabilitat i elasticitat | Passar de deu dispositius a deu mil sense comprar servidors; reduir quan no calen. | Més capacitat a l'agost, menys al gener |
| Accés des de qualsevol lloc | Les dades i les aplicacions són accessibles des de qualsevol dispositiu amb connexió. | La gerent consulta la producció del parc eòlic al mòbil |
| Un cost que segueix l'ús | Sense una gran inversió inicial: la despesa segueix l'activitat (la teva estimació de la lliçó 2). | Obrir un hotel nou sense sala de servidors |
| Disponibilitat i còpies | Els proveïdors tenen diversos centres de dades i permeten replicar-hi les dades. | Si un servidor falla, les reserves continuen des d'un altre |
| Gestió remota | Els dispositius es controlen i s'actualitzen a distància, tots alhora. | Actualitzar el programari de tots els panys de les portes sense anar-hi un per un |
| Potència per analitzar | Capacitat de càlcul per a big data i intel·ligència artificial. | Predir avaries a partir d'anys de dades de vibració |
| Integració | Serveis de diferents empreses es connecten fàcilment mitjançant API. | Reserves enllaçades amb agències de viatges i una passarel·la de pagament |
I els riscos que cal vigilar:
| Risc | Què vol dir | Com es redueix |
|---|---|---|
| Dependre de la connexió | Sense internet, no hi ha núvol. | Processament a l'edge per al que no es pot aturar (lliçó anterior) |
| Dependència del proveïdor (vendor lock-in) | Canviar a un altre proveïdor es torna tan difícil o car que hi quedes atrapat. | Formats oberts, multinúvol i el Data Act de la UE (més avall) |
| Costos que creixen | Pagar per ús també vol dir pagar pel que queda encès. | Pressuposts, alertes, revisar la factura cada mes |
| Seguretat compartida | El proveïdor protegeix la infraestructura; la configuració i les dades són feina del client. | Saber quines capes són teves (lliçó 1) |
| On són les dades i qui hi pot accedir | Un altre país, una altra llei. | La resta d'aquesta pàgina |
Sobirania de les dades¶
La sobirania de les dades vol dir que les dades estan subjectes a les lleis del lloc on es guarden i de l'empresa que les té. Tenir sobirania sobre les teves dades vol dir saber i controlar on són, qui hi pot accedir i quina llei s'hi aplica.
Al joc de construir ciutats, llogar l'electricitat és còmode. Però abans de signar vols saber on és la central, de quin país és la companyia i si pots canviar a una altra sense pagar una penalització. Quatre preguntes, quatre respostes:
| Pregunta | Què has de saber |
|---|---|
| On són? | Els proveïdors agrupen els seus centres de dades en regions, i el client tria la regió. Els tres grans tenen regions a Espanya: AWS a l'Aragó (eu-south-2, oberta el 2022), Google Cloud a Madrid (europe-southwest1, 2022) i Microsoft Azure a Madrid (Spain Central, 2024). Hetzner, un proveïdor alemany, té els seus centres de dades a Alemanya i Finlàndia, a més dels EUA i Singapur. |
| Poden sortir de la UE? | El RGPD (Reglament (UE) 2016/679, capítol V, articles 44 a 49) només permet que les dades personals surtin de l'Espai Econòmic Europeu amb garanties: una decisió d'adequació de la Comissió Europea (el destí protegeix les dades tan bé com la UE), clàusules contractuals tipus o excepcions concretes. Per als Estats Units hi ha l'EU–US Data Privacy Framework, una decisió d'adequació del 10 de juliol de 2023, confirmada pel Tribunal General de la UE el 3 de setembre de 2025; hi ha un recurs pendent davant el Tribunal de Justícia. |
| De qui és el proveïdor? | Una empresa dels EUA està subjecta a la llei dels EUA encara que el seu centre de dades sigui a Europa. La CLOUD Act (2018) l'obliga a entregar les dades sota el seu control quan les autoritats dels EUA les demanen per via legal, siguin on siguin guardades. Per això existeixen ofertes "sobiranes", com l'AWS European Sovereign Cloud, la primera regió de la qual es va obrir a Brandenburg (Alemanya) el gener de 2026, gestionada per empreses constituïdes a la UE. |
| Puc canviar de proveïdor? | El Data Act (Reglament de dades, Reglament (UE) 2023/2854) s'aplica des del 12 de setembre de 2025. Obliga els proveïdors de núvol a fer possible el canvi a un altre proveïdor, i a partir del 12 de gener de 2027 ja no poden cobrar costos de canvi. És la resposta d'Europa a la dependència del proveïdor. |
L'empresa que recull dades personals continua sent-ne responsable encara que les guardi un proveïdor. Triar un proveïdor i una regió és una decisió legal, no només tècnica. Les normes sobre dades personals s'estudien a fons a la Unitat 5.
Compte: \"ara canviar és gratis\"
El Data Act prohibeix els costos de canvi en si mateixos. El proveïdor pot continuar facturant el servei normal mentre el fas servir, i alguns costos de fer funcionar dos núvols en paral·lel. Llegeix-ho com "no et poden penalitzar per marxar", no com "tot és gratis".
Des d'on respon un web?¶
Hi ha una comprovació tècnica ràpida que pots fer des del navegador, sense compte: cercar l'adreça IP d'un domini i preguntar de qui és aquesta adreça.
| Eina | Què fa |
|---|---|
| Google Admin Toolbox Dig | Pregunta al DNS (la guia telefònica d'internet) l'adreça d'un domini. Tria el registre A i copia la IP |
| ipinfo.io | Obrir ipinfo.io/<IP> mostra l'organització propietària de l'adreça i una ciutat aproximada |
Prova-ho amb el teu propi web de GitHub Pages. El 25/10/2026, una adreça github.io mostrava l'organització Fastly (una CDN), la ciutat San Francisco i l'etiqueta anycast: true. I tanmateix la pàgina arribava a Mallorca en mil·lisegons. Anycast vol dir que la mateixa adreça s'anuncia des de molts llocs alhora, i et serveix la còpia més propera: la CDN de la lliçó anterior, que és edge.
Compte: l'adreça IP no és on viuen les dades
Sovint un web se serveix des d'una CDN o una adreça anycast, així que la IP apunta a una memòria cau propera o a la seu de l'empresa de la CDN, no al lloc on es guarden les dades. Si ipinfo diu "Madrid", no demostra que les dades siguin a Madrid. El que compta és el que el proveïdor escriu a la seva política de privadesa i als contractes; la comprovació de la IP només et diu qui entrega la pàgina.
A classe: on viuen les dades?¶
Individualment. Investiga dos serveis: un que fas servir a classe (Kahoot, Google Classroom o GitHub) i un que fa servir la teva empresa o que vares proposar al L3 (el proveïdor de la teva estimació, el web de l'empresa...). Sense IA generativa: aquesta activitat s'avalua (feina de classe, 30%). Només passiu: només llegeixes el que pot veure qualsevol visitant; no provis mai contrasenyes ni escanegis res.
| Pas | Fes això | On mirar |
|---|---|---|
| 1 | Qui és el proveïdor, i en quin país té la seu? | L'avís legal o la política de privadesa |
| 2 | On diu que guarda les dades: país, regió o centre de dades? | Política de privadesa, pàgina de "data location" o "data residency", llista de subencarregats (altres empreses que tracten dades en nom seu) |
| 3 | Les dades surten de l'EEE, i amb quina garantia (adequació, Data Privacy Framework, clàusules tipus)? | La secció de "transferències internacionals" de la política de privadesa |
| 4 | Des d'on respon el web? Cerca el domini a Dig (registre A), copia la IP i obre ipinfo.io/<IP>. Apunta l'organització i la ciutat |
Dig i ipinfo.io |
| 5 | Conclusió en tres frases: és una bona opció per a les dades de la teva empresa? Quina regió o proveïdor triaries, i per què? | El que has trobat |
Per a cada pas, la cita: enllaç, data de consulta i la frase copiada entre cometes. Si la política no ho diu, escriu "no ho diu" i on has mirat: això també és una troballa.
Després: el web del vostre grup¶
Després, amb el grup del projecte, el Tècnic prepara el web on el grup publicarà el Lliurament 3. Tothom mira i hi participa.
| Pas | Fes això | Hauries de veure |
|---|---|---|
| 1 | El Tècnic crea un repositori públic anomenat dossier-<company> (amb el nom de l'empresa, sense espais ni accents), amb Add README |
El repositori nou |
| 2 | Settings → Collaborators → Add people: convida els altres membres pel nom d'usuari. Cadascú accepta la invitació (correu o notificació de GitHub) | Tothom pot editar |
| 3 | Crea index.md amb l'esquelet del L3: títol, nom de l'empresa, un encapçalament per secció (A, B, C, D) i un per a la part de grup. Cada membre escriu una línia sota el seu encapçalament i en fa el commit |
L'historial mostra qui ha escrit què |
| 4 | Settings → Pages → Deploy from a branch → main, / (root) → Save |
El web a https://<technician-username>.github.io/dossier-<company>/ |
GitHub Pages converteix tot sol els fitxers .md en pàgines web, així que pots escriure en Markdown. Els diagrames Mermaid no es dibuixen al web publicat: afegeix el diagrama d'arquitectura com a imatge (PNG). El repositori és públic: res de dades personals, només noms de pila si ho preferiu. El Coordinador lliura els dos enllaços a Classroom. Si ningú del grup no té compte de GitHub, feu un web de Google Sites amb els comptes de l'institut.
Per al teu projecte¶
Aquesta lliçó tanca la recerca del Lliurament 3 · Arquitectura al núvol, que s'ha de lliurar el dilluns 8 de febrer de 2027 a les 23:59, el mateix dia que la teva defensa a la sessió 14.
| Feina d'avui | Es converteix en | Criteri |
|---|---|---|
| On viuen les dades del proveïdor de la teva empresa, i la regió que tries | Secció D: model de desplegament i sobirania (amb 3 membres, part de grup) | e |
| Avantatges i riscos per a la teva empresa | Seccions B i D, i les conclusions del grup | e |
| El repositori i el web del grup | El dossier publicat (part de grup) | Part de grup |
Idees clau¶
- Per als sistemes connectats, el núvol aporta un punt comú per a les dades, elasticitat, accés des de qualsevol lloc, un cost que segueix l'ús, disponibilitat, gestió remota, potència d'anàlisi i integració.
- Els seus riscos: dependre de la connexió, la dependència del proveïdor (vendor lock-in), costos que creixen, la seguretat compartida i on són les dades.
- La sobirania de les dades és saber i controlar on són les dades, qui hi pot accedir i quina llei s'hi aplica. El client continua sent responsable de les seves dades.
- El RGPD només permet que les dades personals surtin de l'EEE amb garanties com una decisió d'adequació; la CLOUD Act dels EUA arriba als proveïdors dels EUA siguin on siguin els seus centres de dades.
- El Data Act de la UE obliga els proveïdors a permetre el canvi, sense costos de canvi a partir del 12 de gener de 2027.
- Una consulta d'IP et diu qui entrega una pàgina (sovint una CDN amb anycast), no on es guarden les dades.
Comprovació ràpida¶
1. Què és la sobirania de les dades?
- El dret del proveïdor a fer servir les dades dels seus clients
- Saber i controlar on són les dades, qui hi pot accedir i quina llei s'hi aplica
- Guardar totes les dades als servidors propis de l'empresa
- Xifrar les dades perquè ningú no les pugui llegir
La sobirania de les dades tracta de ubicació, accés i llei. El xifratge i els servidors propis hi poden ajudar, però són eines, no la definició.
2. Una cadena hotelera passa les fitxes dels seus clients a un proveïdor de núvol. Qui és responsable d'aquestes dades personals?
- Només el proveïdor, des del moment que les guarda
- La cadena hotelera, que continua sent-ne responsable encara que les guardi un proveïdor
- Ningú, perquè les dades són al núvol
- Els mateixos clients
Segons el RGPD, l'empresa que recull les dades continua sent-ne responsable. El proveïdor les tracta en nom seu, amb un contracte.
3. Segons el RGPD, quan es poden enviar dades personals a un país de fora de l'Espai Econòmic Europeu?
- Mai, en cap cas
- Sempre, si el proveïdor és una gran empresa
- Només amb garanties, com una decisió d'adequació de la Comissió Europea o clàusules contractuals tipus
- Només si les dades tenen menys d'un any
El capítol V del RGPD només permet transferències fora de l'EEE amb garanties: una decisió d'adequació, clàusules contractuals tipus o excepcions concretes.
4. Un proveïdor dels EUA guarda les dades d'una empresa en un centre de dades de Madrid. Quina afirmació és certa?
- Només s'hi aplica la llei espanyola, perquè el centre de dades és a Espanya
- La llei dels EUA també pot arribar a aquestes dades, perquè la CLOUD Act s'aplica als proveïdors dels EUA siguin on siguin guardades les dades
- Cap llei no s'aplica a les dades del núvol
- Les dades es traslladen automàticament als Estats Units
La ubicació importa, però també qui és el proveïdor. La CLOUD Act obliga els proveïdors dels EUA a entregar les dades sota el seu control quan se'ls demanen legalment, siguin on siguin guardades.
5. Què canvia el Data Act de la UE per a una empresa que vol deixar el seu proveïdor de núvol?
- Res: només afecta els telèfons mòbils
- Prohibeix a les empreses canviar de proveïdor més d'una vegada l'any
- Els proveïdors han de fer possible el canvi, i a partir del 12 de gener de 2027 no poden cobrar costos de canvi
- Fa que tots els serveis de núvol siguin gratuïts
El Data Act (Reglament (UE) 2023/2854) ataca la dependència del proveïdor: el canvi ha de ser possible i, a partir del 12 de gener de 2027, sense costos de canvi. El servei normal es continua pagant.
6. ipinfo.io diu que l'adreça IP d'un web és a Madrid. Què en pots concloure?
- Les dades del web es guarden a Madrid
- L'empresa és espanyola
- Només qui entrega la pàgina i aproximadament des d'on; les dades podrien ser guardades en un altre lloc, així que has de llegir la política de privadesa
- El web no fa servir cap CDN
Molts webs se serveixen a través d'una CDN o d'una adreça anycast. La IP et diu qui entrega la pàgina, no on es guarden les dades: la prova que compta és la política escrita del proveïdor.
7. Una petita clínica dental de Manacor vol cites en línia per als seus pacients. Quina opció protegeix millor les dades dels pacients, amb el mínim esforç?
- El servei més barat que trobi, sigui del país que sigui, sense llegir-ne la política
- Una SaaS la política de la qual diu que guarda les dades a la UE, després de comprovar-ne la secció de transferències
- Un servidor propi a la sala d'espera, perquè ningú més no vegi les dades
- Un full de càlcul compartit públicament perquè els pacients es reservin la cita ells mateixos
Una SaaS estalvia feina d'administració a la clínica, i comprovar la regió i les transferències a la política del proveïdor és la feina de sobirania. Un servidor a la sala d'espera no és més segur només perquè sigui a prop.
Ara ja ho tens tot per a la teva arquitectura al núvol: què llogar, a qui, amb quin cost, què queda en local i on viuen les dades. Ajunta-ho al Lliurament 3 · Arquitectura al núvol.