Ventajas y soberanía¶
¿Dónde están ahora mismo tus deberes de Classroom: en Madrid, en Irlanda, en Iowa? ¿Quién lo decidió, tú o el instituto? Y si un juez de otro país se los pidiera al proveedor, ¿tendría que entregarlos?
La mayoría de la gente nunca se lo pregunta. Una empresa tiene que hacerlo. Cuando una cadena hotelera de Palma pone en la nube los pasaportes y los datos de las tarjetas de sus huéspedes, sigue siendo legalmente responsable de ellos, acaben donde acaben. Hoy sopesas lo que la nube aporta de verdad a una empresa conectada y lo que arriesga, y haces la investigación que hace un equipo de informática cuidadoso antes de firmar: averiguar dónde guarda sus datos un servicio real y qué ley se aplica.
Qué aprenderás
- Identificar las ventajas que la nube aporta a los sistemas conectados, y sus principales riesgos
- Explicar la soberanía de los datos: saber y controlar dónde están los datos, quién puede llegar a ellos y qué ley se aplica
- Reconocer las normas que lo deciden: el RGPD y sus reglas de transferencia, la CLOUD Act de Estados Unidos y el Data Act (Reglamento de Datos) de la UE
- Averiguar, con fuentes públicas, dónde guarda sus datos un servicio real y si salen de la UE
- Evitar la trampa: «la dirección IP de una web te dice dónde se guardan los datos»
Qué aporta la nube a los sistemas conectados¶
Un sistema conectado es un conjunto de dispositivos, aplicaciones y personas que intercambian datos por una red: los sensores y el SCADA de la Unidad 1, el IoT de la Unidad 2, los aerogeneradores de la lección anterior.
| Ventaja | Qué significa | Ejemplo |
|---|---|---|
| Un punto común para los datos | Cada dispositivo y emplazamiento envía sus datos al mismo lugar. | Los datos de todos los hoteles de una cadena, juntos y comparables |
| Escalabilidad y elasticidad | Crecer de diez dispositivos a diez mil sin comprar servidores; reducir cuando no hacen falta. | Más capacidad en agosto, menos en enero |
| Acceso desde cualquier lugar | Los datos y las aplicaciones se alcanzan desde cualquier dispositivo con conexión. | La gerente consulta la producción del parque eólico en su móvil |
| Coste que sigue al uso | Sin gran inversión inicial: el gasto sigue a la actividad (tu estimación de la lección 2). | Abrir un hotel nuevo sin sala de servidores |
| Disponibilidad y copias | Los proveedores tienen varios centros de datos y permiten replicar los datos entre ellos. | Si un servidor falla, las reservas continúan desde otro |
| Gestión remota | Los dispositivos se controlan y actualizan a distancia, todos a la vez. | Actualizar el software de todas las cerraduras sin visitarlas una a una |
| Potencia para analizar | Capacidad de cálculo para big data e inteligencia artificial. | Predecir averías a partir de años de datos de vibración |
| Integración | Los servicios de empresas distintas se conectan fácilmente mediante API. | Reservas enlazadas con agencias de viajes y una pasarela de pago |
Y los riesgos que hay que vigilar:
| Riesgo | Qué significa | Cómo se reduce |
|---|---|---|
| Depender de la conexión | Sin internet, no hay nube. | Procesamiento edge para lo que no se puede parar (lección anterior) |
| Dependencia del proveedor (vendor lock-in) | Cambiar a otro proveedor se vuelve tan difícil o caro que te quedas atrapado. | Formatos abiertos, multinube y el Data Act de la UE (más abajo) |
| Costes que crecen | Pagar por uso también significa pagar por lo que se queda encendido. | Presupuestos, alertas, revisar la factura cada mes |
| Seguridad compartida | El proveedor protege la infraestructura; la configuración y los datos son tarea del cliente. | Saber qué capas son tuyas (lección 1) |
| Dónde están los datos y quién puede llegar a ellos | Otro país, otra ley. | El resto de esta página |
Soberanía de los datos¶
La soberanía de los datos significa que los datos están sujetos a las leyes del lugar donde se guardan y de la empresa que los tiene. Tener soberanía sobre tus datos significa saber y controlar dónde están, quién puede llegar a ellos y qué ley se aplica.
En el juego de construir ciudades, alquilar la electricidad es cómodo. Pero antes de firmar quieres saber dónde está la central, de qué país es la compañía y si puedes cambiarte a otra sin pagar una penalización. Cuatro preguntas, cuatro respuestas:
| Pregunta | Qué necesitas saber |
|---|---|
| ¿Dónde están? | Los proveedores agrupan sus centros de datos en regiones, y el cliente escoge la región. Los tres grandes tienen regiones en España: AWS en Aragón (eu-south-2, abierta en 2022), Google Cloud en Madrid (europe-southwest1, 2022) y Microsoft Azure en Madrid (Spain Central, 2024). Hetzner, un proveedor alemán, tiene sus centros de datos en Alemania y Finlandia, además de Estados Unidos y Singapur. |
| ¿Pueden salir de la UE? | El RGPD (Reglamento (UE) 2016/679, capítulo V, artículos 44 a 49) solo deja que los datos personales salgan del Espacio Económico Europeo con garantías: una decisión de adecuación de la Comisión Europea (el destino protege los datos tan bien como la UE), cláusulas contractuales tipo o excepciones concretas. Para Estados Unidos existe el Marco de Privacidad de Datos UE-EE. UU. (EU–US Data Privacy Framework), una decisión de adecuación del 10 de julio de 2023, confirmada por el Tribunal General de la UE el 3 de septiembre de 2025; hay un recurso pendiente ante el Tribunal de Justicia. |
| ¿De quién es el proveedor? | Una empresa estadounidense está sujeta a la ley de Estados Unidos aunque su centro de datos esté en Europa. La CLOUD Act (2018) la obliga a entregar los datos que estén bajo su control cuando las autoridades estadounidenses los pidan por vía legal, estén donde estén guardados. Por eso existen ofertas «soberanas», como la AWS European Sovereign Cloud, cuya primera región abrió en Brandeburgo (Alemania) en enero de 2026, gestionada por empresas constituidas en la UE. |
| ¿Puedo cambiar de proveedor? | El Data Act (Reglamento de Datos) de la UE (Reglamento (UE) 2023/2854) se aplica desde el 12 de septiembre de 2025. Obliga a los proveedores de nube a hacer posible el cambio a otro proveedor y, a partir del 12 de enero de 2027, ya no podrán cobrar tarifas por cambio. Es la respuesta de Europa a la dependencia del proveedor. |
La empresa que recoge datos personales sigue siendo responsable de ellos aunque los guarde un proveedor. Escoger proveedor y región es una decisión legal, no solo técnica. Las normas sobre datos personales se estudian a fondo en la Unidad 5.
Cuidado: «cambiar ya es gratis»
El Data Act prohíbe las tarifas por cambio en sí. El proveedor puede seguir facturando el servicio normal mientras lo usas, y algunos costes de mantener dos nubes en paralelo. Léelo como «no te pueden multar por irte», no como «todo es gratis».
¿Desde dónde responde una web?¶
Hay una comprobación técnica rápida que puedes hacer desde el navegador, sin cuenta: buscar la dirección IP de un dominio y preguntar de quién es esa dirección.
| Herramienta | Qué hace |
|---|---|
| Google Admin Toolbox Dig | Pregunta al DNS (la guía telefónica de internet) la dirección de un dominio. Escoge el registro A y copia la IP |
| ipinfo.io | Abrir ipinfo.io/<IP> muestra la organización propietaria de la dirección y una ciudad aproximada |
Pruébalo con tu propia web de GitHub Pages. El 25 de octubre de 2026, una dirección github.io mostraba la organización Fastly (una CDN), la ciudad San Francisco y la etiqueta anycast: true. Y sin embargo la página llegaba a Mallorca en milisegundos. Anycast significa que la misma dirección se anuncia desde muchos lugares a la vez, y te sirve la copia más cercana: la CDN de la lección anterior, que es edge.
Cuidado: la dirección IP no es donde viven los datos
Una web a menudo se sirve desde una CDN o una dirección anycast, así que la IP apunta a una caché cercana o a la sede de la empresa de la CDN, no a donde se guardan los datos. Si ipinfo dice «Madrid», no demuestra que los datos estén en Madrid. Lo que cuenta es lo que el proveedor escribe en su política de privacidad y en sus contratos; la comprobación de la IP solo te dice quién entrega la página.
En clase: ¿dónde viven los datos?¶
Individualmente. Investiga dos servicios: uno que uses en clase (Kahoot, Google Classroom o GitHub) y otro que use tu empresa o que hayas propuesto en la D3 (el proveedor de tu estimación, la web de la empresa...). Sin IA generativa: esta actividad se evalúa (trabajo de clase, 30 %). Solo pasivo: solo lees lo que puede ver cualquier visitante; nunca pruebes contraseñas ni escanees nada.
| Paso | Haz esto | Dónde mirar |
|---|---|---|
| 1 | ¿Quién es el proveedor y en qué país tiene la sede? | El aviso legal o la política de privacidad |
| 2 | ¿Dónde dice que guarda los datos: país, región o centro de datos? | Política de privacidad, página de «data location» o «data residency», lista de subencargados (otras empresas que tratan datos por cuenta suya) |
| 3 | ¿Salen datos del EEE, y con qué garantía (adecuación, Data Privacy Framework, cláusulas tipo)? | El apartado de «transferencias internacionales» de la política de privacidad |
| 4 | ¿Desde dónde responde la web? Busca el dominio en Dig (registro A), copia la IP y abre ipinfo.io/<IP>. Anota la organización y la ciudad |
Dig e ipinfo.io |
| 5 | Conclusión en tres frases: ¿es una buena opción para los datos de tu empresa? ¿Qué región o proveedor escogerías, y por qué? | Lo que has encontrado |
Para cada paso, la cita: enlace, fecha de consulta y la frase copiada entre comillas. Si la política no lo dice, escribe «no lo dice» y dónde has mirado: eso también es un hallazgo.
Después: la web de tu grupo¶
Después, en tu grupo de proyecto, el Técnico monta la web donde el grupo publicará la Entrega 3. Todos miran y participan.
| Paso | Haz esto | Deberías ver |
|---|---|---|
| 1 | El Técnico crea un repositorio público llamado dossier-<company> (sin espacios ni acentos), con Add README |
El nuevo repositorio |
| 2 | Settings → Collaborators → Add people: invita a los demás miembros por su nombre de usuario. Cada uno acepta la invitación (correo o notificación de GitHub) | Todos pueden editar |
| 3 | Crea index.md con el esqueleto de la D3: título, nombre de la empresa, un encabezado por sección (A, B, C, D) y uno para la parte de grupo. Cada miembro escribe una línea bajo su encabezado y hace commit |
El historial muestra quién ha escrito qué |
| 4 | Settings → Pages → Deploy from a branch → main, / (root) → Save |
La web en https://<technician-username>.github.io/dossier-<company>/ |
GitHub Pages convierte por sí solo los archivos .md en páginas web, así que puedes escribir en Markdown. Los diagramas Mermaid no se dibujan en la web publicada: añade el diagrama de arquitectura como imagen (PNG). El repositorio es público: nada de datos personales, solo nombres de pila si lo preferís. El Coordinador entrega los dos enlaces en Classroom. Si nadie del grupo tiene cuenta de GitHub, haced una web de Google Sites con vuestras cuentas del instituto.
Para tu proyecto¶
Esta lección cierra la investigación de la Entrega 3 · Arquitectura en la nube, que se entrega el lunes 8 de febrero de 2027 a las 23:59, el mismo día que tu defensa en la sesión 14.
| Trabajo de hoy | Se convierte en | Criterio |
|---|---|---|
| Dónde viven los datos del proveedor de tu empresa, y la región que escoges | Sección D: modelo de despliegue y soberanía (con 3 miembros, parte de grupo) | e |
| Ventajas y riesgos para tu empresa | Secciones B y D, y las conclusiones del grupo | e |
| El repositorio y la web del grupo | El dosier publicado (parte de grupo) | Parte de grupo |
Ideas clave¶
- Para los sistemas conectados, la nube aporta un punto común para los datos, elasticidad, acceso desde cualquier lugar, un coste que sigue al uso, disponibilidad, gestión remota, potencia de análisis e integración.
- Sus riesgos: depender de la conexión, la dependencia del proveedor (vendor lock-in), los costes que crecen, la seguridad compartida y dónde están los datos.
- La soberanía de los datos es saber y controlar dónde están los datos, quién puede llegar a ellos y qué ley se aplica. El cliente sigue siendo responsable de sus datos.
- El RGPD solo deja que los datos personales salgan del EEE con garantías como una decisión de adecuación; la CLOUD Act de Estados Unidos alcanza a los proveedores estadounidenses estén donde estén sus centros de datos.
- El Data Act de la UE obliga a los proveedores a permitir el cambio, sin tarifas por cambio a partir del 12 de enero de 2027.
- Una búsqueda de IP te dice quién entrega una página (a menudo una CDN con anycast), no dónde se guardan los datos.
Comprobación rápida¶
1. ¿Qué es la soberanía de los datos?
- El derecho del proveedor a usar los datos de sus clientes
- Saber y controlar dónde están los datos, quién puede llegar a ellos y qué ley se aplica
- Guardar todos los datos en los propios servidores de la empresa
- Cifrar los datos para que nadie pueda leerlos
La soberanía de los datos trata de ubicación, acceso y ley. El cifrado y los servidores propios pueden ayudar, pero son herramientas, no la definición.
2. Una cadena hotelera traslada las fichas de sus huéspedes a un proveedor de nube. ¿Quién es responsable de esos datos personales?
- Solo el proveedor, desde el momento en que los guarda
- La cadena hotelera, que sigue siendo responsable aunque los guarde un proveedor
- Nadie, porque los datos están en la nube
- Los propios huéspedes
Según el RGPD, la empresa que recoge los datos sigue siendo responsable. El proveedor los trata por cuenta suya, con un contrato.
3. Según el RGPD, ¿cuándo se pueden enviar datos personales a un país de fuera del Espacio Económico Europeo?
- Nunca, en ningún caso
- Siempre, si el proveedor es una gran empresa
- Solo con garantías, como una decisión de adecuación de la Comisión Europea o cláusulas contractuales tipo
- Solo si los datos tienen menos de un año
El capítulo V del RGPD solo permite transferencias fuera del EEE con garantías: una decisión de adecuación, cláusulas contractuales tipo o excepciones concretas.
4. Un proveedor estadounidense guarda los datos de una empresa en un centro de datos de Madrid. ¿Qué afirmación es cierta?
- Solo se aplica la ley española, porque el centro de datos está en España
- La ley de Estados Unidos también puede llegar a esos datos, porque la CLOUD Act se aplica a los proveedores estadounidenses estén donde estén guardados los datos
- A los datos en la nube no se les aplica ninguna ley
- Los datos se trasladan automáticamente a Estados Unidos
La ubicación importa, pero también quién es el proveedor. La CLOUD Act obliga a los proveedores estadounidenses a entregar los datos que tengan bajo su control cuando se les pidan legalmente, estén donde estén guardados.
5. ¿Qué cambia el Data Act de la UE para una empresa que quiere dejar a su proveedor de nube?
- Nada: solo cubre los teléfonos móviles
- Prohíbe a las empresas cambiar de proveedor más de una vez al año
- Los proveedores deben hacer posible el cambio y, a partir del 12 de enero de 2027, no pueden cobrar tarifas por cambio
- Hace gratuitos todos los servicios en la nube
El Data Act (Reglamento (UE) 2023/2854) ataca la dependencia del proveedor: el cambio debe ser posible y, a partir del 12 de enero de 2027, sin tarifas por cambio. El servicio normal se sigue pagando.
6. ipinfo.io dice que la dirección IP de una web está en Madrid. ¿Qué puedes concluir?
- Los datos de la web se guardan en Madrid
- La empresa es española
- Solo quién entrega la página y aproximadamente desde dónde; los datos podrían guardarse en otro sitio, así que debes leer la política de privacidad
- La web no usa una CDN
Muchas webs se sirven a través de una CDN o de una dirección anycast. La IP te dice quién entrega la página, no dónde se guardan los datos: la política escrita del proveedor es la prueba que cuenta.
7. Una pequeña clínica dental de Manacor quiere citas en línea para sus pacientes. ¿Qué opción protege mejor los datos de sus pacientes, con el mínimo esfuerzo?
- El servicio más barato que encuentre, sea del país que sea, sin leer su política
- Un SaaS cuya política dice que guarda los datos en la UE, después de revisar su apartado de transferencias
- Su propio servidor en la sala de espera, para que nadie más vea los datos
- Una hoja de cálculo compartida públicamente para que los pacientes reserven solos
Un SaaS ahorra a la clínica trabajo de administración, y comprobar la región y las transferencias en la política del proveedor son los deberes de soberanía. Un servidor en la sala de espera no es más seguro solo porque esté cerca.
Ya tienes todo lo necesario para tu arquitectura en la nube: qué alquilar, a quién, a qué coste, qué se queda en local y dónde viven los datos. Júntalo en la Entrega 3 · Arquitectura en la nube.