Colaboración en investigación: compartir archivos entre instituciones

El RGPD y el Esquema Nacional de Seguridad (ENS) imponen restricciones claras sobre cómo los datos de investigación pueden cruzar fronteras institucionales: los conjuntos de datos con datos personales requieren salvaguardas específicas antes de salir de la Unión Europea. La colaboración interinstitucional necesita un canal que maneje conjuntos de datos a escala de terabytes, respete los distintos acuerdos de uso de datos e IRB, y funcione a través de las políticas de red de cada laboratorio socio. Globus Online domina el extremo de alto rendimiento para laboratorios nacionales que mueven más de 10 TB de genómica o física sobre GridFTP a 40 Gbps. Para manuscritos, conjuntos de datos intermedios y transferencias ad hoc por debajo de 50 GB, un enlace cifrado de conocimiento cero supera con creces a los adjuntos de correo y las carpetas compartidas de Dropbox.

Acuerdos de uso de datos y restricciones del comité ético

Un Acuerdo de Uso de Datos (DUA) entre, por ejemplo, la Universidad Complutense y el Instituto Max Planck especifica qué conjuntos de datos pueden salir, a quién, en qué forma y durante cuánto tiempo. Antes de mover nada, verifica que el DUA cubre el conjunto de datos específico —no solo "datos de investigación"—, el destinatario concreto y la ubicación de almacenamiento tras la transferencia. Bajo el RGPD, los Conjuntos de Datos Limitados seudonimizados siguen requiriendo cifrado en tránsito y en reposo. Los datos completamente identificables suelen activar obligaciones adicionales bajo la normativa española de protección de datos. Conserva el PDF firmado junto a los registros de transferencia.

El RGPD y las transferencias internacionales

Mover datos de investigación de un socio europeo a un colaborador en EE. UU. cruza una frontera de transferencia del RGPD. Tras la sentencia Schrems II, se necesitan salvaguardas del artículo 46, típicamente Cláusulas Contractuales Estándar (versión de junio de 2021) firmadas por ambas instituciones, complementadas con una Evaluación del Impacto de la Transferencia. El Marco de Privacidad de Datos UE-EE. UU. proporciona una base de adecuación si el destinatario estadounidense se autocertifica. La seudonimización bajo el artículo 4(5) del RGPD —sustituir nombres por códigos almacenados por separado— reduce sustancialmente la categoría de riesgo. Cifra con AES-256-GCM y mantén la clave en el lado europeo hasta que el entorno de análisis del colaborador cumpla los estándares comunitarios. La AEPD ha publicado guías específicas sobre transferencias internacionales que conviene consultar antes de iniciar cualquier colaboración con terceros países.

Tamaños de conjuntos de datos y elección de protocolo

Una sola sesión de cryo-EM produce 2 TB de micrografías .mrc en bruto. Un subconjunto AOD del Gran Colisionador de Hadrones puede llegar a 500 GB. Los archivos BAM de secuenciación de exoma completo pesan unos 10 GB por muestra, y una cohorte de 500 muestras supera los 5 TB. A estas escalas, HTTPS desde un navegador es ineficiente: se necesitan flujos paralelos y puntos de control reanudables. Globus proporciona transferencias entre puntos extremos con reintento automático y verificación de sumas (MD5 o SHA-256), y su modelo de "dispara y olvida" permite que una transferencia de 18 horas cruce el Atlántico sin supervisión manual. Aspera usa aceleración UDP FASP y alcanza 10 Gbps sobre un enlace de 200 ms de latencia donde las herramientas basadas en TCP fallan. Para cualquier cosa por debajo de 10 GB, un enlace cifrado de un único uso a través de un servicio como HexaTransfer es más rápido de configurar que solicitar un punto extremo de Globus.

Flujos de trabajo de colaboración en manuscritos

Los manuscritos fluyen de forma diferente a los conjuntos de datos. Un borrador de artículo para Nature en LaTeX con figuras incrustadas puede pesar 50 MB; tras la revisión por pares, los cambios rastreados, las tablas Excel suplementarias y la prueba de maquetación elevan el peso a 400 MB. Overleaf y Authorea gestionan la colaboración LaTeX en tiempo real entre instituciones con historial de versiones respaldado por Git. Envía el paquete de envío final como un único tarball cifrado: los revisores y editores no necesitan ver tus comentarios de borrador ni las versiones anteriores de las figuras. Para los preprints enviados a arXiv, bioRxiv o SSRN, la subida es pública por diseño, pero la transferencia entre coautores antes de eso debe estar cifrada, especialmente para resultados bajo embargo.

Control de versiones para conjuntos de datos: DVC, Git LFS y DataLad

Git LFS gestiona archivos de hasta 5 GB en GitHub con un modelo de pago por GB de ancho de banda por encima de las cuotas gratuitas. DVC almacena archivos grandes en un backend de S3, Google Cloud Storage o Azure Blob y registra solo el hash en Git. DataLad, popular en neurociencia, envuelve git-annex y sincroniza entre fronteras institucionales mientras registra quién tiene qué revisión localmente. Para una colaboración tripartita sobre un conjunto de datos fMRI compartido, DataLad da a cada laboratorio un clon ligero con punteros: los 4 TB de archivos NIfTI en formato BIDS permanecen en un bucket de S3, y los investigadores descargan solo los sujetos que analizan. Los hashes de commit producen los mismos comprobantes de reproducibilidad que el código fuente.

Autenticación entre federaciones

InCommon, eduGAIN y la categoría de entidad Research and Scholarship permiten que un investigador del Max Planck acceda a un recurso alojado en Stanford usando su IdP de origen. Las aserciones SAML 2.0 transportan un conjunto mínimo de atributos —eduPersonPrincipalName, afiliación, nivel de garantía— para que el sistema de Stanford sepa que la persona es personal docente verificado sin necesidad de gestionar su contraseña. Para servicios fuera de la federación, los ORCID iD funcionan como identificador de investigador portátil. Exige doble factor —TOTP, WebAuthn o llaves de hardware FIDO2— para cualquier cuenta que toque datos de sujetos humanos identificables.

Controles de exportación y datos sensibles

No todos los datos de investigación pueden cruzar legalmente las fronteras. La investigación de defensa controlada y los elementos de doble uso requieren licencias antes de la exportación. Si los datos están bajo investigación fundamental y son de dominio público, generalmente están exentos, pero la asesoría jurídica de la universidad —no el investigador principal— toma esa decisión. Los servicios de transferencia que operan servidores en múltiples países pueden no satisfacer los requisitos de "sin acceso de personas extranjeras"; comprueba si tu proveedor puede proporcionar una declaración de que solo la infraestructura del país adecuado gestionó la carga útil.

Configuración práctica para un consorcio multi-sede

Un consorcio internacional de tres países típicamente funciona así: (1) un centro de coordinación de datos central que aloja la copia autorizada en HPC institucional o nube soberana, (2) puntos extremos de Globus en cada sede para movimiento masivo de conjuntos de datos, (3) REDCap para metadatos clínicos con exportación conforme al RGPD, (4) GitHub o GitLab para código de análisis con DVC/Git LFS para artefactos intermedios, y (5) un servicio de transferencia cifrada como HexaTransfer para comparticiones puntuales de manuscritos, figuras y subconjuntos exploratorios que no justifican la configuración de un punto extremo. Reunión mensual de coordinación para reconciliar dónde está cada cosa.

Pruébalo en hexatransfer.com, gratuito, sin cuenta, máximo 10 GB. Para el conjunto de datos suplementario de 8 GB que tu colaborador de Tokio necesita antes del jueves, pegar, cifrar, enviar, hecho.