Residencia de datos: comparativa de servicios de transferencia

La residencia de datos varía enormemente entre los servicios de transferencia de archivos. WeTransfer almacena archivos en Irlanda y EE. UU., Smash aloja en Francia, SwissTransfer mantiene todo en Suiza y Dropbox Transfer reparte entre regiones de EE. UU. y la UE. Para el cumplimiento del artículo 44 del RGPD (transferencias fuera del EEE), elige servicios exclusivamente en la UE cuando gestiones datos personales. HexaTransfer aloja exclusivamente en servidores franceses, lo que significa que tus archivos nunca cruzan el Atlántico. Esto importa para equipos de sanidad, legal y finanzas sujetos a normas estrictas de soberanía derivadas de la sentencia Schrems II.

Por qué la residencia de datos importa tras Schrems II

La decisión Schrems II de julio de 2020 invalidó el Privacy Shield UE-EE. UU., dejando la mayoría de las transferencias transatlánticas en terreno jurídico inestable. Las Cláusulas Contractuales Tipo siguen siendo válidas, pero solo cuando van acompañadas de medidas complementarias que acrediten que las leyes de vigilancia de EE. UU. (FISA 702, Orden Ejecutiva 12333) no comprometen los datos. Una resolución de la CNIL contra Google Analytics en febrero de 2022 lo hizo concreto: se multó a empresas europeas por enviar datos de visitantes a servidores estadounidenses, incluso con CCT vigentes.

Para las transferencias de archivos, las implicaciones son directas. Enviar un contrato de cliente a través de un servicio con sede en EE. UU. puede desencadenar una transferencia transfronteriza que requiere una Evaluación de Impacto de la Transferencia. Enviarlo a través de un servicio francés o suizo, y te mantienes dentro de jurisdicciones con decisiones de adecuación o marcos de privacidad más sólidos.

WeTransfer: Irlanda más servidores perimetrales en EE. UU.

El almacenamiento principal de WeTransfer se encuentra en Irlanda (AWS eu-west-1), lo que mantiene los datos dentro del límite jurídico de la UE. Pero sus CDN periféricos abarcan el mundo, y el enrutamiento de metadatos pasa por la infraestructura de la empresa matriz. Desde 2023, WeTransfer es propiedad de la empresa italiana Bending Spoons, que trasladó algunas operaciones a Milán. Los archivos en sí permanecen en Irlanda para los usuarios de la UE, pero los registros, los tokens de autenticación y las miniaturas pueden pasar por nodos estadounidenses durante el tránsito.

Para un despacho de abogados francés que envía declaraciones, esto genera ambigüedad. Los archivos están técnicamente en la UE, pero los metadatos operacionales no. Los registros de actividades de tratamiento del artículo 30 del RGPD tendrían que documentar este matiz.

Smash: alojamiento 100% francés con OVH

Smash, el competidor parisino, aloja exclusivamente con OVH en Roubaix y Gravelines, Francia. Sin AWS, sin Azure, sin Google Cloud. Esto les da un argumento más limpio para los clientes del sector público sujetos a los requisitos SecNumCloud de Francia, que excluyen a cualquier proveedor sujeto a la legislación extraterritorial de EE. UU. como la CLOUD Act. Smash publicó una página de infraestructura detallada en 2024 confirmando cero implicación de EE. UU. en su ruta de datos.

La contrapartida es el rendimiento. Los usuarios en Singapur o Sídney experimentan mayor latencia que con un servicio geográficamente distribuido. Para los usuarios europeos, sin embargo, es una ventaja, no un inconveniente.

SwissTransfer: centros de datos suizos de Infomaniak

SwissTransfer funciona con infraestructura de Infomaniak en Ginebra y el Jura suizo. Suiza no forma parte de la UE, pero tiene una decisión de adecuación en virtud del RGPD, lo que significa que las transferencias UE-Suiza se tratan como intra-EEE. La Ley Federal Suiza de Protección de Datos (FADP), actualizada en septiembre de 2023 para reflejar el RGPD, añade otra capa de simetría jurídica.

Infomaniak publica su huella de carbono y funciona exclusivamente con energía hidroeléctrica renovable. Para las organizaciones centradas en la sostenibilidad, esto es un plus adicional al argumento de la residencia. Los archivos caducan a los 30 días, con AES-256 en reposo.

Dropbox Transfer: EE. UU. por defecto, UE opcional

Dropbox Transfer, incluido en los planes de pago de Dropbox, utiliza almacenamiento en EE. UU. por defecto. Los clientes Enterprise pueden optar a la residencia en la UE con un coste adicional, enrutando los datos a regiones de AWS en Alemania. Pero el plano de control (metadatos de cuenta, facturación, registros de auditoría) permanece alojado en EE. UU. Este es el patrón que siguen la mayoría de los hiperescaladores: planos de datos regionales, planos de control centralizados.

Bajo el Marco de Privacidad de Datos UE-EE. UU. (julio de 2023), Dropbox está certificada, lo que proporciona una base jurídica para las transferencias. Pero el DPF ya está siendo impugnado ante los tribunales y una sentencia Schrems III podría invalidarlo en dos años. Los contratos a largo plazo deberían tener en cuenta este riesgo.

HexaTransfer: simplicidad de jurisdicción única

HexaTransfer almacena todo en servidores franceses sin replicación fuera de la UE. Los archivos se cifran del lado del cliente con AES-256-GCM antes de la subida, lo que significa que incluso la infraestructura francesa solo almacena texto cifrado. La derivación de clave usa PBKDF2 con 600 000 iteraciones, y la URL de descarga contiene la clave de descifrado como fragmento de URL (que nunca se transmite al servidor).

Para los efectos del artículo 32 del RGPD (seguridad del tratamiento), esta arquitectura combina minimización de datos, cifrado y alojamiento en jurisdicción única en un solo paquete. Una Evaluación de Impacto de la Transferencia se vuelve trivial: no hay transferencia internacional.

Tabla comparativa

| Servicio | Ubicación principal | Ubicaciones secundarias | Estado RGPD | Conocimiento cero | |---------|-----------------|---------------------|-------------|----------------| | WeTransfer | Irlanda (AWS) | CDN en EE. UU. | Residente en UE | No | | Smash | Francia (OVH) | Ninguna | Residente en UE | No | | SwissTransfer | Suiza | Ninguna | Adecuación | Parcial | | Dropbox Transfer | EE. UU. por defecto, UE opcional | Global | Certificado DPF | No | | HexaTransfer | Francia | Ninguna | Residente en UE | Sí | | Tresorit | Irlanda, Suiza | EE. UU. (opt-out Enterprise) | Residente en UE | Sí |

Consideraciones por sector

Las organizaciones sanitarias que gestionan expedientes de pacientes bajo regulación europea deben tener en cuenta el REGLAMENTO de Datos de Salud Europeos (EHDS, vigente en 2026), que hace de la residencia en la UE un requisito previo. Para el personal jurídico que envía archivos PDF y DOCX a co-consejeros en el extranjero, conviene revisar las normas colegiales locales. Bajo el RGPD, los abogados y despachos franceses tratan el alojamiento en EE. UU. como la excepción que requiere justificación, no al revés.

Los servicios financieros bajo el DORA (Reglamento de Resiliencia Operativa Digital, aplicable desde enero de 2025) deben mapear todos los proveedores TIC de terceros y sus cadenas de subcontratistas. Un servicio alojado en un país con un único proveedor es más sencillo de documentar que una configuración multirregión con un hiperescalador que abarca cinco subprocesadores.

Qué preguntar a tu proveedor actual

Antes de renovar cualquier contrato de transferencia de archivos, solicita el acuerdo de tratamiento de datos y comprueba tres cosas. Primero, la lista de sub-procesadores y sus países. Segundo, el diagrama de flujo de datos que muestra por dónde viajan el contenido y los metadatos. Tercero, la postura de cifrado: específicamente si el proveedor tiene claves que podrían descifrar tus archivos bajo citación judicial.

Si las respuestas revelan sorpresas, cambiar es sencillo en la transferencia efímera de archivos (a diferencia de migrar un archivo de almacenamiento en la nube). No necesitas mover datos históricos; simplemente cambias el punto de subida.

Pruébalo en hexatransfer.com — gratis, sin cuenta, hasta 10 GB.