Mejores servicios europeos de transferencia de archivos

Los mejores servicios europeos de transferencia de archivos para la privacidad en 2026 son HexaTransfer (Francia, alojamiento en UE, E2EE AES-256-GCM, 10 GB gratuitos), SwissTransfer (Ginebra, 50 GB gratuitos, TLS + AES-256 en reposo), Tresorit Send (Suiza/Hungría, E2EE XChaCha20-Poly1305), Proton Drive (Ginebra, E2EE OpenPGP) e Internxt Send (Valencia, libsodium sobre Storj). El alojamiento europeo importa por tres razones: aplicabilidad del RGPD, compromisos de soberanía de datos en la UE e insulación frente a la CLOUD Act estadounidense. No todas las herramientas "europeas" son iguales; algunas usan infraestructura alojada en EE. UU. detrás de un dominio .eu, lo que anula el propósito.

Por qué el alojamiento europeo importa realmente

El RGPD (Reglamento 2016/679) otorga a los residentes de la UE derechos exigibles de acceso, supresión, portabilidad y limitación del tratamiento. Los artículos 44-50 restringen las transferencias de datos personales fuera de la UE/EEE salvo que el país receptor ofrezca protección "adecuada". La CLOUD Act estadounidense (Clarifying Lawful Overseas Use of Data, 2018) obliga a las empresas con sede en EE. UU. a entregar datos almacenados en cualquier lugar del mundo, creando un conflicto con el RGPD. Un servicio genuinamente europeo implica sede corporativa en la UE o Suiza, alojamiento en la UE o Suiza y contratos que designen la jurisdicción de la UE para los litigios. El dominio .eu por sí solo no significa nada.

HexaTransfer: sede en Francia, alojamiento en la UE

HexaTransfer opera en Francia con centros de datos en la UE. El cifrado AES-256-GCM ocurre en tu navegador mediante la Web Crypto API; el servidor solo ve texto cifrado. Sin cuenta, sin correo, sin cookies de seguimiento. El RGPD aplica de forma nativa porque la empresa es un responsable del tratamiento en la UE. Límite de 10 GB, retención de 7 días, protección opcional con contraseña mediante PBKDF2 (600.000 iteraciones). La combinación más sencilla de "sin cuenta + E2EE + UE" disponible.

SwissTransfer: alojamiento en Ginebra bajo ley suiza

Infomaniak opera SwissTransfer desde centros de datos en Ginebra. La Ley Federal Suiza de Protección de Datos (FADP revisada, en vigor desde septiembre de 2023) se alinea ahora con el RGPD y añade la no pertenencia de Suiza a los marcos de intercambio de inteligencia de la UE. El cifrado es TLS 1.3 + AES-256 en reposo: cifrado en servidor y no E2EE. Para archivos grandes no sensibles, el límite de 50 GB con retención de 30 días y sin cuenta es el más generoso de la categoría. Para material sensible, cifra previamente con VeraCrypt o 7-Zip AES-256 antes de subir.

Tresorit: empresa suiza con raíces húngaras

Tresorit fue fundada en Budapest en 2011 y adquirida por Swiss Post en 2021. Opera desde Suiza y Alemania con su arquitectura zero-knowledge intacta. Cifrado de flujo XChaCha20-Poly1305, derivación de claves HKDF-SHA-256, auditorías periódicas de terceros (Cure53, NCC Group). El nivel business añade SSO SAML (Okta, Microsoft Entra, Google Workspace), aprovisionamiento SCIM y controles de administración específicos del RGPD incluyendo garantías de residencia de datos. Vale el precio para industrias reguladas que necesitan tanto E2EE como un rastro de cumplimiento.

Proton Drive: stack PGP con sede en Ginebra

Proton AG opera desde Ginebra con servidores en Suiza, Alemania y Noruega. Proton Drive usa OpenPGP (claves ECC Curve25519 + claves de sesión AES-256-CFB) de extremo a extremo. La empresa publica informes de transparencia periódicos que muestran cero archivos entregados a ninguna autoridad (porque el zero-knowledge significa que no pueden hacerlo). Clientes open source auditados por SEC Consult. El bundle con Mail, Calendar y Pass lo convierte en una alternativa centrada en Europa a Google Workspace.

Internxt: español, almacenamiento descentralizado

Internxt tiene sede en Valencia, España, sujeto al RGPD. Su producto Send cifra archivos con libsodium secretbox (XSalsa20-Poly1305) en el cliente y luego distribuye chunks con erasure coding a través de nodos de almacenamiento descentralizados Storj. Ningún nodo ve un archivo completo. Aplica la jurisdicción legal española, aplica el RGPD y el modelo descentralizado añade una segunda capa de complejidad legal para cualquier parte que busque divulgación forzada. Límite gratuito de Send de 5 GB.

Matriz comparativa

| Servicio | Sede | Alojamiento | Cifrado | Regulación | |---|---|---|---|---| | HexaTransfer | Francia | UE | E2EE AES-256-GCM | RGPD | | SwissTransfer | Ginebra | Suiza | TLS + en reposo | FADP suiza + adecuación RGPD | | Tresorit | Suiza (fundada en Budapest) | CH + DE | E2EE XChaCha20-Poly1305 | FADP suiza + RGPD | | Proton Drive | Ginebra | CH + DE + NO | E2EE OpenPGP | FADP suiza + adecuación RGPD | | Internxt | España | Storj (distribuido) | E2EE libsodium | RGPD |

Servicios que parecen europeos pero no lo son

WeTransfer fue fundada en los Países Bajos, lo que suena ideal, pero fue adquirida por la empresa italiana Bending Spoons en 2024. Su infraestructura funciona sobre AWS (con sede en EE. UU.), lo que expone los datos a la CLOUD Act. Dropbox Business UE usa AWS Irlanda y Fráncfort pero sigue siendo una empresa estadounidense. Box tiene residencia de datos en la UE para planes enterprise, también sobre AWS. Un nombre de dominio europeo sin estructura corporativa europea ni alojamiento controlado en la UE no equivale a soberanía de datos.

Derechos RGPD en la práctica

El Artículo 15 te da derecho a acceder a todos los datos personales que un responsable del tratamiento conserva sobre ti. El Artículo 17 te da derecho a la supresión ("derecho al olvido"). El Artículo 20 te da portabilidad. Para un servicio de transferencia de archivos, esto significa que puedes solicitar (por correo al DPO) un volcado de todo lo vinculado a tu IP o correo, solicitar la eliminación inmediata y esperar una respuesta en 30 días. Los servicios genuinamente establecidos en la UE atienden esto de forma habitual. Los servicios con sede en EE. UU. con residencia de datos en la UE técnicamente también deben hacerlo, pero el cumplimiento es más complejo.

Schrems II y su repercusión

La sentencia Schrems II (TJUE, julio de 2020) invalidó el Escudo de Privacidad UE-EE. UU., y el Marco de Privacidad de Datos UE-EE. UU. (2023) ya está bajo impugnación judicial. Para los responsables del tratamiento de la UE que transfieren datos personales a encargados en EE. UU., la base legal es perpetuamente incierta. Usar un stack exclusivamente europeo evita esto por completo. Si tu flujo de trabajo implica datos de categoría especial del Artículo 9 del RGPD (salud, biométricos, opiniones políticas) o datos especialmente protegidos bajo la LOPD-GDD, evitar la infraestructura estadounidense no es paranoia; es diligencia debida.

Precios para stacks con enfoque europeo

HexaTransfer es gratuito. SwissTransfer es gratuito con soporte voluntario a Infomaniak. Tresorit Business empieza en torno a 14 € por usuario al mes por 1 TB. Proton for Business cuesta 7,99 € por usuario al mes en Business (500 GB por usuario) y 12,99 € en Business Plus (ilimitado). Internxt Essentials cuesta 2,99 € por usuario al mes por 1 TB. Para equipos pequeños que quieren un stack europeo sin dependencias estadounidenses, Proton más HexaTransfer para envíos externos efímeros es difícil de superar.

Cuándo Suiza supera a la UE

Suiza no forma parte de la UE, por lo que cae fuera del RGPD directamente, aunque ha obtenido la adecuación de la UE. El marco legal suizo añade la no pertenencia a los Cinco Ojos y un supervisor federal (FDPIC) con capacidad real de actuación. Para clientes preocupados por cualquier backdoor de un Estado miembro (leyes de inteligencia francesas, poderes del BND alemán), el alojamiento en Suiza ofrece un margen adicional. Para contratación pública estrictamente nacional en la UE (licitaciones del sector público que exigen datos solo en la UE), un servicio alojado en la UE como HexaTransfer encaja mejor.

Pruébalo en hexatransfer.com — gratis, sin cuenta, hasta 10 GB.