{"id":20473,"date":"2025-08-11T10:46:00","date_gmt":"2025-08-11T08:46:00","guid":{"rendered":"https:\/\/blog.dataprius.com\/?p=20473"},"modified":"2026-03-18T13:29:29","modified_gmt":"2026-03-18T12:29:29","slug":"cumplimiento-rgpd-real-de-servicio-almacenamiento-nube","status":"publish","type":"post","link":"https:\/\/dataprius.com\/blog\/cumplimiento-rgpd-real-de-servicio-almacenamiento-nube\/","title":{"rendered":"Cumplimiento RGPD real de un servicio de almacenamiento en la Nube"},"content":{"rendered":"\n

RGPD impone una serie de pautas para ser cumplidas por cualquier servicio en la Nube que almacene datos personales. <\/strong><\/p>\n\n\n\n

Hablamos de cumplimiento Real<\/h2>\n\n\n\n

Cuando el p\u00fablico en general afirma que algunas plataformas USA cumplen RGPD, est\u00e1n absolutamente equivocadas. <\/p>\n\n\n\n

Aparte de una declaraci\u00f3n de cumplimiento, que eso si lo hacen por marketing, hay una serie de requisitos obligatorios que exponemos en este art\u00edculo y que algunas plataformas ignoran sistem\u00e1ticamente.<\/p>\n\n\n\n

Por ejemplo, ni Dropbox ni Google Drive cumplen estos requisitos<\/strong>. Consulte usted con un experto en RGPD y protecci\u00f3n de datos. Nosotros lo hemos hecho ya con un centenar de ellos. Le confirmar\u00e1n que estos aspectos de la norma no son cumplidos por esas plataformas.<\/p>\n\n\n\n

4 requisitos fundamentales para el cumplimiento<\/h2>\n\n\n\n

Exponemos cuatro condiciones que exige la norma aunque habr\u00eda varias m\u00e1s.<\/p>\n\n\n\n

Tras la lectura de este texto, incluso usted mismo podr\u00e1 comprobar que estas disposiciones de la norma no son cumplidas por esos servicios. Tambi\u00e9n podr\u00e1 descubrir como otros sistemas, bastante usados en el terreno empresarial, tampoco cumplen y que en la pr\u00e1ctica vulneran la norma.<\/p>\n\n\n\n

Porque el cumplimiento no consiste en una declaraci\u00f3n de intenciones, ni un texto jur\u00eddico anexo a un determinado proveedor o servicio. Hay apartados muy claros y concisos.<\/p>\n\n\n\n

Exponemos 4 obligaciones que debe cumplir el proveedor y que son f\u00e1cilmente verificables para una empresa que quiera contratar un servicio que cumpla realmente RGPD<\/strong>.<\/p>\n\n\n\n

    \n
  1. Firma del contrato RGPD.<\/a><\/li>\n\n\n\n
  2. Documento de Seguridad de la empresa proveedora del servicio.<\/a><\/li>\n\n\n\n
  3. Declaraci\u00f3n del uso de infraestructuras, servicios de terceros, lugares almacenamiento<\/a>.<\/li>\n\n\n\n
  4. Mantenimiento de un registro de seguridad.<\/a><\/li>\n<\/ol>\n\n\n\n
    \"\"<\/a><\/figure>\n\n\n\n

    1) Firma del contrato RGPD.<\/h2>\n\n\n\n

    El proveedor del servicio en Cloud debe formalizar y firmar el contrato de tratamiento por parte de terceros que exige la ley.<\/p>\n\n\n\n

    \"ilustraci\u00f3n<\/a><\/figure>\n\n\n\n

    Compruebe cumplimiento real RGPD de su servicio de almacenamiento en la Nube<\/em>:
    \u00bfTiene el contrato de tratatamiento por parte de terceros? \u00bfTiene una copia en formato de documento PDF o similar? Si no lo tiene o no se lo facilitan ese servicio no cumple.<\/p>\n\n\n\n

    El contrato de \u00abTratamiento por parte de terceros\u00bb es obligatorio. Este contrato ha de ser firmado por ambas partes. <\/p>\n\n\n\n

    Un contrato no es una casilla de verificaci\u00f3n o aceptaci\u00f3n en la que se hace click. El documento debe estar en posesi\u00f3n de ambas partes con firma legal, ya sea digital o manuscrita.<\/p>\n\n\n\n

    Cualquier empresa, organizaci\u00f3n o instituci\u00f3n que contrate un servicio en la Nube deber\u00eda tener guardado un contrato de este tipo.<\/strong><\/p>\n\n\n\n

    Este contrato oficializa el uso de la plataforma y lo hace legal en RGPD. La propia empresa que contrata el servicio en la Nube, determina su propio cumplimiento RGPD con la posesi\u00f3n de estos contratos realizados con terceros.<\/p>\n\n\n\n

    En Dataprius firmamos los contratos en formato PDF y todos los clientes tienen su copia. Incluso publicamos las condiciones seg\u00fan ley del contrato a firmar, lo hacemos de forma p\u00fablica en nuestra web: https:\/\/dataprius.com\/proteccion-de-datos-contratos<\/a><\/p>\n\n\n\n

    2) Documento de Seguridad de la empresa proveedora del servicio.<\/h2>\n\n\n\n

    El servicio debe disponer de un Documento de Seguridad d\u00f3nde se describen las infraestructuras y medidas que adopta. <\/em><\/p>\n\n\n\n

    \"Ilustraci\u00f3n<\/a><\/figure>\n\n\n\n

    Compruebe cumplimiento real RGPD de su servicio de almacenamiento en la Nube<\/em>:
    \u00bfLe han facilitado el documento de seguridad? \u00bfTiene un PDF o una direcci\u00f3n web d\u00f3nde echar un vistazo? Los servicios cloud deben proporcionarlo.<\/p>\n\n\n\n

    Este es el llamado Documento de Seguridad RGPD. En \u00e9l, de manera gen\u00e9rica, el proveedor describe sus infraestructuras y metodolog\u00eda.<\/p>\n\n\n\n

    El proveedor est\u00e1 obligado a proporcionar informaci\u00f3n sobre la seguridad de su servicio, haci\u00e9ndolo accesible o publicando este documento.<\/p>\n\n\n\n

    Es muy importante que incluya c\u00f3mo se realiza el cifrado de las comunicaciones y de la informaci\u00f3n almacenada. Si existen archivos, estos deben guardarse de forma encriptada, es lo que se conoce como cifrado en reposo.<\/p>\n\n\n\n

    A este respecto Dataprius publica el documento en su web: https:\/\/dataprius.com\/dataprius-descripcion-de-seguridad-del-sistema<\/a><\/p>\n\n\n\n

    3) Declaraci\u00f3n del uso de servicios de terceros y lugares de almacenamiento.<\/h2>\n\n\n\n

    El proveedor debe declarar p\u00fablicamente sus proveedores y la ubicaci\u00f3n de los servidores de almacenamiento de datos. Debe disponer de una lista actualizada.<\/p>\n\n\n\n

    \"Ilustraci\u00f3n<\/a><\/figure>\n\n\n\n

    Compruebe cumplimiento real RGPD de su servicio de almacenamiento en la Nube<\/em>:
    \u00bfLe han facilitado los lugares de almacenamiento de datos y archivos? \u00bfSabe en que zona geogr\u00e1fica est\u00e1n? Si est\u00e1n fuera de la zona de la Uni\u00f3n Europea hay que tener mucho cuidado y puede que no cumplan con el RGPD.<\/p>\n\n\n\n

    Los proveedores de la Nube utilizan servicios de otras empresas. Estos servicios pueden consistir en infraestructuras o software espec\u00edfico que realiza ciertas funcionalidades.<\/p>\n\n\n\n

    RGPD obliga a los proveedores a mantener esta lista actualizada de sus proveedores y hacerla p\u00fablica. Se ha de ser totalmente transparente con los lugares de almacenamiento final de los datos y de los archivos. Cualquiera deber\u00eda conocer con facilidad d\u00f3nde terminar\u00e1n sus datos almacenados o por qu\u00e9 lugares pasar\u00e1n.<\/p>\n\n\n\n

    La lista de los proveedores Cloud de Dataprius se publica en su Web: https:\/\/dataprius.com\/dataprius-proveedores<\/a><\/p>\n\n\n\n

    4) Cumplimiento RGPD. Mantenimiento de un registro de seguridad.<\/h2>\n\n\n\n

    El proveedor debe disponer de alg\u00fan tipo de registro d\u00f3nde se anoten las incidencias o cualquier informaci\u00f3n relevante para la seguridad del sistema.<\/em><\/p>\n\n\n\n

    \"\"<\/a><\/figure>\n\n\n\n

    Compruebe cumplimiento real RGPD de su servicio de almacenamiento en la Nube<\/em>:
    \u00bfTiene el sistema un registro de seguridad? \u00bfPuede acceder? \u00bfPuede solicitarlo? Si no lo tienen, no pueden informar sobre incidencias al encargado de tratatamiento.<\/p>\n\n\n\n

    Hay diversas formas de mantener un registro de este tipo. En cualquier caso debe ser un complemento a la trazabilidad de las acciones sobre los datos.<\/p>\n\n\n\n

    La trazabilidad consiste en registrar los accesos a la informaci\u00f3n y las operaciones realizadas teniendo en cuenta el personal que accede. Considerando el flujo de entradas y salidas de los documentos o datos.<\/p>\n\n\n\n

    Como no estamos hablando de soportes f\u00edsicos y un sistema en la Nube es muy din\u00e1mico es necesario que el propio sistema registre la actividad<\/strong>. Esto se materializa normalmente en un registro de actividad o en historiales. Se anota qui\u00e9n accede a que, en que momento y las operaciones realizadas.<\/p>\n\n\n\n

    En el registro de seguridad al que obliga RGPD debe anotar las incidencias detectadas. La empresa deber\u00e1 informar de las medidas adoptadas para la subsanaci\u00f3n.<\/p>\n\n\n\n

    En Dataprius el Registro de Seguridad est\u00e1 integrado en la aplicaci\u00f3n de escritorio y est\u00e1 disponible para su supervisi\u00f3n por parte de la empresa y de los usuarios que tienen el rol de Administradores.<\/p>\n\n\n\n

    \"Registro<\/figure>\n\n\n\n

    Las entradas del registro de Dataprius<\/a> pueden ser introducidas por los responsables del sistema o autom\u00e1ticamente ante ciertos cambios, por ejemplo: se registran los intentos de entrada con claves incorrectas, los cambios de credenciales, etc.<\/p>\n\n\n\n

    \"Registro<\/a><\/figure>\n\n\n\n
    \n
    Medidas de protecci\u00f3n de archivos del almacenamiento Cloud<\/a><\/blockquote>