¿Qué es la residencia de datos?
La residencia de datos es la ubicación geográfica donde se almacenan físicamente tus datos: el país o la región donde tú o tu proveedor habéis decidido conservarlos. Es una decisión técnica y contractual: eliges una región y el proveedor se compromete a almacenar allí tus datos.
La distinción decisiva es esta: la residencia describe dónde están los datos, no qué ley los rige ni si pueden salir legalmente. Tratar una ubicación local como si por sí sola aportara cumplimiento —lo que a veces se llama la "ilusión de residencia"— es el error que esta página se propone deshacer.
Residencia, soberanía y localización de datos
Estos tres términos se usan como sinónimos, pero responden a preguntas distintas, y confundirlos es la forma más habitual de quedar expuesto.
- La residencia de datos es dónde se encuentran físicamente los datos: una región que eliges.
- La localización de datos es una exigencia legal de que ciertos datos permanezcan dentro de las fronteras de un país. La impone la normativa, no se elige.
- La soberanía de datos es qué ley se aplica y quién puede, en última instancia, obligar a dar acceso: depende de la jurisdicción del operador y de quién custodia las claves, no solo de la ubicación.
La residencia es, por tanto, un componente de las otras dos, no un sustituto. Puedes cumplir íntegramente un compromiso de residencia y aun así incumplir una ley de localización —si una copia de seguridad cruza una frontera— o carecer de soberanía, si el operador responde ante un tribunal extranjero. Para el tratamiento completo del lado legal, consulta la soberanía de datos.
Qué controla realmente la residencia de datos, y qué no
La residencia es un control real y útil, pero estrecho, y conviene ser preciso sobre sus límites.
Qué controla:
- La ubicación física de tus datos en reposo: la región o el centro de datos donde vive la copia principal.
- Un compromiso contractual que puedes exhibir en una auditoría o una revisión de compras.
- La latencia y, a veces, qué equipos regionales de soporte y operaciones tocan el entorno.
Qué no controla:
- Qué jurisdicción rige los datos o qué gobierno puede obligar al operador a entregarlos.
- Adónde van las copias de seguridad, las réplicas, las copias en caché, los registros y la telemetría: suelen salir de la región de residencia salvo que se restrinjan de forma explícita.
- Quién puede alcanzar los datos operativamente, incluido el personal de soporte remoto situado en otro lugar.
En resumen, la residencia responde a "¿dónde está la copia principal?" —una pregunta que vale la pena responder—, pero no es lo mismo que "¿estos datos cumplen y quedan fuera del alcance extranjero?".
Por dónde se filtra la residencia sin ruido
Un compromiso de residencia sobre el almacén principal es fácil de obtener y fácil de sobrevalorar. En la práctica, los datos cruzan la frontera por vías que rara vez aparecen en el selector de región:
- Copias de seguridad y de recuperación ante desastres replicadas a una segunda región por durabilidad, a menudo en otro país.
- Réplicas asíncronas y cachés, incluidos los nodos de borde de CDN que materializan copias cerca de los usuarios de todo el mundo.
- Registros, métricas y telemetría enviados a una plataforma central de observabilidad en la región de origen del proveedor.
- Acceso de soporte y administración por parte de ingenieros de otras jurisdicciones que pueden leer o exportar datos durante la resolución de incidencias.
- Metadatos y material de claves gestionados por un plano de control que puede residir por completo fuera de la región elegida.
Cada uno es una función legítima; cada uno es también una vía por la que la residencia efectiva de los datos difiere de la del contrato. Verificar la residencia significa rastrear cada copia, no solo el bucket principal.
Por qué la residencia por sí sola no es cumplimiento
Los marcos normativos que impulsan estos requisitos se preocupan por algo más que la ubicación.
El RGPD no exige que los datos permanezcan en la UE; regula las condiciones en las que pueden salir. Un conjunto de datos residente en una región de la UE todavía puede transferirse de forma lícita —o ilícita— según el mecanismo en el que se apoye. El Marco de Privacidad de Datos UE-EE. UU., la base principal de las transferencias transatlánticas, fue confirmado por el Tribunal General de la UE en septiembre de 2025, pero afronta un nuevo recurso ante el Tribunal de Justicia, así que el terreno no está zanjado.
La CLOUD Act estadounidense es la ilustración más nítida: puede obligar a un proveedor sujeto a la jurisdicción de EE. UU. a entregar datos que controla, con independencia de la región en la que residan. La residencia en Fráncfort no aparta a una matriz estadounidense de ese alcance. Cerrar esa brecha es una cuestión de soberanía de datos —la jurisdicción del operador y quién custodia las claves de cifrado—, no de residencia.
La residencia de datos y ARTESCA
Scality ARTESCA es almacenamiento de objetos que despliegas en tus propios servidores estándar, lo que convierte la residencia en una consecuencia directa de dónde lo ejecutas, en lugar de un compromiso que debes aceptar por confianza.
- Tú eliges la ubicación. Los datos residen en tu propio centro de datos, en el país y las instalaciones que elijas, porque tú operas la infraestructura.
- Sin una segunda región implícita. Las copias van adonde las configures: la replicación multisitio la decides tú, de modo que las copias de seguridad y las réplicas no salen de la jurisdicción sin que lo sepas.
- Tú custodias las claves. Los datos en reposo se cifran con AES-256, con claves gestionadas en un sistema externo de gestión de claves compatible con KMIP, y no en el propio almacenamiento.
- Interfaz S3 estándar. Las aplicaciones y el software de copia de seguridad escritos para el almacenamiento de objetos en la nube pública funcionan sin cambios, así que mantener una carga de trabajo en la región no obliga a reescribirla.
Como controlas la infraestructura, la residencia, la soberanía y la localización dejan de ser promesas separadas de un tercero y pasan a ser propiedades de tu propio despliegue; y los mismos datos pueden hacerse inmutables mediante S3 Object Lock, de modo que estén a la vez en la región y protegidos frente al ransomware.
Preguntas frecuentes sobre la residencia de datos
¿Es lo mismo la residencia de datos que la soberanía de datos?
No. La residencia es dónde se almacenan físicamente los datos; la soberanía, qué leyes los rigen y quién puede obligar a dar acceso. Puedes cumplir un requisito de residencia y seguir sin tener soberanía si el operador está sujeto a una jurisdicción extranjera.
¿Elegir una región de nube garantiza que mis datos se queden ahí?
Solo la copia principal, y solo en la medida que especifique el contrato. Las copias de seguridad, las réplicas, las cachés de CDN, los registros y el acceso de soporte pueden mover datos fuera de la región salvo que cada uno se restrinja de forma explícita. Verifica cada copia, no solo el selector de región.
¿La residencia de datos cumple el RGPD?
No por sí sola. El RGPD regula cómo pueden transferirse los datos más que exigir una ubicación. Mantener los datos en una región de la UE ayuda, pero el tratamiento lícito sigue dependiendo de los mecanismos de transferencia y las salvaguardas establecidas.
¿Qué diferencia hay entre residencia y localización de datos?
La residencia es una decisión que tomas sobre dónde almacenar los datos; la localización es una exigencia legal de que ciertos datos no salgan de un país. La localización elimina la elección —la residencia es cómo la cumples—, pero no son lo mismo.
¿Cómo garantizo la residencia de datos?
La vía más directa es controlar la infraestructura: almacenamiento autogestionado o local en la ubicación que elijas, con las copias de seguridad y las claves en la misma jurisdicción. Cuando uses un proveedor, exige residencia contractual para cada copia y confirma adónde van realmente las copias de seguridad, el soporte y la telemetría.