Residencia de datos y subprocesadores

La residencia de datos es el lugar donde se almacenan y tratan. Pero un dato también «está» donde alguien puede verlo: un equipo de soporte que se conecta de forma remota desde otra región accede a la información aunque ésta no se mueva. Por eso la pregunta correcta no es solo «dónde se guarda», sino dónde se trata, dónde se copia y desde dónde se atiende.

Los subprocesadores completan el cuadro. Son terceros que el proveedor contrata y que pueden tocar los datos del cliente. Las normas de protección de datos suelen exigir que el cliente conozca y autorice esa cadena, y que cada eslabón asuma las mismas obligaciones que el proveedor principal. Un subprocesador que nadie avisó rompe esa cadena.

Un servicio puede tratar sus datos dentro de la región permitida y mandar la copia de seguridad a otra. Es un hallazgo frecuente porque las copias suelen configurarse aparte, con otra lógica y a veces con otro equipo. Una regla de residencia que no mira las copias solo cubre la mitad del problema.

Abre reglas_de_mimbre y ubicaciones_de_los_servicios. Compara cada región con las permitidas.

La regla de Mimbre pide que todo subprocesador se avise antes de empezar a tratar datos personales. No todos los subprocesadores tocan datos: uno que solo provee conectividad no necesita el mismo escrutinio que uno que atiende a los clientes. La mirada se concentra en la combinación tiene acceso a datos personales y no hubo aviso.

Revisa subprocesadores.

Contar ayuda a decidir si el asunto es un caso aislado o un patrón. Aquí interesa un conjunto concreto: los subprocesadores que sí acceden a datos personales y están fuera de las regiones permitidas por la regla de Mimbre, hayan sido avisados o no. Es la lista que hay que llevar a una conversación con el proveedor.

Usa subprocesadores y reglas_de_mimbre.