El problema del CLOUD Act que nadie sobre nube estadounidense puede resolver
El Clarifying Lawful Overseas Use of Data Act, firmado como ley estadounidense en marzo de 2018, da a las autoridades estadounidenses el poder de obligar a proveedores incorporados en EE. UU. a divulgar datos del cliente — independientemente de dónde esos datos estén físicamente almacenados. AWS Frankfurt no cambia el análisis. La región Bélgica de Google Cloud no cambia el análisis. Microsoft Azure Germany no cambia el análisis. Si la entidad legal por encima del datacenter es estadounidense, la obligación de divulgación cruza el Atlántico.
Para la mayoría de senders esto es teórico. Para otros es contractual: los equipos de procurement empresarial en empresas Mittelstand alemanas, aseguradoras francesas, redes sanitarias holandesas, compradores nórdicos del sector público, bancos españoles, instituciones UE, y cualquier entidad regulada cuyo auditor lee la misma guía regulatoria, cada vez más no van a firmar contratos con proveedores donde el stack legal alcance una jurisdicción CLOUD Act. No son paranoicos. Están leyendo correctamente el panorama post-Schrems II.
El tier soberano UE existe exactamente para estos compradores. El premium en pricing cubre el coste operativo y legal de garantizar la posición de soberanía. El producto en sí es la capacidad contractual de responder "sí, jurisdicción totalmente UE, sin mecanismo de acceso extranjero" a una pregunta de procurement y tener la documentación que sobrevive a la revisión de un auditor.
Qué incluye
- Adenda de Procesamiento de Datos mejorada con compromiso de subencargados UE-only
- Ley estonia gobernando el master service agreement
- Garantía escrita de no nexo legal estadounidense y no exposición al CLOUD Act
- Lista de subencargados actualizada trimestralmente, con notificación de cualquier cambio
- Obligaciones NIS2 explícitamente direccionadas en el contrato
- Derecho del cliente a auditar la infraestructura anualmente, con preaviso razonable
- Infraestructura física dedicada (no tenancy compartida)
- Datacenter de Tallin primario, sitio UE secundario opcional para DR
- Datos del cliente nunca dejan jurisdicción UE en ningún punto del procesamiento
- Datos de monitoreo y accounting guardados on-premises (no compartidos con servicios analíticos con sede en EE. UU.)
- Retención de backups exclusivamente en almacenamiento UE
- Servidores DNS autoritativos UE-only para los dominios de envío
- Equipo de ingeniería basado en UE con autorización de trabajo UE
- Acceso directo a ingeniero (sin cola de tickets tier-1 offshore)
- Revisión trimestral de cumplimiento con el equipo de seguridad del cliente
- Refresh anual de documentación de cumplimiento lista para procurement
- Technical Account Manager nombrado para contratos empresariales
Para quién es esto
El tier soberano UE es la elección correcta cuando al menos uno de los siguientes es cierto para su organización:
- Industria regulada con requisitos explícitos de residencia UE. Servicios financieros sometidos a DORA, sanidad bajo regulaciones regionales, seguros, infraestructura energética, compradores del sector público, e instituciones UE tienen marcos de procurement que mapean directamente a este requisito.
- Descalificación de procurement de proveedores con sede en EE. UU. Si su equipo de seguridad o legal tiene una lista de proveedores que fallan la evaluación de riesgo de vendor por exposición al CLOUD Act, usted es el comprador al que sirve este tier.
- Compromisos de residencia de datos hacia clientes downstream. Si sus contratos con clientes downstream se comprometen a procesamiento UE-only, necesita infraestructura que le permita honrar esos compromisos a lo largo de la cadena.
- Datos sensibles de suscriptores. Plataformas de denuncia (whistleblower), organizaciones de periodismo, ONGs trabajando con poblaciones vulnerables, comunicaciones de disidentes — situaciones donde la pregunta de quién puede obligar a la divulgación de identidades de destinatarios es operativamente crítica, no solo teatro de cumplimiento.
- Remediación Schrems II. Si su DPIA marcó a su vendor de email existente como riesgo Schrems II, el tier soberano UE elimina el issue en la fuente en lugar de requerir SCCs y medidas suplementarias que pueden no sobrevivir a futuro escrutinio legal.
Para quién no es esto
Si su programa de envío no enfrenta preguntas de CLOUD Act en procurement, el tier estándar de nuestro PowerMTA o MailWizz hosting (que también es jurisdicción UE en virtud de nuestra incorporación estonia) es la respuesta correcta a menor coste. El tier soberano UE es un producto premium para compradores cuya situación contractual o regulatoria justifica el rigor adicional y el precio.
Para comparación: los planes estándar le dan la misma infraestructura incorporada en Estonia y el mismo datacenter de Tallin, simplemente sin el aislamiento físico dedicado, la DPA mejorada, el TAM nombrado y las garantías contractuales de no divulgación. Los planes estándar satisfacen GDPR; el soberano UE satisface GDPR más la capa de procurement y auditoría que las empresas reguladas requieren encima.
Cómo van las revisiones de procurement de verdad
Una revisión típica de procurement empresarial para un engagement soberano UE va aproximadamente así:
- Semana 1. NDA, luego le proporcionamos el compliance pack: DPA, lista de subencargados, especificaciones de infraestructura, respuestas SIG/CAIQ, estado de certificaciones, reportes de auditoría.
- Semana 2. El equipo de seguridad y legal del cliente revisan el pack. Respondemos preguntas de seguimiento por escrito, típicamente 5-15 preguntas para una revisión exhaustiva.
- Semana 3. Walkthrough opcional por video de la infraestructura con el equipo técnico del cliente. Negociación contractual opcional sobre adendas de DPA específicas a los requisitos de la industria del cliente.
- Semana 4. Contratos contrafirmados. Empieza el provisioning.
Revisiones más rápidas son posibles cuando el marco de procurement del cliente está bien definido; revisiones más lentas pasan cuando múltiples stakeholders internos necesitan alinearse. Hemos hecho revisiones en 10 días y revisiones en 3 meses. El compliance pack es usable desde el día uno independientemente del cronograma.
Cuánto cuesta esto
El pricing del tier soberano UE es aproximadamente 20-40% por encima del plan estándar equivalente, con el porcentaje exacto dependiendo del volumen, el alcance de infraestructura dedicada, y las provisiones contractuales específicas requeridas. No publicamos un precio plano porque la configuración subyacente varía significativamente por perfil de cliente.
Para contexto, nuestros planes PowerMTA gestionado estándar están en el rango aproximado de €490 a €2,490 al mes según tier de volumen; los equivalentes soberanos UE están correspondientemente más altos. Pricing empresarial custom aplica por encima de thresholds de volumen definidos, particularmente para contratos anuales comprometidos.
Comparado con el coste del trabajo de cumplimiento interno para validar (y revalidar continuamente) la postura GDPR de un vendor basado en nube estadounidense, el premium soberano UE generalmente es una elección budget-positive para los compradores a los que apunta. Las matemáticas son aún más claras cuando el tiempo del equipo de procurement tiene partida presupuestaria.
¿Necesita soberanía UE por escrito?
Solicite el compliance pack y una conversación de scoping sin compromiso. Normalmente podemos decirle en 30 minutos si el tier soberano UE encaja con su situación o si los planes estándar ya bastan.