Por qué sus transcripciones deberían permanecer en la UE
Las grabaciones de audio de reuniones, entrevistas o dictados contienen casi siempre datos personales – voces, nombres, opiniones, a veces datos de salud o secretos empresariales. Aun así, la mayoría de los servicios de transcripción procesan estos datos en servidores ubicados en los Estados Unidos.
Para empresas, despachos de abogados, consultas médicas y organismos públicos europeos, eso no es solo un riesgo teórico – es un problema palpable en materia de protección de datos. Este artículo explica por qué la ubicación del procesamiento de datos es decisiva y a qué debe prestar atención.
El problema con los servidores estadounidenses
Los datos europeos en servidores estadounidenses están sujetos a la US CLOUD Act. Las autoridades estadounidenses pueden exigir su entrega – incluso sin una orden judicial europea. Eso entra en contradicción directa con el RGPD y fue confirmado por la sentencia Schrems II del TJUE.
La US CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) permite a las autoridades estadounidenses exigir a las empresas estadounidenses la entrega de datos – con independencia del país en el que se encuentren los servidores. Un servicio de transcripción con sede en EE. UU. está sujeto a esta ley, aunque opere centros de datos en Europa.
La sentencia Schrems II del Tribunal de Justicia de la Unión Europea (asunto C-311/18, julio de 2020) confirmó que EE. UU. no ofrece un nivel de protección de datos adecuado en el sentido del RGPD. El Privacy Shield fue declarado nulo. El EU-US Data Privacy Framework (DPF) de 2023 pretende resolver el problema, pero ya está bajo impugnación judicial.
Para las empresas, esto significa: quien entregue grabaciones de audio con datos personales a un servicio estadounidense asume el riesgo de que la base jurídica para la transferencia de datos vuelva a desaparecer.
Qué significa concretamente «datos en la UE»
No todo servicio que se anuncia con «centros de datos en la UE» ofrece una verdadera soberanía de los datos. Son decisivos tres puntos:
- Sede de la empresa: una empresa estadounidense con servidores en la UE sigue estando sujeta a la CLOUD Act. Solo una empresa con sede en la UE está plenamente sometida al derecho europeo.
- Operador de la infraestructura: ¿quién opera físicamente los servidores? Un proveedor de alojamiento europeo como Hetzner está sujeto exclusivamente al derecho europeo. AWS, Google Cloud o Azure – incluso con regiones en la UE – son empresas estadounidenses.
- Certificaciones: ISO 27001 es el estándar internacional para sistemas de gestión de la seguridad de la información. Confirma que el operador del centro de datos ha implementado medidas de protección sistemáticas para la confidencialidad, la integridad y la disponibilidad.
Por qué Hetzner como centro de datos
scryp procesa y almacena todos los datos exclusivamente en Hetzner, en Alemania. Es una decisión arquitectónica consciente:
- Certificado ISO/IEC 27001 – El sistema de gestión de la seguridad de la información se somete periódicamente a auditorías independientes.
- Empresa 100 % alemana – Sin matriz estadounidense, sin acceso por la CLOUD Act. Hetzner está sujeta exclusivamente al derecho alemán y europeo.
- Centros de datos georredundantes en Alemania – Sus datos nunca abandonan la UE.
- Hardware propio – Hetzner opera sus propios servidores e infraestructura de red. Sin dependencia de los hiperescaladores estadounidenses.
Empresa austriaca, valores europeos
scryp es una empresa austriaca. Todo nuestro equipo, nuestra dirección y nuestra estructura jurídica se encuentran en la UE. Eso significa:
- Estamos sujetos exclusivamente al derecho europeo – RGPD, DSG (Austria), sin CLOUD Act.
- Ninguna matriz estadounidense puede ser obligada a entregar datos.
- Nuestra política de privacidad sigue el derecho austriaco y europeo – no las leyes de protección de datos de California o Delaware.
El cifrado como salvaguarda adicional
La ubicación del servidor por sí sola no basta. También en servidores de la UE pueden comprometerse los datos – por ataques de hackers, acceso interno o errores técnicos. Por eso scryp combina la ubicación en la UE con el cifrado del lado del cliente:
- El audio se cifra en el navegador antes de llegar al servidor.
- Las transcripciones se guardan cifradas – el servidor nunca ve el texto claro.
- Incluso en caso de una filtración de datos, los datos serían inservibles sin la clave personal del usuario.
Esa es la diferencia decisiva frente a los servicios que sí anuncian «AES-256 at rest», pero procesan el texto claro en el servidor y potencialmente pueden consultarlo allí.
Lista de verificación: soberanía de datos en los servicios de transcripción
- ¿Dónde tiene su sede la empresa? (UE frente a EE. UU.)
- ¿Quién opera los servidores? (proveedor de la UE frente a hiperescalador estadounidense)
- ¿Está el centro de datos certificado conforme a ISO 27001?
- ¿Está el proveedor sujeto a la US CLOUD Act?
- ¿Se cifran los datos del lado del cliente o solo del lado del servidor?
- ¿Se eliminan las grabaciones originales tras el procesamiento?
- ¿Existe un contrato de encargo del tratamiento (CET) conforme al art. 28 del RGPD?
Conclusión
La ubicación del procesamiento de datos no es un detalle de marketing – decide a qué sistema jurídico están sujetos sus datos. Para las empresas europeas, la combinación de una sede del proveedor en la UE, un centro de datos en la UE con certificación ISO 27001 y el cifrado del lado del cliente es la vía más segura para procesar datos de audio conforme a la protección de datos. Quien no ofrece esta protección traslada el riesgo a usted.