{"id":3888,"date":"2026-10-05T20:21:18","date_gmt":"2026-10-05T18:21:18","guid":{"rendered":"https:\/\/www.klytic.com\/?page_id=3888"},"modified":"2026-10-06T10:37:19","modified_gmt":"2026-10-06T08:37:19","slug":"proteger-empresa-cloud-act","status":"publish","type":"page","link":"https:\/\/www.klytic.com\/es\/proteger-empresa-cloud-act\/","title":{"rendered":"\u00bfC\u00f3mo proteger una empresa frente al CLOUD Act?"},"content":{"rendered":"\t\t<div data-elementor-type=\"wp-page\" data-elementor-id=\"3888\" class=\"elementor elementor-3888 elementor-3735\" data-elementor-post-type=\"page\">\n\t\t\t\t<div class=\"elementor-element elementor-element-8ae5e9b e-con-full kly-g e-flex e-con e-parent\" data-id=\"8ae5e9b\" data-element_type=\"container\" data-e-type=\"container\" data-settings=\"{&quot;ekit_has_onepagescroll_dot&quot;:&quot;yes&quot;}\">\n\t\t<div class=\"elementor-element elementor-element-a4628ac e-con-full kly-g-hero e-flex e-con e-parent\" data-id=\"a4628ac\" data-element_type=\"container\" data-e-type=\"container\" data-settings=\"{&quot;ekit_has_onepagescroll_dot&quot;:&quot;yes&quot;}\">\n\t\t<div class=\"elementor-element elementor-element-79862ab e-con-full kly-g-hero-in e-flex e-con e-parent\" data-id=\"79862ab\" data-element_type=\"container\" data-e-type=\"container\" data-settings=\"{&quot;ekit_has_onepagescroll_dot&quot;:&quot;yes&quot;}\">\n\t\t\t\t<div class=\"elementor-element elementor-element-4ffd5bf elementor-widget elementor-widget-text-editor\" data-id=\"4ffd5bf\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<p class=\"kly-g-crumb\"><a href=\"\/es\/\">Inicio<\/a><span>\u203a<\/span><a href=\"\/es\/guias\/\">Gu\u00edas<\/a><span>\u203a<\/span><a href=\"\/es\/guias\/#souverainete\">Soberan\u00eda<\/a><\/p><p class=\"kly-g-pill\" style=\"--pill:#38bdf8\">Soberan\u00eda<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-7cee3aa elementor-widget elementor-widget-heading\" data-id=\"7cee3aa\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"heading.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t<h1 class=\"elementor-heading-title elementor-size-default\">\u00bfC\u00f3mo proteger una empresa frente al CLOUD Act?<\/h1>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-818e066 elementor-widget elementor-widget-text-editor\" data-id=\"818e066\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<p class=\"kly-g-lead\">Una empresa se protege frente al CLOUD Act eligiendo qui\u00e9n posee los datos, no limit\u00e1ndose a trasladar los servidores. La ley estadounidense de 2018 permite a una autoridad de Estados Unidos, en el marco de un procedimiento, exigir a un proveedor sujeto a su jurisdicci\u00f3n los datos que ese proveedor posee o controla, incluso si est\u00e1n almacenados fuera de Estados Unidos. No crea un acceso autom\u00e1tico a los centros de datos europeos.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-87b1f6b elementor-widget elementor-widget-text-editor\" data-id=\"87b1f6b\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<p class=\"kly-g-meta\"><span>Actualizado en <b>octubre de 2026<\/b><\/span><span><b>11 min<\/b> de lectura<\/span><span>Fuentes oficiales citadas<\/span><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t<div class=\"elementor-element elementor-element-b41a535 e-con-full kly-g-body e-flex e-con e-parent\" data-id=\"b41a535\" data-element_type=\"container\" data-e-type=\"container\" data-settings=\"{&quot;ekit_has_onepagescroll_dot&quot;:&quot;yes&quot;}\">\n\t\t<div class=\"elementor-element elementor-element-2daa1cc e-con-full kly-g-article e-flex e-con e-parent\" data-id=\"2daa1cc\" data-element_type=\"container\" data-e-type=\"container\" data-settings=\"{&quot;ekit_has_onepagescroll_dot&quot;:&quot;yes&quot;}\">\n\t\t\t\t<div class=\"elementor-element elementor-element-bd652fe elementor-widget elementor-widget-text-editor\" data-id=\"bd652fe\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>Lo que la ley hace y lo que no hace<\/h2><p>El CLOUD Act (Clarifying Lawful Overseas Use of Data Act) modifica el derecho estadounidense sobre las comunicaciones almacenadas. Tres l\u00edmites evitan los malentendidos.<\/p><ul><li>Se aplica a un proveedor sujeto al derecho estadounidense. Una sociedad francesa que opera sus propios servidores no es, por ese solo hecho, destinataria de un requerimiento estadounidense.<\/li><li>Presupone un procedimiento. No es una copia permanente de los servicios de correo europeos hacia una administraci\u00f3n estadounidense.<\/li><li>No desaparece porque el disco est\u00e9 en \u00c1msterdam, Dubl\u00edn o Par\u00eds, siempre que el proveedor estadounidense tenga la posesi\u00f3n o el control de los datos.<\/li><\/ul><p>Por tanto, el riesgo real es m\u00e1s limitado de lo que se dice, y m\u00e1s duradero: una solicitud concreta, dirigida al proveedor, en el marco de un procedimiento.<\/p><p>La ley tambi\u00e9n organiza acuerdos entre gobiernos para regular determinadas solicitudes transfronterizas. Este aspecto no cambia la cuesti\u00f3n de compra: \u00bfqui\u00e9n, en su cadena, es un proveedor estadounidense con control sobre los datos?<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-2485816 elementor-widget elementor-widget-text-editor\" data-id=\"2485816\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>C\u00f3mo se aplica un requerimiento<\/h2><p>El requerimiento se dirige al proveedor y se refiere a los datos que tiene en su posesi\u00f3n o bajo su control. El cliente depende entonces de lo que el proveedor haga con la solicitud.<\/p><p>Seg\u00fan 18 U.S.C. \u00a7 2703(h), el proveedor puede solicitar la anulaci\u00f3n o la modificaci\u00f3n del requerimiento si considera que el cliente no es una \u00abUnited States person\u00bb, no reside en Estados Unidos y que la comunicaci\u00f3n le expondr\u00eda a un riesgo grave de infringir el derecho de un \u00abgobierno extranjero cualificado\u00bb. Dispone de 14 d\u00edas a partir de la notificaci\u00f3n.<\/p><p>Un \u00abgobierno extranjero cualificado\u00bb es un Estado que ha celebrado con Estados Unidos un acuerdo ejecutivo que haya entrado en vigor. El Departamento de Justicia estadounidense publica acuerdos con el Reino Unido, firmado el 3 de octubre de 2019, y con Australia, firmado el 15 de diciembre de 2021. No hay ning\u00fan acuerdo en vigor con la Uni\u00f3n Europea; las negociaciones UE\u2013Estados Unidos sobre la prueba electr\u00f3nica se reanudaron en 2023. La p\u00e1gina del Departamento no menciona ning\u00fan acuerdo con Francia.<\/p><p>Consecuencia: el mecanismo de impugnaci\u00f3n propio del \u00a7 2703(h) presupone un acuerdo de ese tipo. Una empresa francesa no debe contar con este recurso como con una protecci\u00f3n adquirida.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-0677892 elementor-widget elementor-widget-text-editor\" data-id=\"0677892\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>Por qu\u00e9 la ubicaci\u00f3n del disco no basta<\/h2><p>El criterio de la ley es el control, no la geograf\u00eda. Tomemos una pyme industrial con dos centros que ha elegido una regi\u00f3n de datos europea en un proveedor estadounidense. Sus mensajes se almacenan en Europa. Pero la sociedad que administra el servicio y puede restaurar un buz\u00f3n sigue siendo estadounidense. Ante un requerimiento, la regi\u00f3n de almacenamiento no cambia la pregunta: \u00bfest\u00e1n esos datos bajo su control?<\/p><p>El 10 de junio de 2025, ante la comisi\u00f3n de investigaci\u00f3n del Senado sobre la contrataci\u00f3n p\u00fablica, se pregunt\u00f3 al director de asuntos p\u00fablicos y jur\u00eddicos de Microsoft France: \u00bfpod\u00eda garantizar bajo juramento que los datos de los ciudadanos franceses confiados a Microsoft a trav\u00e9s de la Ugap nunca se transmitir\u00edan, a ra\u00edz de un requerimiento del gobierno estadounidense, sin el acuerdo expl\u00edcito de las autoridades francesas? Su respuesta: \u00abNo, no puedo garantizarlo, pero, una vez m\u00e1s, esto nunca ha ocurrido hasta ahora\u00bb. Las dos mitades de la frase cuentan. La primera describe el marco jur\u00eddico; la segunda, la pr\u00e1ctica constatada por la empresa.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-46a0fd2 elementor-widget elementor-widget-text-editor\" data-id=\"46a0fd2\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>El conflicto con el art\u00edculo 48 del RGPD<\/h2><p>El RGPD (Reglamento General de Protecci\u00f3n de Datos) aborda la cuesti\u00f3n desde el otro extremo. Seg\u00fan el art\u00edculo 48, una resoluci\u00f3n de un \u00f3rgano jurisdiccional o de una autoridad de un tercer pa\u00eds que exija la transferencia o la comunicaci\u00f3n de datos personales solo puede ser reconocida o ejecutable si se basa en un acuerdo internacional, por ejemplo un tratado de asistencia judicial, vigente entre ese pa\u00eds y la Uni\u00f3n o el Estado miembro.<\/p><p>As\u00ed pues, un proveedor estadounidense que opera en Europa puede encontrarse entre dos derechos: un requerimiento estadounidense por un lado y, por otro, una norma europea que no lo reconoce sin un acuerdo internacional. El art\u00edculo 48 no resuelve este conflicto en lugar del proveedor. Para el comprador, lo que est\u00e1 en juego es concreto: preguntar c\u00f3mo trata ese proveedor una solicitud de este tipo, si la impugna y si informa de ella al cliente cuando la ley lo permite.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-7ca81a8 elementor-widget elementor-widget-text-editor\" data-id=\"7ca81a8\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>La situaci\u00f3n del Data Privacy Framework<\/h2><p>A 5 de octubre de 2026, las transferencias de la Uni\u00f3n Europea a organizaciones estadounidenses certificadas todav\u00eda pueden basarse en la decisi\u00f3n de adecuaci\u00f3n (UE) 2023\/1795, denominada Data Privacy Framework. Esta decisi\u00f3n est\u00e1 en vigor. Est\u00e1 impugnada, y la evoluci\u00f3n del derecho estadounidense ha llevado al Comit\u00e9 Europeo de Protecci\u00f3n de Datos a pedir a la Comisi\u00f3n que eval\u00fae sus efectos. Mientras no se retire ni se anule, produce sus efectos.<\/p><p>El litigio contin\u00faa. Seg\u00fan un comentario del despacho WilmerHale publicado el 1 de diciembre de 2025, el Tribunal General de la Uni\u00f3n Europea desestim\u00f3 el recurso de anulaci\u00f3n el 3 de septiembre de 2025, y el 31 de octubre de 2025 se interpuso un recurso de casaci\u00f3n ante el Tribunal de Justicia. El despacho DAC Beachcroft resume la situaci\u00f3n con una f\u00f3rmula: estabilidad por ahora, incertidumbre por delante. Estos elementos se recogen aqu\u00ed a partir de comentarios de abogados.<\/p><p>El Data Privacy Framework regula las transferencias en el sentido del RGPD. No saca a un proveedor estadounidense del \u00e1mbito del CLOUD Act. Una empresa prudente documenta esta base jur\u00eddica y prev\u00e9 qu\u00e9 hacer si deja de existir. Este seguimiento corresponde al registro de transferencias, no a un eslogan.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-1011cae elementor-widget elementor-widget-text-editor\" data-id=\"1011cae\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>Lo que reduce realmente la exposici\u00f3n<\/h2><p><strong>Elegir el operador.<\/strong> Si la sociedad que factura, realiza las copias de seguridad y administra el servicio es europea, y no depende de un grupo estadounidense para la posesi\u00f3n de los datos, el requerimiento del CLOUD Act no se dirige a ella. Es la palanca principal.<\/p><p><strong>Examinar los subcontratistas.<\/strong> Un operador europeo que env\u00eda los correos, las copias de seguridad o el soporte a un subcontratista estadounidense reintroduce un proveedor sujeto al derecho estadounidense. La lista de subcontratistas forma parte de la protecci\u00f3n. El error frecuente: verificar el proveedor de alojamiento principal y olvidar la herramienta de tickets o la copia de seguridad.<\/p><p><strong>Distinguir entre el proveedor del software y el operador.<\/strong> Utilizar un software cuyo editor es estadounidense no equivale a confiar los datos a ese editor. Zimbra lo edita Synacor, en Estados Unidos. Si lo instala y realiza sus copias de seguridad un proveedor de alojamiento europeo, en las salas de ese proveedor, quien posee operativamente los buzones es el proveedor de alojamiento. El contrato debe prohibir al editor el acceso a los contenidos e indicar qui\u00e9n aplica los parches.<\/p><p><strong>Tratar el soporte como un acceso.<\/strong> Un t\u00e9cnico que abre un buz\u00f3n o una copia de seguridad trata datos. La ubicaci\u00f3n de ese t\u00e9cnico, la trazabilidad del acceso y el motivo cuentan tanto como la ubicaci\u00f3n del disco.<\/p><p><strong>Cifrar con una clave que usted posea, cuando el servicio lo permita.<\/strong> El cifrado en reposo cuya clave posee el proveedor le protege contra el robo de un disco. No le impide leer los datos para prestar el servicio, ni entregarlos si se le obliga a ello. Un cifrado cuya clave solo posee usted cambia las cosas en cuanto al contenido. En una suite completa, no siempre cubre todas las etapas: algunas exigen que el servicio trate el contenido, y el cifrado corresponde entonces al proveedor del software o al operador (filtrado y cuarentena, indexaci\u00f3n para la b\u00fasqueda, tratamiento de documentos en un CRM). Las preguntas adecuadas son, por tanto: \u00bfen qu\u00e9 etapas gestiona el proveedor la clave, cu\u00e1nto tiempo permanecen all\u00ed los datos y qui\u00e9n puede acceder a ellos? Hay que leer el per\u00edmetro.<\/p><p><strong>Conservar una salida.<\/strong> Exportaci\u00f3n peri\u00f3dica, formatos abiertos y prueba de restauraci\u00f3n. Una protecci\u00f3n jur\u00eddica sin una copia recuperable est\u00e1 incompleta.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-19339ab elementor-widget elementor-widget-text-editor\" data-id=\"19339ab\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>Lo que no basta<\/h2><ul><li>Anunciar \u00abalojado en Europa\u00bb sin nombrar al operador. El sentido exacto de esta frase se detalla en la p\u00e1gina <a href='\/es\/datos-alojados-en-europa\/'>datos alojados en Europa<\/a>.<\/li><li>Firmar un DPA y dar el asunto por cerrado. El DPA organiza el RGPD. No saca a un proveedor estadounidense del derecho estadounidense.<\/li><li>Creer que una regi\u00f3n de datos de Microsoft o Google anula el CLOUD Act. Estas regiones describen d\u00f3nde se almacenan y tratan determinados datos. El proveedor sigue siendo estadounidense.<\/li><li>Exigir SecNumCloud para el correo electr\u00f3nico de una pyme cuando la necesidad real es un operador europeo. SecNumCloud es una cualificaci\u00f3n de oferta, \u00fatil cuando la licitaci\u00f3n o la naturaleza de los datos lo exige. El cat\u00e1logo de la ANSSI indica qu\u00e9 ofertas la tienen. Klytic no la tiene. La oferta de correo Zimbra de OVHcloud tampoco debe confundirse con las ofertas de infraestructura de OVHcloud que, por su parte, est\u00e1n cualificadas para per\u00edmetros determinados.<\/li><\/ul><p>El CLOUD Act tampoco es el \u00fanico criterio. Una empresa con datos poco sensibles, que depende de funciones avanzadas de Microsoft 365 o de Google Workspace y documenta el Data Privacy Framework en su registro, puede quedarse razonablemente. La elecci\u00f3n pasa a ser discutible cuando no se ha hecho: nadie ha identificado a qui\u00e9n posee los datos ni ha previsto una salida. Las p\u00e1ginas <a href='\/es\/nube-europea-vs-nube-estadounidense\/'>nube europea o nube estadounidense<\/a> y <a href='\/es\/microsoft-365-vs-solucion-soberana\/'>Microsoft 365 o soluci\u00f3n soberana<\/a> desarrollan esta decisi\u00f3n.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-900a0ef elementor-widget elementor-widget-text-editor\" data-id=\"900a0ef\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>Un procedimiento a seguir<\/h2><ol><li>Enumerar los tratamientos: correo, archivos, CRM, telefon\u00eda, copias de seguridad, soporte.<\/li><li>Para cada uno, nombrar la sociedad que posee los datos.<\/li><li>Descartar o regular las que sean proveedores estadounidenses con control sobre el contenido.<\/li><li>Redactar la lista de subcontratistas y revisarla cada a\u00f1o.<\/li><li>Probar una exportaci\u00f3n.<\/li><\/ol><p>Ejemplo: un despacho de contabilidad de 25 personas que hace este ejercicio constata a menudo que el servicio de correo est\u00e1 bien identificado, pero que la herramienta de firma, el intercambio de archivos con los clientes o la copia de seguridad se a\u00f1adieron sin verificar el operador. Son estas l\u00edneas las que hay que regular en prioridad.<\/p><p>Las verificaciones propias de cada suite figuran en las p\u00e1ginas <a href='\/es\/rgpd-microsoft-365\/'>RGPD y Microsoft 365<\/a> y <a href='\/es\/rgpd-google-workspace\/'>RGPD y Google Workspace<\/a>; los criterios generales, en <a href='\/es\/que-es-la-nube-soberana\/'>qu\u00e9 es una nube soberana<\/a>.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-614d844 elementor-widget elementor-widget-text-editor\" data-id=\"614d844\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>Preguntas frecuentes<\/h2><h3>\u00bfBasta un centro de datos en Francia para descartar el CLOUD Act?<\/h3><p>No. La ley se aplica al proveedor sujeto al derecho estadounidense que tiene la posesi\u00f3n o el control de los datos, dondequiera que est\u00e9n almacenados. La ubicaci\u00f3n del disco sigue siendo \u00fatil, pero no responde a la pregunta del operador.<\/p><h3>\u00bfPuede el proveedor impugnar un requerimiento?<\/h3><p>El \u00a7 2703(h) prev\u00e9 un recurso de anulaci\u00f3n o de modificaci\u00f3n, en los 14 d\u00edas siguientes a la notificaci\u00f3n. Este recurso presupone un acuerdo ejecutivo en vigor con el pa\u00eds de que se trate. La p\u00e1gina del Departamento de Justicia estadounidense no menciona ning\u00fan acuerdo con Francia, y no hay ninguno en vigor con la Uni\u00f3n Europea.<\/p><h3>\u00bfProtege mis datos el art\u00edculo 48 del RGPD?<\/h3><p>Establece una norma europea: una resoluci\u00f3n extranjera solo se reconoce si se basa en un acuerdo internacional en vigor. Sit\u00faa al proveedor estadounidense en un conflicto de leyes, sin resolverlo en su lugar.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-84caee0 kly-g-klytic elementor-widget elementor-widget-text-editor\" data-id=\"84caee0\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>D\u00f3nde se sit\u00faa Klytic<\/h2><p>Dedicace Software, sociedad francesa, opera Klytic. El alojamiento se presta en cualquier zona geogr\u00e1fica que corresponda a la jurisdicci\u00f3n aplicable, sujeto a la disponibilidad de los servicios requeridos, por ejemplo en Europa o en Mauricio, o en los servidores del cliente. El software de correo electr\u00f3nico es Zimbra, editado en Estados Unidos: la protecci\u00f3n procede del operador y del contrato de explotaci\u00f3n, no de la nacionalidad del editor. El editor no tiene acceso a los datos y no puede obligar a Klytic a transmit\u00edrselos.<\/p><p>Los datos est\u00e1n en posesi\u00f3n exclusiva del cliente, o de Klytic por cuenta del cliente, en una zona geogr\u00e1fica que corresponde a la jurisdicci\u00f3n aplicable. Est\u00e1n cifrados de forma nativa, o seg\u00fan la elecci\u00f3n del cliente. La clave la posee el cliente, o se conserva en su cuenta, y Klytic no tiene acceso a ella.<\/p><p>Algunas etapas dependen de un cifrado gestionado por Klytic, porque el servicio debe tratar el contenido: los correos y los documentos tratados en el CRM, y los correos puestos en cuarentena por el filtrado, que est\u00e1n cifrados en base de datos. La excepci\u00f3n es el correo electr\u00f3nico: si el cliente no ha activado el cifrado con su propia clave, sus correos se conservan cifrados con una clave gestionada por Klytic. A la inversa, los correos cifrados por el cliente pueden indexarse para la b\u00fasqueda si el cliente ha facilitado su clave a su cliente de correo.<\/p><p>Durante sus trayectos, los correos se cifran desde su paso por el filtrado Klytic MTA, despu\u00e9s entre los servidores de la plataforma y en cada acceso al correo: webmail, cliente de correo o m\u00f3vil, tanto desde la red de la empresa como desde el exterior. Solo una etapa no depende de Klytic: el env\u00edo a otro dominio. En ella, el cifrado se mantiene cuando el servidor del destinatario lo admite, lo que ocurre a menudo; de lo contrario, el mensaje hace este \u00faltimo trayecto sin cifrar, como con cualquier proveedor de correo electr\u00f3nico. Para garantizar la confidencialidad hasta el destinatario en todos los casos, hay que cifrar el propio mensaje (S\/MIME o PGP).<\/p><p>El acceso a los archivos est\u00e1 fuertemente restringido mediante derechos de acceso limitados, y una auditor\u00eda de las conexiones alerta en caso de intento fraudulento. Como con cualquier proveedor, el contrato debe describir esta custodia, este cifrado y su per\u00edmetro. Consulte tambi\u00e9n la p\u00e1gina <a href='\/es\/alojamiento-soberania\/'>alojamiento y soberan\u00eda<\/a>.<\/p><p>Klytic no tiene la cualificaci\u00f3n SecNumCloud. Ninguna de estas frases constituye una inmunidad general: un operador franc\u00e9s sigue sujeto al derecho franc\u00e9s.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-bb6cd8d kly-g-disclaimer elementor-widget elementor-widget-text-editor\" data-id=\"bb6cd8d\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<p>Esta p\u00e1gina describe un marco general. No constituye asesoramiento jur\u00eddico.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-f64fe0d kly-g-legal elementor-widget elementor-widget-text-editor\" data-id=\"f64fe0d\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<p><b>Situaci\u00f3n jur\u00eddica a 5 de octubre de 2026.<\/b> Este texto no sustituye al an\u00e1lisis de un contrato. La decisi\u00f3n de adecuaci\u00f3n UE\u2013Estados Unidos (UE) 2023\/1795 est\u00e1 en vigor. Est\u00e1 siendo impugnada. El cat\u00e1logo de la ANSSI es la referencia para SecNumCloud.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-4af6a81 kly-g-sources elementor-widget elementor-widget-text-editor\" data-id=\"4af6a81\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>Fuentes<\/h2><p>Consultadas en octubre de 2026.<\/p><ul><li>18 U.S.C. \u00a7 2713, texto procedente del CLOUD Act: comunicaci\u00f3n de los datos en posesi\u00f3n o bajo el control del proveedor, incluso fuera de Estados Unidos. <a href='https:\/\/www.govinfo.gov\/content\/pkg\/USCODE-2023-title18\/html\/USCODE-2023-title18-partI-chap121-sec2713.htm' rel='noopener' target='_blank'>govinfo<\/a><\/li><li>18 U.S.C. \u00a7 2703, en particular el apartado (h): recurso del proveedor para la anulaci\u00f3n o modificaci\u00f3n, plazo de 14 d\u00edas, noci\u00f3n de gobierno extranjero cualificado. <a href='https:\/\/www.govinfo.gov\/content\/pkg\/USCODE-2022-title18\/html\/USCODE-2022-title18-partI-chap121-sec2703.htm' rel='noopener' target='_blank'>govinfo<\/a><\/li><li>U.S. Department of Justice, CLOUD Act Resources: acuerdos con el Reino Unido y Australia, negociaciones con la Uni\u00f3n Europea. <a href='https:\/\/www.justice.gov\/criminal\/cloud-act-resources' rel='noopener' target='_blank'>justice.gov<\/a><\/li><li>Reglamento (UE) 2016\/679 (RGPD), art\u00edculo 48: resoluciones de terceros pa\u00edses y acuerdos internacionales. <a href='https:\/\/eur-lex.europa.eu\/legal-content\/FR\/TXT\/?uri=CELEX:32016R0679' rel='noopener' target='_blank'>EUR-Lex<\/a><\/li><li>Senado franc\u00e9s, comisi\u00f3n de investigaci\u00f3n sobre la contrataci\u00f3n p\u00fablica, Compte rendu de la semaine du 9 juin 2025 (comparecencia del 10 de junio de 2025). <a href='https:\/\/www.senat.fr\/compte-rendu-commissions\/20250609\/ce_commande_publique.html' rel='noopener' target='_blank'>senat.fr<\/a><\/li><li>Decisi\u00f3n de Ejecuci\u00f3n (UE) 2023\/1795 de 10 de julio de 2023, adecuaci\u00f3n en virtud del Data Privacy Framework. <a href='https:\/\/eur-lex.europa.eu\/legal-content\/FR\/TXT\/?uri=CELEX:32023D1795' rel='noopener' target='_blank'>EUR-Lex<\/a><\/li><li>Comisi\u00f3n Europea, lista de las decisiones de adecuaci\u00f3n a\u00fan publicadas, incluido Estados Unidos. <a href='https:\/\/commission.europa.eu\/law\/law-topic\/data-protection\/international-dimension-data-protection\/adequacy-decisions_en' rel='noopener' target='_blank'>commission.europa.eu<\/a><\/li><li>Sobre el litigio y la revisi\u00f3n en curso, comentario jur\u00eddico, no una resoluci\u00f3n: DAC Beachcroft, \u00abThe EU\u2013US Data Privacy Framework: stability for now, uncertainty ahead\u00bb. <a href='https:\/\/www.dacbeachcroft.com\/en\/What-we-think\/The-EU-US-Data-Privacy-Framework-Stability-for-now-uncertainty-ahead' rel='noopener' target='_blank'>dacbeachcroft.com<\/a><\/li><li>Sobre la desestimaci\u00f3n del recurso por el Tribunal General y el recurso de casaci\u00f3n, comentario jur\u00eddico, no una resoluci\u00f3n: WilmerHale, \u00abEuropean Court of Justice to Review Challenge to EU-U.S. Data Privacy Framework\u00bb, 1 de diciembre de 2025. <a href='https:\/\/www.wilmerhale.com\/en\/insights\/blogs\/wilmerhale-privacy-and-cybersecurity-law\/20251201-european-court-of-justice-to-review-challenge-to-eu-us-data-privacy-framework' rel='noopener' target='_blank'>wilmerhale.com<\/a><\/li><li>ANSSI, FAQ SecNumCloud. <a href='https:\/\/cyber.gouv.fr\/enjeux-technologiques\/cloud\/faq-qualification-secnumcloud\/' rel='noopener' target='_blank'>cyber.gouv.fr<\/a><\/li><li>Zimbra, FAQ (editor: Synacor). <a href='https:\/\/www.zimbra.com\/faqs\/' rel='noopener' target='_blank'>zimbra.com\/faqs<\/a><\/li><\/ul>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t<div class=\"elementor-element elementor-element-239a9a4 e-con-full kly-g-aside e-flex e-con e-parent\" data-id=\"239a9a4\" data-element_type=\"container\" data-e-type=\"container\" data-settings=\"{&quot;ekit_has_onepagescroll_dot&quot;:&quot;yes&quot;}\">\n\t\t\t\t<div class=\"elementor-element elementor-element-bf45e60 elementor-widget elementor-widget-html\" data-id=\"bf45e60\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"html.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t<nav class=\"kly-g-toc\" aria-label=\"\u00cdndice\"><p>En esta p\u00e1gina<\/p><ol><\/ol><\/nav>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-0e76961 elementor-widget elementor-widget-text-editor\" data-id=\"0e76961\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<div class=\"kly-g-cta\"><h3>Un operador franc\u00e9s para sus datos<\/h3><p>Correo, documentos, videoconferencia, CRM y telefon\u00eda, alojados en la zona que corresponde a su jurisdicci\u00f3n, por ejemplo en Europa o en Mauricio, o en sus instalaciones.<\/p><p><a class=\"kly-g-btn\" href=\"\/es\/contacto\/\">Hablar con un asesor \u2192<\/a><\/p><p style=\"margin:0\"><a class=\"kly-g-btn ghost\" href=\"\/es\/alojamiento-soberania\/\">El alojamiento Klytic<\/a><\/p><\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t<div class=\"elementor-element elementor-element-f3f500d e-con-full kly-g-related e-flex e-con e-parent\" data-id=\"f3f500d\" data-element_type=\"container\" data-e-type=\"container\" data-settings=\"{&quot;ekit_has_onepagescroll_dot&quot;:&quot;yes&quot;}\">\n\t\t\t\t<div class=\"elementor-element elementor-element-85e3986 elementor-widget elementor-widget-text-editor\" data-id=\"85e3986\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>Lea tambi\u00e9n<\/h2><div class=\"kly-g-grid\"><a class=\"kly-g-card\" href=\"\/es\/datos-alojados-en-europa\/\" style=\"--cat:#0077cc\"><span class=\"c\">Soberan\u00eda<\/span><span class=\"t\">\u00bfQu\u00e9 significa realmente \u00abdatos alojados en Europa\u00bb?<\/span><span class=\"q\">\u00abAlojado en Europa\u00bb designa un lugar de almacenamiento declarado. La frase no dice qui\u00e9n opera, ad\u00f3nde van copias y registros ni desde d\u00f3nde se conecta el soporte.<\/span><span class=\"m\"><span>9 min de lectura<\/span><b>Leer \u2192<\/b><\/span><\/a><a class=\"kly-g-card\" href=\"\/es\/rgpd-microsoft-365\/\" style=\"--cat:#0077cc\"><span class=\"c\">Soberan\u00eda<\/span><span class=\"t\">RGPD y Microsoft 365: lo que una empresa debe verificar<\/span><span class=\"q\">Roles, DPA, frontera europea de datos, transferencias, derechos de las personas y salida: los controles RGPD previos a cerrar el asunto Microsoft 365.<\/span><span class=\"m\"><span>10 min de lectura<\/span><b>Leer \u2192<\/b><\/span><\/a><a class=\"kly-g-card\" href=\"\/es\/alternativas-europeas-microsoft-365\/\" style=\"--cat:#6d28d9\"><span class=\"c\">Comparativas<\/span><span class=\"t\">Alternativas europeas a Microsoft 365: gu\u00eda 2026<\/span><span class=\"q\">Criterios de elecci\u00f3n y, despu\u00e9s, Microsoft 365, Google Workspace, OVHcloud, Nextcloud, Infomaniak, otros actores y Klytic. Cu\u00e1ndo es pertinente cada uno.<\/span><span class=\"m\"><span>19 min de lectura<\/span><b>Leer \u2192<\/b><\/span><\/a><\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t<div class=\"elementor-element elementor-element-47ba7642 e-con e-atomic-element e-div-block-base e-default-div e-47ba7642-0a8d8cb \" data-id=\"47ba7642\" data-element_type=\"e-div-block\" data-e-type=\"e-div-block\" data-interaction-id=\"47ba7642\" data-e-type=\"e-div-block\" data-id=\"47ba7642\">\n    <div class=\"elementor-element elementor-element-1957dcf0 e-con e-atomic-element e-div-block-base e-default-div e-1957dcf0-65bb45b \" data-id=\"1957dcf0\" data-element_type=\"e-div-block\" data-e-type=\"e-div-block\" data-interaction-id=\"1957dcf0\" data-e-type=\"e-div-block\" data-id=\"1957dcf0\">\n    \t\t\t<p class=\"e-34902a51-b78d132 e-paragraph-base e-default-p\" data-interaction-id=\"34902a51\" data-e-type=\"widget\" data-id=\"34902a51\">Oferta de bienvenida<\/p>\n\t\t\t\t\t<h2 data-interaction-id=\"54c96233\" class=\"e-54c96233-632171d e-heading-base e-default-h2\" data-e-type=\"widget\" data-id=\"54c96233\">30 d\u00edas de prueba gratuita, migraci\u00f3n acompa\u00f1ada<\/h2>\n\t\t\t\t\t<p class=\"e-6661c7ce-fdde46c e-paragraph-base e-default-p\" data-interaction-id=\"6661c7ce\" data-e-type=\"widget\" data-id=\"6661c7ce\">Oferta de prueba sin compromiso. Un asesor le llamar\u00e1 para entender sus necesidades y preparar su espacio Klytic.<\/p>\n\t\t<div class=\"elementor-element elementor-element-761c01f e-con e-atomic-element e-div-block-base e-default-div e-761c01f-cf11a99 \" data-id=\"761c01f\" data-element_type=\"e-div-block\" data-e-type=\"e-div-block\" data-interaction-id=\"761c01f\" data-e-type=\"e-div-block\" data-id=\"761c01f\">\n    \t\t\t<a href=\"https:\/\/www.klytic.com\/es\/prueba-gratuita-de-30-dias\/\" target=\"_self\" class=\"e-2f43419f-52885cf e-button-base e-default-a\" data-interaction-id=\"2f43419f\" data-e-type=\"widget\" data-id=\"2f43419f\">\n\t\ud83d\ude80 Empezar la prueba gratuita\n<\/a>\n\t\t\t\t\t<a href=\"https:\/\/www.klytic.com\/es\/precios\/\" target=\"_self\" class=\"e-31327e4d-45bbc1a e-button-base e-default-a\" data-interaction-id=\"31327e4d\" data-e-type=\"widget\" data-id=\"31327e4d\">\n\tVer las tarifas\n<\/a>\n\t\t\n<\/div>\n\n<\/div>\n\n<\/div>\n\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"<p>Accueil\u203aGuides\u203aSouverainet\u00e9 Souverainet\u00e9 Comment prot\u00e9ger une entreprise du CLOUD Act ? On prot\u00e8ge une entreprise du CLOUD Act en choisissant qui d\u00e9tient les donn\u00e9es, pas en d\u00e9pla\u00e7ant seulement les serveurs. La loi am\u00e9ricaine de 2018 permet \u00e0 une autorit\u00e9 des \u00c9tats-Unis, dans une proc\u00e9dure, d\u2019exiger d\u2019un prestataire soumis \u00e0 ses juridictions les donn\u00e9es que ce prestataire [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":0,"parent":0,"menu_order":0,"comment_status":"closed","ping_status":"closed","template":"elementor_header_footer","meta":{"_seopress_titles_title":"\u00bfC\u00f3mo proteger una empresa frente al CLOUD Act? | Klytic","_seopress_titles_desc":"El CLOUD Act se aplica al proveedor sujeto al derecho estadounidense, no al pa\u00eds del disco. Operador, subcontratistas, claves, soporte: las medidas que cuentan.","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"\u00bfC\u00f3mo proteger una empresa frente al CLOUD Act? | Klytic","_seopress_social_fb_desc":"El CLOUD Act se aplica al proveedor sujeto al derecho estadounidense, no al pa\u00eds del disco. Operador, subcontratistas, claves, soporte: las medidas que cuentan.","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"\u00bfC\u00f3mo proteger una empresa frente al CLOUD Act? | Klytic","_seopress_social_twitter_desc":"El CLOUD Act se aplica al proveedor sujeto al derecho estadounidense, no al pa\u00eds del disco. Operador, subcontratistas, claves, soporte: las medidas que cuentan.","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"","_seopress_redirections_param":"","_seopress_redirections_type":0,"_seopress_analysis_target_kw":"","_seopress_news_disabled":"","_seopress_video_disabled":"","_seopress_video":[],"_seopress_pro_schemas_manual":[],"_seopress_pro_rich_snippets_disable_all":"","_seopress_pro_rich_snippets_disable":[],"_seopress_pro_schemas":[],"footnotes":""},"class_list":["post-3888","page","type-page","status-publish","hentry"],"_links":{"self":[{"href":"https:\/\/www.klytic.com\/es\/wp-json\/wp\/v2\/pages\/3888","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.klytic.com\/es\/wp-json\/wp\/v2\/pages"}],"about":[{"href":"https:\/\/www.klytic.com\/es\/wp-json\/wp\/v2\/types\/page"}],"author":[{"embeddable":true,"href":"https:\/\/www.klytic.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.klytic.com\/es\/wp-json\/wp\/v2\/comments?post=3888"}],"version-history":[{"count":2,"href":"https:\/\/www.klytic.com\/es\/wp-json\/wp\/v2\/pages\/3888\/revisions"}],"predecessor-version":[{"id":4136,"href":"https:\/\/www.klytic.com\/es\/wp-json\/wp\/v2\/pages\/3888\/revisions\/4136"}],"wp:attachment":[{"href":"https:\/\/www.klytic.com\/es\/wp-json\/wp\/v2\/media?parent=3888"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}