{"id":3890,"date":"2026-10-05T20:21:19","date_gmt":"2026-10-05T18:21:19","guid":{"rendered":"https:\/\/www.klytic.com\/?page_id=3890"},"modified":"2026-10-06T10:37:19","modified_gmt":"2026-10-06T08:37:19","slug":"rgpd-microsoft-365","status":"publish","type":"page","link":"https:\/\/www.klytic.com\/es\/rgpd-microsoft-365\/","title":{"rendered":"RGPD y Microsoft 365: lo que una empresa debe verificar"},"content":{"rendered":"\t\t<div data-elementor-type=\"wp-page\" data-elementor-id=\"3890\" class=\"elementor elementor-3890 elementor-3737\" data-elementor-post-type=\"page\">\n\t\t\t\t<div class=\"elementor-element elementor-element-5b81ce6 e-con-full kly-g e-flex e-con e-parent\" data-id=\"5b81ce6\" data-element_type=\"container\" data-e-type=\"container\" data-settings=\"{&quot;ekit_has_onepagescroll_dot&quot;:&quot;yes&quot;}\">\n\t\t<div class=\"elementor-element elementor-element-64a64ab e-con-full kly-g-hero e-flex e-con e-parent\" data-id=\"64a64ab\" data-element_type=\"container\" data-e-type=\"container\" data-settings=\"{&quot;ekit_has_onepagescroll_dot&quot;:&quot;yes&quot;}\">\n\t\t<div class=\"elementor-element elementor-element-e1622a6 e-con-full kly-g-hero-in e-flex e-con e-parent\" data-id=\"e1622a6\" data-element_type=\"container\" data-e-type=\"container\" data-settings=\"{&quot;ekit_has_onepagescroll_dot&quot;:&quot;yes&quot;}\">\n\t\t\t\t<div class=\"elementor-element elementor-element-cc367f1 elementor-widget elementor-widget-text-editor\" data-id=\"cc367f1\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<p class=\"kly-g-crumb\"><a href=\"\/es\/\">Inicio<\/a><span>\u203a<\/span><a href=\"\/es\/guias\/\">Gu\u00edas<\/a><span>\u203a<\/span><a href=\"\/es\/guias\/#souverainete\">Soberan\u00eda<\/a><\/p><p class=\"kly-g-pill\" style=\"--pill:#38bdf8\">Soberan\u00eda<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-84f5f48 elementor-widget elementor-widget-heading\" data-id=\"84f5f48\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"heading.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t<h1 class=\"elementor-heading-title elementor-size-default\">RGPD y Microsoft 365: lo que una empresa debe verificar<\/h1>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-005b950 elementor-widget elementor-widget-text-editor\" data-id=\"005b950\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<p class=\"kly-g-lead\">Microsoft 365 puede utilizarse en un marco conforme al RGPD (Reglamento General de Protecci\u00f3n de Datos). El reglamento no proh\u00edbe a los proveedores de software estadounidenses. Exige saber qui\u00e9n trata qu\u00e9, sobre qu\u00e9 base salen los datos de la Uni\u00f3n y c\u00f3mo ejercen las personas sus derechos. Esto es lo que una empresa debe verificar, por orden, y lo que debe anotar en el registro.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-0beb27a elementor-widget elementor-widget-text-editor\" data-id=\"0beb27a\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<p class=\"kly-g-meta\"><span>Actualizado en <b>octubre de 2026<\/b><\/span><span><b>10 min<\/b> de lectura<\/span><span>Fuentes oficiales citadas<\/span><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t<div class=\"elementor-element elementor-element-31672e3 e-con-full kly-g-body e-flex e-con e-parent\" data-id=\"31672e3\" data-element_type=\"container\" data-e-type=\"container\" data-settings=\"{&quot;ekit_has_onepagescroll_dot&quot;:&quot;yes&quot;}\">\n\t\t<div class=\"elementor-element elementor-element-4d0e1a6 e-con-full kly-g-article e-flex e-con e-parent\" data-id=\"4d0e1a6\" data-element_type=\"container\" data-e-type=\"container\" data-settings=\"{&quot;ekit_has_onepagescroll_dot&quot;:&quot;yes&quot;}\">\n\t\t\t\t<div class=\"elementor-element elementor-element-53d3cb3 elementor-widget elementor-widget-text-editor\" data-id=\"53d3cb3\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>1. El rol de cada uno<\/h2><p>Para el contenido de los buzones, de los archivos y de los equipos que usted administra, el cliente es, por lo general, responsable del tratamiento. Microsoft es encargado del tratamiento. Para determinados datos de cuenta, de facturaci\u00f3n, de seguridad y de medici\u00f3n del servicio, Microsoft puede ser un responsable del tratamiento independiente. El Data Processing Addendum y el Microsoft Privacy Statement distinguen estos casos.<\/p><p><strong>C\u00f3mo verificarlo.<\/strong> El rol determina las obligaciones. Lea ambos documentos en paralelo y clasifique cada categor\u00eda de datos en una casilla. Un despacho de contabilidad de 25 personas, por ejemplo, tendr\u00e1 por un lado los correos y los expedientes de clientes (Microsoft encargado del tratamiento) y, por otro, la facturaci\u00f3n de la suscripci\u00f3n (Microsoft responsable independiente).<\/p><p><strong>En el registro.<\/strong> Una l\u00ednea por tratamiento, con el rol de Microsoft y el documento en que se basa.<\/p><p><strong>Error frecuente.<\/strong> Escribir \u00ab Microsoft es nuestro encargado del tratamiento \u00bb para el conjunto del servicio.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-f8e4f22 elementor-widget elementor-widget-text-editor\" data-id=\"f8e4f22\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>2. El DPA est\u00e1 firmado y cubre los servicios realmente activados<\/h2><p>El DPA de Microsoft est\u00e1 incorporado a las condiciones en l\u00ednea. Verifique que cubre los servicios que usted ha activado: Exchange, SharePoint, OneDrive, Teams, Planner, Copilot, Power Automate y cualquier conector.<\/p><p><strong>C\u00f3mo verificarlo.<\/strong> Un tenant evoluciona m\u00e1s all\u00e1 del pedido inicial. Compare la lista de servicios activados en el centro de administraci\u00f3n con el alcance del DPA y archive la versi\u00f3n del DPA vigente en la fecha de la verificaci\u00f3n.<\/p><p><strong>En el registro.<\/strong> El servicio, la fecha de activaci\u00f3n, la finalidad. Un servicio activado por un administrador \u00ab para probar \u00bb entra en el registro el d\u00eda en que trata datos de sus empleados o de sus clientes.<\/p><p><strong>Error frecuente.<\/strong> Considerar que un conector hacia una herramienta de terceros est\u00e1 cubierto por el DPA de Microsoft. El tercero tiene sus propias condiciones, que deben leerse por separado.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-9c808eb elementor-widget elementor-widget-text-editor\" data-id=\"9c808eb\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>3. D\u00f3nde est\u00e1n los datos, servicio por servicio<\/h2><p>Para un tenant elegible, Microsoft describe la EU Data Boundary: datos de cliente y datos personales seudonimizados almacenados y tratados en la UE o la AELC, datos de servicios profesionales almacenados en reposo en esa zona. Tres controles evitan tomar el anuncio por un per\u00edmetro total.<\/p><ul><li>\u00bfEst\u00e1 el tenant dentro del per\u00edmetro? Un cliente Multi-Geo no lo est\u00e1, seg\u00fan la documentaci\u00f3n de Microsoft, aunque el pa\u00eds de registro sea europeo.<\/li><li>\u00bfQu\u00e9 excepciones siguen vigentes? Acceso remoto del soporte desde fuera de la zona para determinadas incidencias, elementos de tickets escalados almacenados fuera de la zona, mensajes de voz del soporte, funciones opcionales.<\/li><li>\u00bfQu\u00e9 servicios ajenos al n\u00facleo (Copilot, telefon\u00eda de Teams, conectores) provocan una transferencia porque el administrador los ha activado?<\/li><\/ul><p><strong>Por qu\u00e9.<\/strong> La frontera es un per\u00edmetro con excepciones publicadas, y son esas excepciones las que su registro debe asumir. La p\u00e1gina <a href='\/es\/datos-alojados-en-europa\/'>datos alojados en Europa<\/a> explica por qu\u00e9 esta lista es la verdadera cuesti\u00f3n.<\/p><p><strong>C\u00f3mo verificarlo y documentarlo.<\/strong> Contraste la configuraci\u00f3n del tenant (Multi-Geo o no, funciones opcionales activadas) con la p\u00e1gina de excepciones de Microsoft, l\u00ednea por l\u00ednea, y anote en el registro las que le afectan.<\/p><p><strong>Error frecuente.<\/strong> Copiar \u00ab datos en Europa \u00bb en la pol\u00edtica de privacidad sin mencionar el soporte ni las funciones opcionales.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-8a19e9e elementor-widget elementor-widget-text-editor\" data-id=\"8a19e9e\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>4. La base jur\u00eddica de la transferencia<\/h2><p>Cuando los datos personales son accesibles desde Estados Unidos o se transfieren a una organizaci\u00f3n estadounidense, la transferencia debe tener una base jur\u00eddica: decisi\u00f3n de adecuaci\u00f3n, cl\u00e1usulas contractuales tipo u otro instrumento del art\u00edculo 46 del RGPD.<\/p><p>A 5 de octubre de 2026, la Decisi\u00f3n (UE) 2023\/1795 (Data Privacy Framework) est\u00e1 en vigor para las organizaciones estadounidenses certificadas. Est\u00e1 impugnada ante el Tribunal de Justicia y es objeto de una revisi\u00f3n pol\u00edtica. Seg\u00fan un comentario del bufete de abogados WilmerHale, el Tribunal General de la Uni\u00f3n Europea desestim\u00f3 un recurso de anulaci\u00f3n el 3 de septiembre de 2025, y se interpuso un recurso de casaci\u00f3n ante el Tribunal de Justicia el 31 de octubre de 2025. El bufete DAC Beachcroft resume la situaci\u00f3n en el t\u00edtulo de su propio comentario: estabilidad por ahora, incertidumbre despu\u00e9s. Mientras la decisi\u00f3n no sea retirada ni anulada, las transferencias que cubre pueden basarse en ella.<\/p><p>El precedente explica la prudencia. El 16 de julio de 2020, en la sentencia C-311\/18 (conocida como Schrems II), el Tribunal de Justicia invalid\u00f3 la Decisi\u00f3n 2016\/1250 (Privacy Shield), debido, en particular, al alcance de los programas de vigilancia estadounidenses y a la falta de un recurso efectivo. Las cl\u00e1usulas contractuales tipo siguieron siendo v\u00e1lidas, pero exigen una evaluaci\u00f3n caso por caso.<\/p><p>El CLOUD Act no se \u00ab firma \u00bb en el DPA. Se aplica, en su caso, a Microsoft como sociedad estadounidense que posee o controla los datos. El art\u00edculo 48 del RGPD establece, por su parte, que una resoluci\u00f3n de un \u00f3rgano jurisdiccional o de una autoridad de un tercer pa\u00eds que exija la comunicaci\u00f3n de datos personales solo puede ser reconocida o ejecutable si se basa en un acuerdo internacional, por ejemplo un tratado de asistencia judicial mutua, vigente entre ese pa\u00eds y la Uni\u00f3n o el Estado miembro. Un proveedor estadounidense que opera en Europa puede, por tanto, encontrarse atrapado entre dos normas. El art\u00edculo 48 describe este conflicto; no lo resuelve.<\/p><p>El 10 de junio de 2025, ante la comisi\u00f3n de investigaci\u00f3n del Senado sobre la contrataci\u00f3n p\u00fablica, se pregunt\u00f3 al director de asuntos p\u00fablicos y jur\u00eddicos de Microsoft France si pod\u00eda garantizar bajo juramento que los datos de los ciudadanos franceses confiados a Microsoft a trav\u00e9s de la Ugap nunca ser\u00edan transmitidos, a ra\u00edz de un requerimiento del gobierno estadounidense, sin el acuerdo expl\u00edcito de las autoridades francesas. Respondi\u00f3: \u00ab No, no puedo garantizarlo, pero, una vez m\u00e1s, esto nunca ha ocurrido hasta ahora. \u00bb El detalle figura en <a href='\/es\/proteger-empresa-cloud-act\/'>proteger una empresa del CLOUD Act<\/a>.<\/p><p><strong>En el registro.<\/strong> La base jur\u00eddica de cada transferencia y el plan alternativo: el instrumento del art\u00edculo 46 en el que se apoyar\u00eda si la decisi\u00f3n cayera.<\/p><p><strong>Error frecuente.<\/strong> Confundir la localizaci\u00f3n (punto 3) con la base jur\u00eddica de la transferencia. Los datos almacenados en Europa pueden seguir siendo accesibles desde Estados Unidos.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-69c59c4 elementor-widget elementor-widget-text-editor\" data-id=\"69c59c4\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>5. Los derechos de las personas, en la pr\u00e1ctica<\/h2><p>Un empleado o un cliente puede solicitar el acceso, la rectificaci\u00f3n, la supresi\u00f3n, la limitaci\u00f3n o la portabilidad. En Microsoft 365, una parte se realiza en el centro de administraci\u00f3n y en la herramienta de b\u00fasqueda de contenido.<\/p><p><strong>C\u00f3mo verificarlo.<\/strong> El plazo es de un mes. El encargado del tratamiento proporciona los medios; el responsable del tratamiento responde a la persona. Haga una prueba en fr\u00edo: la persona designada extrae, para una cuenta de prueba, el buz\u00f3n, el OneDrive y los archivos de Teams.<\/p><p><strong>En el registro.<\/strong> El procedimiento, el nombre de la persona responsable y el de su suplente.<\/p><p><strong>Error frecuente.<\/strong> Esperar a que un antiguo empleado en litigio presente una solicitud para descubrir la herramienta de b\u00fasqueda.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-7acaaaa elementor-widget elementor-widget-text-editor\" data-id=\"7acaaaa\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>6. La duraci\u00f3n y la salida<\/h2><p>Conservaci\u00f3n de los buzones compartidos, de los registros, de las grabaciones de reuniones, de las copias de conservaci\u00f3n por litigio (litigation hold). En caso de rescisi\u00f3n, \u00bfqu\u00e9 ocurre con el tenant, en qu\u00e9 plazo, y en qu\u00e9 formato recupera usted los mensajes, los archivos y lo que no se exporta (historial completo de las conversaciones de Teams, determinados flujos de Power Automate)?<\/p><p><strong>C\u00f3mo verificarlo.<\/strong> Anote las duraciones realmente configuradas, no las de la pol\u00edtica interna, y pruebe la exportaci\u00f3n completa de una cuenta.<\/p><p><strong>En el registro.<\/strong> Una duraci\u00f3n por categor\u00eda, la justificaci\u00f3n de cada conservaci\u00f3n por litigio, el procedimiento de salida.<\/p><p><strong>Error frecuente.<\/strong> Dejar activa una conservaci\u00f3n por litigio a\u00f1os despu\u00e9s del final del litigio que la justific\u00f3.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-889d768 elementor-widget elementor-widget-text-editor\" data-id=\"889d768\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>7. Las instrucciones a los usuarios<\/h2><p>Copilot y las funciones de an\u00e1lisis tratan el contenido que usted les conf\u00eda. Si los activa, la informaci\u00f3n a los empleados y el marco de uso forman parte del cumplimiento. Este punto es interno a su empresa. No depende del pa\u00eds del centro de datos.<\/p><p><strong>C\u00f3mo verificarlo.<\/strong> \u00bfExiste una nota informativa, y hay una norma que indique qu\u00e9 datos pueden someterse a estas funciones?<\/p><p><strong>Error frecuente.<\/strong> Abrir un piloto de Copilot a un equipo sin avisar a las dem\u00e1s personas cuyos datos figuran en los archivos tratados.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-1b6b76a elementor-widget elementor-widget-text-editor\" data-id=\"1b6b76a\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>Preguntas frecuentes<\/h2><h3>\u00bfProh\u00edbe el RGPD Microsoft 365?<\/h3><p>No. El reglamento regula los roles, las transferencias y los derechos de las personas. No proh\u00edbe a un proveedor de software por su nacionalidad; exige documentar lo que usted hace y sobre qu\u00e9 base jur\u00eddica.<\/p><h3>\u00bfResuelve la EU Data Boundary la cuesti\u00f3n del CLOUD Act?<\/h3><p>No. Describe d\u00f3nde se almacenan y se tratan determinados datos. Microsoft sigue siendo una sociedad estadounidense, y 18 U.S.C. \u00a7 2713 se refiere a los datos que un proveedor posee o controla, dondequiera que se encuentren.<\/p><h3>\u00bfQu\u00e9 hacer si se anula el Data Privacy Framework?<\/h3><p>El registro ya debe indicarlo. Tras Schrems II, las cl\u00e1usulas contractuales tipo siguieron siendo v\u00e1lidas, con una evaluaci\u00f3n caso por caso. Prepararla con antelaci\u00f3n evita tener que redactarla con urgencia.<\/p><h3>\u00bfQui\u00e9n responde a un empleado que solicita sus datos?<\/h3><p>Usted, como responsable del tratamiento. Microsoft proporciona las herramientas de extracci\u00f3n; la respuesta y el plazo de un mes le corresponden a usted.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-c719497 elementor-widget elementor-widget-text-editor\" data-id=\"c719497\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>Cuando la verificaci\u00f3n concluye con \u00ab nos quedamos \u00bb<\/h2><p>Concluye as\u00ed cuando los usos de Microsoft son centrales para la actividad, el DPA est\u00e1 en vigor, se comprende el per\u00edmetro de residencia y el registro documenta las transferencias residuales. Cambiar de suite no se convierte en una obligaci\u00f3n del RGPD por el mero hecho de que el proveedor del software sea estadounidense.<\/p><p>Los argumentos para quedarse son serios. Una oficina t\u00e9cnica que vive en Excel avanzado, Power BI y Teams perder\u00eda funciones al cambiar de suite, y una migraci\u00f3n conlleva sus propios riesgos. Un tenant de Microsoft bien documentado es m\u00e1s conforme que una alternativa mal documentada. La decisi\u00f3n se reexamina si cambia la base jur\u00eddica de las transferencias. Las ventajas y desventajas se detallan en <a href='\/es\/microsoft-365-vs-solucion-soberana\/'>quedarse o abandonar Microsoft 365<\/a>.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-9c64b7f elementor-widget elementor-widget-text-editor\" data-id=\"9c64b7f\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>Cuando la verificaci\u00f3n concluye con \u00ab cambiamos de operador \u00bb<\/h2><p>Concluye as\u00ed cuando la direcci\u00f3n quiere que una sociedad europea posea los contenidos, o cuando las excepciones de transferencia y de acceso del soporte superan lo que el registro puede asumir. Tambi\u00e9n puede venir de los clientes: una licitaci\u00f3n que exige un operador europeo zanja la cuesti\u00f3n para el per\u00edmetro afectado.<\/p><p>Esta conclusi\u00f3n tiene sus argumentos. Cuando el operador es europeo y no depende de un grupo estadounidense para la posesi\u00f3n de los datos, el conflicto descrito en el punto 4 deja de plantearse para esos datos, siempre que sus encargados del tratamiento no reintroduzcan a un proveedor estadounidense. No exime de nada m\u00e1s: el contrato de encargo del tratamiento, el registro, el procedimiento para los derechos y una salida probada siguen siendo necesarios. La p\u00e1gina <a href='\/es\/migrar-desde-microsoft-365\/'>migrar desde Microsoft 365<\/a> describe lo que implica este cambio, sin presentarlo como un paso autom\u00e1tico, y la <a href='\/es\/checklist-migracion-microsoft-365\/'>checklist de migraci\u00f3n<\/a> lo divide en etapas.<\/p><p>Klytic, operado por la sociedad francesa Dedicace Software, es una de las opciones si los usos caben en el correo electr\u00f3nico, los documentos (uso compartido, edici\u00f3n en l\u00ednea individual o colaborativa, historial de versiones), la videoconferencia, el CRM y la telefon\u00eda. Los servicios se contratan por separado; tambi\u00e9n se puede conservar Microsoft 365 y a\u00f1adir \u00fanicamente el filtrado Klytic MTA, situado delante. El alojamiento se realiza en cualquier zona geogr\u00e1fica que corresponda a la jurisdicci\u00f3n aplicable, sujeto a la disponibilidad de los servicios requeridos, por ejemplo en Europa o en Mauricio, o en los servidores del cliente. Los datos los posee el cliente, o Klytic por cuenta de este, y se cifran de forma nativa o seg\u00fan su elecci\u00f3n; la clave la posee el cliente o se conserva en su cuenta, y Klytic no tiene acceso a ella. Las etapas en las que Klytic gestiona el cifrado se detallan en la p\u00e1gina <a href='\/es\/proteger-empresa-cloud-act\/'>proteger una empresa del CLOUD Act<\/a>. El contrato debe describir esta posesi\u00f3n y este cifrado. Klytic no reproduce Excel avanzado, Power BI ni Teams. No est\u00e1 cualificado SecNumCloud, y un operador franc\u00e9s sigue sujeto al derecho franc\u00e9s.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-f774441 kly-g-disclaimer elementor-widget elementor-widget-text-editor\" data-id=\"f774441\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<p>Esta p\u00e1gina describe un marco general. No constituye asesoramiento jur\u00eddico.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-cc48348 kly-g-legal elementor-widget elementor-widget-text-editor\" data-id=\"cc48348\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<p><b>Situaci\u00f3n jur\u00eddica a 5 de octubre de 2026.<\/b> Este texto no sustituye al an\u00e1lisis de un contrato. La decisi\u00f3n de adecuaci\u00f3n UE\u2013Estados Unidos (UE) 2023\/1795 est\u00e1 en vigor. Est\u00e1 siendo impugnada. El cat\u00e1logo de la ANSSI es la referencia para SecNumCloud.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-3f10963 kly-g-sources elementor-widget elementor-widget-text-editor\" data-id=\"3f10963\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>Fuentes<\/h2><p>Consultadas en octubre de 2026.<\/p><ul><li>Reglamento (UE) 2016\/679, art\u00edculos 28 (encargado del tratamiento), 44 a 49 (transferencias), incluido el art\u00edculo 48 (resoluciones de autoridades de terceros pa\u00edses). <a href='https:\/\/eur-lex.europa.eu\/legal-content\/FR\/TXT\/?uri=CELEX:32016R0679' rel='noopener' target='_blank'>EUR-Lex<\/a><\/li><li>Microsoft, adenda de protecci\u00f3n de datos (DPA). <a href='https:\/\/www.microsoft.com\/licensing\/docs\/view\/Microsoft-Products-and-Services-Data-Protection-Addendum-DPA' rel='noopener' target='_blank'>Microsoft Licensing<\/a><\/li><li>Microsoft, EU Data Boundary: per\u00edmetro, elegibilidad, exclusi\u00f3n de Multi-Geo. <a href='https:\/\/learn.microsoft.com\/en-us\/privacy\/eudb\/eu-data-boundary-learn' rel='noopener' target='_blank'>Microsoft Learn<\/a><\/li><li>Microsoft, excepciones de transferencia, incluido el soporte. <a href='https:\/\/learn.microsoft.com\/en-us\/privacy\/eudb\/eu-data-boundary-transfers-for-all-services' rel='noopener' target='_blank'>Microsoft Learn<\/a><\/li><li>Decisi\u00f3n (UE) 2023\/1795. <a href='https:\/\/eur-lex.europa.eu\/legal-content\/FR\/TXT\/?uri=CELEX:32023D1795' rel='noopener' target='_blank'>EUR-Lex<\/a><\/li><li>Tribunal de Justicia de la Uni\u00f3n Europea, 16 de julio de 2020, C-311\/18 (Schrems II). <a href='https:\/\/eur-lex.europa.eu\/legal-content\/FR\/TXT\/?uri=CELEX:62018CJ0311' rel='noopener' target='_blank'>EUR-Lex<\/a><\/li><li>Sobre el litigio del Data Privacy Framework, comentario de abogados, no una resoluci\u00f3n: WilmerHale, \u00ab European Court of Justice to Review Challenge to EU-U.S. Data Privacy Framework \u00bb, 1 de diciembre de 2025. <a href='https:\/\/www.wilmerhale.com\/en\/insights\/blogs\/wilmerhale-privacy-and-cybersecurity-law\/20251201-european-court-of-justice-to-review-challenge-to-eu-us-data-privacy-framework' rel='noopener' target='_blank'>wilmerhale.com<\/a><\/li><li>Sobre el litigio y la revisi\u00f3n en curso, comentario de abogados, no una resoluci\u00f3n: DAC Beachcroft, \u00ab The EU\u2013US Data Privacy Framework: stability for now, uncertainty ahead \u00bb. <a href='https:\/\/www.dacbeachcroft.com\/en\/What-we-think\/The-EU-US-Data-Privacy-Framework-Stability-for-now-uncertainty-ahead' rel='noopener' target='_blank'>dacbeachcroft.com<\/a><\/li><li>18 U.S.C. \u00a7 2713. <a href='https:\/\/www.govinfo.gov\/content\/pkg\/USCODE-2023-title18\/html\/USCODE-2023-title18-partI-chap121-sec2713.htm' rel='noopener' target='_blank'>govinfo<\/a><\/li><li>Senado, comisi\u00f3n de investigaci\u00f3n sobre la contrataci\u00f3n p\u00fablica, acta de la semana del 9 de junio de 2025 (comparecencia del 10 de junio de 2025). <a href='https:\/\/www.senat.fr\/compte-rendu-commissions\/20250609\/ce_commande_publique.html' rel='noopener' target='_blank'>senat.fr<\/a><\/li><\/ul>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t<div class=\"elementor-element elementor-element-82d7b8b e-con-full kly-g-aside e-flex e-con e-parent\" data-id=\"82d7b8b\" data-element_type=\"container\" data-e-type=\"container\" data-settings=\"{&quot;ekit_has_onepagescroll_dot&quot;:&quot;yes&quot;}\">\n\t\t\t\t<div class=\"elementor-element elementor-element-6222aec elementor-widget elementor-widget-html\" data-id=\"6222aec\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"html.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t<nav class=\"kly-g-toc\" aria-label=\"\u00cdndice\"><p>En esta p\u00e1gina<\/p><ol><\/ol><\/nav>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<div class=\"elementor-element elementor-element-eb9f3b7 elementor-widget elementor-widget-text-editor\" data-id=\"eb9f3b7\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<div class=\"kly-g-cta\"><h3>Un operador franc\u00e9s para sus datos<\/h3><p>Correo, documentos, videoconferencia, CRM y telefon\u00eda, alojados en la zona que corresponde a su jurisdicci\u00f3n, por ejemplo en Europa o en Mauricio, o en sus instalaciones.<\/p><p><a class=\"kly-g-btn\" href=\"\/es\/contacto\/\">Hablar con un asesor \u2192<\/a><\/p><p style=\"margin:0\"><a class=\"kly-g-btn ghost\" href=\"\/es\/alojamiento-soberania\/\">El alojamiento Klytic<\/a><\/p><\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t<div class=\"elementor-element elementor-element-09c013f e-con-full kly-g-related e-flex e-con e-parent\" data-id=\"09c013f\" data-element_type=\"container\" data-e-type=\"container\" data-settings=\"{&quot;ekit_has_onepagescroll_dot&quot;:&quot;yes&quot;}\">\n\t\t\t\t<div class=\"elementor-element elementor-element-7551cb9 elementor-widget elementor-widget-text-editor\" data-id=\"7551cb9\" data-element_type=\"widget\" data-e-type=\"widget\" data-settings=\"{&quot;ekit_we_effect_on&quot;:&quot;none&quot;}\" data-widget_type=\"text-editor.default\">\n\t\t\t\t<div class=\"elementor-widget-container\">\n\t\t\t\t\t\t\t\t\t<h2>Lea tambi\u00e9n<\/h2><div class=\"kly-g-grid\"><a class=\"kly-g-card\" href=\"\/es\/rgpd-google-workspace\/\" style=\"--cat:#0077cc\"><span class=\"c\">Soberan\u00eda<\/span><span class=\"t\">RGPD y Google Workspace: lo que una empresa debe verificar<\/span><span class=\"q\">Roles, regiones de datos, acceso del soporte, registros no cubiertos, transferencias y salida: lo que hay que controlar antes de cerrar el asunto Google Workspace.<\/span><span class=\"m\"><span>10 min de lectura<\/span><b>Leer \u2192<\/b><\/span><\/a><a class=\"kly-g-card\" href=\"\/es\/que-es-la-nube-soberana\/\" style=\"--cat:#0077cc\"><span class=\"c\">Soberan\u00eda<\/span><span class=\"t\">\u00bfQu\u00e9 es una nube soberana?<\/span><span class=\"q\">Una nube soberana se juzga por el operador, el derecho aplicable, el control de los accesos y la salida de los datos. La ubicaci\u00f3n del centro de datos no basta.<\/span><span class=\"m\"><span>9 min de lectura<\/span><b>Leer \u2192<\/b><\/span><\/a><a class=\"kly-g-card\" href=\"\/es\/alternativas-europeas-microsoft-365\/\" style=\"--cat:#6d28d9\"><span class=\"c\">Comparativas<\/span><span class=\"t\">Alternativas europeas a Microsoft 365: gu\u00eda 2026<\/span><span class=\"q\">Criterios de elecci\u00f3n y, despu\u00e9s, Microsoft 365, Google Workspace, OVHcloud, Nextcloud, Infomaniak, otros actores y Klytic. Cu\u00e1ndo es pertinente cada uno.<\/span><span class=\"m\"><span>19 min de lectura<\/span><b>Leer \u2192<\/b><\/span><\/a><\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t<div class=\"elementor-element elementor-element-47ba7642 e-con e-atomic-element e-div-block-base e-default-div e-47ba7642-0a8d8cb \" data-id=\"47ba7642\" data-element_type=\"e-div-block\" data-e-type=\"e-div-block\" data-interaction-id=\"47ba7642\" data-e-type=\"e-div-block\" data-id=\"47ba7642\">\n    <div class=\"elementor-element elementor-element-1957dcf0 e-con e-atomic-element e-div-block-base e-default-div e-1957dcf0-65bb45b \" data-id=\"1957dcf0\" data-element_type=\"e-div-block\" data-e-type=\"e-div-block\" data-interaction-id=\"1957dcf0\" data-e-type=\"e-div-block\" data-id=\"1957dcf0\">\n    \t\t\t<p class=\"e-34902a51-b78d132 e-paragraph-base e-default-p\" data-interaction-id=\"34902a51\" data-e-type=\"widget\" data-id=\"34902a51\">Oferta de bienvenida<\/p>\n\t\t\t\t\t<h2 data-interaction-id=\"54c96233\" class=\"e-54c96233-632171d e-heading-base e-default-h2\" data-e-type=\"widget\" data-id=\"54c96233\">30 d\u00edas de prueba gratuita, migraci\u00f3n acompa\u00f1ada<\/h2>\n\t\t\t\t\t<p class=\"e-6661c7ce-fdde46c e-paragraph-base e-default-p\" data-interaction-id=\"6661c7ce\" data-e-type=\"widget\" data-id=\"6661c7ce\">Oferta de prueba sin compromiso. Un asesor le llamar\u00e1 para entender sus necesidades y preparar su espacio Klytic.<\/p>\n\t\t<div class=\"elementor-element elementor-element-761c01f e-con e-atomic-element e-div-block-base e-default-div e-761c01f-cf11a99 \" data-id=\"761c01f\" data-element_type=\"e-div-block\" data-e-type=\"e-div-block\" data-interaction-id=\"761c01f\" data-e-type=\"e-div-block\" data-id=\"761c01f\">\n    \t\t\t<a href=\"https:\/\/www.klytic.com\/es\/prueba-gratuita-de-30-dias\/\" target=\"_self\" class=\"e-2f43419f-52885cf e-button-base e-default-a\" data-interaction-id=\"2f43419f\" data-e-type=\"widget\" data-id=\"2f43419f\">\n\t\ud83d\ude80 Empezar la prueba gratuita\n<\/a>\n\t\t\t\t\t<a href=\"https:\/\/www.klytic.com\/es\/precios\/\" target=\"_self\" class=\"e-31327e4d-45bbc1a e-button-base e-default-a\" data-interaction-id=\"31327e4d\" data-e-type=\"widget\" data-id=\"31327e4d\">\n\tVer las tarifas\n<\/a>\n\t\t\n<\/div>\n\n<\/div>\n\n<\/div>\n\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"<p>Accueil\u203aGuides\u203aSouverainet\u00e9 Souverainet\u00e9 RGPD et Microsoft 365 : ce qu\u2019une entreprise doit v\u00e9rifier Microsoft 365 peut \u00eatre utilis\u00e9 dans un cadre RGPD. Le r\u00e8glement n\u2019interdit pas les \u00e9diteurs am\u00e9ricains. Il impose de savoir qui traite quoi, sur quelle base les donn\u00e9es quittent l\u2019Union, et comment les personnes exercent leurs droits. Voici ce qu\u2019une entreprise doit v\u00e9rifier, [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":0,"parent":0,"menu_order":0,"comment_status":"closed","ping_status":"closed","template":"elementor_header_footer","meta":{"_seopress_titles_title":"RGPD y Microsoft 365: lo que una empresa debe verificar | Klytic","_seopress_titles_desc":"Roles, DPA, frontera europea de datos, transferencias, derechos de las personas y salida: los controles RGPD previos a cerrar el asunto Microsoft 365.","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"RGPD y Microsoft 365: lo que una empresa debe verificar | Klytic","_seopress_social_fb_desc":"Roles, DPA, frontera europea de datos, transferencias, derechos de las personas y salida: los controles RGPD previos a cerrar el asunto Microsoft 365.","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"RGPD y Microsoft 365: lo que una empresa debe verificar | Klytic","_seopress_social_twitter_desc":"Roles, DPA, frontera europea de datos, transferencias, derechos de las personas y salida: los controles RGPD previos a cerrar el asunto Microsoft 365.","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"","_seopress_redirections_param":"","_seopress_redirections_type":0,"_seopress_analysis_target_kw":"","_seopress_news_disabled":"","_seopress_video_disabled":"","_seopress_video":[],"_seopress_pro_schemas_manual":[],"_seopress_pro_rich_snippets_disable_all":"","_seopress_pro_rich_snippets_disable":[],"_seopress_pro_schemas":[],"footnotes":""},"class_list":["post-3890","page","type-page","status-publish","hentry"],"_links":{"self":[{"href":"https:\/\/www.klytic.com\/es\/wp-json\/wp\/v2\/pages\/3890","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.klytic.com\/es\/wp-json\/wp\/v2\/pages"}],"about":[{"href":"https:\/\/www.klytic.com\/es\/wp-json\/wp\/v2\/types\/page"}],"author":[{"embeddable":true,"href":"https:\/\/www.klytic.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.klytic.com\/es\/wp-json\/wp\/v2\/comments?post=3890"}],"version-history":[{"count":2,"href":"https:\/\/www.klytic.com\/es\/wp-json\/wp\/v2\/pages\/3890\/revisions"}],"predecessor-version":[{"id":4140,"href":"https:\/\/www.klytic.com\/es\/wp-json\/wp\/v2\/pages\/3890\/revisions\/4140"}],"wp:attachment":[{"href":"https:\/\/www.klytic.com\/es\/wp-json\/wp\/v2\/media?parent=3890"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}