Esta lista de verificación detalla diez criterios a verificar antes de firmar con un backend como servicio (BaaS), con la pregunta precisa que debe hacerle a cada proveedor para cada uno.
El criterio más olvidado es la nacionalidad del proveedor, distinta de la ubicación de sus servidores. Una empresa matriz estadounidense sigue sujeta a la Ley CLOUD incluso si sus datos se ejecutan en servidores en Francia o Alemania. Nuestra guía completa sobre el RGPD y la soberanía de la UE detalla esta distinción legal en profundidad; Esta lista de verificación se centra en los puntos operativos que se deben verificar durante una evaluación de proveedores.
Lo esencial
- Una casilla marcada como “Región de la UE” solo cubre parte del riesgo: la nacionalidad de la empresa que aloja sus datos es igualmente importante frente a la Ley CLOUD.
- La DPA (artículo 28 del RGPD) es obligatoria en cuanto un proveedor procesa datos en su nombre, independientemente del tamaño de su empresa.
- El aislamiento entre clientes no es un detalle de implementación: una tabla compartida con inquilino_id no ofrece las mismas garantías que una base de datos dedicada por proyecto.
- Una certificación de “hoja de ruta” no es una certificación obtenida: se requiere el informe de auditoría firmado, no una promesa de marketing.
- Los derechos de acceso, borrado y portabilidad deben poder ejercerse en autoservicio: un proveedor que responde con un script SQL personalizado ralentiza su propio cumplimiento.
- El autohospedaje elimina al contratista, pero transfiere toda la carga operativa de seguridad y notificación de violaciones a su equipo.
Ubicación de los datos y nacionalidad del prestador
Dos hechos distintos determinan su exposición legal: dónde se almacenan los datos y cuál es la nacionalidad legal de la empresa que los aloja. El RGPD regula el primer punto. La ley estadounidense CLOUD Act regula el segundo.
Este texto autoriza a las autoridades federales estadounidenses a solicitar datos de cualquier empresa constituida bajo la legislación estadounidense, incluidas sus filiales. Esto se aplica incluso cuando estos datos estén alojados en servidores ubicados físicamente en Europa. Una insignia de "alojado en la UE" en un sitio de marketing no dice nada sobre la nacionalidad de la empresa matriz.
Aurabase es una empresa francesa, Aurabase SAS, con sede en París. Su infraestructura de producción se basa en los centros de datos de Hetzner en Nuremberg, Falkenstein (Alemania) y Helsinki (Finlandia): soberanía de la UE. Dos hechos distintos, sede judicial y ubicación de servidores, no deben confundirse en una misma diligencia.
La pregunta que debe hacerse a cualquier proveedor: ¿su empresa matriz está registrada fuera de la UE, incluso si sus servidores están en Europa?
La DPA: lo que exige el artículo 28 del RGPD
El RGPD exige un contrato escrito entre usted, el responsable del tratamiento, y su proveedor, subcontratista: este es el artículo 28. Sin este documento, usted no cumple, independientemente de la seriedad técnica del proveedor en otro lugar.
Una DPA válida especifica el propósito y la duración del procesamiento, las categorías de datos y los interesados, y la lista de subcontratistas. También detalla las medidas de seguridad aplicadas y las obligaciones de asistencia en caso de solicitud del usuario. Finalmente, determina el destino de los datos al finalizar el contrato: supresión o restitución.
Aurabase publica un DPA firmable directamente desde el Estudio, basado en las cláusulas contractuales tipo adoptadas por la Comisión Europea (decisión 2021/914). Nuestro artículo dedicado al DPA de un backend como servicio detalla cláusula por cláusula qué verificar antes de firmar.
La lista de subcontratistas deberá ser pública y notificada
El artículo 28 del RGPD también exige que su subcontratista enumere sus propios subcontratistas: servidor, pasarela de pago, servicio de correo electrónico transaccional. Cualquier cambio deberá ser notificado a usted, con derecho a oponerse.
Exija esta lista por escrito y verifique que cada subcontratista crítico, en particular el anfitrión, también tenga su sede en la UE. De lo contrario, la cadena de subcontratación recrea la exposición a la Ley CLOUD que usted intentó evitar cambiando de proveedor principal.
Aislamiento entre clientes: ¿compartido o dedicado?
El aislamiento entre sus datos y los de otros clientes del mismo proveedor determina el alcance de una fuga en caso de error. Existen tres arquitecturas, con garantías muy diferentes.
El modelo más común, una gran tabla compartida con una columna tenant_id, es también el más frágil. Una política RLS mal redactada o una consulta sin una cláusula de filtro pueden exponer a varios clientes a la vez. Una base por proyecto, con su propia función de conexión, elimina esta clase de error: el límite se establece en el nivel de conexión, no en una cláusula WHERE que un desarrollador podría olvidar.
En este punto, cada proyecto de Aurabase recibe su propia base de datos Postgres, con su propia función de conexión dentro del alcance de search_path inyectado desde el JWT en el nivel de puerta de enlace. Entre dos organizaciones, el aislamiento se vuelve físico: clúster de Postgres dedicado, espacio de nombres de Kubernetes separado. Detalles completos en la página Seguridad.
Seguridad técnica: cifrado, auditorías, recompensas por errores
El RGPD impone “medidas técnicas y organizativas apropiadas” (artículo 32), sin enumerar una norma precisa. En la práctica, tres elementos concretos a verificar: cifrado en tránsito y en reposo, la existencia de un programa de auditoría independiente y un canal documentado de notificación de vulnerabilidades.
Aurabase cifra los intercambios en TLS 1.3 y los datos en reposo en AES-256, con una opción BYOK (claves administradas por usted a través de AWS KMS o HashiCorp Vault) en el plan Enterprise. El programa público de recompensas por errores, alojado enhuntr.dev/aurabase, paga entre 200 y 10.000 euros, dependiendo de la gravedad del error encontrado. La política de divulgación coordinada tiene una duración de 90 días. Un proveedor sin un canal de denuncia documentado, por definición, no tiene auditorías independientes en marcha.
Derechos de los interesados: ¿autoservicio o guión manual?
Los artículos 15, 17 y 20 del RGPD garantizan a sus usuarios finales el derecho de acceso, supresión y portabilidad de sus datos. La pregunta que debe hacerle a su BaaS: ¿se pueden ejercer estos derechos en autoservicio o requieren un script SQL personalizado para cada solicitud?
Es usted, el responsable del tratamiento, quien sigue legalmente obligado a responder en un plazo de 30 días, incluso si la infraestructura subyacente es opaca. Un proveedor que requiere un script manual para cada solicitud ralentiza su propio tiempo de respuesta. En Aurabase, se puede acceder a la exportación y eliminación desde Studio → Configuración → Privacidad, o mediante privacy@aurabase.cloud para casos más complejos.
Notificación de infracción: plazo legal versus compromiso contractual
El RGPD exige que el responsable del tratamiento, usted, notifique una infracción a su autoridad de control en el plazo de 72 horas desde que tuvo conocimiento de ella (artículo 33). Este período sólo comienza cuando su proveedor le informa.
Por tanto, el compromiso contractual del proveedor de notificar es tan importante como el propio plazo legal. Pregunte por el plazo contractual máximo que se compromete a respetar para notificarle una incidencia, y qué debe incluir dicha notificación: naturaleza de la infracción, categorías y volumen aproximado de datos de que se trata. Esta cifra debe estar escrita en blanco y negro en la DPA, no solo mencionarse oralmente antes de la venta.
Certificaciones: ¿obtenidas o hoja de ruta?
Una certificación anunciada en un sitio de marketing no es lo mismo que una certificación obtenida. Muchos proveedores de BaaS comunican una “hoja de ruta de cumplimiento” (SOC 2, ISO 27001) sin haber iniciado la correspondiente auditoría de terceros.
En este punto concreto, la transparencia importa más que el anuncio en sí. La página Seguridad de Aurabase establece explícitamente que no se ha comprometido ninguna certificación de terceros hasta la fecha y publica su hoja de ruta en un Centro de confianza dedicado en lugar de mostrar una insignia no obtenida. Exigir sistemáticamente el informe de auditoría firmado, no sólo el nombre de la norma en cuestión, antes de dar por concedida una certificación de cualquier proveedor.
Autohospedaje: el cumplimiento total tiene un costo operativo
El alojamiento propio de su Postgres elimina la cuestión del subcontratista, pero no resuelve automáticamente el cumplimiento del RGPD. La responsabilidad de la seguridad, las copias de seguridad cifradas, la aplicación de parches y la respuesta a infracciones sigue siendo enteramente suya.
Para un equipo sin un SRE dedicado a la seguridad de Postgres, un BaaS soberano de la UE con DPA firmado transfiere parte de esta carga operativa a un tercero auditado, sin sacrificar la jurisdicción. Nuestra comparación autohospedaje frente a BaaS soberano de la UE cuantifica este compromiso para un equipo pequeño.
Los diez criterios y la pregunta a plantearse
Una versión condensada, útil en reuniones de evaluación de proveedores o para construir su propia grilla de auditoría.
| Criterio | Pregunta para hacerle al proveedor |
|---|---|
| Ubicación Y nacionalidad | ¿Dónde están los servidores y dónde está registrada la empresa matriz del proveedor? |
| DPA (artículo 28 RGPD) | ¿El contrato de subcontratación está firmado o sólo se menciona en la preventa? |
| Lista de subcontratistas | ¿Es público, actualizado, con aviso en caso de cambio? |
| Aislamiento de datos | ¿Tabla compartida con una columna inquilino_id o base dedicada por cliente? |
| Cifrado | ¿TLS en tránsito, AES en reposo, opción BYOK disponible? |
| Auditoría independiente | ¿Recompensa por errores activos o pentest externo anticuado, con canal de informes documentado? |
| Derechos RGPD (acceso, supresión, portabilidad) | ¿Se puede ejercer en autoservicio o sólo mediante script manual previa solicitud? |
| Notificación de infracción | ¿Qué periodo contractual máximo está escrito en blanco y negro en la DPA? |
| Certificaciones | ¿Se obtiene con un informe de auditoría firmado o sólo como hoja de ruta? |
| Responsable del cumplimiento | ¿BaaS soberano de la UE auditado o autohospedaje con la carga operativa asumida internamente? |
Preguntas frecuentes: cumplimiento del RGPD y elección de un BaaS
Siguiente paso
Ninguno de estos diez criterios es suficiente por sí solo para garantizar el cumplimiento del RGPD para un backend como servicio. Es su combinación, verificada punto por punto y no deducida de una insignia de marketing, la que construye una evaluación seria del proveedor.
Para conocer todos los matices legales entre la región anfitriona y la nacionalidad del proveedor, consulte nuestra guía GDPR y soberanía de la UE. Para obtener detalles de las medidas técnicas de seguridad mencionadas en los criterios 4 y 5, la página Aurabase Seguridad sigue siendo la referencia actualizada.