La residencia de datos era una pregunta que solo hacían los abogados, y los equipos de IoT podían elegir plataforma sin saber en qué continente dormían sus datos. Esa época terminó. Los clientes europeos preguntan dónde se almacena la telemetría antes de preguntar por funcionalidades, las licitaciones públicas convierten la residencia en un criterio eliminatorio y sectores desde la salud hasta los servicios públicos cargan con normas nacionales sobre los datos que salen del país. Para quien vende servicios IoT, las opciones de residencia de la plataforma definen en silencio tu mercado alcanzable: una plataforma con una sola región en Estados Unidos es un techo sobre a quién puedes vender, por bueno que sea el producto.
Evaluar la residencia como es debido se reduce a un puñado de preguntas, y esas preguntas separan las respuestas reales de las de marketing.
Qué es la residencia y qué no es
La residencia de datos es la ubicación física y legal donde se almacenan tus datos. Está relacionada, aunque no es lo mismo, con tres vecinos con los que se confunde. La soberanía de datos es qué leyes se aplican a los datos, lo que se deriva de la residencia pero también de quién opera la infraestructura. La propiedad de los datos es quién tiene derechos sobre ellos, una cuestión contractual que vimos en de quién son tus datos IoT. Y el cumplimiento del RGPD es un régimen legal que restringe las transferencias pero no exige por sí mismo almacenamiento en la Unión Europea.
Un proveedor que responde a una pregunta de residencia con “cumplimos el RGPD” ha respondido otra pregunta, y merece la pena notar cuándo ocurre esa sustitución.
Las cinco preguntas que destapan respuestas flojas
Primera: ¿en qué regiones pueden estar nuestros datos, y podemos elegir por despliegue? La respuesta más sólida es una lista documentada de regiones con elección del cliente a nivel de perfil o de tenant. TagoIO, por ejemplo, opera clústeres separados en Estados Unidos y Europa, y la elección es tuya al darte de alta. Si la respuesta es una sola región, eso es un techo de mercado, no un impedimento, pero métele precio.
Segunda: ¿se queda en la región todo el dato, o solo la telemetría? Aquí es donde se desmoronan las historias flojas de residencia. Los datos de serie temporal pueden estar en Fráncfort mientras los metadatos de cuenta, el almacenamiento de archivos o las copias de seguridad viven discretamente en otro sitio. Pregunta específicamente por metadatos, copias y registros, y consigue la respuesta por escrito.
Tercera: ¿transitan los datos fuera de la región durante el procesamiento? Algunas plataformas almacenan en la región pero procesan, ejecutan analytics o encaminan notificaciones a través de servicios de otro lugar. Si a tus clientes les importa la residencia, normalmente también les importa el tránsito. Esto incluye la capa de IA: si la plataforma ejecuta Analytics e IA sobre tus datos, pregunta dónde corren esas cargas y si algo sale de la región. Una plataforma que ejecuta su inteligencia dentro de la misma infraestructura que el almacenamiento tiene una respuesta mucho más limpia que otra que manda datos a APIs de modelos de terceros por defecto.
Cuarta: ¿qué pasa si necesitamos cambiar de región después? La migración entre regiones es la versión de residencia del vendor lock-in: posible en todas partes, dolorosa en distintos grados. APIs de exportación documentadas y una ruta de migración declarada son la respuesta honesta; “contacta con soporte” es una señal de alarma.
Quinta: ¿quién puede acceder a los datos, y desde dónde? La residencia de los bytes importa menos a algunos reguladores que la residencia del acceso. La jurisdicción del personal de soporte, las listas de subencargados y la entidad legal con la que firmas pertenecen todas a la diligencia, y una plataforma con un DPA firmado y una certificación ISO 27001, como la que tiene TagoIO, da a tu revisor de cumplimiento una base auditada en lugar de garantías verbales.
Ajustar el requisito al despliegue
No todo despliegue necesita la respuesta más estricta, y sobreespecificar la residencia también cuesta dinero. Una clasificación útil: los despliegues de sensibilidad comercial (la mayoría de la monitorización industrial) necesitan elección de región y un DPA. Los despliegues con datos personales (todo lo que toque a ocupantes, trabajadores o vehículos) necesitan elección de región, respuestas sobre tránsito y toda la maquinaria del RGPD, la lista completa de nuestra guía de evaluación del RGPD. Los despliegues de sectores regulados (salud, servicios públicos, administración) necesitan todo lo anterior más las normas del sector, y a veces necesitan de verdad componentes en las instalaciones, que es donde una opción de borde como TagoCore mantiene local el procesamiento sensible mientras el resto de la flota sigue en la nube.
Si revendes servicios IoT, haz esta clasificación para tus clientes antes de que la pidan. Un revendedor que puede decir “tus datos se quedan en Europa, aquí está el documento” gana licitaciones frente a competidores que tardan tres semanas en averiguarlo.
La prueba que lo resuelve
Pide al proveedor que muestre, no que cuente: una plantilla de DPA firmada, la lista de regiones en la documentación pública, la lista de subencargados y la certificación. Diez minutos de documentos ganan a una hora de garantías. La residencia bien hecha es aburrida, y aburrida es exactamente lo que está comprando el equipo de cumplimiento de tu cliente.
TagoIO opera clústeres europeos y estadounidenses, firma DPAs y tiene la certificación ISO 27001, con los detalles públicos en la página de confianza. Agenda una demo o empieza gratis.
