Residencia de datos y cumplimiento del RGPD

Una residencia de datos que va más allá de las promesas

La mayoría de las plataformas de colaboración ofrecen la residencia de datos como una opción de configuración — un menú desplegable en un panel de administración que enruta determinados datos a una región preferida. La realidad detrás de ese desplegable suele ser más complicada. Los metadatos pueden circular por CDN globales. Las herramientas de soporte pueden procesar datos en la jurisdicción de origen del proveedor. Las claves de cifrado pueden gestionarse de forma centralizada, fuera de la región elegida por el cliente.

Mandraki adopta un enfoque radicalmente distinto. La residencia de datos no es un ajuste. Es una propiedad estructural de la plataforma. Cada componente del sistema — servidores de aplicación, bases de datos, servidores de medios, almacenamiento de archivos, gestión de claves de cifrado y procesamiento de IA — opera exclusivamente dentro de la Unión Europea, sobre infraestructura propiedad y operada por una empresa europea.

Qué significa “residencia de datos en la UE” en Mandraki

Los servidores de aplicación y de bases de datos están alojados en centros de datos de la UE operados por nuestro proveedor europeo de hiperescala. Todos los datos persistentes — cuentas de usuario, configuraciones de la organización, mensajes, registros de llamadas y archivos — se almacenan en bases de datos PostgreSQL que nunca abandonan la jurisdicción de la UE.

El procesamiento de medios se realiza en Unidades de Reenvío Selectivo (SFU) ubicadas dentro de la UE. Los flujos de vídeo y audio se enrutan a través de servidores europeos, y cuando el cifrado de extremo a extremo está activado, el contenido multimedia se cifra antes de llegar al servidor.

El almacenamiento de archivos y grabaciones utiliza almacenamiento de objetos basado en la UE. Los archivos se cifran en reposo con claves específicas de la organización, y esas claves se envuelven a su vez con una clave maestra que nunca abandona la UE.

Las claves de cifrado se generan, almacenan y gestionan dentro de la infraestructura de la UE. Las organizaciones que necesiten un control adicional pueden utilizar Bring Your Own Key (BYOK) para gestionar su clave maestra a través de su propio servicio de gestión de claves, garantizando que ni siquiera Mandraki pueda descifrar sus datos.

El procesamiento de IA — transcripción, resumen y respuestas inteligentes — se ejecuta en cómputo alojado en la UE. Cuando las funciones de IA están habilitadas, los datos se procesan de forma transitoria y nunca se exportan fuera de la UE. Las organizaciones pueden deshabilitar las funciones de IA por completo o exigir el consentimiento por llamada de todos los participantes.

Los metadatos y registros permanecen dentro de la UE. No existe un pipeline global de analítica que extraiga telemetría a una jurisdicción extranjera. La telemetría operativa se procesa y almacena en la misma infraestructura de la UE que la propia aplicación.

Cumplimiento del RGPD por diseño

El Reglamento General de Protección de Datos impone requisitos estrictos sobre cómo se recopilan, procesan, almacenan y transfieren los datos personales. La arquitectura de Mandraki está diseñada para satisfacer estos requisitos a nivel técnico, en lugar de depender únicamente de mecanismos contractuales.

Base jurídica. Mandraki trata los datos personales sobre la base de la necesidad contractual (para prestar el servicio de colaboración) y, cuando proceda, los intereses legítimos del responsable del tratamiento (la organización cliente). No tratamos datos personales con fines publicitarios ni de elaboración de perfiles.

Minimización de datos. La plataforma recoge únicamente los datos necesarios para ofrecer su funcionalidad. La telemetría se anonimiza y se despoja de información personal identificable antes de su almacenamiento.

Derecho de supresión. Las organizaciones pueden eliminar cuentas de usuario, mensajes, grabaciones de llamadas y datos asociados. La eliminación se propaga a través de todas las capas de almacenamiento, incluidas las copias de seguridad, dentro del período de retención especificado en la política de retención de datos de la organización.

Portabilidad de datos. Las organizaciones pueden exportar sus datos en formatos estándar. Los mensajes, los metadatos de llamadas y los archivos pueden extraerse con fines de migración o archivo.

Evaluaciones de impacto en la protección de datos. Mandraki proporciona documentación y especificaciones técnicas para ayudar a los clientes a realizar sus propias EIPD, tal como exige el artículo 35 del RGPD.

Sin riesgo Schrems II. Como todo el tratamiento de datos se realiza dentro de la UE sobre infraestructura de propiedad europea, no hay ninguna transferencia internacional de datos que evaluar. El complejo análisis legal que exige la sentencia Schrems II — decisiones de adecuación, medidas suplementarias, evaluaciones de impacto de las transferencias — sencillamente no se aplica.

Para sectores regulados

Las organizaciones del ámbito sanitario, los servicios financieros, el sector público y el jurídico se enfrentan a requisitos regulatorios adicionales más allá del RGPD. La arquitectura de Mandraki respalda el cumplimiento sectorial al proporcionar una residencia de datos verificable, controles de acceso granulares, registros de auditoría y cifrado que cumple o supera las expectativas de los reguladores nacionales.

La residencia de datos no es un complemento premium. Es la forma en que funciona Mandraki, para cada cliente y en cada plan.