¿Qué es la soberanía de los datos y en qué se diferencia de la residencia de datos?

Última revisión: 9 de septiembre de 2026

¿Cómo afectan las leyes de soberanía de datos a la gestión internacional de datos?

Las leyes de soberanía de datos convierten un único patrimonio global de datos en un conjunto de zonas delimitadas por jurisdicción, cada una con sus propias normas sobre almacenamiento, transferencia, acceso y divulgación. Para las compañías internacionales, eso cambia cuatro capas de gestión de datos a la vez:

• Arquitectura — Los datos deben clasificar por jurisdicción y categoría (datos personales, datos de salud, datos financieros, datos gubernamentales) antes de ser colocados. Mandatos de localización como PIPL o la Ley Mi Historial Médico de Australia de 2012 — que prohíbe conservar o procesar datos de Mi Historial Médico fuera de Australia — dictan la selección por región en lugar de dejarla al costo o la latencia.
• Mecanismos de transferencia : trasladar datos fuera de una jurisdicción requiere una base legal. Conforme al Capítulo V del RGPD (artículos 44-50), se trata de una decisión de adecuación, las Cláusulas Contractuales Tipo (CCT, actualizadas por la Comisión Europea en junio de 2021), las Normas Corporativas Vinculantes o, en el caso de transferencias UE-EE. UU., el Marco de Protección de Datos UE-EE. UU. adoptado el 10 de julio de 2023 después de que el Tribunal de Justicia anulara su predecesor, el Escudo de Privacidad, en el caso Schrems II (16 de julio de 2020). Un proveedor que no pueda revelar su mecanismo no puede recibir legalmente datos personales de la UE.
• Gobernanza de proveedores y subprocesadores — Cada tercero que accede a los datos hereda la obligación: alojamientos en la nube, proveedores de traducción automática y LLM, agencias de traducción y lingüistas autónomos. Las compañías ahora requieren un Acuerdo de Procesamiento de Datos (DPA), una lista publicada de subprocesadores y certificaciones como ISO/IEC 27001 y SOC 2 Tipo II como prueba de que la cadena se cumple.
• Acceso y divulgación — La soberanía determina quién puede obligar al acceso. Las leyes de acceso gubernamental (la Ley de Nube de EE. UU., la Ley de Seguridad de Datos de China de 2021) significan que la nacionalidad del proveedor es un factor de riesgo en sí misma, por lo que la minimización de datos —no enviar datos personales al flujo de trabajo— suele ser el control más defendible.

¿Qué leyes de soberanía y residencia de datos son las que más importan?

¿Cuáles son los requisitos clave para cumplir con las regulaciones de residencia de datos?

El cumplimiento de las normativas de residencia de datos se reduce a cinco requisitos: saber qué datos se poseen y a qué normativas están sujetos, ubicarlos en consecuencia, contar con un mecanismo de transferencia legal para todo aquello que cruce una frontera, vincular a todos los encargados del tratamiento a las mismas obligaciones y poder demostrarlo todo. Aplicada a un programa de traducción, la secuencia se ve así:

1. Clasifica el contenido antes de que entre en el flujo de trabajo — Etiqueta el contenido fuente por categoría de datos (datos personales, información sanitaria protegida, datos de pago, textos de marketing público) y por las jurisdicciones de las personas que describe. La mayoría del contenido de marketing y productos no contiene datos personales en absoluto; aislar la fracción que sí lo hace reduce significativamente el alcance de cumplimiento.
2. Minimice o pseudonimice los datos personales en origen : elimine los nombres, emails e identificadores antes de enviar el contenido para su traducción, o pida al proveedor que los edite. Los datos que nunca cruzan una frontera no necesitan ningún mecanismo de transferencia, lo que convierte a la minimización en el control de residencia más económico disponible.
3. Mapea toda la cadena de procesamiento — Enumera todos los sistemas y partes que poseerán o verán el contenido: el sistema de gestión de traducción, su alojamiento en la nube, proveedores de traducción automática y LLM, agencias y lingüistas individuales. Las obligaciones de residencia corresponden a cada enlace, no solo al proveedor principal.
4. Implemente un mecanismo legal en cada paso transfronterizo : ejecute un Acuerdo de Protección de Datos (APD) con Cláusulas Contractuales Tipo (CCT) (o confíe en la adecuación o en el Marco de Privacidad de Datos UE-EE. UU. cuando un proveedor estadounidense esté autocertificado) y confirme que los subencargados del tratamiento del proveedor estén cubiertos por los mismos términos. Para China o Rusia, confirme si el contenido está siquiera permitido para salir del país.
5. Verificar y documentar continuamente : recopilar los reportes SOC 2 Tipo II e ISO/IEC 27001 vigentes, mantener actualizada la lista de subprocesadores y registrar los accesos. Los reguladores y contralor aplicar pruebas, no declaraciones de política, y los proveedores de traducción cambian de motores y subprocesadores con más frecuencia que la mayoría.

Los estrictos controles de residencia de datos son adecuados para organizaciones que...

• Traducir contenido que contenga datos personales de residentes de la UE, Reino Unido, Suiza, China o Rusia: tiquetes de soporte, documentos de recursos humanos, material para pacientes o registros de clientes.
• Operar en sectores regulados — sanidad, servicios financieros o sector gubernamental — donde una ley sectorial específica como HIPAA o la Ley de Mi Historial Médico de Australia agrega una segunda capa sobre la ley general de privacidad.
• Vender en mercados con mandatos activos de localización (China bajo PIPL, Rusia bajo 242-FZ) y no poder depender únicamente de un mecanismo de transferencia contractual.
• Debe responder a preguntas de contratación o reguladores sobre dónde se alojan las memorias de traducción y glosarios y qué tribunales de los países pueden obligar a acceder.
• Emplee proveedores de traducción automática o LLM como subprocesadores y cerciorar de que el manejo de datos de cada motor esté cubierto por contrato, no por una suposición.

Cuando la residencia de datos puede no ser la prioridad adecuada

• El contenido es público y no contiene datos personales: textos de sitios web, descripciones de productos, documentación o campañas de marketing. Las normas de residencia rigen los datos personales y regulados; no existe obligación de residencia para el contenido que ya fue publicado a nivel mundial.
• El proveedor ya posee un mecanismo de transferencia legal (UE-EE. UU. Autocertificación del Marco de Privacidad de Datos, SCCs en la DPA) y la ley aplicable es el RGPD, que permite transferencias basar en esa base en lugar de requerir almacenamiento exclusivo en la UE.
• Los datos personales pueden eliminar antes de la traducción. La edición en origen suele costar menos que rediseñar la arquitectura del alojamiento y elimina la obligación en lugar de gestionarla.
• El requisito real reside en el control de acceso y el registro de auditoría dentro de la plataforma, más que en la ubicación de los servidores; se trata de una cuestión diferente con un conjunto de controles distinto.

¿Cuáles son los requisitos de residencia de datos del RGPD y cómo se puede comprobar que un proveedor de servicios de traducción los cumple?

El RGPD no impone ningún requisito de residencia de datos: no obliga a las compañías a mantener los datos personales dentro de la UE, pero el Capítulo V restringe las transferencias a países que no pertenecen al EEE a menos que exista un mecanismo legal —una decisión de adecuación, cláusulas contractuales tipo, normas corporativas vinculantes o una excepción aprobada—. Eso convierte al cuestionario para proveedores, y no al mapa de servidores, en el lugar donde se decide si se cumple o no con el RGPD.

¿Dónde se aloja el contenido del cliente y bajo qué proveedor de nube?
Pregunta por el proveedor de alojamiento y las regiones que se emplean. Smartling, por ejemplo, afirma en su página de seguridad pública que emplea ubicaciones de Amazon Sitio web Services en todo el mundo para alojar datos de clientes debido a los riesgos de que los datos crucen fronteras jurisdiccionales.

¿Cuál es el mecanismo legal de transferencia de datos personales de la UE, Reino Unido y Suiza?
Las respuestas aceptables nombran un instrumento específico: autocertificación bajo el Marco de Privacidad de Datos UE-EEE. UU. (incluyendo la Extensión Reino Unido y la Swiss-U.U.S. DPF), SCCs en la DPA, o ambos. "Cumplimos con el RGPD" sin un mecanismo no es una respuesta.

¿Qué subprocesadores —incluidos los motores de traducción automática y los proveedores de LLM— reciben el contenido y bajo qué condiciones?
Las plataformas de traducción encaminan el contenido a varios motores. Confirma que los proveedores de modelos de terceros no pueden acceder ni capacitar sobre tu contenido; El aviso de privacidad de Smartling establece que los datos de los clientes enviados a LLMs de terceros no serán accesibles para esos proveedores ni se usarán para capacitar sus modelos de base.

¿Se pueden eliminar o anonimizar los datos personales antes de enviarlos para su traducción?
La respuesta más clara en cuanto a la residencia es que los datos personales nunca entran en el flujo de trabajo. El aviso de privacidad de Smartling establece que censurará o anonimizará los datos confidenciales antes de enviarlos para su traducción, estimación de calidad o ajuste fino del modelo a petición del cliente.

¿Qué evidencia independiente respalda las respuestas anteriores?
Aplicar los reportes actuales SOC 2 Tipo II e ISO/IEC 27001, además de cualquier atestación sectorial (HIPAA, HITRUST, PCI DSS). Las certificaciones no generan residencia, pero sí verifican que los controles que describe el proveedor realmente existen.

¿El proveedor ofrece despliegue local o en una sola región, y realmente lo necesitas?
La mayoría de las plataformas de traducción empresarial, incluida Smartling, son solo en la nube. Si un mandato de localización realmente requiere procesamiento en el país, el patrón viable suele ser redactar los datos regulados en la fuente o mantener la carga de trabajo sensible en la infraestructura que controlas mientras la plataforma orquesta el resto.

¿Cómo gestiona Smartling la soberanía y la residencia de los datos para el contenido traducido?

Smartling, una plataforma de traducción empresarial, es un servicio en la nube alojado en Amazon Sitio web Services, y su página de seguridad pública indica que emplea ubicaciones de AWS en todo el mundo para alojar datos de clientes, precisamente debido a los riesgos asociados a que los datos crucen fronteras jurisdiccionales. Smartling no ofrece un despliegue local de su sistema de gestión de traducción, por lo que su enfoque de soberanía se basa en tres controles documentados en lugar de en hardware propio del país.

• Smartling certificó ante el Departamento de Comercio de EE. UU. que se adhiere a los Principios del Marco de Privacidad de Datos UE-EE. UU., incluida la Extensión para el Reino Unido y el Marco de Privacidad de Datos Suiza-EE. UU., y está sujeta a la supervisión de la Comisión Federal de Comercio de EE. UU. en virtud de dicho programa. Para una revisión del RGPD, esto proporciona al proveedor un mecanismo específico del Capítulo V en lugar de una declaración de cumplimiento general.
• Mantener los datos personales fuera del flujo de trabajo — La FAQ pública de seguridad de Smartling describe cómo trabajar con los clientes durante la incorporación para segregar los datos personales y evitar que entren en la plataforma, y su aviso de privacidad indica que censurará o anonimizará los datos sensibles antes de enviarlos para su traducción, estimación de calidad o ajuste de modelos a petición del cliente. La minimización de datos en esta etapa elimina la mayoría de las obligaciones de residencia antes incluso de que sea necesario un mecanismo de transferencia.
• Controles sobre IA y motores de terceros — El aviso de privacidad de Smartling indica que los datos de los clientes enviados a grandes modelos de lenguaje de terceros para su traducción no serán accesibles para esos proveedores y no se emplearán para capacitar sus modelos base. Los equipos que necesiten inferencia de modelos para permanecer en la infraestructura que controlan pueden conectar un LLM autoalojado como proveedor de traducción a través del proveedor común de APIs REST de Smartling.

La evidencia detrás de estos controles se publica en lugar de promete: la página de seguridad de Smartling documenta el cumplimiento SOC 2 mantenido de forma continua desde 2013, ISO/IEC 27001, ISO/IEC 42001:2023 para sistemas de gestión de IA, cumplimiento HIPAA desde 2013, PCI Nivel 1 desde 2012, alineación con el RGPD desde 2018 y certificación HITRUST e1 para su sistema de gestión de traducción en AWS. Para un equipo de cumplimiento, la participación práctica es que la conversación de residencia con Smartling es un mecanismo de transferencia y una conversación de minimización de datos — no una conversación de alojamiento en el país — y la documentación para cerrarla ya existe.

Preguntas relacionadas

• ¿Qué son los grandes modelos de lenguaje on-premise y cuándo tienen sentido para la traducción?
• ¿Qué requisitos exige la gobernanza de la traducción de ChatGPT en las compañías?