Guardar los datos de tu empresa en Google Drive, OneDrive o Dropbox no es ilegal. Millones de empresas lo hacen y muchas lo hacen correctamente. Lo que sí es problemático es no saber exactamente bajo qué condiciones están esos datos: a qué ley están sometidos, quién puede solicitarlos y qué obligaciones tienes tú como empresa hacia tus clientes. El RGPD te obliga a saber dónde están los datos personales que tratas y con qué garantías, independientemente del tamaño de tu negocio. Este artículo explica los puntos que la mayoría de pymes españolas desconocen y qué hacer con esa información sin necesidad de montar tu propio servidor mañana.

¿Dónde están físicamente tus datos?

Cuando subes un archivo a Google Drive, ese archivo no se queda en España ni necesariamente en Europa. Acaba en la infraestructura de Google, distribuida en centros de datos de varios países. Google publica qué regiones utiliza para cada servicio, y para los usuarios europeos con Google Workspace los datos suelen almacenarse en servidores europeos —principalmente en Países Bajos, Irlanda, Finlandia y Bélgica.

El problema no es la ubicación física del servidor. Es la jurisdicción legal de la empresa que lo opera.

Google LLC es una empresa americana. Microsoft Corporation es una empresa americana. Dropbox Inc. es una empresa americana. Eso significa que, independientemente de dónde estén sus servidores en Europa, esas empresas están sujetas a la legislación de Estados Unidos.

El CLOUD Act: lo que pocas pymes españolas saben

En marzo de 2018, el gobierno de EE.UU. aprobó el CLOUD Act (Clarifying Lawful Overseas Use of Data Act). Esta ley permite a las autoridades estadounidenses —FBI, DEA, SEC, entre otras— exigir a empresas americanas que entreguen datos almacenados en sus servidores, incluso cuando esos servidores están en Europa.

No hace falta una orden judicial europea. Basta con una solicitud a la empresa bajo ley americana. La empresa puede impugnar la solicitud, pero tiene la obligación de responder.

¿Qué probabilidad hay de que el FBI se interese por los contratos de tu carpintería en Guadalajara? Prácticamente ninguna. Pero si tu negocio tiene relación con exportaciones, tiene transacciones internacionales, trabaja con clientes de cierta envergadura o simplemente es objetivo de una investigación relacionada con alguien de tu red, el CLOUD Act es el marco legal bajo el que operan los datos que guardas en esas plataformas.

No es alarmismo. Es el contrato que firmaste cuando aceptaste las condiciones del servicio.

Schrems II y la incertidumbre jurídica

En julio de 2020, el Tribunal de Justicia de la Unión Europea anuló el Privacy Shield en la sentencia conocida como Schrems II (Caso C-311/18). El Privacy Shield era el acuerdo entre la UE y EE.UU. que garantizaba protecciones adecuadas para los datos europeos transferidos a territorio americano. El TJUE lo anuló porque consideró que la vigilancia masiva de la inteligencia americana no garantizaba los derechos de los ciudadanos europeos.

En julio de 2023, la UE y EE.UU. aprobaron un nuevo marco —el EU-US Data Privacy Framework— como sustituto. Schrems ya ha anunciado que lo impugnará judicialmente. La incertidumbre jurídica sobre las transferencias de datos UE-EE.UU. no ha terminado.

Mientras tanto, Google, Microsoft y otros grandes proveedores han adaptado sus contratos para utilizar las Cláusulas Contractuales Tipo (SCCs) aprobadas por la Comisión Europea como base legal para las transferencias. Eso ofrece una base legal, pero no elimina la posibilidad de que el marco vuelva a cambiar.

Lo que dicen los Términos de Servicio (y lo que realmente significa)

Los Términos de Servicio de Google incluyen esta cláusula:

"Cuando subes, envías, almacenas o recibes contenido a través de nuestros servicios, le otorgas a Google una licencia mundial, libre de regalías, para usar, hospedar, almacenar, reproducir, modificar, crear obras derivadas, comunicar, publicar..."

Esta cláusula existe porque Google necesita técnicamente hacer esas cosas para que el servicio funcione: copiar el archivo para mostrártelo, crear miniaturas de las imágenes, indexar el texto para que puedas buscarlo. No significa que Google vaya a publicar tus contratos en internet.

Pero la redacción es amplia. Y la diferencia entre la cuenta personal de Google (Drive gratuito) y Google Workspace (el servicio de pago para empresas) es importante aquí:

  • Cuenta personal Google Drive: los datos se usan para mejorar los servicios de Google y personalizar la experiencia. Google los procesa con sus sistemas de forma más amplia.
  • Google Workspace: Google tiene un compromiso explícito de no usar los datos de los clientes para publicidad y de tratarlos únicamente para prestar el servicio. Hay un addendum de procesamiento de datos (DPA) disponible.

Si usas una cuenta personal de Gmail y Drive para documentos de empresa, estás en la versión menos protegida. Si usas Google Workspace con el DPA firmado, estás en una situación legal mucho más clara.

El RGPD y las obligaciones que muchas pymes desconocen

El Reglamento General de Protección de Datos (RGPD) obliga a cualquier empresa que trate datos personales de ciudadanos europeos. Eso incluye cualquier autónomo con una agenda de clientes, cualquier tienda online, cualquier empresa con nóminas.

Cuando guardas datos de clientes en Google Drive o OneDrive, el RGPD establece dos roles:

  • Tú eres el responsable del tratamiento: decides qué datos recoges, para qué y cuánto tiempo los guardas.
  • Google o Microsoft son el encargado del tratamiento: procesan esos datos en tu nombre, siguiendo tus instrucciones.

La obligación que deriva de esto y que la mayoría de pymes no tiene firmada: el Contrato de Encargado del Tratamiento, conocido en inglés como Data Processing Agreement (DPA).

El artículo 28 del RGPD establece que, cuando un responsable contrate a un encargado para tratar datos personales, debe existir un contrato escrito que defina qué datos se tratan, con qué finalidad, durante cuánto tiempo y con qué medidas de seguridad. Sin ese contrato, estás incumpliendo el RGPD, aunque los datos estén en Google o Microsoft.

¿Cómo se firma ese contrato? Google lo llama "Addendum de Procesamiento de Datos de Google Cloud" y está disponible en la consola de administración de Google Workspace. Microsoft lo tiene en el "Portal de confianza de servicios" de Microsoft 365. No es complicado de firmar, pero hay que saber que existe y que es obligatorio.

Además, tu política de privacidad debe mencionar que usas esos servicios para tratar datos de clientes. Si tienes un formulario de contacto cuyos datos van a tu correo de Gmail, que a su vez los guardas en una hoja de cálculo de Google Sheets, todo eso forma parte de la cadena de tratamiento de datos que tienes obligación de documentar.

La Agencia Española de Protección de Datos (AEPD) ha sancionado a autónomos y pymes por incumplimientos del RGPD que van desde apercibimientos formales hasta multas de varios miles de euros, según la gravedad y si hubo reincidencia. Las infracciones más graves pueden llegar a 20 millones de euros o el 4% de la facturación global anual. Para una pyme, el riesgo práctico es más bajo, pero no es cero.

¿Qué tipo de datos son más sensibles?

No todos los datos de empresa tienen el mismo nivel de riesgo si están en la nube de un tercero. Hay diferencia entre:

Bajo riesgo:

  • Presentaciones internas de trabajo sin datos personales
  • Borradores de propuestas comerciales sin datos de clientes identificados
  • Documentación interna de procesos y procedimientos

Riesgo medio — aplica RGPD:

  • Nombres, teléfonos y emails de clientes o proveedores
  • Historial de comunicaciones con clientes
  • Contratos firmados (contienen datos personales de las partes)
  • Presupuestos con datos de identificación del cliente

Riesgo alto — requiere atención especial:

  • Datos de facturación con NIF, dirección y datos fiscales de clientes: si se cruzan con obligaciones de Verifactu, la cadena de custodia de esos datos es especialmente relevante
  • Datos de empleados: nóminas, contratos laborales, bajas médicas — el RGPD aplica con especial rigor
  • Información financiera de la empresa: cuentas corrientes, saldos, previsiones de tesorería
  • Credenciales de acceso a servicios: si guardas contraseñas en un documento de Drive, ese documento es crítico

La pregunta que hay que hacerse no es "¿están mis datos en la nube?" sino "¿qué tipo de datos están en la nube y bajo qué condiciones?".

Cuándo sí tiene sentido la nube de un tercero

Esta es la parte que muchos artículos sobre privacidad omiten porque es más fácil ser alarmista que matizado. La verdad es que la nube de terceros tiene sentido en muchos contextos, incluso para una pyme que quiere hacerlo bien.

Tiene sentido cuando:

  • El equipo trabaja en remoto o en varios lugares. La colaboración en tiempo real de Google Workspace o Microsoft 365 es difícil de igualar con cualquier alternativa on-premise a coste comparable. Para un equipo de 3-10 personas, el valor de poder editar un documento simultáneamente desde distintos sitios es real.

  • Los datos no son especialmente sensibles. Documentación de trabajo, materiales de marketing, presentaciones de clientes sin datos personales, planificación de proyectos: perfectamente razonables en Drive o OneDrive.

  • No tienes recursos para administrar tu propia infraestructura. Un servidor propio necesita alguien que lo mantenga. Para una empresa pequeña sin personal técnico, una herramienta cloud bien configurada y con el DPA firmado es más segura que un servidor mal administrado.

  • Para copias de seguridad complementarias. Drive y OneDrive son excelentes como segunda copia de seguridad, siempre que no sean la única.

Kronexia usa Vercel para hospedar esta web y Cloudflare para gestionar el DNS. Eso también es "nube de otro". La diferencia relevante no es si usas o no infraestructura externa, sino qué datos pasan por ella y con qué garantías.

Cuándo vale la pena plantearse más control sobre tus datos

Hay situaciones en las que el control directo sobre los datos es más importante que la comodidad de una plataforma de terceros:

Regulaciones sectoriales. Si trabajas en sanidad, despacho de abogados, contabilidad o cualquier sector con regulación específica sobre datos, los requisitos pueden ir más allá del RGPD estándar. El secreto profesional de un abogado, la historia clínica de un paciente o la declaración de la renta de un cliente de gestoría tienen regulaciones propias que hay que revisar en cada caso.

Datos financieros críticos. Si tu empresa maneja tesorería relevante, conciliaciones bancarias, acceso a cuentas o información de inversiones, tener esos datos en un servicio de terceros genera una dependencia que puede ser problemática.

Dependencia operativa total de un tercero. Si Google decidiera mañana cambiar sus condiciones, suspender tu cuenta por un falso positivo en sus sistemas automatizados o cerrar un servicio, ¿cuánto tiempo tardarías en recuperar tus datos? ¿Tienes copias locales actualizadas?

Software de gestión empresarial. Esta es la categoría más relevante para muchas pymes: el software que usa para facturar, gestionar presupuestos, controlar el stock o administrar los pedidos. Si ese software es un SaaS (Software as a Service), tus datos de negocio están en los servidores del proveedor. Eso funciona bien mientras el proveedor existe, sus servidores están disponibles, el precio no sube y no cambia sus condiciones.

En el ERP que desarrollamos en Kronexia, la arquitectura parte de una premisa diferente: el software se instala en el servidor del cliente, sus datos están en su máquina o en el VPS que él controla, y puede hacer con ellos lo que quiera. No hay suscripción que pagar para acceder a tus propios datos. Si un día decides dejar de usar el software, los datos siguen siendo tuyos en un formato que puedes leer.

Alternativas prácticas con costes reales

Si decides que quieres más control sobre alguna parte de tus datos, estas son las opciones por coste creciente:

1. Mejor uso de las herramientas que ya tienes: 0€

El primer paso no es montar ningún servidor. Es hacer lo siguiente:

  • Separar la cuenta personal de Google de la cuenta de empresa (Google Workspace desde 6€/usuario/mes)
  • Firmar el DPA con Google o Microsoft desde la consola de administración
  • Actualizar la política de privacidad de tu web para mencionar qué servicios cloud usas

Esto no te da más "soberanía" sobre los datos, pero sí te pone en cumplimiento legal con lo que ya tienes.

2. Nextcloud en un VPS europeo: ~15€/mes

Nextcloud es una alternativa open source a Google Drive que puedes instalar en tu propio servidor. Un VPS en Hetzner (empresa alemana, centros de datos en Alemania y Finlandia) con 4 vCPU, 8 GB de RAM y 160 GB de almacenamiento SSD sale a unos 15€/mes.

Eso es menos que lo que pagas por usuario en Microsoft 365 Business Premium (22€/usuario/mes). A cambio, necesitas alguien que instale y mantenga Nextcloud —o contratarlo. No es una solución "zero maintenance", pero los datos están en un servidor europeo bajo ley europea que tú controlas.

3. NAS local (Synology, QNAP): inversión inicial 300-700€

Un servidor de almacenamiento local en tu oficina. Los datos nunca salen de tu red. Con configuración de backup automático a un servicio cloud cifrado, tienes la mejor combinación de accesibilidad y control.

El inconveniente: si la oficina tiene una avería eléctrica, un incendio o un robo, el NAS también. Siempre debe haber una copia fuera de las instalaciones.

4. Software instalable en servidor propio

La alternativa más relevante para la gestión de negocio. En lugar de un SaaS de facturación, un ERP instalado en tu máquina. En lugar de un CRM cloud, una herramienta que corre en tu servidor. Los datos no salen de tu infraestructura, no tienes una suscripción de la que depender para acceder a tu propia información.

La automatización del flujo de facturación que hemos documentado en el blog parte de esta misma lógica: los datos del negocio deben estar donde el negocio los controla.

Qué hacer esta semana (sin montar nada)

Si quieres empezar a tener más claridad sobre la situación de los datos de tu empresa, estos pasos no requieren conocimientos técnicos:

1. Haz un inventario. Abre Google Drive, OneDrive o Dropbox y revisa qué hay ahí. Agrupa mentalmente lo que encuentres en las tres categorías: datos de trabajo sin datos personales / datos de clientes o proveedores / datos financieros.

2. Identifica qué servicio usas para empresa. ¿Tienes cuenta personal de Google o Google Workspace de pago? ¿La factura la paga la empresa o la pagas tú de tu bolsillo personal? Si es personal, estás en los términos más amplios.

3. Firma el DPA. Si tienes Google Workspace, entra en la consola de administración (admin.google.com) → Cuenta → Configuración de la cuenta → Protección de datos y privacidad. Ahí está el "Addendum de Procesamiento de Datos de Google Cloud". Fírmalo. Si tienes Microsoft 365, busca "Microsoft Products and Services Data Protection Addendum" en el Centro de administración de Microsoft 365.

4. Revisa tu política de privacidad. Si tienes web y formulario de contacto, tu política de privacidad debe mencionar que usas Google Workspace o Microsoft 365 para tratar datos de clientes. Si no lo menciona, actualízala.

5. Define qué datos no quieres en servicios de terceros. No tiene que ser todo o nada. Puede ser que decidas que el historiales de clientes y los datos de facturación los quieres en un sistema que controlas, pero que el resto del trabajo de oficina siga en Drive. Esa decisión clara ya es más de lo que hace la mayoría.

Si trabajas con un software de automatización del negocio que centraliza datos de clientes, presupuestos o facturación, es especialmente importante saber dónde almacena esos datos ese software y bajo qué condiciones.

Preguntas frecuentes

¿Es ilegal tener datos de clientes en Google Drive?

No es ilegal si cumples las obligaciones del RGPD: tener el DPA firmado con Google, documentar el tratamiento en tu registro de actividades de tratamiento y mencionarlo en tu política de privacidad. Lo ilegal sería tener esos datos sin cumplir esas obligaciones, no tenerlos en Google Drive en sí mismo.

¿Qué es el CLOUD Act y cómo me afecta como empresa española?

Es una ley estadounidense de 2018 que permite a las autoridades de EE.UU. solicitar a empresas americanas (Google, Microsoft, Amazon, Dropbox) datos almacenados en sus servidores, aunque estén en Europa. En la práctica, afecta a empresas con actividad internacional o que sean objetivo de investigaciones relacionadas con intereses americanos. Para la mayoría de pymes locales, el riesgo directo es muy bajo, pero conviene saber que el marco legal existe.

¿Qué diferencia hay entre Google Drive (gratis) y Google Workspace?

Google Drive gratuito usa datos para mejorar servicios y personalizar la experiencia del usuario. Google Workspace tiene un contrato de procesamiento de datos (DPA) disponible, no usa los datos de empresa para publicidad y cumple con los requisitos RGPD para encargados de tratamiento. Para uso de empresa con datos de clientes, usar una cuenta personal de Google no es adecuado.

¿Qué es un DPA y dónde lo firmo?

Un Data Processing Agreement (Contrato de Encargado del Tratamiento) es el documento que exige el artículo 28 del RGPD cuando externalizas el procesamiento de datos personales a un tercero. Google lo tiene disponible en la consola de administración de Workspace. Microsoft lo tiene en el Centro de administración de Microsoft 365. Son documentos estándar que se "firman" aceptándolos digitalmente — no requieren un abogado para el caso estándar.

¿Qué pasa si tengo datos de empleados en OneDrive?

El RGPD aplica con rigor especial a los datos laborales: nóminas, contratos, bajas médicas, datos de evaluación. Además de tener el DPA firmado con Microsoft, necesitas que el tratamiento de esos datos esté documentado en tu registro de actividades de tratamiento. Los datos de empleados deben tener acceso restringido a quienes los necesiten.

¿Cuánto cuesta tener un servidor propio en Europa para los datos de empresa?

Un VPS en Hetzner (Alemania) con capacidad suficiente para una pyme pequeña (Nextcloud, base de datos, backups) cuesta entre 5€ y 15€/mes, según los recursos que necesites. La instalación y configuración inicial son la parte más costosa si no tienes conocimientos técnicos. Contratar a alguien para la puesta en marcha suele estar entre 200€ y 500€, y después el mantenimiento es mínimo si la configuración está bien hecha.

¿Puedo usar Google Workspace y cumplir el RGPD?

Sí. Google Workspace con el DPA firmado es una opción compatible con el RGPD. Las transferencias internacionales se cubren mediante Cláusulas Contractuales Tipo (SCCs). El marco jurídico es más complejo que si los datos estuvieran en un servidor europeo puro, pero es la opción que siguen millones de empresas europeas de todos los tamaños. La clave es tener la documentación en orden.

¿Cuál es la diferencia práctica entre datos en la nube y software en la nube (SaaS)?

Son dos cosas distintas. "Datos en la nube" es cuando guardas archivos (Drive, OneDrive, Dropbox). "Software en la nube" (SaaS) es cuando usas una aplicación que vive en los servidores del proveedor —un CRM, un programa de facturación, un ERP online. En el segundo caso, además de dónde están tus datos, también dependes de que ese servicio siga existiendo y manteniendo sus condiciones para poder acceder a tu propia información de negocio.