Nube soberana
La nube soberana es una infraestructura en la que la ubicación de los datos, la jurisdicción legal que los rige y la entidad que opera los sistemas están controladas por una única autoridad definida —normalmente un país o un bloque económico— en lugar de quedar sujetas a las condiciones de servicio de un proveedor extranjero. Se trata de quién puede ser obligado a entregar los datos, no solo de dónde se encuentran físicamente los servidores.
Bajo el término «nube soberana» se agrupan en realidad tres cuestiones distintas, y buena parte de la confusión viene de mezclarlas: la residencia de los datos (en qué país se encuentran físicamente los bytes), la jurisdicción legal (los tribunales y autoridades de qué país pueden obligar a acceder a esos datos, sin importar dónde estén ubicados) y la soberanía operativa (quién —qué empresa, bajo qué estructura corporativa— gestiona realmente la infraestructura y puede ser presionado, adquirido o sancionado). Que un hyperscaler abra un centro de datos en la UE solo satisface el primer criterio. No resuelve el segundo: una empresa con sede en EE. UU. sigue sujeta a la legislación estadounidense —incluidas normas con alcance extraterritorial— sin importar dónde estén físicamente sus servidores. Por eso las ofertas de «nube soberana» de los hyperscalers estadounidenses, por muy genuinamente operadas en la UE que estén estructuradas sus filiales locales, se examinan de forma distinta a una infraestructura gestionada de principio a fin por una empresa constituida y con sede en la jurisdicción en cuestión.
En la práctica, la soberanía es un espectro de decisiones, no una certificación que se tiene o no se tiene. Una organización regulada puede mantener sus cargas de trabajo más sensibles on-premise o con un proveedor bare-metal ubicado físicamente en el país, ejecutar cargas menos sensibles con un proveedor cloud con sede en la UE (Hetzner, OVHcloud, Scaleway y UpCloud son ejemplos habitualmente citados), y aceptar un hyperscaler estadounidense para cargas donde la residencia importa menos que la paridad de funcionalidades. Lo que importa para que una afirmación de soberanía sea genuina es que el cliente pueda indicar, en concreto, qué entidad posee las claves de cifrado, qué tribunal tiene jurisdicción sobre una citación judicial y quién puede revocar el acceso unilateralmente. Usar «soberano» como etiqueta de una función sin responder a esas tres preguntas suele ser lenguaje de marketing tomado prestado de un término que originalmente describía un acuerdo concreto y auditable.
Por qué importa
Para las industrias reguladas y los organismos públicos que operan bajo el RGPD, NIS2 o normativas sectoriales específicas, la soberanía no es una preferencia abstracta: determina qué sistema legal conocerá realmente de una disputa, qué autoridad puede obligar a divulgar datos y si una ley extranjera puede alcanzar datos que nunca salieron físicamente de la UE. También condiciona la exigibilidad del contrato: un acuerdo de tratamiento de datos regido por el derecho de la UE y litigado ante un tribunal de la UE es una garantía sustancialmente distinta del mismo documento incluido en el contrato marco de un proveedor global regido por el derecho estadounidense. NIS2 eleva especialmente el listón en materia de evidencias: los registros de incidentes, los logs de acceso y las divulgaciones de subencargados deben resistir una revisión regulatoria, algo más fácil de garantizar cuando el propio operador se encuentra en la misma jurisdicción que la normativa.
Cómo encaja Sencai
Sencai está construida y operada por Sencai Tech s.r.o. en Praga, bajo derecho de la UE, no como filial regional de una matriz ajena a la UE. Su modelo bring-your-own-cloud mantiene la cuenta, el contrato y la facturación de cada proveedor conectado —incluidas opciones con sede en la UE como Hetzner, OVHcloud, Scaleway y UpCloud— en manos del cliente; no se migra nada, y el acceso sigue siendo revocable en el proveedor en cualquier momento. Cuando Sencai aprovisiona y factura capacidad directamente, ese contrato se rige por el derecho checo y de la UE. Sencai no cuenta con ISO 27001 ni SOC 2, y lo indica directamente; en su lugar, entrega las evidencias que pide una revisión de soberanía: un registro de auditoría exportable y encadenado por hash, registros de tratamiento, un registro de subencargados, una declaración de residencia de datos y un Acuerdo de Tratamiento de Datos (DPA) publicado.
Consulta el modelo de seguridad y cumplimiento de la plataforma →