Residencia de datos en un data room: por qué el país del servidor decide tu riesgo legal

Imagina un fondo de private equity con sede en São Paulo que negocia la compra de una cadena logística chilena, con nómina en Colombia y un proveedor de tecnología en México. Antes de discutir el múltiplo, la due diligence pone sobre la mesa una pregunta que casi nadie plantea en la primera reunión: cuando abogados de cuatro países revisen los contratos, ¿en el suelo de qué nación estarán realmente guardados esos archivos?

El cifrado acapara la atención, y es imprescindible, pero decide poco sobre la geografía. Dónde reposan físicamente los bytes es lo que determina qué tribunales, reguladores y fiscalías pueden alcanzarlos.

Esta guía recorre el tema para un equipo latinoamericano. Qué significa la residencia de datos, por qué genera riesgo legal concreto, qué leyes regionales y extranjeras fijan los límites, qué falla cuando alguien lo resuelve tarde y cómo anclar la región correcta antes de subir un solo documento.

Léela de arriba abajo o salta al apartado que te haga falta. Todo lo que sigue es orientación general, no asesoría jurídica: confirma cada obligación concreta con abogados de las jurisdicciones implicadas.

Qué significa “residencia de datos” cuando hablamos en serio

La residencia de datos es el país o la región donde tu sala de datos virtual guarda y procesa físicamente tus archivos. Es un hecho geográfico sobre los servidores, no una función del software.

No se confunde con cómo se cifran los documentos ni con quién tiene permiso para abrirlos. Cuando un proveedor te dice que tu sala vive en São Paulo, Querétaro, Santiago, Fráncfort o Virginia, esa ubicación es tu residencia de datos, y fija el régimen legal que se aplica por defecto a cada archivo que hay dentro.

El motivo por el que esto es una preocupación de primera línea, y no una nota al pie del área de sistemas, es simple de enunciar y fácil de olvidar: un documento no viaja con la ley del país donde nació. Un contrato firmado en Bogotá no lleva pegada la ley colombiana cuando se sube a un servidor. En cuanto tus archivos aterrizan en una máquina concreta, quedan sujetos también a las leyes del país donde esa máquina está.

Para una transacción puramente doméstica esto casi nunca pesa. Para cualquier deal que cruce una frontera, y la mayoría de las operaciones interesantes en la región lo hacen, la residencia se vuelve el eje sobre el que gira todo el cumplimiento.

Por eso ese pequeño desplegable de región que aparece durante la configuración, el que es tan fácil pasar por alto, es una de las decisiones con más carga legal que tomarás sobre la sala. Y normalmente la tomas en los primeros cinco minutos.

Por qué el lugar decide quién puede llegar a tus archivos

La ubicación determina la jurisdicción, y la jurisdicción determina quién puede leer, exigir o restringir legalmente tus documentos. De la región de alojamiento se desprenden tres consecuencias directas.

Primero, se aplica la ley local de protección de datos, que puede dictar cómo se tratan los datos personales y si pueden salir del país. Segundo, los tribunales y las autoridades del país anfitrión pueden obligar al proveedor a entregar lo que está guardado en su territorio. Tercero, tus propios compromisos contractuales y regulatorios con la contraparte pueden exigir una región concreta, e incumplirlos puede frenar el deal o disparar una multa.

Esa primera cifra explica por sí sola por qué la residencia pasó de ser una rareza a una casilla estándar de la diligencia debida. Según la UNCTAD, 137 de los 194 países del mundo ya habían adoptado legislación de protección de datos y privacidad en su último recuento global.

Hace una década podías tratar “la nube” como un único lugar sin fronteras. Hoy, mover una carpeta de expedientes de empleados o de contratos de clientes de una región a otra puede cambiar las reglas legales que la gobiernan, que es exactamente el tipo de exposición que una sala de datos debería contener y no crear.

La tercera cifra del panel es una referencia latinoamericana concreta. La Ley General de Protección de Datos brasileña, la LGPD, permite a la ANPD imponer multas de hasta el 2 % de la facturación en Brasil, con un tope de 50 millones de reales por infracción.

No es la única vara. En México, la reforma de 2025 al marco de protección de datos mantiene sanciones considerables, y en Colombia la Superintendencia de Industria y Comercio también multa. La cifra concreta importa menos que la idea de fondo: en toda la región hay ahora autoridades con dientes, y la ubicación de tus datos decide cuál de ellas puede morder.

El diagrama resume el artículo en una línea: la región fija la residencia, la residencia fija la ley, la ley decide quién puede exigir acceso, y la Ley CLOUD sigue en silencio a un proveedor de propiedad estadounidense donde sea que estén sus servidores. El cifrado es una capa aparte; para ver cómo encaja, revisa qué hace segura a una sala de datos.

Residencia, soberanía y localización: tres palabras que no son sinónimos

En las conversaciones de compra estos tres términos se mezclan una y otra vez, y la confusión sale cara.

La residencia de datos es, sencillamente, dónde se guardan los datos. La soberanía de datos es el principio de que esos datos quedan sujetos a las leyes del país donde residen, y de que ese país ejerce autoridad sobre ellos. La localización de datos es un mandato legal más duro según el cual cierta información debe permanecer dentro de las fronteras de un país y no puede salir en absoluto.

Dicho de otro modo: la residencia es una elección que haces tú, la soberanía es la consecuencia legal de esa elección, y la localización es una ley que te quita la elección.

La distinción no es teórica. Podrías fijar la residencia en Brasil por comodidad y descubrir después que la soberanía le da a la ANPD una voz que no esperabas, o que una regla sectorial en un mercado objetivo te prohíbe consolidar todos los expedientes en tu servidor de origen.

Acertar con el vocabulario es el primer paso para hacerle al proveedor las preguntas correctas y para leer un contrato de tratamiento sin pasar de largo por la cláusula que en realidad amarra la ubicación.

El mapa legal que un equipo latinoamericano debe tener a la vista

Varios regímenes que se superponen fijan los límites, y cuáles muerden depende del tipo de dato y de los países implicados. Conviene mirarlo en dos planos: las leyes de la propia región y las leyes extranjeras que se activan en cuanto entra una contraparte o un inversor de fuera.

En el plano regional, América Latina dejó de ser un vacío normativo. Brasil tiene la LGPD, muy inspirada en el modelo europeo, con la ANPD como autoridad. México reformó en 2025 su marco de protección de datos personales, heredero de la LFPDPPP, con reglas propias sobre transferencias.

Colombia opera bajo la Ley 1581 de 2012, vigilada por la Superintendencia de Industria y Comercio, que exige un nivel adecuado de protección para transferir datos al exterior. Chile aprobó en 2024 una nueva ley que moderniza su antigua Ley 19.628 y crea una agencia de datos alineada con el estándar europeo.

Argentina y Uruguay tienen algo que casi ningún otro país del continente logró: una decisión de adecuación de la Comisión Europea. La UE los considera destinos seguros para datos personales europeos, lo que simplifica enormemente cualquier flujo con Europa.

En el plano extranjero, el régimen más influyente sigue siendo el Reglamento General de Protección de Datos de la UE. Si tu operación toca datos personales de residentes europeos, por ejemplo empleados de una filial en España o clientes en Alemania, el RGPD limita sacarlos del Espacio Económico Europeo salvo que existan salvaguardas específicas. Y del otro lado del hemisferio está la Ley CLOUD de EE. UU., que puede alcanzar a un proveedor estadounidense aunque sus servidores estén en Santiago o São Paulo.

Dos matices merecen énfasis.

Primero, ni el RGPD ni la LGPD prohíben guardar datos afuera: los condicionan, que es muy distinto de una prohibición tajante. Segundo, y menos intuitivo, la ley estadounidense puede seguir a un proveedor con sede en EE. UU. aunque los servidores estén en la región.

Si tus archivos contienen datos personales regulados, vale la pena leer la guía complementaria sobre el RGPD y las salas de datos virtuales junto a esta, porque la residencia y el tratamiento lícito son las dos mitades de la misma pregunta de cumplimiento.

El caso transfronterizo: un proveedor de EE. UU. para un deal con datos europeos o brasileños

Aquí es donde la teoría se vuelve decisión de compra. Supón que tu sala alojada en EE. UU. tendrá que contener expedientes de empleados de una filial europea, o datos de titulares brasileños. ¿Se puede? Muchas veces sí, pero no por defecto, y equivocarse es un riesgo de cumplimiento, no una simple preferencia.

Bajo el RGPD, transferir datos personales de la UE a un país fuera del EEE requiere un mecanismo de transferencia lícito. Los dos que encontrarás son una decisión de adecuación, en la que la Comisión Europea ha declarado equivalentes las protecciones de un país, y las Cláusulas Contractuales Tipo, las salvaguardas contractuales que el proveedor firma para cubrir la transferencia.

Desde que el Tribunal de Justicia invalidó el antiguo marco del Escudo de Privacidad en la sentencia Schrems II de 2020, las empresas se apoyan sobre todo en las Cláusulas Contractuales Tipo respaldadas por una evaluación caso por caso del riesgo de la transferencia.

Aun cuando se usan las Cláusulas Contractuales Tipo, el responsable del tratamiento debe verificar, caso por caso, si la ley del país de destino garantiza una protección adecuada, y añadir medidas complementarias donde no la haya. Ese principio, fijado por el Tribunal de Justicia en Schrems II y recogido en las directrices del EDPB, es la razón por la que una firma en las cláusulas es un punto de partida, no la línea de meta.

En la práctica, la vía más limpia suele ser rodear por completo la pregunta de la transferencia: eliges un centro de datos en la propia jurisdicción de los datos, de modo que nunca salen de ella. Para datos europeos, un centro en la UE; para datos brasileños, uno en Brasil.

Cuando el deal involucra registros de personas de una región concreta, ese suele ser el camino de menor resistencia. Ahora bien, quedarse en la región tiene sus contrapartidas, y conviene sopesarlas con honestidad antes de comprometerse.

La Ley CLOUD: por qué preguntan quién es dueño del proveedor

La Ley CLOUD de EE. UU. es una norma de 2018 que permite a las autoridades estadounidenses obligar a un proveedor de servicios con sede en EE. UU. a entregar los datos bajo su control, sin importar en qué punto del planeta estén guardados físicamente.

Este es el detalle sutil que sorprende a los equipos: elegir un centro de datos en la región no pone, por sí solo, tus archivos fuera del alcance del proceso legal estadounidense si el propio proveedor es una empresa de EE. UU. La soberanía se pega a la nacionalidad del proveedor, no solo a la ubicación del servidor.

Por eso una contraparte experimentada, y en especial en operaciones cercanas al ámbito público o a infraestructura sensible, no pregunta solo “dónde están los datos” sino “quién controla en última instancia al proveedor”.

Para la mayoría de las transacciones comerciales el riesgo residual es pequeño y queda bien administrado por los controles auditados de un proveedor certificado; puedes leer el enfoque del propio Departamento de Justicia de EE. UU. en sus recursos sobre la Ley CLOUD.

Para encargos especialmente delicados, las mitigaciones son reales. Elige un proveedor constituido en tu propia jurisdicción, o uno que ofrezca una opción de nube soberana genuinamente operada en la región, y plantea claves de cifrado gestionadas por el cliente o cifrado de conocimiento cero para que ni siquiera un proveedor obligado pueda descifrar los archivos. La pregunta que hay que llevar a la mesa de compra es la de propiedad y control, no solo el punto en el mapa.

Qué pasa cuando alguien resuelve la residencia tarde

El fallo casi nunca es una brecha espectacular; es un desajuste silencioso que aflora en el peor momento. Equivocarse con la residencia suele tomar una de tres formas, y cada una es más cara de arreglar a mitad de deal que de prevenir en la configuración.

La primera es el atasco en la due diligence. El abogado del comprador descubre que expedientes de personas protegidas estuvieron en un servidor controlado por EE. UU. sin un mecanismo de transferencia documentado, y el proceso se detiene mientras las partes documentan el hueco o realojan la sala.

La segunda es la exposición regulatoria. Una autoridad, sea la ANPD brasileña o la SIC colombiana, considera que una transferencia careció de base lícita, y ahora te toca explicarte ante un regulador en vez de cerrar la operación.

La tercera es la promesa contractual incumplida. Le dijiste a la contraparte que los datos se quedarían en la región y no fue así, lo que es un problema de confianza tanto como legal, y la confianza cuesta reconstruirla.

Realojar una sala en operación es la parte que los equipos subestiman. Implica migrar cada archivo, reconstruir la estructura de carpetas y los grupos de permisos, reinvitar a cada usuario y reconciliar el registro de auditoría para que el historial de quién vio qué sobreviva intacto al traslado.

Nada de eso es imposible, pero hacerlo mientras los postores revisan activamente es disruptivo, visible y evitable. La versión barata de este problema es una comprobación de región de cinco minutos antes de cargar; la versión cara es una migración bajo la presión del cierre.

Esa asimetría es todo el argumento para tratar la residencia como decisión de configuración y no como decisión sobre la marcha. Si ya estás en esa situación, la guía sobre cómo migrar a un nuevo data room describe lo que implica el traslado.

Cómo elegir la región correcta, paso a paso

Se elige la región partiendo de la ley más exigente que toque tus datos, no de la comodidad ni de la latencia. La lógica va en una sola dirección: identifica la obligación más dura sobre los archivos, satisfazla, y todo lo más laxo queda cubierto de forma automática.

Una secuencia de cinco pasos lleva a la mayoría de los equipos a una elección defendible antes de subir ningún documento.

Cómo elegir la región de alojamiento correcta para tu data room

Secuencia práctica para anclar una región de residencia defendible antes de cargar nada.

Estimated time: 1h

1. 1

   Inventaría los datos sensibles

   Anota si la sala contendrá datos personales de titulares brasileños, mexicanos, colombianos o europeos, expedientes de salud o financieros regulados, o información de índole gubernamental, porque cada categoría puede traer su propia regla de residencia.

2. 2

   Encuentra la obligación más estricta

   Identifica el requisito más exigente entre todas esas categorías, por ejemplo una restricción de transferencia bajo el RGPD o un mandato de localización sectorial, y diseña alrededor de él en lugar de promediar.

3. 3

   Pregunta qué espera la contraparte

   Averigua pronto si la otra parte exige una región concreta o descarta un proveedor controlado por EE. UU., para que no aparezca como objeción de última hora en plena revisión.

4. 4

   Selecciona la región en los ajustes del proveedor

   Elige la región del centro de datos que corresponda antes de cargar nada. Confirma que el ajuste es por sala y que cubre las copias de seguridad y el procesamiento, no solo el almacenamiento principal.

5. 5

   Documenta las condiciones

   Consigue por escrito la región, los subencargados del tratamiento y el contrato de tratamiento de datos con cualquier Cláusula Contractual Tipo, para que la residencia sea una obligación contractual y no un simple interruptor del panel.

Hacer esto al inicio cuesta una hora. Descubrir un desajuste durante la due diligence cuesta una migración. La región es una decisión que se toma a conciencia, una vez, en la configuración.

Haz esto, no hagas aquello

Una vez entendida la lógica, la ejecución se resume en un puñado de hábitos. Estos son los que separan una configuración defendible de una que se cae en la primera pregunta seria del abogado de la contraparte.

Haz:

• Pregunta dónde viven las copias de seguridad, no solo el almacén principal. La residencia falla en silencio si la sala en vivo está en São Paulo pero los respaldos nocturnos se replican a una región de EE. UU. Confirma que todo el ciclo de vida de los datos permanece donde elegiste.
• Pide la lista de subencargados del tratamiento. Los proveedores se apoyan en socios de infraestructura; asegúrate de que ninguno mueva tus datos fuera de la jurisdicción prevista y de que el contrato los nombre.
• Exige que la región sea contractual. Un interruptor del panel no es una garantía. La región debe aparecer en el contrato de tratamiento para que sea exigible, no ser un valor por defecto que el soporte pueda cambiar sin avisar.
• Ajusta la región a las certificaciones. La residencia se combina con auditorías independientes; un proveedor que afirma alojamiento en cierta región también debería mostrar evidencia de SOC 2 e ISO 27001.
• Fija la elección antes de cargar el primer archivo. El momento correcto para decidir la región es cuando la sala está vacía, no cuando ya tiene mil documentos y veinte revisores dentro.

No hagas:

• No confundas cifrado con residencia. Un archivo perfectamente cifrado en la jurisdicción equivocada sigue siendo un problema de cumplimiento; el cifrado protege el contenido, la residencia decide la ley.
• No supongas que “la nube” es un lugar único. Cada región es una jurisdicción distinta con su propia autoridad y sus propias reglas de transferencia.
• No dejes la región en el valor por defecto de la cuenta si manejas deals en varios países. Un default para toda la cuenta obliga a cada sala a la misma jurisdicción, la necesite o no la operación.
• No aceptes un mapa de marketing como respuesta. “Alojamos en la región” es una diapositiva; lo que vale es un compromiso documentado y contractual en el que podrías apoyarte en una disputa.
• No dejes la decisión para la due diligence. A esas alturas, corregir significa realojar una sala en operación bajo la mirada de los postores.

Cómo verificar lo que promete un proveedor

Verificas la residencia igual que verificas cualquier afirmación de seguridad: pides los detalles por escrito y te niegas a conformarte con un folleto.

Un proveedor que se toma en serio la residencia puede decirte exactamente qué centros de datos usa, si la región es seleccionable por sala, dónde viven las copias de seguridad y de recuperación ante desastres, y quiénes son sus subencargados del tratamiento. La vaguedad en cualquiera de estos puntos es en sí misma una señal, porque un proveedor serio trata todo esto como rutina.

El objetivo es convertir “alojamos en la región” de una promesa verbal en un compromiso documentado y contractual.

Los proveedores de reputación consolidada, como las plataformas empresariales analizadas en nuestra reseña de Datasite y en nuestra reseña de iDeals, están acostumbrados a responder exactamente estas preguntas durante una prueba gratuita, y sus respuestas merecen quedar fijadas antes de cargar nada, no después. Si estás recién armando tu lista corta, la guía sobre cómo elegir una sala de datos ordena estos criterios junto a la seguridad y el precio.

Qué regiones ofrecen habitualmente los proveedores

La mayoría de los proveedores consolidados ofrece hoy un menú de regiones en lugar de una sola ubicación fija, justamente porque las operaciones transfronterizas lo exigen.

El conjunto habitual cubre la UE, el Reino Unido, Norteamérica y, cada vez más, Asia-Pacífico, con algunos que suman Canadá, Oriente Medio o nubes gubernamentales dedicadas. Para deals dentro de América Latina, conviene preguntar de forma explícita por centros de datos en Brasil o en la propia región, porque no todos los proveedores globales los tienen, y un requisito de localización local puede volverlos imprescindibles.

Cuando la residencia es un factor de decisión genuino, la flexibilidad de región debería ubicarse en lo alto de tus criterios de preselección, junto a la seguridad y el precio.

Varios proveedores, Ellty entre las opciones que te dejan seleccionar la región de alojamiento, hacen de la región un ajuste por sala en lugar de un valor para toda la cuenta, que es la disposición más útil para las firmas que llevan operaciones en varias jurisdicciones a la vez. Si corres deals paralelos en distintos mercados de la región, vale la pena confirmar de forma explícita esa granularidad por sala.

Precio y rendimiento: cuánto pesan en realidad

La residencia influye en ambos, y rara vez es el factor principal de cualquiera de los dos.

En cuanto al precio, elegir una región específica o premium, o exigir una instancia de nube soberana dedicada, puede quedar reservado a los planes superiores; pero la selección estándar entre las regiones comunes suele estar disponible sin un recargo dramático. El precio de los data rooms se maneja en dólares, así que trata cualquier cifra como orientativa y confirma las condiciones vigentes con el proveedor, ya que los niveles por región y los empresariales cambian con frecuencia. Nuestro centro de precios sigue cómo el mercado empaqueta estos niveles.

En cuanto al rendimiento, alojar los datos más cerca de tus revisores puede mejorar apenas los tiempos de carga, pero los proveedores modernos usan redes de entrega de contenidos y técnicas de renderizado que vuelven insignificante la diferencia para la revisión de documentos.

En resumen: elige la región primero por el encaje legal y deja que cualquier pequeño efecto en precio o velocidad sea una consideración secundaria. El costo de cumplimiento de la región equivocada eclipsa los pocos dólares al mes que una región preferida pueda sumar, y ningún revisor abandonó jamás un deal por una fracción de segundo en la carga de una página.

Preguntas frecuentes

¿La residencia de datos es lo mismo que el cifrado?

No. El cifrado protege el contenido de un archivo para que, si alguien lo intercepta, sea ilegible; la residencia se refiere al país físico donde se guarda el archivo y, por lo tanto, a qué leyes se le aplican. Necesitas los dos: cifrado fuerte para la confidencialidad y la residencia correcta para el cumplimiento. Un archivo impecablemente cifrado en la jurisdicción equivocada sigue pudiendo generar un problema legal.

¿Elegir un centro de datos en Brasil cumple la LGPD por sí solo?

Ayuda mucho, porque mantener datos de titulares brasileños en Brasil evita la pregunta de la transferencia internacional. Pero el cumplimiento de la LGPD también depende de una base legal para el tratamiento, de un contrato adecuado y de controles de seguridad apropiados. La elección de región quita un obstáculo grande; no vuelve, por sí sola, conforme a toda la operación.

¿Puedo usar un proveedor de EE. UU. para un deal con datos europeos?

A menudo sí, siempre que el proveedor ofrezca una región de alojamiento en la UE o un mecanismo de transferencia conforme, como las Cláusulas Contractuales Tipo, en su contrato de tratamiento. Muchos equipos simplemente eligen un centro de datos en la UE para que los datos personales no salgan de Europa. En operaciones sensibles, algunas contrapartes además preguntan por la propiedad estadounidense del proveedor a causa de la Ley CLOUD.

¿Qué es la soberanía de datos en palabras simples?

Es el principio de que tus datos quedan sujetos a las leyes del país donde se guardan y de que ese país ejerce autoridad sobre ellos. La residencia es el hecho geográfico de dónde están los datos; la soberanía es la consecuencia legal que se desprende. Elegir una región, entonces, también elige qué tribunales de qué gobierno pueden llegar a tus archivos.

¿Todos los proveedores me dejan elegir la región?

No todos, y conviene comprobarlo de forma explícita. Los proveedores consolidados suelen ofrecer un menú de regiones y, mejor aún, te dejan fijar la región por sala y no solo a nivel de cuenta. Las herramientas más ligeras pueden alojar en una única ubicación fija, lo que puede ser un factor decisivo en contra si tus datos traen un requisito de residencia.

¿Las copias de seguridad cuentan para la residencia?

Sí, en todos los lugares donde aterrizan los datos. La residencia solo se cumple si los respaldos, las réplicas y las copias de recuperación ante desastres permanecen en la misma jurisdicción que el almacén principal. Una sala alojada en Brasil cuyos respaldos se replican a EE. UU. no mantuvo realmente los datos en Brasil, así que confirma siempre el ciclo de vida completo, no solo el servidor principal.

La residencia de datos es uno de esos temas que permanecen invisibles hasta que el abogado de una contraparte los saca a la luz, momento en que se vuelven urgentes de un día para otro.

La forma de adelantarse es poco glamorosa pero confiable: sabe qué ley es la más exigente para tus archivos, elige un proveedor que te deje ajustar la región a ella y consigue esa elección por escrito antes de cargar nada. Para ver cómo se comparan las opciones de residencia frente a la seguridad, las funciones y los precios en dólares de todo el sector, los centros de comparación completa y de mejores salas de datos para fusiones y adquisiciones ponen lado a lado a cada proveedor que puntuamos.