# ¿Dónde se guardan realmente los datos de tus clientes? Lo que tu proveedor web no te ha dicho Source: https://baqueiro.es/seguridad-y-juridico/donde-se-guardan-datos-clientes-proveedor-web/ Published: 2026-04-10T03:04:48+00:00 Updated: 2026-04-10T03:04:48+00:00 Author: Baqueiro Desarrollo Web Language: es Usage: Atribución requerida: se permiten citas con un enlace visible hacia atrás --- Cuando alguien pregunta a un responsable de negocio dónde se guardan los datos de sus clientes, la respuesta habitual es el nombre del proveedor de hosting: “En SiteGround”, “En AWS”, “En el servidor que gestiona nuestra agencia”. Es una respuesta parcialmente correcta y mayoritariamente incompleta. Los datos de los usuarios de una web típica en España no viven en un solo sitio. Viven en el servidor de hosting, pero también en Google Analytics, en el CRM integrado, en el servicio de email marketing, en el pixel de Meta, en el CDN que sirve los archivos, en los logs del servidor, y en el formulario de contacto de terceros. Cada uno de esos sistemas tiene su propia política de privacidad, sus propios servidores y sus propias implicaciones legales. **TL;DR** — Una web española típica envía datos de usuarios a entre seis y doce sistemas distintos, la mayoría con servidores fuera de la Unión Europea. — Cada sistema con servidores fuera de la UE implica una transferencia internacional de datos que tiene requisitos específicos bajo el RGPD. — Al final del artículo hay una checklist de auditoría para identificar todos los sistemas que reciben datos de usuarios de tu web.*⚠️ Este artículo es informativo y no constituye asesoramiento jurídico. Para aplicar estas consideraciones a tu caso específico, consulta con un especialista en protección de datos.* ## La pregunta que pocas empresas se hacen sobre sus propias webs El RGPD exige que las empresas sepan qué datos personales tratan, con qué finalidad, dónde se almacenan y quién tiene acceso a ellos. Es la base del registro de actividades de tratamiento que toda organización que trata datos personales debe mantener. En la práctica, muchas empresas tienen una política de privacidad que menciona las categorías de datos que recogen y los derechos de los usuarios, pero no tienen un mapa real de todos los sistemas que reciben esos datos. La política de privacidad describe la intención. El mapa de datos describe la realidad. Y a menudo no coinciden. ## El mapa real de una web española típica Para entender dónde van los datos de los usuarios de una web, hay que seguir el rastro de cada interacción desde el momento en que el usuario llega hasta el momento en que se va. Aquí está el mapa de una web corporativa con formulario de contacto, Google Analytics y un pixel de Meta — una configuración muy habitual en empresas medianas españolas. ### Punto 1: el servidor de hosting Es el sistema que la mayoría de propietarios conocen. La base de datos del CMS (WordPress, en la mayoría de los casos), los archivos subidos, los datos de registro de usuarios si los hay, y los formularios de contacto si están gestionados por el propio CMS. Dependiendo del proveedor de hosting, los servidores pueden estar en la UE (OVH, Arsys, muchos proveedores europeos) o fuera (algunos planes de Bluehost, HostGator y otros proveedores norteamericanos usan servidores en EE.UU.). Los logs del servidor — registros de cada petición HTTP, incluyendo la dirección IP del visitante, la página visitada, el navegador y el sistema operativo — también se almacenan aquí y contienen datos personales bajo el RGPD. La mayoría de configuraciones de servidor por defecto conservan estos logs durante meses sin que nadie lo haya decidido explícitamente. ### Punto 2: Google Analytics Cuando se instala Google Analytics en una web, cada visita envía datos a los servidores de Google. Esos datos incluyen la dirección IP del visitante (que Google anonimiza parcialmente, pero que sigue siendo un dato personal en su origen), el comportamiento de navegación, el dispositivo, la ubicación aproximada y los eventos configurados. Google Analytics procesa esos datos en servidores que pueden estar en EE.UU., lo que implica una transferencia internacional de datos. Google tiene mecanismos de cumplimiento del RGPD documentados (Cláusulas Contractuales Tipo), pero esos mecanismos deben estar reflejados en la política de privacidad y en el registro de actividades de tratamiento de la empresa. Muchas webs tienen Google Analytics instalado sin haber documentado esa transferencia internacional. Desde 2023, la Agencia Española de Protección de Datos ha emitido resoluciones contra empresas que usaban Google Analytics sin haber implementado correctamente los mecanismos de cumplimiento del RGPD para transferencias internacionales. ### Punto 3: el pixel de meta (facebook/instagram) El pixel de Meta es un fragmento de código que, cuando está instalado en una web, envía a Meta información sobre el comportamiento de los visitantes: qué páginas visitan, qué acciones realizan, si completan una compra o un formulario. Meta usa esa información para optimizar los anuncios de la empresa y para su propio sistema de publicidad. Los servidores de Meta están mayoritariamente en EE.UU., con las mismas implicaciones de transferencia internacional que Google Analytics. Adicionalmente, el pixel de Meta puede cruzar los datos del visitante con su perfil de Facebook o Instagram si el visitante está conectado a esas plataformas, lo que añade una capa de tratamiento de datos que va más allá de la analítica. ### Punto 4: el servicio de email marketing Cuando un usuario se suscribe a la newsletter o deja su email en un formulario, ese dato habitualmente se envía automáticamente a la plataforma de email marketing integrada: Mailchimp, Brevo (antes Sendinblue), ActiveCampaign, HubSpot. Cada una de estas plataformas tiene sus servidores en ubicaciones distintas, con implicaciones distintas para la transferencia internacional de datos. Mailchimp, por ejemplo, tiene sus servidores principales en EE.UU. y opera bajo las Cláusulas Contractuales Tipo para cumplir con el RGPD en transferencias desde la UE. Brevo tiene servidores en la UE y es una opción que algunos responsables de protección de datos prefieren precisamente por eso. La elección de la plataforma de email marketing tiene implicaciones de cumplimiento del RGPD que rara vez se consideran cuando se toma la decisión. ### Punto 5: el CDN Un CDN (Content Delivery Network) es un sistema de servidores distribuidos geográficamente que sirve los archivos estáticos de la web (imágenes, CSS, JavaScript) desde el servidor más cercano al visitante. Cloudflare, el CDN más usado del mundo, tiene nodos en más de 300 ciudades en todo el mundo. El CDN registra las IPs de los visitantes para optimizar el enrutamiento. Dependiendo de la configuración, puede también registrar información sobre las peticiones para análisis de rendimiento y seguridad. Son datos personales bajo el RGPD que viajan por una infraestructura distribuida globalmente. ### Punto 6: los formularios de terceros Muchas webs usan herramientas de terceros para los formularios de contacto, los chats en vivo o los sistemas de reservas: Typeform, Calendly, Tally, Intercom. Cada una de estas herramientas recibe los datos que el usuario introduce y los almacena en sus propios sistemas, que generalmente están fuera de la UE. El problema específico de los formularios de terceros es que los datos del usuario van directamente a la plataforma externa — no pasan por el servidor del cliente —, lo que hace que el cliente sea potencialmente menos consciente de esa transferencia y de las implicaciones que tiene. ## El problema de los servidores fuera de la UE Que los servidores estén fuera de la UE no es automáticamente un problema legal, pero sí implica requisitos adicionales bajo el RGPD. Desde la invalidación del Privacy Shield en 2020 (sentencia Schrems II del Tribunal de Justicia de la UE), las transferencias de datos personales a países fuera del Espacio Económico Europeo requieren garantías específicas. El mecanismo más habitual son las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, que la mayoría de los grandes proveedores tecnológicos americanos han adoptado. Pero adoptarlas no es suficiente: la empresa que transfiere los datos tiene que haber realizado una evaluación del impacto de la transferencia y documentar que las garantías son adecuadas. La solución no es necesariamente cambiar de proveedor. Es documentar correctamente las transferencias que existen, verificar que los proveedores tienen los mecanismos de cumplimiento adecuados, y reflejarlo en la política de privacidad y en el registro de actividades de tratamiento. ## Qué puedes exigir a tu proveedor web Tu proveedor web — la agencia o el freelancer que gestiona tu presencia digital — debería ser capaz de responderte estas preguntas con precisión: - ¿Dónde están los servidores del hosting? ¿Están dentro de la UE? - ¿Qué servicios de terceros están integrados en la web y qué datos recibe cada uno? - ¿Qué datos se registran en los logs del servidor y durante cuánto tiempo? - ¿Cómo está configurado Google Analytics respecto a la anonimización de IPs y las transferencias internacionales? - ¿Hay formularios o herramientas de terceros que reciben datos de usuarios directamente? Un proveedor que no puede responder a estas preguntas no tiene el nivel de criterio necesario para gestionar correctamente la privacidad de los datos de tus clientes. ## Checklist de auditoría para no técnicos Esta checklist permite identificar los sistemas que reciben datos de usuarios de tu web sin necesidad de conocimientos técnicos: - ¿Sabes en qué país están los servidores de tu proveedor de hosting? - ¿Tienes Google Analytics instalado? ¿Está configurado con anonimización de IP y con el acuerdo de procesamiento de datos firmado con Google? - ¿Tienes el pixel de Meta instalado? ¿Está documentado en tu política de privacidad y en el registro de actividades de tratamiento? - ¿Usas una plataforma de email marketing? ¿Sabes dónde están sus servidores? - ¿Usas un CDN? ¿Sabes qué datos registra y durante cuánto tiempo? - ¿Hay formularios, chats o herramientas de reservas de terceros en tu web? ¿A dónde van los datos que recogen? - ¿Tu política de privacidad menciona todos los servicios de terceros que reciben datos de tus usuarios? - ¿Tienes un registro de actividades de tratamiento que incluya todas estas transferencias? Si no puedes responder con seguridad a tres o más de estas preguntas, es el momento de hacer una auditoría de los sistemas que tratan datos en tu web. ## FAQ ### ¿Usar Google Analytics con el modo de consentimiento activado resuelve todos los problemas? El modo de consentimiento de Google Analytics reduce significativamente el tratamiento de datos de usuarios que no han dado su consentimiento, pero no elimina todas las implicaciones de la transferencia internacional de datos. Es una mejora importante, pero sigue siendo necesario documentar la transferencia y tener el acuerdo de procesamiento de datos con Google correctamente configurado. ### ¿Hay alternativas a Google Analytics que tengan los servidores en la UE? Sí. Matomo (autohospedado o en servidores europeos), Plausible (servidores en la UE, código abierto), Fathom Analytics (opción de servidores en la UE) y Pirsch son alternativas que procesan los datos en la UE y que algunos responsables de protección de datos prefieren precisamente para evitar las complejidades de las transferencias internacionales. ### ¿Quién es responsable de cumplir con estas obligaciones — la empresa o su proveedor web? La empresa es el responsable del tratamiento bajo el RGPD: es quien decide qué datos se tratan, con qué finalidad y qué herramientas se usan. El proveedor web es el encargado del tratamiento: actúa siguiendo las instrucciones del responsable. La responsabilidad legal ante la AEPD recae sobre la empresa, no sobre el proveedor, aunque el proveedor pueda ser corresponsable si ha actuado sin instrucciones del responsable. *⚠️ Este artículo es informativo y no constituye asesoramiento jurídico. Para una auditoría completa de los sistemas que tratan datos en tu web, consulta con un especialista en protección de datos.* *En Baqueiro documentamos todos los servicios de terceros que se integran en los proyectos que desarrollamos y los incluimos en el mapa de datos que entregamos al cliente. Si no tienes claro qué sistemas están recibiendo datos de los usuarios de tu web, [podemos ayudarte a hacer ese mapa](/contacto/).*