Comparativas
Microsoft 365 sigue siendo la opción sólida cuando sus áreas de negocio utilizan realmente toda la amplitud de la suite. Una solución operada en Europa se convierte en la opción sólida cuando usted quiere que una empresa europea posea los correos y los archivos, y sus usos caben en un alcance más reducido. Ambas frases pueden ser ciertas a la vez, para dos departamentos distintos de la misma empresa.
Cada uno de los puntos siguientes es un motivo racional para quedarse, al menos para una parte de la empresa.
Una «solución soberana» que promete el mismo alcance sin reservas exagera su producto. Las suites europeas y suizas cubren el correo, los archivos, la videoconferencia y a veces el chat. No sustituyen ese islote.
El coste de un cambio no se limita a la suscripción: formación, adaptación de las plantillas, integraciones que volver a conectar, periodo de menor productividad. Si el motivo de la salida es un eslogan, nada compensa ese coste.
Ejemplo. Un despacho de contabilidad de 25 personas gestiona sus expedientes de auditoría con libros de Excel con macros. Abandonar Microsoft 365 en bloque sería un error. La pregunta útil es más concreta: ¿el correo general y el intercambio de documentos con los clientes deben quedarse con el mismo operador que los libros?
Microsoft es una empresa estadounidense. La EU Data Boundary, para los tenants que cumplen los requisitos, ubica los datos de clientes y los datos personales seudonimizados en la UE o la AELC, con excepciones documentadas: soporte, determinadas escalaciones, funciones opcionales. Un tenant Multi-Geo no está incluido, según Microsoft. Esto responde a una parte de la pregunta «dónde están los discos». No responde a la pregunta «quién puede verse obligado, en Estados Unidos, a entregar datos que controla».
El texto derivado de la CLOUD Act (18 U.S.C. § 2713) se refiere a los datos que el proveedor posee o controla, incluso fuera de Estados Unidos. El artículo 48 del RGPD (Reglamento General de Protección de Datos), por su parte, solo reconoce una resolución de un tercer país que exija la comunicación de datos personales si se basa en un acuerdo internacional, por ejemplo un tratado de asistencia judicial mutua, vigente con la Unión o con el Estado miembro. Un proveedor estadounidense que opera en Europa puede, por tanto, encontrarse entre dos derechos, sin que el desenlace de un caso concreto esté escrito de antemano.
El 10 de junio de 2025, ante la comisión de investigación del Senado francés sobre la contratación pública, se preguntó al director de asuntos públicos y jurídicos de Microsoft France si podía garantizar bajo juramento que los datos de los ciudadanos franceses confiados a Microsoft a través de la Ugap nunca se transmitirían, a raíz de un requerimiento del gobierno estadounidense, sin el acuerdo explícito de las autoridades francesas. Su respuesta: «No, no puedo garantizarlo, pero, una vez más, eso nunca ha ocurrido hasta ahora». Las dos mitades de la frase cuentan, y cada dirección las sopesa.
Queda la base jurídica de las transferencias. A 5 de octubre de 2026, la decisión de adecuación (UE) 2023/1795 está en vigor. Está impugnada, como señalan comentarios de abogados (DAC Beachcroft, WilmerHale); según WilmerHale, el Tribunal General de la Unión Europea desestimó un recurso de anulación el 3 de septiembre de 2025, y se interpuso un recurso de casación ante el Tribunal de Justicia el 31 de octubre de 2025. El detalle figura en proteger una empresa frente a la CLOUD Act y en RGPD y Microsoft 365.
Quedarse en Microsoft 365 no es, por tanto, una opción «no conforme»: el DPA, la residencia y el registro de transferencias permiten documentarla. Es una opción que acepta un operador sujeto a dos derechos. Corresponde a la dirección, no solo al departamento de informática.
En el plano jurídico. Un operador sujeto al derecho europeo. Un contrato cuyo juez es europeo. Si este operador no depende de un grupo estadounidense para la tenencia de los datos, ni de subcontratistas estadounidenses, el requerimiento previsto por la CLOUD Act no se dirige a él. Sigue sujeto al derecho de su país: es un cambio de jurisdicción, no una inmunidad. Solicite la lista de subcontratistas (copias de seguridad, soporte, envío de correos), la ubicación de las personas que acceden a los datos y quién posee las claves de cifrado.
En el plano operativo. Un soporte que no es, por construcción, el de un grupo estadounidense. Según la oferta: un alojamiento en Francia, en Alemania o en sus instalaciones. Según la oferta también: la posibilidad de contratar solo el correo. Un alcance reducido es más sencillo de describir en el registro y de auditar.
Lo que no aporta automáticamente. Una cualificación SecNumCloud: corresponde a una oferta concreta del catálogo de la ANSSI. Desde la versión 3.2 de su referencial (2022), SecNumCloud incluye requisitos de protección frente a los derechos no europeos (sede, control del capital, localización, personal); una palabra en un folleto no la sustituye. Tampoco una ofimática equivalente, ni una migración invisible de Teams. Por último, el editor del software puede seguir siendo extranjero (Zimbra se edita en Estados Unidos): el contrato debe indicar que el editor del software no accede a los contenidos.
La elección no es binaria. Hay tres configuraciones habituales.
Mantener un islote de Microsoft para un área de negocio y sacar el correo general. Una pyme industrial con dos centros mantiene licencias de Microsoft 365 para finanzas y la oficina técnica; el taller, el área comercial y la administración pasan a un correo y un sistema de archivos compartidos operados en Europa. Hay que resolver entonces dos directorios, el enrutamiento de un mismo dominio entre dos sistemas, las invitaciones de agenda cruzadas y una regla escrita: qué datos van a dónde. El error frecuente es dejar que cada uno elija sobre la marcha.
Mantener la suite y situar un filtro delante. Si la decisión sobre el operador no está madura pero el phishing apremia, un MTA situado delante de Exchange filtra el correo entrante sin tocar los buzones. Los contenidos, en cambio, siguen en Microsoft. Es una medida de seguridad, no un cambio de operador.
Salir por etapas. Primero el correo, porque se basa en protocolos estándar; después los archivos; Teams mientras los clientes lo impongan. Cada etapa se juzga por sus resultados antes de emprender la siguiente. Las páginas migrar desde Microsoft 365 y migrar sin interrupción describen el orden de las operaciones.
| Si la frase siguiente es cierta | Orientación |
|---|---|
| Hay equipos que producen en Excel avanzado o Power BI | Mantener Microsoft 365 para esos equipos |
| Clientes y proveedores imponen Teams | Mantener Teams, o asumir que se les propone otro canal |
| La necesidad general es el correo, los archivos y su edición en línea, la videoconferencia, un CRM, telefonía | Una suite europea a la carta es adecuada |
| La licitación exige una oferta con cualificación SecNumCloud nominativa | Elegir esa oferta en el catálogo de la ANSSI, no un servicio de correo que emplea la palabra «soberano» |
| Quiere un filtro delante de los buzones, sin abandonar Exchange | Basta con un MTA situado delante de Microsoft 365. La suite puede mantenerse |
| La dirección quiere que una empresa europea posea los correos y archivos habituales | Sacar el correo y los archivos generales, mantener un islote para las áreas que lo exigen |
| El tenant es Multi-Geo, o Copilot y algunos conectores están activados | Leer las excepciones de la EU Data Boundary antes de concluir que la residencia basta |
| La empresa matriz impone Entra ID y sus aplicaciones | Mantener Microsoft 365; la cuestión se trata a nivel de grupo |
| Nadie en la empresa puede administrar un servidor | Elegir un operador que gestione el servicio, no un software que haya que instalar uno mismo |
Si en su caso son ciertas dos líneas contradictorias, la respuesta es casi siempre un escenario mixto.
El error frecuente es confiar la prueba únicamente al departamento de informática: valida la técnica, no el uso. Una prueba gratuita sirve para eso.
Puede utilizarse en un marco conforme al RGPD. El reglamento no prohíbe los proveedores de software estadounidenses; exige un DPA que cubra los servicios activados, una base jurídica para las transferencias y un registro actualizado. La nacionalidad del operador es una decisión distinta. Véase RGPD y Microsoft 365.
No. Describe dónde se almacenan y se tratan determinados datos. La CLOUD Act se dirige al proveedor que posee o controla los datos, sea cual sea la ubicación del disco.
Sí, conservando licencias para las personas que las necesitan. Compruebe antes qué ocurre con las agendas, las reuniones de Teams programadas desde el correo y los buzones compartidos.
No. SecNumCloud cualifica una oferta concreta del catálogo de la ANSSI. Un servicio de correo operado en Europa puede ser pertinente sin ella, salvo si su licitación la exige.
Klytic es una de las soluciones europeas posibles, no la única respuesta. Operado por Dedicace Software, empresa francesa, es adecuado si desea combinar correo electrónico, documentos (una instancia de Nextcloud dedicada por cliente, no un espacio compartido, con uso compartido, edición en línea individual o colaborativa e historial de versiones), videoconferencia, CRM y telefonía. Alojamiento en cualquier zona geográfica que corresponda a la jurisdicción aplicable, siempre que los servicios requeridos estén disponibles, por ejemplo en Europa o en Mauricio, o en los servidores del cliente.
No es adecuado si el proyecto consiste en recuperar Office: no sustituye a Excel avanzado, Power BI ni Teams. Klytic no cuenta con la cualificación SecNumCloud, y un operador francés sigue sujeto al derecho francés. El panorama de los demás actores es la guía 2026.
Esta página describe un marco general. No constituye asesoramiento jurídico.
Consultadas en octubre de 2026.
Pruebe Klytic 30 días con sus propios correos y archivos, sin compromiso.
Oferta de bienvenida
Oferta de prueba sin compromiso. Un asesor le llamará para conocer sus necesidades y preparar su espacio Klytic.
