Una nube soberana es un servicio del que usted puede decir quién opera los datos, qué juez puede exigir su comunicación y cómo los recupera. El término no tiene una definición única en el RGPD (Reglamento General de Protección de Datos). Es un criterio de compra, que resulta útil el día en que se traduce en preguntas verificables.
«Soberano» se ha convertido en un argumento de venta. Aparece en ofertas muy distintas: un servicio de correo electrónico instalado en un centro de datos de París, una suite ofimática estadounidense con una región de datos europea, un software de código abierto, una infraestructura cualificada por la ANSSI. Todas estas ofertas pueden tener cualidades. No responden a la misma pregunta.
Para un directivo, un director de sistemas de información o un DPO, el riesgo es marcar una casilla sin saber lo que contiene. El día en que un cliente pregunta dónde están sus datos, en que un auditor revisa el registro de actividades de tratamiento o en que un proveedor cambia de propietario, la etiqueta no sirve de nada. Solo cuentan las respuestas por escrito: quién opera, qué derecho se aplica, cómo se sale.
Esta página explica la noción. La matriz de criterios para una licitación se encuentra en definición, criterios y límites. La comparación entre un operador europeo y un proveedor del software estadounidense es objeto de la página nube europea o nube estadounidense.
Una empresa confía sus correos, sus archivos y sus expedientes de clientes a un tercero. Quiere saber tres cosas.
Si el contrato responde a estos tres puntos, la etiqueta «soberano» tiene contenido. Si se limita a «centro de datos en París» o «centro de datos en Fráncfort», describe un lugar. Un lugar es útil, en particular para el registro de actividades de tratamiento. No dice quién puede ser obligado a entregar los datos.
En las licitaciones europeas, el término abarca en general cinco expectativas.
La cualificación francesa SecNumCloud, otorgada por la ANSSI, formaliza parte de estas expectativas para una oferta concreta. No cualifica ni a una empresa en su conjunto, ni a una aplicación solo por estar instalada sobre una infraestructura cualificada. El catálogo de la ANSSI es la referencia, oferta por oferta. Para una pyme, la cuestión se plantea sobre todo cuando la naturaleza de los datos o un cliente contratante lo exige.
No es una inmunidad. Un operador europeo sigue sujeto al derecho de su país, a los requerimientos judiciales locales y a los acuerdos de asistencia judicial. La soberanía cambia el marco jurídico. No suprime toda solicitud de acceso. Lo que cambia es el juez que puede ordenar la comunicación, el procedimiento seguido y los recursos de que disponen el operador y su cliente. Para una empresa europea, es un marco que sus asesores conocen y en el que puede actuar.
Tampoco es sinónimo de «código abierto». El software indica quién escribió el programa. La soberanía indica quién posee los datos y quién posee las claves. Un software libre puede ser operado por una sociedad sujeta a un derecho extranjero. Un software de un proveedor extranjero puede ser operado por una sociedad europea que conserva el control exclusivo de los datos.
En Klytic, los datos están en posesión exclusiva del cliente, o de Klytic por cuenta del cliente, en una zona geográfica que corresponde a la jurisdicción aplicable. Están cifrados de forma nativa, o según la elección del cliente. La clave la posee el cliente, o se conserva en su cuenta: Klytic no tiene acceso a ella. Para obtenerla, tendría que destruir o cambiar una contraseña que no posee, y el cliente se daría cuenta.
Algunas etapas siguen cifradas por Klytic, porque el servicio debe tratar el contenido: los correos puestos en cuarentena por el filtrado, cifrados en base de datos, y los correos y documentos tratados en el CRM. Solo los correos son la excepción, cuando el cliente ha activado el cifrado con su propia clave. Además, el acceso a los archivos está fuertemente restringido mediante derechos de acceso limitados, y una auditoría de las conexiones alerta en caso de intento fraudulento. El detalle figura en la página proteger una empresa frente al CLOUD Act. El contrato debe describir esta custodia, este cifrado y estas precauciones.
Por último, no es una promesa de funciones equivalentes a Microsoft 365 o a Google Workspace. Se puede tener un operador europeo y una ofimática menos completa. Se puede tener una ofimática muy completa y un operador estadounidense. Son dos decisiones distintas.
Tratarlas por separado evita dos errores simétricos: abandonar una herramienta de la que depende el negocio por una cuestión de principios, o descartar la cuestión jurídica porque la herramienta gusta a los equipos. El umbral propio de Microsoft 365 se detalla en Microsoft 365 frente a una solución soberana.
Caso hipotético. Un despacho de contabilidad de 25 personas recibe de un cliente industrial una pregunta sencilla: «¿Dónde están nuestros justificantes contables y quién puede acceder a ellos?» El despacho utiliza un servicio de correo electrónico y un servicio para compartir archivos cuyo folleto indica «alojado en Francia».
Al repasar las tres preguntas, el socio descubre que la sociedad que factura es francesa, pero que la explotación y el soporte los presta la filial de un grupo extranjero, y que las copias de seguridad están confiadas a un subcontratista cuyo contrato no menciona el país. El folleto no era falso. No respondía a la pregunta del cliente.
El despacho tiene dos opciones razonables: obtener del proveedor respuestas por escrito e incorporarlas al expediente, o elegir un operador cuyas respuestas le resulten satisfactorias. En ambos casos, responde a su cliente con hechos, no con un adjetivo.
Pida cuatro documentos, no un folleto.
Si un proveedor no puede facilitar estos elementos por escrito, eso ya es una información. Compare después las respuestas con lo que indica su registro de actividades de tratamiento: ahí es donde aparecen las discrepancias.
Para el marco jurídico de las transferencias fuera de la Unión Europea, consulte la página sobre el CLOUD Act y la de datos alojados en Europa. Para la lista de criterios de compra, consulte definición, criterios y límites.
No. El RGPD organiza los roles, las transferencias fuera de la Unión y los derechos de las personas. No define el término «soberano» ni obliga a elegir un operador europeo. En cambio, sí obliga a saber adónde van los datos y sobre qué base jurídica, lo que coincide con buena parte de las preguntas de esta página.
No necesariamente. El lugar es una de las respuestas esperadas, no la única. También hay que saber qué sociedad opera el servicio, qué derecho se le aplica, quién puede acceder a los datos y cómo recuperarlos.
Cuando la naturaleza de los datos o un cliente contratante lo exige, sí, y el nombre de la oferta debe figurar en el catálogo de la ANSSI. Para el correo electrónico y el intercambio de archivos de una pyme, las preguntas sobre el operador, los accesos y la reversibilidad suelen ser más determinantes.
No. El código abierto permite leer el código y facilita un cambio de proveedor de alojamiento. No indica quién posee los datos ni quién posee las claves.
No. Un operador europeo sigue sujeto al derecho de su país y a los requerimientos de sus jueces. La diferencia está en el juez, el procedimiento y los recursos.
Klytic está operado por Dedicace Software, sociedad francesa. Los servicios se basan en soluciones probadas o de código abierto, y en módulos y servicios desarrollados por Klytic. La compartimentación de estos servicios está garantizada y gestionada por servidores Klytic desarrollados para este fin.
El alojamiento es posible en cualquier zona geográfica que corresponda a la jurisdicción aplicable, sujeto a la disponibilidad de los servicios requeridos, por ejemplo en Europa o en Mauricio, o en los servidores del cliente. El detalle figura en la página alojamiento y soberanía.
Klytic no es una oferta cualificada SecNumCloud. Como cualquier operador francés, sigue sujeto al derecho francés.
Esta página describe un marco general. No sustituye al análisis de su contrato.
Situación jurídica a 5 de octubre de 2026. Este texto no sustituye al análisis de un contrato. La decisión de adecuación UE–Estados Unidos (UE) 2023/1795 está en vigor. Está siendo impugnada. El catálogo de la ANSSI es la referencia para SecNumCloud.
Consultadas en octubre de 2026.
Correo, documentos, videoconferencia, CRM y telefonía, alojados en la zona que corresponde a su jurisdicción, por ejemplo en Europa o en Mauricio, o en sus instalaciones.
Oferta de bienvenida
Oferta de prueba sin compromiso. Un asesor le llamará para conocer sus necesidades y preparar su espacio Klytic.
