PDF Kami Alojado en Europa

Blog

CLOUD Act: por qué «alojado en Europa» no protege tu PDF

Una ley estadounidense de 2018 permite exigir datos alojados en Europa; Microsoft lo admitió bajo juramento ante el Senado francés. Qué implica para tu PDF y cómo evitarlo.

El 10 de junio de 2025, ante una comisión de investigación del Senado francés, el director de asuntos públicos y jurídicos de Microsoft Francia declara bajo juramento. La pregunta: ¿puede garantizar que los datos de los ciudadanos franceses confiados a Microsoft nunca se entregarán a las autoridades estadounidenses sin el acuerdo de las autoridades francesas? Su respuesta cabe en una frase: «No, no puedo garantizarlo» (traducido del francés). Añade que nunca ha ocurrido, y que si una resolución judicial estadounidense lo exige, Microsoft debe entregar los datos (Usine Digitale, Techniques de l'Ingénieur).

No es una confesión propia de Microsoft. Es la descripción exacta de una ley que todos sus competidores estadounidenses aplican también: el CLOUD Act. Y afecta directamente al archivo que estás a punto de soltar en un conversor PDF.

Lo que dice la ley, en tres frases

La Clarifying Lawful Overseas Use of Data Act fue aprobada por el Congreso de Estados Unidos en 2018, tras años de pulso entre el FBI y Microsoft por unos correos electrónicos almacenados en Irlanda (Techniques de l'Ingénieur, recursos del Departamento de Justicia de EE. UU.). Autoriza a las autoridades estadounidenses a exigir a cualquier proveedor de servicios sujeto a la jurisdicción de Estados Unidos los datos que estén en su «posesión, custodia o control», con independencia de dónde estén almacenados físicamente (IT for Business). El criterio no es la ubicación del servidor, sino la nacionalidad de la empresa que lo controla.

En la práctica: un archivo en un servidor de AWS en París, de Azure en Marsella o de Google Cloud en Saint-Ghislain está al alcance de una petición estadounidense exactamente igual que si estuviera en Virginia. «Servidores en Europa» es un dato de geografía. El CLOUD Act es una cuestión de derecho.

El CLOUD Act sigue a la empresa, no al servidor: un archivo alojado en un centro de datos europeo de un proveedor estadounidense sigue al alcance de una petición de las autoridades de EE. UU.; un archivo que no sale de tu ordenador queda fuera de cualquier jurisdicción tercera

A quién afecta

A toda empresa «sujeta a la jurisdicción de Estados Unidos»: las sociedades estadounidenses y sus filiales, operen donde operen. Eso incluye a los tres hyperscalers (Amazon Web Services, Microsoft Azure, Google Cloud) y, en general, a cualquier editor estadounidense de software o de servicios online.

Para las herramientas PDF, eso da dos círculos:

Los servicios que son estadounidenses. Adobe (Acrobat online) y Foxit son sociedades estadounidenses. Un archivo que sueltas ahí está, durante todo su plazo de conservación, en manos de una entidad a la que la ley apunta directamente.

Los servicios europeos alojados en un proveedor estadounidense. Es el caso más frecuente y el menos visible. iLovePDF (Barcelona) describe en su página de Seguridad una infraestructura apoyada en «alianzas cloud» y un proveedor de almacenamiento al que no nombra. Smallpdf (Suiza) indica que procesa los archivos «en la nube». Si esa nube es uno de los tres hyperscalers, y lo es en la inmensa mayoría de los servicios de ese tamaño, el archivo está en manos de un proveedor sujeto al CLOUD Act, sea cual sea la nacionalidad del servicio que ves en pantalla. Solo PDF24 escribe «servidores ubicados en Alemania», sin precisar tampoco de quién.

Así que la pregunta que hay que hacerle a cualquier servicio no es «¿dónde están vuestros servidores?», sino «¿de quién son?». Ninguno de los cinco grandes conversores la responde en la página donde sueltas tu archivo; nosotros leímos sus páginas una a una.

«Nunca ha ocurrido»

Es la segunda mitad de la respuesta de Microsoft, y es cierta hasta donde la empresa sabe. Tres apuntes:

La respuesta de los hyperscalers: tres estrategias, un mismo problema

Los proveedores estadounidenses han entendido que «servidores en Europa» ya no basta. Cada uno ha construido una respuesta, y la forma en que la han construido dice mucho de lo que la ley exige de verdad.

Tres respuestas de los hyperscalers al CLOUD Act: la filial separada de AWS (que sigue siendo propiedad de Amazon), las empresas conjuntas de capital mayoritariamente europeo S3NS (Thales-Google) y Bleu (Orange-Capgemini-Microsoft), y el procesamiento local, que elimina al proveedor de alojamiento

AWS: una estructura separada, pero sigue siendo Amazon. El 15 de enero de 2026, AWS abrió la AWS European Sovereign Cloud en Brandeburgo: infraestructura física y lógicamente aislada del resto de AWS, 7.800 millones de euros de inversión, operación reservada a personal residente en la UE, una nueva sociedad matriz y tres filiales de derecho alemán dirigidas por ciudadanos europeos, un director general europeo y un consejo asesor formado exclusivamente por ciudadanos de la UE (About Amazon, aws.eu, Developpez.com). Es un esfuerzo real y costoso. Pero esas entidades siguen siendo propiedad de Amazon, y el CLOUD Act alcanza todo lo que está bajo el «control» de un proveedor estadounidense: la prensa especializada ha señalado que ninguna organización, por compartimentada que esté, puede ofrecer una garantía absoluta mientras la matriz siga sometida al derecho de Estados Unidos (IT for Business). La oferta no tiene la cualificación SecNumCloud.

Google: ceder el control a un tercero europeo. Google eligió otra vía: S3NS, una empresa conjunta de derecho francés creada en 2022, de la que Thales es accionista mayoritario y operador, y que presta los servicios de Google Cloud desde centros de datos franceses. Su oferta PREMI3NS obtuvo la cualificación SecNumCloud 3.2 en diciembre de 2025, la primera combinación de tecnología estadounidense y operación francesa que supera el examen de inmunidad frente a leyes extraterritoriales de la ANSSI (Business Wire, PAC).

Microsoft: la misma vía, aún sin llegar al final. Bleu, sociedad francesa propiedad de Orange y Capgemini, distribuye Azure y Microsoft 365 desde una infraestructura aislada de los sistemas mundiales de Microsoft. Superó los primeros hitos de la cualificación SecNumCloud en 2025 y aspira a la cualificación completa en 2026, que a mediados de año todavía no había obtenido (Usine Digitale, Synapsys). Microsoft ofrece además la EU Data Boundary, un compromiso de procesamiento dentro de la UE que no cambia nada en cuanto a la nacionalidad de la empresa.

Lo que estas tres estrategias tienen en común es más interesante que sus diferencias: para escapar de la ley, la empresa que tiene los datos tiene que dejar de ser estadounidense. Una filial no basta (AWS); hace falta un accionista europeo mayoritario y una operación independiente (S3NS, Bleu). Es exactamente lo que exige el referencial SecNumCloud 3.2, y es lo que los propios hyperscalers han acabado reconociendo al construir estas estructuras. Los críticos hablan de «soberanía de fachada», porque el código y las actualizaciones siguen siendo propiedad del editor estadounidense (Parlons Cloud); los partidarios lo ven como la única forma de tener servicios completos sin exposición jurídica. El debate es legítimo. También queda fuera del alcance de quien usa un conversor PDF.

Porque aquí está el punto que te afecta: ninguno de los grandes conversores PDF online declara usar una de estas ofertas. No nombran a su proveedor de alojamiento en absoluto. Así que no estás ni en S3NS, ni en Bleu, ni en un prestador SecNumCloud; estás, con toda probabilidad, en una región estándar de un hyperscaler estadounidense, la misma que el Estado ha decidido abandonar para sus datos sanitarios.

Qué cambia para un archivo PDF

Un conversor online conserva tu archivo una hora, dos horas, a veces sin plazo definido. Durante esa ventana, el archivo está en claro (el servidor tiene que leerlo para procesarlo) y en manos del proveedor de alojamiento. Si ese proveedor está sujeto al CLOUD Act, tu archivo también lo está, durante esa ventana.

Para un currículum o un folleto, la pregunta no se plantea. Para todo lo que entra en el secreto profesional, un procedimiento judicial, un historial médico, una negociación o datos de terceros de los que eres responsable según el RGPD, se plantea exactamente igual que para el Estado y sus datos sanitarios.

Y hay un punto que los debates sobre soberanía olvidan: el RGPD te convierte en responsable del tratamiento de los datos que contienen los archivos que subes. Las políticas de privacidad de los conversores lo dejan claro. Si un archivo con datos de tus clientes o de tus empleados se entrega a una autoridad extranjera desde los servidores de un encargado que tú has elegido, es tu cadena de encargados la que queda en cuestión.

El único dato fuera de alcance: el que no sale

El CLOUD Act se aplica a los datos en manos de un proveedor. Un dato que nunca se ha transmitido a ningún proveedor no está en manos de nadie más que de ti. Es una exención por construcción, no por contrato.

Ese es el principio de PDFKami: unir, comprimir, dividir y convertir se ejecutan en tu navegador, en tu máquina. El archivo no se sube. No hay nube, ni estadounidense ni europea, porque no hay servidor de procesamiento. El sitio en sí se sirve desde una infraestructura europea, pero ese detalle solo afecta a la página, no a tus archivos: ellos no circulan. Y no es una declaración que haya que creerse sin más: la política de seguridad de la página (CSP) prohíbe técnicamente cualquier conexión saliente, y puedes comprobarlo en 60 segundos.

Lo que este enfoque no cubre: el OCR pesado, la conversión de PDF a Word, la firma cualificada. Para esas operaciones hace falta un servidor, y solo para esas operaciones la pregunta «¿de quién es el servidor?» pasa a ser la primera que hay que hacer. Desde el 2 de agosto de 2026 se suma a las que plantea el AI Act cuando una herramienta «IA» lee tus documentos.

FAQ

¿Se aplica el CLOUD Act a los datos almacenados en Europa?

Sí, siempre que la empresa que los tiene esté sujeta a la jurisdicción de Estados Unidos. La ubicación del servidor no es el criterio.

¿Afecta a un servicio europeo alojado en AWS, Azure o Google Cloud?

Los datos están en manos del proveedor cloud, que es estadounidense; por tanto, quedan expuestos a una petición basada en el CLOUD Act, sea cual sea la nacionalidad del servicio de cara al público.

¿No protege el RGPD contra esto?

El RGPD regula las transferencias e impone garantías; no deja sin efecto una petición estadounidense. El conflicto entre los dos textos es precisamente lo que ilustró la respuesta de Microsoft ante el Senado francés.

¿Ha habido casos documentados con archivos PDF?

Ningún caso público que conozcamos. Las peticiones pueden ir acompañadas de una obligación de silencio, lo que hace que la ausencia de casos públicos diga muy poco.

¿Cómo tratar un PDF sensible sin exponerse?

Sin subirlo: las herramientas que se ejecutan en el navegador, como PDFKami, no transmiten el archivo a ningún proveedor. Para las operaciones que exigen un servidor, elige un prestador cuyo proveedor de alojamiento no esté sujeto a una jurisdicción tercera (por ejemplo, cualificado SecNumCloud).

Sigue leyendo

← Todos los artículos