Transferencia de datos entre países y regiones

1) Qué se considera transferencia transfronteriza y por qué es importante

• alojamiento/replicación en otra región,
• acceso remoto de terceros (incluido el sapport/admindostop),
• enrutamiento a través de servicios globales en la nube, CDN, diagnóstico/análisis SDK.

En iGaming/Fintech, el carácter transfronterizo afecta a las licencias, las asociaciones con PSP/bancos y el perfil de riesgo de incidentes.

2) Bases jurídicas (modelo generalizado)

1. La legalidad del tratamiento cerca de la fuente: el objetivo, la razón (el contracto/obligación el interés/consentimiento), la minimización y retenshn.

• la decisión de adecuación (si el beneficiario está en jurisdicción con «protección suficiente»);
• Instrumentos contractuales: cláusulas/cláusulas uniformes, reglas de sociedades (BCR), acuerdos intergrupales;
• otros motivos (necesidad contractual, consentimiento expreso, protección de la vida, etc. - estrechos y contextuales).

3. Medidas de protección adicionales: Las medidas que confirman que los riesgos de acceso de terceros y organismos públicos se han reducido a un nivel aceptable.

3) DTIA: Evaluación de Transferencia (Data Transfer Impact Assessment)

El DTIA responde a las preguntas: "¿A dónde nos trasladamos? ¿Quién lo consigue? ¿Qué leyes/riesgos de acceso a los datos? ¿Son suficientes nuestras medidas?"

1. Operación y contexto (categorías de PD/sujetos, objetivos, volúmenes, frecuencia).

2. Destinatarios y cadena de samprocesadores (ubicaciones, roles, subcontratistas).

3. Análisis jurídico del país receptor (riesgos de acceso público, procedimientos de solicitud de datos, recursos).

4. Medidas técnicas/organizativas: encriptación, separación de claves, seudonimización, restricciones de acceso.

5. Riesgo residual y solución: «transferir/reforzar medidas/no transferir».

6. Plan de monitoreo: revisiones por eventos (cambio de proveedor/geo/ley).

4) Mecanismos de transmisión modelo (por analogía con el RGPD y equivalentes)

Adecuación: se puede transmitir sin instrumentos contractuales adicionales, pero con medidas básicas (minimización, encriptación, retén).
Cláusulas contractuales estándar (SCC/contraparte): garantías contractuales + DTIA + Dopmers.
Reglas Corporativas (BCR): para grupos transnacionales; requieren la aprobación de un regulador y un programa de privacidad interno maduro.
Otros motivos: consentimiento expreso, necesidad de contrato con la entidad, interés público importante - estrecho y mal operado en la operación.

5) Medidas técnicas y organizativas (constructor)

Criptografía y claves

Encriptación in transit y at nat; mínimo TLS 1. 2+/AES-256.
Split-key/envelope encryption: las claves permanecen en el país de origen (KMS/HSM «en casa»), en el país receptor sólo las llaves de envoltura.
Cifrado de cliente para conjuntos especialmente sensibles.

Pseudonimización previa a la transmisión: tokens estables en lugar de PII; se prohíbe una joyna directa con PII en el lado del destinatario.
Anonimización/agregación para análisis e informes (siempre que sea posible); privacidad diferencial para publicaciones.

Acceso y operación

Accesos JIT, RBAC/ABAC, control de exportaciones (DLP), registros WORM.
Prohibición del prod-PD en dev/stage; sintética o enmascaramiento.
Restricciones geo e IP allowlist para accesos de administración.

Control de vendedores

DPA/contrato con la prohibición de los objetivos secundarios y onward transfer sin consentimiento.
Registro de subprocesadores con geografía; SLA notificaciones de incidentes.
Ruidos/auditorías anuales; monitoreo de cambios de jurisdicciones/alojamiento.

6) Patrones arquitectónicos «data/key residency»

• «EU-only »/« BR-only »/« IN-only» clústeres; sincronizar las unidades anónimas en un DWH «mundial».
• Geo-charding con enrutamiento en el origen del usuario y el lugar de la licencia.

• Los datos pueden almacenarse globalmente en forma cifrada y las claves sólo en el país de origen (split-key, KMS remoto).
• Las solicitudes de descifrado pasan por un «proxy clave» autorizado con auditorías y cuotas.

• Analytics server-side y servidores post-becks (afiliados/atribución) en lugar de SDK de navegador «en negrita».
• Capa edge con edición de eventos (eliminación de PII) antes de entrar en las líneas globales.

7) Características regionales (de alto nivel)

Enfoque europeo (RGPD): capítulo sobre transferencia + DTIA; atención especial al acceso de las autoridades públicas y a los recursos jurídicos.
UU. (regímenes de confidencialidad a tiempo completo): énfasis en la «venta/uso compartido» y restricciones contractuales en terceros; señales individuales (por ejemplo, GPC) para escenarios publicitarios.
Brasil (LGPD): permite la transmisión a la adecuación / las garantías/certificaciones/consentimientos contractuales; prácticas similares a las europeas (RIPD para tratamientos de riesgo).
India, Asia, etc.: los requisitos locales de retención de copias, registro/notificación a los reguladores, restricciones a los conjuntos «sensibles» son posibles - compruebe las regulaciones de la industria y los términos de las licencias/socios de pago.

(La sección se resume deliberadamente: asegúrese de actualizar el derecho local y los requisitos de sus licencias y PSP antes del lanzamiento.)

8) Qué documentar (artefactos)

Registro de transferencias: países/proveedores/mecanismo (idoneidad/SCC/BCR/otro )/categorías de PD/bases/plazos.
DTIA para cada transmisión (y actualizaciones en caso de cambios).
DPA/contratos con procesadores/subprocesadores; Lista de subprocesadores por región.
Política de residencia clave y esquemas KMS/HSM.
Procedimientos de incidentes teniendo en cuenta la geografía y los plazos de notificación.
Data map/lineage para cascadas y exportaciones.

9) Incidentes y notificaciones durante la transferencia transfronteriza

Determinar rápidamente el alcance y la geografía de los programas de acción afectados, los reguladores aplicables y los plazos de notificación.
Coordinar las acciones con los proveedores/sabprocesadores; obtener artefactos técnicos (registros, ventanas temporales, llaves de acceso).
Las comunicaciones son «mínimamente suficientes», sin revelar lo superfluo; para las entidades afectadas, recomendaciones comprensibles (cambio de contraseñas, control de transacciones, etc.).
Post-mar: actualización del DTIA, refuerzo de medidas, ajuste de tratados.

10) Métricas y control de calidad

DTIA Coverage es la proporción de transmisiones con evaluaciones de impacto actualizadas.
Key Residency Enforcement es el% de las descifraciones que han pasado por el KMS regional.
Vendor Geo Accuracy es una coincidencia entre lo prometido y la geografía real del procesamiento.
Exportación Violaciones - Intentos/hechos de exportaciones no autorizadas.
Incident MTTD/MTTR sobre casos transfronterizos.
RoPA/Transfer Registry Completeness - exhaustividad de los registros.
Retention Adherence para los datos transferidos al extranjero.

11) Hojas de cheques (operativos)

Antes de iniciar la transferencia

• La finalidad/base/minimización está definida, introducida en el RoPA.
• Mecanismo seleccionado: adecuación/SCC (o análogo )/BCR/otro.
• Realizado por DTIA, se aceptaron dopmers (cifrado, split-keys, seudonimización).
• DPA/contratos con restricciones onward transfer, derecho de auditoría.
• La lógica de acceso, DLP, alertas de exportación están configuradas.

En funcionamiento

• Monitoreo geográfico (proveedores/réplicas/CDN/SDK).
• Revisión anual/de eventos del DTIA y de las listas de sabprocesadores.
• Pruebas de recuperación/saneamiento en escenarios de RD.

Cuando se producen

• Re-DTIA en cambio de país/proveedor/régimen legal.
• Actualización de registros y notificación de DPO/Abogados.
• Comprobar «residencia clave» y rutas de descifrado.

12) Matriz «categoría de datos → medida de protección → si se puede transferir»

13) Plantillas para su wiki/repositorio

DTIA-Template. md (secciones 1-6 + dopmer check-list).
Transfer-Registry. xlsx/MD (operación → país → proveedor → mecanismo → medida).
Key-Residency-Policy. md (arquitectura KMS/HSM, roles, auditoría).
Vendor-DPA-Checklist. md (restricciones, sabprocesadores, ubicaciones, notificaciones).
DR-Sanitization-Runbook. md (cómo limpiar los alrededores restaurados).
Geo-Monitoring SOP (cómo controlar la geografía real).

14) Hoja de ruta para la implementación (6 pasos)

1. Inventario de transmisiones: fuentes PD, destinatarios, rutas, SDK/etiquetas.
2. Esquema legal: selección de mecanismos (adecuación/SCC/BCR), preparación del DPA, puesta en marcha del registro.
3. DTIA y Dopmers: arquitectura cripto (split-keys, residencia clave), pseudonimización, DLP/auditoría.
4. Arquitectura «data residency»: geo clústeres, reglas de enrutamiento, analytics server-side.
5. Operaciones y monitoreo: geo-monitoreo de proveedores/sabprocesadores, saneamiento DR, métricas.
6. Auditorías/capacitación: revisión anual de DTIA/registros, capacitación de incidentes, informes de orientación.

Resultado

La gestión de la transferencia transfronteriza no es una «marca en el contrato», sino una combinación de mecanismos legales, arquitectura criptográfica y disciplina operativa. El DTIA claro, las restricciones contractuales, la «residencia de datos/claves», la seudonimización y el control de los vendedores permiten escalar el producto de forma segura por regiones sin perder velocidad y cumplimiento de reguladores y socios de pago.