Conozca el alojamiento en la UE, las transferencias internacionales de datos, el Marco de Protección de Datos y las preguntas prácticas que debe plantear a un proveedor de software de recursos humanos.
Elegir una plataforma de recursos humanos implica comprender dónde se almacenan los datos de los empleados, quién puede acceder a ellos y qué medidas de seguridad se aplican. Una respuesta clara debe abarcar la base de datos, los documentos, las copias de seguridad, el acceso al servicio de asistencia y los servicios conectados.
Datos verificados el 21 de septiembre de 2026.
El alojamiento en la UE puede ser un requisito útil en la contratación. Por sí solo, no garantiza el cumplimiento normativo, y el RGPD no impone una prohibición general de almacenar o tratar datos personales fuera del Espacio Económico Europeo. Las transferencias internacionales requieren una vía válida conforme al capítulo V, además de los demás requisitos aplicables al tratamiento. CEPD: transferencias internacionales de datos
Pida al proveedor que distinga entre su domicilio social y sus centros de tratamiento. Una empresa de la UE puede utilizar infraestructuras o equipos de soporte ubicados en otros lugares. La mera dirección de un servidor tampoco aporta mucha información sobre quién posee las claves de cifrado o quién puede acceder a los registros de forma remota.
La sentencia Schrems II de 2020 invalidó el Escudo de Privacidad, pero confirmó las cláusulas contractuales tipo como instrumento de transferencia, siempre que se cumplan las evaluaciones y protecciones requeridas. Las cláusulas contractuales tipo no constituyen una autorización general para todas las transferencias: las partes deben examinar si son adecuadas en las circunstancias concretas y aplicar medidas complementarias cuando sea necesario. EDPB: medidas complementarias
La Comisión adoptó en 2023 la decisión de adecuación del Marco de Protección de Datos UE-EE. UU. Dicha decisión abarca las transferencias a organizaciones estadounidenses participantes dentro del ámbito de su certificación. Compruebe la lista actual de destinatarios y si esta abarca los datos pertinentes, incluidos los datos de recursos humanos cuando proceda. Comisión Europea: Transferencias UE-EE. UU.
En septiembre de 2025, el Tribunal General desestimó el recurso en el asunto Latombe contra la Comisión, evaluando la decisión en el momento en que fue adoptada. Dicha sentencia no debe interpretarse como una garantía respecto a futuros litigios o a la política gubernamental. Compruebe la situación actual en materia de adecuación a la hora de tomar una decisión de contratación pública. Tribunal General: sentencia Latombe
La Ley CLOUD ha aclarado que los proveedores sujetos a los procedimientos legales pertinentes de EE. UU. pueden verse obligados a revelar los datos que obren en su poder, custodia o control, incluso cuando estén almacenados en el extranjero. No se trata de un acceso sin restricciones a todas las bases de datos en el extranjero, y el mero hecho de estar constituidos en EE. UU. no resuelve todas las cuestiones relativas a la jurisdicción o al control. Departamento de Justicia de EE. UU.: Explicación de la Ley CLOUD
Algunas preguntas de seguimiento útiles son: ¿qué entidad puede acceder a los datos?, ¿quién controla las claves?, ¿cómo se revisan las solicitudes de las autoridades públicas? y ¿con qué antelación puede avisar el proveedor? Esas respuestas aportan más información que la simple promesa de que la ubicación de una empresa o de un servidor elimina todo riesgo jurídico.
Solicite la siguiente información antes de elegir una plataforma:
Separe los datos de la aplicación de los datos de facturación, pero no dé por sentado que la información de facturación es anónima. Los datos de contacto del titular de una cuenta identificable pueden seguir constituyendo datos personales. Las integraciones opcionales deben evaluarse tanto por la información que envían como por la que reciben.
Conserve el acuerdo de tratamiento de datos (DPA) y la información sobre el tratamiento facilitada por el proveedor junto con su evaluación. Anote cualquier requisito que sea relevante para su organización, como una región de alojamiento concreta o una restricción en el acceso al servicio de asistencia. Solicite por escrito aclaraciones sobre los puntos pendientes antes de basarse en una simple indicación general del tipo «alojado en la UE».
En el caso de PersoHR, comience por consultar nuestras medidas de seguridad, nuestro Acuerdo de tratamiento de datos y nuestra lista de subencargados del tratamiento. Estos documentos describen diferentes aspectos del servicio y deben leerse en su conjunto. Una descripción completa del flujo de datos resulta más útil que la simple afirmación de que la ubicación geográfica por sí sola garantiza la conformidad de un producto.
Prueba PersoHR gratis durante 30 días. No se requiere tarjeta de crédito.
Empieza tu prueba gratuita de 30 días