Garantía · en la portada: «Datos alojados en la UE»
Datos alojados en la UE: dónde está exactamente cada cosa
«En la UE» es fácil de escribir. Aquí está el detalle: qué se guarda, dónde, con qué cifrado, y los dos casos en que un dato cruza una frontera y bajo qué garantía.
Actualizado el 13 de septiembre de 2026
Qué significa
| Dato | Dónde se guarda | Proveedor | Garantía |
|---|---|---|---|
| Base de datos (clientes, expedientes, facturas) | Unión Europea | Supabase, región europea | DPA del proveedor; cifrado en reposo y en tránsito |
| Documentos (pasaportes, contratos, PDF generados) | Unión Europea | Almacenamiento privado de Supabase | Acceso por despacho (RLS) y enlaces temporales |
| Emails a los clientes | Entrega desde la UE (eu-west-1) | Resend | SCC de la UE |
| Aplicación web (páginas, API) | Red global (edge) | Vercel | SCC de la UE; no almacena expedientes |
| Lectura de documentos por IA | Tránsito a EE. UU., sin conservación > 30 días | Anthropic | SCC de la UE; sin entrenamiento |
| Pagos de la suscripción | Irlanda / EE. UU. | Stripe | SCC; PCI-DSS nivel 1; Aproba no guarda tarjetas |
Google (Calendar/Meet) y Meta (WhatsApp) solo intervienen si el despacho conecta su propia cuenta; figuran en la lista de subencargados.
Cómo podemos afirmarlo
- Lo que se guarda está en la UE; lo que se procesa fuera, se dice. Dos tratamientos cruzan el EEE: la lectura de documentos por el modelo de IA (Anthropic) y la infraestructura de pagos (Stripe). Ambos con cláusulas contractuales tipo y sin conservación de los documentos.
- Cifrado de extremo a extremo del transporte y en reposo. HTTPS obligatorio (HSTS), cifrado del almacenamiento, credenciales de terceros del despacho (Stripe, Google, WhatsApp) cifradas con clave propia.
- Aislamiento por despacho. Cada fila de la base de datos lleva su despacho y las políticas de acceso (RLS) impiden que una cuenta vea datos de otra, incluso ante un error del código.
- La lista de proveedores es pública y la misma en la Política de privacidad y en el DPA.
Lo que no incluye
- «En la UE» no significa «solo en España». La región es europea; no garantizamos un centro de datos en territorio español.
- El edge es global. Las páginas se sirven desde la red de Vercel más cercana al usuario; los expedientes no se almacenan ahí.
Preguntas frecuentes
¿Se puede pedir que la IA no lea los documentos?
La lectura es el núcleo del producto; sin ella, Aproba sería un gestor documental. Lo que sí garantizamos es el marco: sin entrenamiento, sin conservación más allá de 30 días, con SCC.
¿Hacéis copias de seguridad?
Sí, automáticas, en la misma región europea, con la misma protección que los datos en vivo.