Un sistema de tickets que mantiene tus datos en la UE

La región se decide una sola vez, cuando se crea el espacio de trabajo, y vale tanto para el tratamiento como para el almacenamiento en reposo. Los datos de tickets y las copias de seguridad que se generan a partir de ellos permanecen dentro de la frontera regional que elegiste: las copias son la parte que los equipos olvidan preguntar y la primera por la que preguntan los auditores.

Esto importa todavía más cuando la herramienta funciona con IA. El triaje automático implica que el contenido del ticket se procesa, no solo se guarda, así que "dónde se almacena" es solo la mitad de la pregunta. El tratamiento también se queda en la región.

Elegir una región europea es necesario pero no suficiente. Bajo el RGPD tú eres el responsable del tratamiento y tu proveedor de ticketing es el encargado, y el artículo 28 exige que esa relación se rija por un contrato, no por una página de marketing. FlowTux ofrece un DPA que cubre el alcance del tratamiento, los subencargados, las medidas de seguridad y la supresión, con cláusulas contractuales tipo cuando hace falta un mecanismo de transferencia.

Nuestros subencargados se publican en lugar de esconderse. Si una petición tiene que cruzar una frontera por un motivo concreto y declarado, lo hace sobre un mecanismo de transferencia reconocido y no saliendo de la región en silencio.

Las revisiones de residencia rara vez se quedan en la etiqueta de la región. Las preguntas que se repiten son quién accedió a un registro, qué hicieron con él los sistemas automáticos y si puedes demostrar la supresión. FlowTux mantiene una traza de auditoría de cada acción, humana o automatizada, y cada arreglo que ejecuta Tux AI está autorizado de antemano en una lista blanca, se ejecuta contra un destino identificado y se registra con su resultado.

Ese último punto es donde suelen fallar las herramientas de IA. Una acción automatizada que después nadie puede reconstruir es un hallazgo de auditoría esperando a producirse, así que no se ejecuta nada que no hayas permitido de forma explícita.

Conviene ser preciso, porque muchos proveedores lo mezclan. La residencia de datos significa que los datos están físicamente en una región elegida. La soberanía de datos es una afirmación más fuerte: que ninguna jurisdicción extranjera pueda obligar a dar acceso, esté donde esté la información. Residencia más cláusulas contractuales tipo y un DPA cubre a la gran mayoría de compradores europeos, incluida buena parte de la contratación pública.

Si tu mandato es soberanía completa — una nube nacional concreta o una garantía jurídica frente al acceso extranjero — dilo durante la evaluación y no después. Eso es otra arquitectura, y mereces una respuesta clara desde el principio en lugar de descubrirlo en el tercer mes.