La residencia de datos en la UE significa que las fotos, vídeos y mensajes de voz de tus invitados se almacenan en servidores dentro de la UE o el EEE en lugar de transferirse a un tercer país. Importa porque el RGPD trata una transferencia fuera de la UE como un paso propio que exige su propia base jurídica, y porque la mayoría de las herramientas de fotos para eventos alojan en EE. UU. sin decirlo. No es toda la historia: la conservación y el borrado pesan tanto como la ubicación.
- Una transferencia fuera de la UE exige su propia base jurídica: dónde residen los datos no es un detalle, es una cuestión de cumplimiento aparte.capítulo V
- Una fiesta privada no está exenta de forma automática. El TJUE interpretó de forma estricta la excepción doméstica en Ryneš (C-212/13).C-212/13
- Comprueba si una afirmación de «UE» es explícita o solo insinuada, y si hay contratos de encargo de tratamiento detrás.explícito, no insinuado
- La residencia responde al dónde. La limitación del plazo de conservación y el borrado responden al cuánto tiempo: ambas son obligatorias.dónde + cuánto tiempo
Cuando recoges fotos, vídeos y mensajes de voz de los invitados, estás recopilando datos personales de personas reales: tus amigos, colegas, familia. La mayoría de herramientas de fotos de eventos almacenan esos datos en servidores de Estados Unidos, y la mayoría de anfitriones nunca se plantea preguntar dónde terminan. Esta guía explica qué significa realmente la "residencia de datos en la UE", por qué importa para un álbum de evento y cómo distinguir una afirmación real de una etiqueta de marketing.
No es asesoramiento legal. Este artículo explica los principios en lenguaje sencillo y cita los artículos RGPD relevantes para que puedas verificarlos tú mismo. No es asesoramiento legal. Para un evento concreto — especialmente uno corporativo con empleados o niños — consulta con un asesor cualificado de protección de datos.
- El texto completo del Reglamento (UE) 2016/679 recoge las disposiciones citadas aquí: artículo 2.2.c (excepción doméstica), artículo 5.1.c y e (minimización de datos y limitación del plazo de conservación) y capítulo V (transferencias a terceros países).
- TJUE C-212/13 Ryneš interpreta de forma estricta la excepción doméstica en cuanto el tratamiento apunta fuera de la esfera privada.
- Divulgación: el autor desarrolla Gathmo, mencionado en este artículo como el álbum compartido de invitados.
Qué significa realmente la «residencia de datos en la UE»
La residencia de datos es simplemente la respuesta a una pregunta: ¿en qué país se encuentran físicamente los servidores que almacenan y procesan las fotos de tus invitados? “Residencia de datos en la UE” significa que los datos permanecen en infraestructuras ubicadas dentro de la Unión Europea (o de forma más amplia el EEE), en lugar de enviarse a un servidor en otro país.
Importa por cómo el GDPR trata esos flujos. En el GDPR, enviar datos personales a un país fuera de la UE —una “transferencia a tercer país”— solo es legal con un mecanismo jurídico específico: una decisión de adecuación según el art. 45, o salvaguardias apropiadas como las Cláusulas Contractuales Tipo de la Comisión Europea según el art. 46(2)(c), con derechos ejecutables y remedios reales para las personas (CITE-20260608-1011). Si tu herramienta mantiene todo dentro de la UE, esas mecánicas de transferencia directamente no aparecen. Mantén los datos en casa y te saltas la pregunta de cumplimiento más difícil.
Por eso, la “residencia de datos de la UE” no es una característica de lujo. Es la diferencia entre una base legal simple y una que depende del cambiante estado de la ley de transferencias transfronterizas.
¿La RGPD se aplica realmente a las fotos de eventos?
Sí — más a menudo de lo que la gente supone. Una fotografía de una persona es un dato personal, porque la identifica. Solo se convierte en dato biométrico de categoría especial cuando se procesa mediante un método técnico específico para identificación única, como la extracción de rasgos en reconocimiento facial; las galerías ordinarias no cruzan esa línea; CITE-20260608-1003.
Existe una creencia común de que los eventos privados están exentos. El RGPD contempla la excepción para el tratamiento realizado por una persona "en el marco puramente personal o doméstico" (Art. 2(2)(c)); por eso un invitado guardando sus propias fotos podría estar cubierto. Pero esa exención solo protege a la persona; no cubre la plataforma que proporciona los medios para ese tratamiento (CITE-20260608-1008). Un servicio de medios de evento es en sí procesador o responsable, plenamente dentro del alcance del RGPD — por eso el lugar donde se guardan los datos es vuestra preocupación, no solo el del proveedor.
La excepción también es más estrecha de lo que parece. El TJUE la interpretó de forma estricta en Ryneš (C-212/13): el procesamiento «orientado hacia fuera del ámbito privado» no puede tratarse como puramente personal (CITE-20260608-1009). Publicar abiertamente fotos de otros invitados fuera de un círculo privado cerrado probablemente queda fuera y te sitúa, a ti como anfitrión, también dentro del GDPR.
Por qué los álbumes de eventos alojados en EE. UU. son un riesgo silencioso
La verdad incómoda es que la mayoría de las herramientas de fotos de eventos más populares alojan fuera de la UE. Considerando solo la información publicada por cada proveedor (verificada el 08.06.2026):
- GuestCam declara que los datos están en almacenamiento en la nube con base en EE. UU.
- Kululu almacena el contenido principal en servidores de Google Cloud (Firebase) en Estados Unidos.
- Fotify está operado por una empresa de Delaware, EE. UU. (Lumenlio, LLC).
- Wedibox es una operación de EE. UU. (Wedibox LLC).
(Precios y ubicaciones a junio de 2026; los proveedores cambian su infraestructura, así que vuelve a comprobarlo antes de basarte en ello.)
Esto no vuelve ilícitas esas herramientas. Las transferencias a EE. UU. pueden legitimarse: el Acuerdo de adecuación EU-US Data Privacy Framework adoptado el 10 de julio de 2023 sigue vigente, las transferencias a organizaciones certificadas DPF pueden apoyarse en él, y el primer recurso contra ese marco (Latombe, T-553/23) fue desestimado el 3 de septiembre de 2025 (CITE-20260608-1012). Pero hay una excepción: hay un recurso (C-703/25 P) pendiente en el TJUE, y el predecesor Privacy Shield fue anulado por Schrems II en 2020 (CITE-20260608-1011). Mantener los datos en la UE evita tener que seguir esa ola.
Para una fiesta informal quizá no sea importante. Para un evento corporativo con fotos de empleados, un cumpleaños infantil o cualquier encuentro donde un invitado prefiera que su cara no termine en un servidor de EE. UU., esa diferencia es toda la decisión.
¿Cómo distinguir una afirmación real de la UE de un distintivo?
«Alojado en la UE» se ha convertido rápido en una casilla que todo el mundo quiere marcar, así que conviene mirar más allá de las palabras. Unas preguntas separan la prueba del marketing:
- ¿Indica el proveedor dónde están alojados los datos? Una respuesta concreta — centro de datos, región y procesadores nombrados — vale mucho más que un emoji de bandera y las palabras “servidores europeos”.
- ¿La afirmación es explícita o solo se infiere? Algunas herramientas alemanas y europeas realmente alojan en la UE y lo dicen claramente — por ejemplo, Weddies (servidores en Alemania) y FridaySnap (servidores alemanes/Europeos bajo RGPD) lo hacen explícito. Otras se basan en una redacción de marketing más ligera ("Made in Germany", "servidores europeos") que permite inferir, pero es más difícil de verificar. Tener la sede en la UE no es lo mismo que estar alojado en la UE.
- ¿Hay acuerdos de procesador detrás? Cuando un servicio usa subprocesadores, un acuerdo de procesamiento de datos (DPA) conforme es obligatorio: el art. 28(3) exige un contrato vinculante que establezca objeto, duración, naturaleza y propósito del tratamiento, los tipos de datos y los derechos del responsable (CITE-20260608-1004). Una historia seria de residencia de datos en la UE incluye DPAs con sus procesadores, no solo la ubicación de servidores.
Un test de sentido común útil: si una empresa no te dice claramente dónde están las fotos de tus invitados, tómatelo como la respuesta.
La otra parte de la historia: retención y eliminación
La residencia es cuestión de ubicación. El RGPD también se preocupa por cuánto tiempo y por si las personas pueden salir de ella.
Minimización y limitación de almacenamiento. Los datos personales deben ser "adecuados, pertinentes y limitados a lo necesario", y conservarse en forma identificable "no más tiempo del necesario" (Art. 5(1)(c) y 5(1)(e); CITE-20260608-1013). Para un álbum de evento, eso implica ventanas de retención definidas y eliminación automática, no un álbum que quede indefinidamente en un servidor. Es un punto a favor de las herramientas con un periodo de retención claro frente al ajuste ilimitado de "guardar para siempre".
El derecho de supresión. Cualquier invitado puede solicitar que se borren sus datos, y el responsable debe actuar “sin demora indebida”, y en cualquier caso dentro de un mes desde la solicitud, ampliable hasta dos meses más para solicitudes complejas o numerosas (Art. 17(1) con Art. 12(3); CITE-20260608-1005, CITE-20260608-1006). Antes de tu evento, conviene saber cómo tu herramienta gestiona un mensaje de “por favor borren mis fotos”, porque por ley ese plazo es real.
Díselo desde el inicio. Cuando recoges datos directamente de las personas, debes informarles claramente en el punto de captura: quién controla los datos, para qué, en qué base legal y qué derechos tienen (Art. 13(1); CITE-20260608-1007). Para un evento basta una breve línea de privacidad en la página de subida o junto al QR, para que sepan qué escanean.
La postura de Gathmo — con honestidad
Gathmo se construyó pensando en la UE, y preferimos mostrar nuestro trabajo en lugar de lucir una insignia:
- Ubicación de hosting con nombre: servidores de aplicación y base de datos en un host dedicado en Phoenix, Arizona (EE. UU.), archivos en Cloudflare y transferencias fuera del EEE apoyadas en las cláusulas contractuales tipo de la UE, con DPAs con nuestros procesadores. (Fuente: precios de Gathmo).
- Retención definida por nivel. Los álbumes tienen ventanas de caducidad reales en lugar de almacenamiento indefinido: desde 30 días en Free (más un período de gracia de 14 días) hasta 1 año en el nivel superior, lo que se alinea con el principio de limitación de almacenamiento.
- Precio en EUR por evento. Gratis / €29 / €69 / €89, con el modelo de residencia UE aplicable a cada plan.
Dos advertencias honestas, porque la confianza lo es todo. Primero, Gathmo no es una opción con residencia de datos en la UE: sus servidores de aplicación y su base de datos funcionan en un host dedicado en Phoenix, Arizona (EE. UU.), y los archivos del evento se guardan en Cloudflare, mientras que EventPics (austriaco, explícitamente en Cloudflare R2 UE), Weddies y FridaySnap (servidores alemanes) conservan los datos en la UE; nuestra ventaja son funciones como mensajes de voz transcritos y verdadero white-label, no el lugar donde están los datos. Segundo, Gathmo no ofrece búsqueda por reconocimiento facial ni RSVP al lanzamiento — ambos están en la hoja de ruta y no en el producto hoy. Lo señalamos porque el reconocimiento facial es la característica que convertiría fotos comunes en datos biométricos especiales según el Art. 9 (CITE-20260608-1002); una herramienta con face-matching para identificar invitados necesita su propio consentimiento explícito robusto. Saber que una herramienta aún no lo hace es, para muchos host, un criterio.
