Una pime tria entre cloud privat, públic o híbrid segons cinc criteris: el tipus de dada i les obligacions que porta, el cost total a uns quants anys, la dependència del proveïdor, el rendiment que necessita i les competències internes de què disposa. Quan la resposta canvia segons la càrrega de treball, el resultat sol ser un entorn híbrid.
Què vol dir cada model
La definició de referència és la del NIST nord-americà (publicació SP 800-145, setembre del 2011), i encara serveix perquè separa el model de la ubicació. Un cloud privat és una infraestructura d’ús exclusiu d’una sola organització; pot ser seva, estar gestionada per un tercer o una combinació de les dues coses, i pot ser dins o fora de les seves instal·lacions. Un cloud públic és d’ús obert i es troba als locals del proveïdor. Un cloud híbrid combina dues o més infraestructures que continuen sent independents, unides per una tecnologia que permet portar dades i aplicacions de l’una a l’altra.
Això té dues conseqüències pràctiques. "Privat" no vol dir "al servidor de l’oficina": una pime pot tenir un cloud privat gestionat per un proveïdor, en un centre de dades extern. I "híbrid" no és un nivell superior de maduresa, sinó tenir part dels sistemes en un lloc i part en un altre, amb una connexió i una manera de moure dades entre ells que algú ha pensat.
Criteri 1: quines dades hi ha i quines obligacions porten
El punt de partida és saber què hi ha als sistemes. Tant el Reglament general de protecció de dades (RGPD, article 32) com la Llei 29/2021 d’Andorra (article 35) demanen mesures tècniques i organitzatives adequades al risc, entre les quals la capacitat de restaurar l’accés a les dades de manera ràpida si hi ha un incident. I si el tractament el fa un proveïdor, cal escollir-ne un que ofereixi garanties suficients i regular la relació per contracte escrit (RGPD article 28, Llei 29/2021 article 31).
Les dues normes tracten també les transferències internacionals: el RGPD condiciona l’enviament de dades fora de la Unió, i la Llei 29/2021 prohibeix les comunicacions internacionals cap a països sense un nivell de protecció equivalent, amb les excepcions dels articles 43 i 44. Cap d’aquestes normes prohibeix el cloud públic ni obliga a tenir un cloud privat. Obliguen a poder demostrar que s’ha avaluat el risc i que se sap on són les dades.
Hi ha un segon efecte, indirecte. La Directiva NIS2 (article 21.2.d) inclou la seguretat de la cadena de subministrament entre les mesures que han d’aplicar les entitats obligades. Si la teva pime és proveïdora d’una d’aquestes entitats, et pot demanar garanties sobre on i com tractes la seva informació.
Un mètode que funciona és classificar les dades en tres grups i decidir per grup, no per empresa. Com a orientació:
| Grup | Exemples | On sol encaixar |
|---|---|---|
| Risc baix | Web pública, material de màrqueting, entorns de proves sense dades reals | Cloud públic |
| Internes i confidencials | Comptabilitat, contractes, correu, ERP | Públic amb xifrat i còpies pròpies, o privat gestionat |
| Regulades o crítiques | Expedients de clients, dades de salut, dades de personal | Privat amb ubicació coneguda, o part privada d’un híbrid |
Criteri 2: cost total, no el preu de la primera factura
El cloud públic sol evitar la inversió inicial en maquinari i factura segons l’ús, però la factura és variable i creix amb el consum. El privat reserva capacitat que es paga també quan no s’usa, a canvi d’una despesa més previsible. L’híbrid suma la complexitat de dos entorns i la connexió entre ells. No donem xifres perquè depenen de la càrrega i de cada oferta: la comparació útil és la que fas amb les teves dades.
Per comparar a tres anys, inclou com a mínim:
- Còmput i emmagatzematge, amb el creixement previst.
- Còpies de seguretat i on es guarden.
- Trànsit de xarxa i connexions entre entorns.
- Llicències de sistema, base de dades i aplicacions.
- Hores de persones: d’equip intern o de proveïdor, per a actualitzacions, monitoratge i incidències.
- Migració inicial i cost de sortida.
Aquest últim punt té ara una base legal a la Unió. El Reglament (UE) 2023/2854 (Llei de dades) és aplicable des del 12 de setembre de 2025 i afecta els proveïdors de serveis de tractament de dades que serveixen clients de la Unió, independentment d’on estiguin establerts (article 1.3.f). Preveu que, a partir del 12 de gener de 2027, el proveïdor no pugui imposar cap cost per canviar de proveïdor, inclosos els costos de sortida de dades; fins aleshores, només costos reduïts que no superin els que té el proveïdor pel procés de canvi (article 29). Abans de signar, el proveïdor ha de donar informació clara sobre els costos estàndard i les penalitzacions per resolució anticipada. Això no substitueix llegir el contracte, però dona una base per exigir-ho.
Criteri 3: dependència del proveïdor
El que costa és canviar, no entrar. Per mesurar la dependència pregunta tres coses: quines dades i quins formats pots exportar, qui guarda les claus de xifratge i quant temps i quins passos fan falta per sortir.
La Llei de dades dona una llista útil d’allò que un contracte de cloud ha d’incloure (article 25): el dret a canviar de proveïdor o a tornar a una infraestructura pròpia, un preavís màxim de dos mesos per iniciar el canvi, un període de transició màxim de trenta dies naturals, una especificació completa de les categories de dades que es poden exportar i el suport del proveïdor a l’estratègia de sortida del client. Si ets a Catalunya, la llei t’empara; si ets una empresa establerta només a Andorra, no tens garantit que se’t apliquin, així que convé pactar-ho al contracte. En tots dos casos és una bona llista de comprovació.
Una prova senzilla de dependència: demana una exportació completa de les teves dades i comprova que algú pot obrir-la sense el programari del proveïdor.
Criteri 4: rendiment i proximitat
El rendiment depèn de la càrrega. Una aplicació de gestió que fan servir cada dia vint persones d’una mateixa oficina va millor amb recursos propers i estables. Una botiga en línia amb pics a Nadal, un hotel que omple la web de reserves a l’inici de la temporada o una estació d’esquí que concentra la venda en uns caps de setmana necessiten capacitat que creixi i baixi amb la demanda, i aquí l’elasticitat del cloud públic té sentit.
No decideixis amb la fitxa tècnica. Prova la càrrega real amb un pilot curt: el que importa és com respon el sistema als teus usuaris, des de la teva xarxa, amb les teves dades.
Criteri 5: competències internes
Un cloud privat o híbrid propi exigeix operar-lo: actualitzar sistemes, vigilar-lo, verificar les còpies i respondre als incidents. El públic també demana coneixement, perquè una mala configuració o un consum sense control poden donar ensurts de seguretat i de factura. La pregunta honesta és qui ho farà i què passa quan aquesta persona sigui de vacances o marxi.
Si l’equip intern és petit, tens tres camins: reforçar-lo, contractar serveis gestionats, com un cloud privat gestionat, o repartir responsabilitats amb un proveïdor, deixant clar per escrit què fa cadascú.
Com es veu a Andorra i a Catalunya
Són situacions tipus, no casos reals.
- Despatx professional d’Andorra amb expedients de clients: les dades regulades i el correu van a un entorn privat amb ubicació coneguda; les eines d’ofimàtica o de videotrucada poden ser públiques si es controla què s’hi puja.
- Hotel o comerç d’Andorra amb pics de temporada: la web i les reserves es beneficien d’un entorn elàstic; la base de dades de clients i la facturació poden quedar en un entorn privat. És el cas clàssic d’híbrid.
- Pime industrial o comercial de L’Hospitalet o Girona amb ERP i fitxers: l’ERP, estable i amb dades de negoci, sol anar bé en un servidor gestionat; la col·laboració i el correu poden ser serveis públics.
- Clínica o gestoria amb dades especialment sensibles: prima el risc per sobre del preu, i convé revisar sobretot el contracte d’encarregat del tractament i les còpies.
On tenim interès
A BDR Group oferim cloud gestionat de la mà d’Andorra Cloud, amb centre de dades i equip tècnic a Andorra, i entorns cloud híbrids, de manera que tenim interès en aquesta decisió. La nostra posició és que el cloud públic és la millor opció per a moltes càrregues i que un entorn local només s’ho val on aporta alguna cosa concreta: dades a prop, una persona a qui trucar o una ubicació que es pot explicar a un client o a un auditor.
Què fer ara
- Fes inventari dels sistemes i classifica les dades en tres grups: risc baix, internes i confidencials, regulades o crítiques.
- Anota, per a cada sistema, on és, qui el gestiona i quin contracte hi ha, i comprova que tens el contracte d’encarregat del tractament on toca.
- Calcula el cost a tres anys amb les partides de la llista, incloent hores de persones i el cost de sortir.
- Demana a cada proveïdor la política d’exportació de dades, el preavís i els costos de canvi, i prova una exportació real.
- Decideix per càrrega, no per empresa, i fes un pilot curt abans de moure res crític.
Preguntes freqüents
L’híbrid és sempre la millor opció?
No. Dona flexibilitat, però afegeix complexitat i una connexió més que cal mantenir i protegir. Si tots els sistemes tenen requisits semblants, un sol model és més senzill.
Un cloud privat vol dir tenir servidors a l’oficina?
No. Segons la definició del NIST, un cloud privat és d’ús exclusiu d’una organització, però pot estar gestionat per un tercer i ser fora de les seves instal·lacions.
El cloud públic és menys segur?
No per definició. La seguretat depèn de la configuració, de l’accés i de les còpies, i el RGPD i la Llei 29/2021 demanen mesures adequades al risc sigui quin sigui el model. El que canvia és qui s’encarrega de cada part, i convé tenir-ho per escrit.
Puc començar en públic i moure’m després?
Sí, però planifica la sortida des del primer dia: formats d’exportació, preavís i costos de canvi. A la Unió, la Llei de dades limita aquests costos i n’obliga a informar abans de signar.
Fonts
- NIST (Mell, Grance). The NIST Definition of Cloud Computing, SP 800-145. Setembre del 2011. Consulta: 25/10/2026. https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-145.pdf
- Parlament Europeu i Consell. Reglament (UE) 2016/679 (RGPD), articles 28 i 32. DOUE L 119, del 4/5/2016. Consulta: 25/10/2026. https://www.boe.es/buscar/doc.php?id=DOUE-L-2016-80807
- Consell General d’Andorra. Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals, articles 31, 35 i 42 a 44. BOPA núm. 119, del 17/11/2021. Consulta: 25/10/2026. https://www.apda.ad/assets/pdf/CGL20211115_08_58_32.pdf
- Parlament Europeu i Consell. Directiva (UE) 2022/2555 (NIS2), article 21. DOUE L 333, del 27/12/2022. Consulta: 25/10/2026. https://www.boe.es/buscar/doc.php?id=DOUE-L-2022-81963
- Parlament Europeu i Consell. Reglament (UE) 2023/2854 (Llei de dades), articles 1, 2, 25 i 29. DOUE L, del 22/12/2023. Consulta: 25/10/2026. https://www.boe.es/doue/2023/2854/L00001-00071.pdf
Vols saber quin model et convé?
Si vols revisar on són els teus sistemes i quines càrregues tenen sentit en cada entorn, comença per la fitxa del servei: Cloud empresarial gestionat a Andorra
