Una pyme elige entre cloud privado, público o híbrido según cinco criterios: el tipo de dato y las obligaciones que conlleva, el coste total a unos cuantos años, la dependencia del proveedor, el rendimiento que necesita y las competencias internas de que dispone. Cuando la respuesta cambia según la carga de trabajo, el resultado suele ser un entorno híbrido.
Qué significa cada modelo
La definición de referencia es la del NIST estadounidense (publicación SP 800-145, septiembre de 2011), y sigue sirviendo porque separa el modelo de la ubicación. Un cloud privado es una infraestructura de uso exclusivo de una sola organización; puede ser suya, estar gestionada por un tercero o una combinación de ambas cosas, y puede estar dentro o fuera de sus instalaciones. Un cloud público es de uso abierto y se encuentra en los locales del proveedor. Un cloud híbrido combina dos o más infraestructuras que siguen siendo independientes, unidas por una tecnología que permite llevar datos y aplicaciones de una a otra.
Esto tiene dos consecuencias prácticas. "Privado" no quiere decir "en el servidor de la oficina": una pyme puede tener un cloud privado gestionado por un proveedor, en un centro de datos externo. Y "híbrido" no es un nivel superior de madurez, sino tener parte de los sistemas en un sitio y parte en otro, con una conexión y una forma de mover datos entre ellos que alguien ha pensado.
Criterio 1: qué datos hay y qué obligaciones llevan
El punto de partida es saber qué hay en los sistemas. Tanto el Reglamento general de protección de datos (RGPD, artículo 32) como la Llei 29/2021 de Andorra (artículo 35) piden medidas técnicas y organizativas adecuadas al riesgo, entre ellas la capacidad de restaurar el acceso a los datos con rapidez si hay un incidente. Y si el tratamiento lo hace un proveedor, hay que elegir uno que ofrezca garantías suficientes y regular la relación por contrato escrito (RGPD artículo 28, Llei 29/2021 artículo 31).
Las dos normas tratan también las transferencias internacionales: el RGPD condiciona el envío de datos fuera de la Unión, y la Llei 29/2021 prohíbe las comunicaciones internacionales hacia países sin un nivel de protección equivalente, con las excepciones de los artículos 43 y 44. Ninguna de estas normas prohíbe el cloud público ni obliga a tener un cloud privado. Obligan a poder demostrar que se ha evaluado el riesgo y que se sabe dónde están los datos.
Hay un segundo efecto, indirecto. La Directiva NIS2 (artículo 21.2.d) incluye la seguridad de la cadena de suministro entre las medidas que deben aplicar las entidades obligadas. Si tu pyme es proveedora de una de ellas, puede pedirte garantías sobre dónde y cómo tratas su información.
Un método que funciona es clasificar los datos en tres grupos y decidir por grupo, no por empresa. Como orientación:
| Grupo | Ejemplos | Dónde suele encajar |
|---|---|---|
| Riesgo bajo | Web pública, material de marketing, entornos de prueba sin datos reales | Cloud público |
| Internos y confidenciales | Contabilidad, contratos, correo, ERP | Público con cifrado y copias propias, o privado gestionado |
| Regulados o críticos | Expedientes de clientes, datos de salud, datos de personal | Privado con ubicación conocida, o parte privada de un híbrido |
Criterio 2: coste total, no el precio de la primera factura
El cloud público suele evitar la inversión inicial en hardware y factura según el uso, pero la factura es variable y crece con el consumo. El privado reserva capacidad que se paga también cuando no se usa, a cambio de un gasto más previsible. El híbrido suma la complejidad de dos entornos y la conexión entre ellos. No damos cifras porque dependen de la carga y de cada oferta: la comparación útil es la que haces con tus datos.
Para comparar a tres años, incluye como mínimo:
- Cómputo y almacenamiento, con el crecimiento previsto.
- Copias de seguridad y dónde se guardan.
- Tráfico de red y conexiones entre entornos.
- Licencias de sistema, base de datos y aplicaciones.
- Horas de personas: de equipo interno o de proveedor, para actualizaciones, monitorización e incidencias.
- Migración inicial y coste de salida.
Este último punto tiene ahora una base legal en la Unión. El Reglamento (UE) 2023/2854 (Reglamento de Datos) es aplicable desde el 12 de septiembre de 2025 y afecta a los proveedores de servicios de tratamiento de datos que prestan servicio a clientes de la Unión, con independencia de dónde estén establecidos (artículo 1.3.f). Prevé que, a partir del 12 de enero de 2027, el proveedor no pueda imponer ningún coste por cambiar de proveedor, incluidos los costes de salida de datos; hasta entonces, solo costes reducidos que no superen los que soporta el proveedor por el proceso de cambio (artículo 29). Antes de firmar, el proveedor debe dar información clara sobre los costes estándar y las penalizaciones por resolución anticipada. Esto no sustituye a leer el contrato, pero da una base para exigirlo.
Criterio 3: dependencia del proveedor
Lo que cuesta es cambiar, no entrar. Para medir la dependencia pregunta tres cosas: qué datos y en qué formatos puedes exportar, quién guarda las claves de cifrado y cuánto tiempo y qué pasos hacen falta para salir.
El Reglamento de Datos da una lista útil de lo que debe incluir un contrato de cloud (artículo 25): el derecho a cambiar de proveedor o a volver a una infraestructura propia, un preaviso máximo de dos meses para iniciar el cambio, un periodo transitorio máximo de treinta días naturales, una especificación exhaustiva de las categorías de datos exportables y el apoyo del proveedor a la estrategia de salida del cliente. Si estás en Cataluña, la norma te ampara; si eres una empresa establecida solo en Andorra, no tienes garantizado que se te apliquen, así que conviene pactarlo en el contrato. En ambos casos es una buena lista de comprobación.
Una prueba sencilla de dependencia: pide una exportación completa de tus datos y comprueba que alguien puede abrirla sin el software del proveedor.
Criterio 4: rendimiento y proximidad
El rendimiento depende de la carga. Una aplicación de gestión que usan cada día veinte personas de una misma oficina va mejor con recursos cercanos y estables. Una tienda en línea con picos en Navidad, un hotel que llena la web de reservas al inicio de la temporada o una estación de esquí que concentra la venta en unos fines de semana necesitan capacidad que suba y baje con la demanda, y ahí la elasticidad del cloud público tiene sentido.
No decidas con la ficha técnica. Prueba la carga real con un piloto corto: lo que importa es cómo responde el sistema a tus usuarios, desde tu red, con tus datos.
Criterio 5: competencias internas
Un cloud privado o híbrido propio exige operarlo: actualizar sistemas, vigilarlo, verificar las copias y responder a los incidentes. El público también pide conocimiento, porque una mala configuración o un consumo sin control pueden dar sustos de seguridad y de factura. La pregunta honesta es quién lo hará y qué pasa cuando esa persona esté de vacaciones o se vaya.
Si el equipo interno es pequeño, tienes tres caminos: reforzarlo, contratar servicios gestionados, como un cloud privado gestionado, o repartir responsabilidades con un proveedor, dejando claro por escrito qué hace cada uno.
Cómo se ve en Andorra y en Cataluña
Son situaciones tipo, no casos reales.
- Despacho profesional de Andorra con expedientes de clientes: los datos regulados y el correo van a un entorno privado con ubicación conocida; las herramientas de ofimática o videollamada pueden ser públicas si se controla qué se sube.
- Hotel o comercio de Andorra con picos de temporada: la web y las reservas se benefician de un entorno elástico; la base de datos de clientes y la facturación pueden quedar en un entorno privado. Es el caso clásico de híbrido.
- Pyme industrial o comercial de L’Hospitalet o Girona con ERP y archivos: el ERP, estable y con datos de negocio, suele ir bien en un servidor gestionado; la colaboración y el correo pueden ser servicios públicos.
- Clínica o gestoría con datos especialmente sensibles: prima el riesgo sobre el precio, y conviene revisar sobre todo el contrato de encargado del tratamiento y las copias.
Dónde tenemos interés
En BDR Group ofrecemos cloud gestionado de la mano de Andorra Cloud, con centro de datos y equipo técnico en Andorra, y entornos cloud híbridos, de modo que tenemos interés en esta decisión. Nuestra posición es que el cloud público es la mejor opción para muchas cargas y que un entorno local solo compensa donde aporta algo concreto: datos cerca, una persona a quien llamar o una ubicación que se pueda explicar a un cliente o a un auditor.
Qué hacer ahora
- Haz inventario de los sistemas y clasifica los datos en tres grupos: riesgo bajo, internos y confidenciales, regulados o críticos.
- Anota, para cada sistema, dónde está, quién lo gestiona y qué contrato hay, y comprueba que tienes el contrato de encargado del tratamiento donde corresponde.
- Calcula el coste a tres años con las partidas de la lista, incluyendo horas de personas y el coste de salir.
- Pide a cada proveedor su política de exportación de datos, el preaviso y los costes de cambio, y prueba una exportación real.
- Decide por carga, no por empresa, y haz un piloto corto antes de mover nada crítico.
Preguntas frecuentes
¿El híbrido es siempre la mejor opción?
No. Da flexibilidad, pero añade complejidad y una conexión más que hay que mantener y proteger. Si todos los sistemas tienen requisitos parecidos, un solo modelo es más sencillo.
¿Un cloud privado significa tener servidores en la oficina?
No. Según la definición del NIST, un cloud privado es de uso exclusivo de una organización, pero puede estar gestionado por un tercero y encontrarse fuera de sus instalaciones.
¿El cloud público es menos seguro?
No por definición. La seguridad depende de la configuración, del acceso y de las copias, y el RGPD y la Llei 29/2021 piden medidas adecuadas al riesgo sea cual sea el modelo. Lo que cambia es quién se encarga de cada parte, y conviene tenerlo por escrito.
¿Puedo empezar en público y moverme después?
Sí, pero planifica la salida desde el primer día: formatos de exportación, preaviso y costes de cambio. En la Unión, el Reglamento de Datos limita esos costes y obliga a informar antes de firmar.
Fuentes
- NIST (Mell, Grance). The NIST Definition of Cloud Computing, SP 800-145. Septiembre de 2011. Consulta: 25/10/2026. https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-145.pdf
- Parlamento Europeo y Consejo. Reglamento (UE) 2016/679 (RGPD), artículos 28 y 32. DOUE L 119, de 4/5/2016. Consulta: 25/10/2026. https://www.boe.es/buscar/doc.php?id=DOUE-L-2016-80807
- Consell General d’Andorra. Llei 29/2021, del 28 d’octubre, qualificada de protecció de dades personals (Ley 29/2021, de 28 de octubre, cualificada de protección de datos personales), artículos 31, 35 y 42 a 44. BOPA núm. 119, de 17/11/2021. Consulta: 25/10/2026. https://www.apda.ad/assets/pdf/CGL20211115_08_58_32.pdf
- Parlamento Europeo y Consejo. Directiva (UE) 2022/2555 (NIS2), artículo 21. DOUE L 333, de 27/12/2022. Consulta: 25/10/2026. https://www.boe.es/buscar/doc.php?id=DOUE-L-2022-81963
- Parlamento Europeo y Consejo. Reglamento (UE) 2023/2854 (Reglamento de Datos), artículos 1, 2, 25 y 29. DOUE L, de 22/12/2023. Consulta: 25/10/2026. https://www.boe.es/doue/2023/2854/L00001-00071.pdf
¿Quieres saber qué modelo te conviene?
Si quieres revisar dónde están tus sistemas y qué cargas tienen sentido en cada entorno, empieza por la ficha del servicio: Cloud empresarial gestionado en Andorra
