Alternativa solo UE a AWS.

Amazon Web Services es el cloud público original, y el problema original de Schrems II. Las mismas regiones de la UE que hacen que AWS sea técnicamente utilizable para cargas de trabajo europeas no cambian la jurisdicción de la matriz: AWS Inc. es una corporación de Delaware, AWS EMEA SARL es una subsidiaria luxemburguesa totalmente controlada por ella, y la CLOUD Act aplica a ambas. Para cargas de trabajo auditadas, industrias reguladas y cualquier negocio al que un cliente le haya preguntado "¿tu proveedor está sujeto a citaciones de EE.UU.?", la respuesta honesta en AWS es sí. A continuación, el mapa de nivel de ingeniería para salir de ella.

Estados Unidos Pila de reemplazo, solo UE 14 servicios mapeados

Agendar una llamada Escanee primero su dominio

Proveedor: AWS
Sede: Seattle, WA
Jurisdicción: Estados Unidos
Régimen legal: CLOUD Act, FISA 702, EO 12333

"Región UE" no es soberanía. Cuatro preguntas lo deciden.

La residencia de datos dice dónde están los bits. La soberanía dice qué sistema legal puede obligar al acceso. La respuesta debe sostenerse en los cuatro puntos, o la pila no es soberana.

Residencia

¿Dónde se almacenan físicamente los datos?

No "en la nube": qué centro de datos, en qué país, bajo qué jurisdicción.

Subprocesadores

¿Quién más está en su ruta de datos?

Cada proveedor que toca los datos: el CDN, el relay de correo, el rastreador de errores, el pipeline de analítica.

Jurisdicción

¿Qué leyes pueden obligar a la divulgación?

Un proveedor con sede en EE. UU. está sujeto a la FISA 702 y a la CLOUD Act, aunque los datos estén en Fráncfort.

Custodia de claves

¿Quién posee realmente las claves de cifrado?

Si el proveedor cloud posee tanto los datos como las claves, puede leerlos, con independencia de cualquier DPA.

No cumple AWS · Azure · GCP · Región de la UE

Falla en jurisdicción y custodia de claves.

Bits en la UE, matriz con sede en EE. UU., subprocesadores estadounidenses en la ruta por defecto, claves gestionadas por el proveedor.

Cumple Stack gestionado por Binadit

Pasa en los cuatro.

Alojado en la UE sobre infraestructura con sede europea. Cero subprocesadores estadounidenses en la ruta por defecto. Claves del cliente o de un KMS europeo. Nombrados en su DPA del Artículo 28.

Por qué los equipos están saliendo AWS

Los motivos que escuchamos en las llamadas de scoping son consistentes: un requisito de compras que ahora exige "ningún procesador de datos de un tercer país" (NIS2, DORA, sector público), una auditoría de cliente (típicamente empresa B2B o sanidad) que señaló la relación con AWS, costes de egress y ancho de banda que escalan y que se ven peor cada trimestre, o una preocupación a nivel de dirección tras la ronda 2024-2025 de incertidumbre sobre los mecanismos de transferencia UE-EE.UU. El esfuerzo técnico para salir de AWS raramente es el obstáculo que parece ser. La fricción real está en la coreografía: migraciones de bases de datos sin downtime, cutover de DNS, continuidad de la observabilidad. Ahí es donde un partner de infraestructura gestionada ahorra meses.

AWS servicios y sus equivalentes solo en la UE

Una migración no es "cambiar una caja por otra". El mapeo a continuación es lo que ejecutamos para los clientes que dejan AWS por motivos de Schrems II: jurisdicción europea completa, sin matriz estadounidense en la ruta de datos.

AWS servicio	Lo que usamos en su lugar	Nota de ingeniería
EC2 (compute)	Binadit Managed Cloud Platform. Máquinas virtuales KVM sobre Debian o Ubuntu, aprovisionadas con Terraform y configuradas con Ansible.	Dimensionamos las instancias según tu perfil de carga real en lugar de un tier de catálogo, por lo que la mayoría de las migraciones terminan con menos máquinas y mejor utilizadas.
S3 (object storage)	Binadit Managed Cloud Platform. MinIO o Ceph RGW, compatible con S3.	Las APIs compatibles con S3 son universales; en la mayoría del código de la aplicación basta con cambiar un endpoint. Sin tarifas de egress en la mayoría de los proveedores de la UE.
RDS / Aurora (managed DB)	Binadit Managed Cloud Platform. PostgreSQL o MySQL con Patroni para failover y pgBackRest para recuperación point-in-time.	La replicación streaming permite una transición sin tiempo de inactividad. El precio de PostgreSQL gestionado en la UE suele ser entre un 30-50% más bajo que un RDS equivalente.
CloudFront (CDN)	Implementamos y operamos una CDN en la UE para ti: Bunny.net o KeyCDN, con caching de Nginx y Varnish en tu origin.	Un CDN es una de las pocas capas que no operamos nosotros mismos. Elegimos el proveedor de la UE, configuramos las cabeceras de caché, la estrategia de purga y el origin shielding, y lo operamos como parte del servicio gestionado.
Route 53 (DNS)	Binadit Managed Cloud Platform. PowerDNS o Knot, autoritativo, firmado con DNSSEC.	Las zonas se exportan e importan como archivos de zona estándar, por lo que suele ser la parte menos problemática de una migración. Reduce los TTL una semana antes.
Lambda (serverless)	Binadit Managed Cloud Platform. Knative u OpenFaaS en tu clúster de Kubernetes.	Para despliegues soberanos, Knative autoalojado sobre cómputo en la UE es la opción más limpia. La mayoría de las cargas de trabajo de Lambda caben en un pequeño clúster de Kubernetes.
SES (email)	Binadit Managed Cloud Platform. Postfix con DKIM, SPF y DMARC, y Rspamd para filtrado.	Para un volumen transaccional inferior a 1M/mes, un relay Postfix correctamente configurado es operativamente más simple y económico que SES.
SQS / SNS	Binadit Managed Cloud Platform. RabbitMQ, NATS o Redis Streams, según las garantías de entrega.	Los brokers de mensajería gestionados son escasos en el espacio soberano de la UE. El modelo autogestionado es el patrón estándar; nosotros lo operamos para los clientes.
EKS (managed Kubernetes)	Binadit Managed Cloud Platform. Kubernetes sobre Debian o Talos, con networking Cilium y cert-manager para certificados.	El K8s gestionado en proveedores de la UE tiene paridad de funcionalidades para el 95% de las cargas de trabajo.
CloudWatch / X-Ray	Binadit Managed Cloud Platform. Prometheus, Grafana, Loki y Tempo, integrados con OpenTelemetry.	El estándar OpenTelemetry hace que la migración sea trivial; la ganancia operativa son dashboards consolidados y precio cero por métrica.
IAM	Binadit Managed Cloud Platform. Keycloak o Authentik como proveedor de identidad, con OIDC y SAML.	No existe un reemplazo 1:1; la identidad multiplataforma se reconstruye con Vault, proveedores OIDC (Keycloak) y roles específicos por herramienta.
WAF / Shield	Binadit Managed Cloud Platform. Coraza o ModSecurity con el OWASP Core Rule Set, más CrowdSec para el bloqueo por comportamiento.	Las reglas se ajustan según tu tráfico en lugar de venir como un conjunto predeterminado, que es lo que evita que un WAF bloquee silenciosamente a clientes reales.
KMS	Binadit Private Infrastructure. Vault Transit para gestión de claves, con claves respaldadas por HSM donde el régimen de cumplimiento lo requiera.	Para escenarios HYOK, un HSM on-premises con BYOK del lado cloud es el patrón soberano estándar.
Secrets Manager / SSM Parameter Store	Binadit Managed Cloud Platform. HashiCorp Vault o Infisical, autoalojado, con rotación automática de leases.	Vault sobre infraestructura de la UE es la respuesta de calidad producción. La desplegamos y operamos nosotros.

EC2 (compute)

Lo que usamos en su lugar: Binadit Managed Cloud Platform. Máquinas virtuales KVM sobre Debian o Ubuntu, aprovisionadas con Terraform y configuradas con Ansible.
Nota de ingeniería: Dimensionamos las instancias según tu perfil de carga real en lugar de un tier de catálogo, por lo que la mayoría de las migraciones terminan con menos máquinas y mejor utilizadas.

S3 (object storage)

Lo que usamos en su lugar: Binadit Managed Cloud Platform. MinIO o Ceph RGW, compatible con S3.
Nota de ingeniería: Las APIs compatibles con S3 son universales; en la mayoría del código de la aplicación basta con cambiar un endpoint. Sin tarifas de egress en la mayoría de los proveedores de la UE.

RDS / Aurora (managed DB)

Lo que usamos en su lugar: Binadit Managed Cloud Platform. PostgreSQL o MySQL con Patroni para failover y pgBackRest para recuperación point-in-time.
Nota de ingeniería: La replicación streaming permite una transición sin tiempo de inactividad. El precio de PostgreSQL gestionado en la UE suele ser entre un 30-50% más bajo que un RDS equivalente.

CloudFront (CDN)

Lo que usamos en su lugar: Implementamos y operamos una CDN en la UE para ti: Bunny.net o KeyCDN, con caching de Nginx y Varnish en tu origin.
Nota de ingeniería: Un CDN es una de las pocas capas que no operamos nosotros mismos. Elegimos el proveedor de la UE, configuramos las cabeceras de caché, la estrategia de purga y el origin shielding, y lo operamos como parte del servicio gestionado.

Route 53 (DNS)

Lo que usamos en su lugar: Binadit Managed Cloud Platform. PowerDNS o Knot, autoritativo, firmado con DNSSEC.
Nota de ingeniería: Las zonas se exportan e importan como archivos de zona estándar, por lo que suele ser la parte menos problemática de una migración. Reduce los TTL una semana antes.

Lambda (serverless)

Lo que usamos en su lugar: Binadit Managed Cloud Platform. Knative u OpenFaaS en tu clúster de Kubernetes.
Nota de ingeniería: Para despliegues soberanos, Knative autoalojado sobre cómputo en la UE es la opción más limpia. La mayoría de las cargas de trabajo de Lambda caben en un pequeño clúster de Kubernetes.

SES (email)

Lo que usamos en su lugar: Binadit Managed Cloud Platform. Postfix con DKIM, SPF y DMARC, y Rspamd para filtrado.
Nota de ingeniería: Para un volumen transaccional inferior a 1M/mes, un relay Postfix correctamente configurado es operativamente más simple y económico que SES.

SQS / SNS

Lo que usamos en su lugar: Binadit Managed Cloud Platform. RabbitMQ, NATS o Redis Streams, según las garantías de entrega.
Nota de ingeniería: Los brokers de mensajería gestionados son escasos en el espacio soberano de la UE. El modelo autogestionado es el patrón estándar; nosotros lo operamos para los clientes.

EKS (managed Kubernetes)

Lo que usamos en su lugar: Binadit Managed Cloud Platform. Kubernetes sobre Debian o Talos, con networking Cilium y cert-manager para certificados.
Nota de ingeniería: El K8s gestionado en proveedores de la UE tiene paridad de funcionalidades para el 95% de las cargas de trabajo.

CloudWatch / X-Ray

Lo que usamos en su lugar: Binadit Managed Cloud Platform. Prometheus, Grafana, Loki y Tempo, integrados con OpenTelemetry.
Nota de ingeniería: El estándar OpenTelemetry hace que la migración sea trivial; la ganancia operativa son dashboards consolidados y precio cero por métrica.

IAM

Lo que usamos en su lugar: Binadit Managed Cloud Platform. Keycloak o Authentik como proveedor de identidad, con OIDC y SAML.
Nota de ingeniería: No existe un reemplazo 1:1; la identidad multiplataforma se reconstruye con Vault, proveedores OIDC (Keycloak) y roles específicos por herramienta.

WAF / Shield

Lo que usamos en su lugar: Binadit Managed Cloud Platform. Coraza o ModSecurity con el OWASP Core Rule Set, más CrowdSec para el bloqueo por comportamiento.
Nota de ingeniería: Las reglas se ajustan según tu tráfico en lugar de venir como un conjunto predeterminado, que es lo que evita que un WAF bloquee silenciosamente a clientes reales.

KMS

Lo que usamos en su lugar: Binadit Private Infrastructure. Vault Transit para gestión de claves, con claves respaldadas por HSM donde el régimen de cumplimiento lo requiera.
Nota de ingeniería: Para escenarios HYOK, un HSM on-premises con BYOK del lado cloud es el patrón soberano estándar.

Secrets Manager / SSM Parameter Store

Lo que usamos en su lugar: Binadit Managed Cloud Platform. HashiCorp Vault o Infisical, autoalojado, con rotación automática de leases.
Nota de ingeniería: Vault sobre infraestructura de la UE es la respuesta de calidad producción. La desplegamos y operamos nosotros.

Cómo migramos desde AWS

Una migración típica de mid-market se desarrolla en tres fases. Los números a continuación asumen un equipo de ingeniería de 6 a 10 personas y un stack de aplicación moderadamente complejo.

Semanas 1-2

Auditoría y mapa de dependencias

Inventariar todos los servicios de AWS en uso, cada rol de IAM, cada Lambda y cada llamada entre servicios. Etiquetar los flujos de datos personales. Resultado: un plan de remediación con hallazgos clasificados por riesgo y una estimación de esfuerzo por servicio.
Semanas 3-6

Dependencias blandas y preparación de egress

Reemplazar primero CloudFront, Route 53, SES y CloudWatch - sin cambios de código de aplicación para la mayoría. Trasladar los buckets de S3 detrás de almacenamiento compatible con S3 en la UE con escritura dual durante el corte. Preconfigurar réplicas de RDS en la UE.
Semanas 6-14

Transición del núcleo de Compute y DB

Migración de compute blue-green con cambio de tráfico a nivel de DNS. Cutover de base de datos mediante streaming replication durante una ventana de bajo tráfico. Las cargas de trabajo de EKS se trasladan a un K8s gestionado en la UE o a Talos autogestionado. Se da de baja la cuenta de AWS una vez verificado.

Modelado de TCO a 5 años sobre workloads que hemos migrado realmente: normalmente entre un 30-55% más económico en infraestructura soberana de la UE para workloads predecibles, neutro o ligeramente más alto para workloads muy variables que se benefician del autoscaling en menos de un segundo. El ahorro en egress por sí solo suele ser la diferencia entre un ROI positivo y negativo.

Preguntas frecuentes

Ver todas las preguntas frecuentes

¿Usar una región de AWS en la UE (Fráncfort, Irlanda, Estocolmo) resuelve el problema de Schrems II?

No. La residencia de los datos está en la UE, pero Amazon Web Services Inc. es el controlador de la infraestructura bajo la ley de EE. UU. La CLOUD Act permite a las autoridades estadounidenses exigir la divulgación de datos en poder de entidades controladas por EE. UU. en cualquier parte del mundo. El EDPB ha señalado explícitamente esto como un problema de Schrems II. AWS EMEA SARL es una filial luxemburguesa propiedad total de AWS Inc.; esa cadena de propiedad es lo que determina el análisis.

¿Cuánto tiempo toma en la práctica una salida de AWS?

Para una aplicación de mercado medio (10-50 instancias EC2, un par de bases de datos RDS, S3, CloudFront, SES) con un equipo de ingeniería de 6-10 personas y soporte operativo competente: 10-16 semanas de tiempo transcurrido. Con un partner de infraestructura gestionada liderando la coordinación (que es la mayor parte del trabajo real), 6-10 semanas.

¿Qué pasa con AWS GovCloud o AWS Sovereign Cloud Europe?

AWS GovCloud es para cargas de trabajo federales de EE.UU. y no es relevante para compradores de la UE. AWS European Sovereign Cloud (anunciada en 2023, en fase de construcción) es operada por personal de AWS con sede en la UE en regiones de la UE, pero la entidad legal matriz sigue siendo Amazon Web Services Inc. Si resulta "suficientemente soberana" depende de tu régimen de cumplimiento específico; para muchos análisis de Schrems II no es suficiente porque la jurisdicción de la matriz no cambia.

¿Perderemos funcionalidades al dejar AWS?

Determinados servicios gestionados (DynamoDB con latencias de milisegundos de un solo dígito, Aurora Serverless v2, acceso a modelos de Bedrock, entrenamiento en SageMaker sobre H100s) no tienen equivalentes soberanos limpios en la UE. Para el 90% de las cargas de trabajo del mercado medio - aplicaciones web, APIs, e-commerce, SaaS B2B, analítica sobre almacenes de datos - el stack soberano de la UE lo cubre. Te decimos de entrada si tu carga de trabajo está en la categoría del 10%.

¿Podemos mantener algunos servicios de AWS y migrar el resto?

Sí, un modelo híbrido a veces es la respuesta correcta. La disciplina consiste en mantener AWS únicamente para cargas de trabajo claramente no personales, y documentar el límite en tu DPA. Hemos gestionado modelos híbridos donde AWS se encarga del entrenamiento de ML (sin datos personales, solo por lotes) y la pila soberana de la UE gestiona toda la infraestructura orientada al cliente.

¿Cuánto cuesta una migración gestionada?

Precios basados en proyecto, definidos tras la auditoría. Salida típica de AWS para mercado medio: 25.000-80.000 € por el proyecto, más la cuota continua de infraestructura gestionada para la nueva pila en la UE. El ahorro del primer año en gasto de AWS normalmente supera el coste del proyecto.

Planifique su salida de AWS.

Llamada de alcance de 30 minutos. Mapeamos su stack frente a alternativas solo UE, estimamos el esfuerzo de migración y le decimos si es la decisión correcta.

Agendar una llamada Comparar otro proveedor