Alternativa solo UE a AWS.

Amazon Web Services is the original public cloud - and the original Schrems II problem. The same EU regions that make AWS technically usable for European workloads do not change the parent jurisdiction: AWS Inc. is a Delaware corporation, AWS EMEA SARL is a Luxembourg subsidiary fully controlled by it, and the CLOUD Act applies to both. For audited workloads, regulated industries and any business that has had a customer ask "is your provider US-subpoenable?", the honest answer on AWS is yes. Below is the engineering-grade map for getting off it.

United States Pila de reemplazo, solo UE 14 servicios mapeados

Agendar una llamada Escanee primero su dominio

Proveedor: AWS
Sede: Seattle, WA
Jurisdicción: United States
Régimen legal: CLOUD Act, FISA 702, EO 12333

"Región UE" no es soberanía. Cuatro preguntas lo deciden.

La residencia de datos dice dónde están los bits. La soberanía dice qué sistema legal puede obligar al acceso. La respuesta debe sostenerse en los cuatro puntos, o la pila no es soberana.

Residencia

¿Dónde se almacenan físicamente los datos?

No "en la nube": qué centro de datos, en qué país, bajo qué jurisdicción.

Subprocesadores

¿Quién más está en su ruta de datos?

Cada proveedor que toca los datos: el CDN, el relay de correo, el rastreador de errores, el pipeline de analítica.

Jurisdicción

¿Qué leyes pueden obligar a la divulgación?

Un proveedor con sede en EE. UU. está sujeto a la FISA 702 y a la CLOUD Act, aunque los datos estén en Fráncfort.

Custodia de claves

¿Quién posee realmente las claves de cifrado?

Si el proveedor cloud posee tanto los datos como las claves, puede leerlos, con independencia de cualquier DPA.

No cumple AWS · Azure · GCP · Región de la UE

Falla en jurisdicción y custodia de claves.

Bits en la UE, matriz con sede en EE. UU., subprocesadores estadounidenses en la ruta por defecto, claves gestionadas por el proveedor.

Cumple Stack gestionado por Binadit

Pasa en los cuatro.

Alojado en la UE sobre infraestructura con sede europea. Cero subprocesadores estadounidenses en la ruta por defecto. Claves del cliente o de un KMS europeo. Nombrados en su DPA del Artículo 28.

Por qué los equipos están saliendo AWS

The drivers we hear in scoping calls are consistent: a procurement gate that now demands "no third-country data processor" (NIS2, DORA, public sector), a customer audit (typically B2B enterprise or healthcare) that flagged the AWS relationship, escalating egress and bandwidth costs that look worse every quarter, or a leadership-level concern after the 2024-2025 round of EU-US transfer mechanism uncertainty. The technical lift to leave AWS is rarely the blocker it appears to be. The real friction is choreography: zero-downtime database migrations, DNS cutover, observability continuity. That is where a managed-infrastructure partner saves months.

AWS servicios y sus equivalentes solo en la UE

Una migración no es "cambiar una caja por otra". El mapeo a continuación es lo que ejecutamos para los clientes que dejan AWS por motivos de Schrems II: jurisdicción europea completa, sin matriz estadounidense en la ruta de datos.

AWS servicio	Lo que usamos en su lugar	Nota de ingeniería
EC2 (compute)	Binadit Managed Cloud Platform. Máquinas virtuales KVM sobre Debian o Ubuntu, aprovisionadas con Terraform y configuradas con Ansible.	Dimensionamos las instancias según tu perfil de carga real en lugar de un tier de catálogo, por lo que la mayoría de las migraciones terminan con menos máquinas y mejor utilizadas.
S3 (object storage)	Binadit Managed Cloud Platform. MinIO o Ceph RGW, compatible con S3.	Las APIs compatibles con S3 son universales; en la mayoría del código de la aplicación basta con cambiar un endpoint. Sin tarifas de egress en la mayoría de los proveedores de la UE.
RDS / Aurora (managed DB)	Binadit Managed Cloud Platform. PostgreSQL o MySQL con Patroni para failover y pgBackRest para recuperación point-in-time.	La replicación streaming permite una transición sin tiempo de inactividad. El precio de PostgreSQL gestionado en la UE suele ser entre un 30-50% más bajo que un RDS equivalente.
CloudFront (CDN)	Implementamos y operamos una CDN en la UE para ti: Bunny.net o KeyCDN, con caching de Nginx y Varnish en tu origin.	Un CDN es una de las pocas capas que no operamos nosotros mismos. Elegimos el proveedor de la UE, configuramos las cabeceras de caché, la estrategia de purga y el origin shielding, y lo operamos como parte del servicio gestionado.
Route 53 (DNS)	Binadit Managed Cloud Platform. PowerDNS o Knot, autoritativo, firmado con DNSSEC.	Las zonas se exportan e importan como archivos de zona estándar, por lo que suele ser la parte menos problemática de una migración. Reduce los TTL una semana antes.
Lambda (serverless)	Binadit Managed Cloud Platform. Knative u OpenFaaS en tu clúster de Kubernetes.	Para despliegues soberanos, Knative autoalojado sobre cómputo en la UE es la opción más limpia. La mayoría de las cargas de trabajo de Lambda caben en un pequeño clúster de Kubernetes.
SES (email)	Binadit Managed Cloud Platform. Postfix con DKIM, SPF y DMARC, y Rspamd para filtrado.	Para un volumen transaccional inferior a 1M/mes, un relay Postfix correctamente configurado es operativamente más simple y económico que SES.
SQS / SNS	Binadit Managed Cloud Platform. RabbitMQ, NATS o Redis Streams, según las garantías de entrega.	Los brokers de mensajería gestionados son escasos en el espacio soberano de la UE. El modelo autogestionado es el patrón estándar; nosotros lo operamos para los clientes.
EKS (managed Kubernetes)	Binadit Managed Cloud Platform. Kubernetes sobre Debian o Talos, con networking Cilium y cert-manager para certificados.	El K8s gestionado en proveedores de la UE tiene paridad de funcionalidades para el 95% de las cargas de trabajo.
CloudWatch / X-Ray	Binadit Managed Cloud Platform. Prometheus, Grafana, Loki y Tempo, integrados con OpenTelemetry.	El estándar OpenTelemetry hace que la migración sea trivial; la ganancia operativa son dashboards consolidados y precio cero por métrica.
IAM	Binadit Managed Cloud Platform. Keycloak o Authentik como proveedor de identidad, con OIDC y SAML.	No existe un reemplazo 1:1; la identidad multiplataforma se reconstruye con Vault, proveedores OIDC (Keycloak) y roles específicos por herramienta.
WAF / Shield	Binadit Managed Cloud Platform. Coraza o ModSecurity con el OWASP Core Rule Set, más CrowdSec para el bloqueo por comportamiento.	Las reglas se ajustan según tu tráfico en lugar de venir como un conjunto predeterminado, que es lo que evita que un WAF bloquee silenciosamente a clientes reales.
KMS	Binadit Private Infrastructure. Vault Transit para gestión de claves, con claves respaldadas por HSM donde el régimen de cumplimiento lo requiera.	Para escenarios HYOK, un HSM on-premises con BYOK del lado cloud es el patrón soberano estándar.
Secrets Manager / SSM Parameter Store	Binadit Managed Cloud Platform. HashiCorp Vault o Infisical, autoalojado, con rotación automática de leases.	Vault sobre infraestructura de la UE es la respuesta de calidad producción. La desplegamos y operamos nosotros.

EC2 (compute)

Lo que usamos en su lugar: Binadit Managed Cloud Platform. Máquinas virtuales KVM sobre Debian o Ubuntu, aprovisionadas con Terraform y configuradas con Ansible.
Nota de ingeniería: Dimensionamos las instancias según tu perfil de carga real en lugar de un tier de catálogo, por lo que la mayoría de las migraciones terminan con menos máquinas y mejor utilizadas.

S3 (object storage)

Lo que usamos en su lugar: Binadit Managed Cloud Platform. MinIO o Ceph RGW, compatible con S3.
Nota de ingeniería: Las APIs compatibles con S3 son universales; en la mayoría del código de la aplicación basta con cambiar un endpoint. Sin tarifas de egress en la mayoría de los proveedores de la UE.

RDS / Aurora (managed DB)

Lo que usamos en su lugar: Binadit Managed Cloud Platform. PostgreSQL o MySQL con Patroni para failover y pgBackRest para recuperación point-in-time.
Nota de ingeniería: La replicación streaming permite una transición sin tiempo de inactividad. El precio de PostgreSQL gestionado en la UE suele ser entre un 30-50% más bajo que un RDS equivalente.

CloudFront (CDN)

Lo que usamos en su lugar: Implementamos y operamos una CDN en la UE para ti: Bunny.net o KeyCDN, con caching de Nginx y Varnish en tu origin.
Nota de ingeniería: Un CDN es una de las pocas capas que no operamos nosotros mismos. Elegimos el proveedor de la UE, configuramos las cabeceras de caché, la estrategia de purga y el origin shielding, y lo operamos como parte del servicio gestionado.

Route 53 (DNS)

Lo que usamos en su lugar: Binadit Managed Cloud Platform. PowerDNS o Knot, autoritativo, firmado con DNSSEC.
Nota de ingeniería: Las zonas se exportan e importan como archivos de zona estándar, por lo que suele ser la parte menos problemática de una migración. Reduce los TTL una semana antes.

Lambda (serverless)

Lo que usamos en su lugar: Binadit Managed Cloud Platform. Knative u OpenFaaS en tu clúster de Kubernetes.
Nota de ingeniería: Para despliegues soberanos, Knative autoalojado sobre cómputo en la UE es la opción más limpia. La mayoría de las cargas de trabajo de Lambda caben en un pequeño clúster de Kubernetes.

SES (email)

Lo que usamos en su lugar: Binadit Managed Cloud Platform. Postfix con DKIM, SPF y DMARC, y Rspamd para filtrado.
Nota de ingeniería: Para un volumen transaccional inferior a 1M/mes, un relay Postfix correctamente configurado es operativamente más simple y económico que SES.

SQS / SNS

Lo que usamos en su lugar: Binadit Managed Cloud Platform. RabbitMQ, NATS o Redis Streams, según las garantías de entrega.
Nota de ingeniería: Los brokers de mensajería gestionados son escasos en el espacio soberano de la UE. El modelo autogestionado es el patrón estándar; nosotros lo operamos para los clientes.

EKS (managed Kubernetes)

Lo que usamos en su lugar: Binadit Managed Cloud Platform. Kubernetes sobre Debian o Talos, con networking Cilium y cert-manager para certificados.
Nota de ingeniería: El K8s gestionado en proveedores de la UE tiene paridad de funcionalidades para el 95% de las cargas de trabajo.

CloudWatch / X-Ray

Lo que usamos en su lugar: Binadit Managed Cloud Platform. Prometheus, Grafana, Loki y Tempo, integrados con OpenTelemetry.
Nota de ingeniería: El estándar OpenTelemetry hace que la migración sea trivial; la ganancia operativa son dashboards consolidados y precio cero por métrica.

IAM

Lo que usamos en su lugar: Binadit Managed Cloud Platform. Keycloak o Authentik como proveedor de identidad, con OIDC y SAML.
Nota de ingeniería: No existe un reemplazo 1:1; la identidad multiplataforma se reconstruye con Vault, proveedores OIDC (Keycloak) y roles específicos por herramienta.

WAF / Shield

Lo que usamos en su lugar: Binadit Managed Cloud Platform. Coraza o ModSecurity con el OWASP Core Rule Set, más CrowdSec para el bloqueo por comportamiento.
Nota de ingeniería: Las reglas se ajustan según tu tráfico en lugar de venir como un conjunto predeterminado, que es lo que evita que un WAF bloquee silenciosamente a clientes reales.

KMS

Lo que usamos en su lugar: Binadit Private Infrastructure. Vault Transit para gestión de claves, con claves respaldadas por HSM donde el régimen de cumplimiento lo requiera.
Nota de ingeniería: Para escenarios HYOK, un HSM on-premises con BYOK del lado cloud es el patrón soberano estándar.

Secrets Manager / SSM Parameter Store

Lo que usamos en su lugar: Binadit Managed Cloud Platform. HashiCorp Vault o Infisical, autoalojado, con rotación automática de leases.
Nota de ingeniería: Vault sobre infraestructura de la UE es la respuesta de calidad producción. La desplegamos y operamos nosotros.

Cómo migramos desde AWS

Una migración típica de mid-market se desarrolla en tres fases. Los números a continuación asumen un equipo de ingeniería de 6 a 10 personas y un stack de aplicación moderadamente complejo.

Weeks 1-2

Audit & dependency map

Inventory every AWS service in use, every IAM role, every Lambda, every cross-service call. Tag personal data flows. Output: a remediation plan with risk-ranked findings and an effort estimate per service.
Weeks 3-6

Soft dependencies & egress prep

Replace CloudFront, Route 53, SES and CloudWatch first - zero application code changes for most. Move S3 buckets behind S3-compatible EU storage with dual-write during cutover. Pre-stage replicas of RDS in EU.
Weeks 6-14

Core compute & DB cutover

Blue-green compute migration with DNS-level traffic shift. Streaming-replication database cutover during a low-traffic window. EKS workloads moved to managed EU K8s or self-managed Talos. Decommission AWS account once verified.

5-year TCO modelling on workloads we have actually migrated: typically 30-55% cheaper on EU sovereign infrastructure for predictable workloads, neutral to slightly higher for highly bursty workloads that benefit from sub-second autoscaling. Egress savings alone are often the difference between a positive and negative ROI.

Preguntas frecuentes

Ver todas las preguntas frecuentes

Does using an AWS EU region (Frankfurt, Ireland, Stockholm) solve the Schrems II problem?

No. The data residency is in the EU but Amazon Web Services Inc. is the controller of the infrastructure under US law. The CLOUD Act allows US authorities to compel disclosure of data held by US-controlled entities anywhere in the world. The EDPB has explicitly flagged this as a Schrems II issue. AWS EMEA SARL is a Luxembourg subsidiary fully owned by AWS Inc.; that ownership chain is what the analysis turns on.

How long does an AWS exit take in practice?

For a mid-market application (10-50 EC2 instances, a couple of RDS databases, S3, CloudFront, SES) with a 6-10 person engineering team and competent operational support: 10-16 weeks elapsed time. With a managed-infrastructure partner driving the choreography (which is most of the actual work), 6-10 weeks.

What about AWS GovCloud or AWS Sovereign Cloud Europe?

AWS GovCloud is for US federal workloads and is not relevant to EU buyers. AWS European Sovereign Cloud (announced 2023, in build-out) is operated by EU-headquartered AWS staff in EU regions, but the parent legal entity remains Amazon Web Services Inc. Whether it is "sovereign enough" depends on your specific compliance regime; for many Schrems II analyses it is not sufficient because the parent jurisdiction is unchanged.

Will we lose features by leaving AWS?

Specific managed services (DynamoDB single-digit-ms, Aurora Serverless v2, Bedrock model access, SageMaker training on H100s) have no clean EU sovereign equivalents. For 90% of mid-market workloads - web applications, APIs, e-commerce, B2B SaaS, analytics on warehouses - the EU sovereign stack covers it. We tell you upfront if your workload sits in the 10% category.

Can we keep some AWS services and migrate the rest?

Yes - a hybrid is sometimes the right answer. The discipline is to keep AWS only for clearly non-personal workloads, and document the boundary in your DPA. We have run hybrids where AWS handles ML training (no personal data, batch-only) and the EU sovereign stack handles all customer-facing infrastructure.

What does a managed exit cost?

Project-based pricing, scoped after the audit. Typical mid-market AWS exit: €25-80k for the project, plus the ongoing managed-infrastructure retainer for the new EU stack. The first-year savings on AWS spend usually exceed the project cost.

Planifique su salida de AWS.

Llamada de alcance de 30 minutos. Mapeamos su stack frente a alternativas solo UE, estimamos el esfuerzo de migración y le decimos si es la decisión correcta.

Agendar una llamada Comparar otro proveedor