> Guia practica para usar Amazon Web Services en una web europea cumpliendo el RGPD: cookies de AWS, consentimiento ePrivacy, EU-US Data Privacy Framework y DPA. > > Canonical: https://www.flowconsent.com/es/services/alojamiento/aws Alojamiento # Amazon Web Services (AWS) Sin clasificar · [Sitio oficial](https://aws.amazon.com) Amazon Web Services es la principal plataforma de infraestructura cloud del mundo y ofrece cómputo, almacenamiento, distribución de contenido (CloudFront), bases de datos, machine learning y cientos de servicios adicionales. Muchas webs europeas usan AWS a través de CloudFront para los assets estáticos, S3 para almacenar medios, EC2 o Lambda para el hospedaje de la aplicación, y CloudWatch o QuickSight para analítica. Como AWS lo opera Amazon Web Services Inc., una empresa bajo control estadounidense, todo despliegue europeo debe abordar las transferencias internacionales y documentar una base legal clara conforme al RGPD. [Bloquear Amazon Web Services (AWS) hasta el consentimiento](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=hosting) · [Escanear mi sitio](https://www.flowconsent.com/es/scan) En resumen - Categoría [Alojamiento](https://www.flowconsent.com/es/services/alojamiento) - Consentimiento Sin clasificar - Consentimiento previo Obligatorio - Cookies documentadas 4 - Dominios de terceros 4 - Servidores Global, multi-region, customer configurable. EU regions include Frankfurt, Ireland, Paris, Stockholm, Milan, Madrid and Zurich. US regions remain the default for many features. Presentación ## ¿Qué hace Amazon Web Services (AWS)? ## **Que hace Amazon Web Services y como aparece AWS en una web** Amazon Web Services (AWS) es la principal plataforma cloud del mundo, operada por Amazon Web Services Inc., filial de Amazon.com Inc. registrada en Seattle, Washington. En una web europea AWS suele aparecer de tres formas: Amazon CloudFront entregando imágenes, scripts y HTML desde nodos perimetrales cercanos al visitante, Amazon S3 almacenando assets estáticos y medios subidos, y Amazon EC2 o AWS Lambda ejecutando el backend. Otras piezas como Amazon Cognito (autenticación), Amazon Pinpoint (push, email), AWS WAF (filtrado de seguridad) o Amazon Rekognition (análisis de imagen) también pueden tratar datos personales. Aun seleccionando una región europea, AWS sigue sujeto a la jurisdicción estadounidense. El soporte ubicado en EE. UU. puede acceder a la infraestructura para resolver incidencias, IAM y la facturación atraviesan endpoints globales, y algunos servicios gestionados replican metadatos entre regiones. Esta doble huella UE/EE. UU. es la pregunta central del RGPD para cualquier despliegue AWS. ## **Cookies y datos recopilados por AWS** AWS no instala cookies de marketing por si mismo. La capa de infraestructura coloca un número reducido de cookies técnicas, principalmente AWSALB y AWSALBCORS utilizadas por el Application Load Balancer para mantener una sesión en el mismo backend, AWSELB del antiguo Classic Load Balancer e identificadores similares cuando se habilitan sesiones persistentes. CloudFront no fija cookies por defecto pero procesa la dirección IP del visitante, la cabecera User-Agent, la URL solicitada y los metadatos TLS. Los registros pueden conservarse en buckets de Amazon S3 configurados por el editor. Cuando se montan servicios superiores sobre AWS, como Amazon Pinpoint, AWS Personalize o Amazon Connect, se procesan identificadores y datos de perfil adicionales. El editor del sitio sigue siendo responsable del tratamiento y debe documentar cada cookie o entrada de almacenamiento local activada por componentes AWS. ## **Implicaciones RGPD y ePrivacy** Amazon Web Services Inc. actúa como encargado del tratamiento cuando aloja una web europea, y el editor mantiene la responsabilidad. Es obligatorio firmar el DPA de AWS, disponible en el portal AWS Artifact. El DPA incorpora las cláusulas contractuales tipo de la Comisión Europea y el anexo del Reino Unido, lista los subencargados y describe medidas de seguridad alineadas con ISO 27001, ISO 27018, SOC 2 y el código de conducta cloud europeo. Conforme a la Directiva ePrivacy traspuesta en cada Estado miembro (LSSI-CE en España, TTDSG en Alemania, LCEN en Francia), toda cookie o identificador no estrictamente necesario depositado a través de un componente AWS requiere un consentimiento informado y libre antes del almacenamiento en el terminal del visitante. Las cookies de balanceo suelen considerarse estrictamente necesarias y quedan exentas, pero no las cookies analíticas, de personalización o publicitarias construidas sobre AWS. ## **Transferencias internacionales y EU-US Data Privacy Framework** Amazon Web Services Inc. esta certificada bajo el EU-US Data Privacy Framework, reconocido por la Comisión Europea en la decisión de adecuación 2023/1795. Las transferencias desde la UE a AWS en EE. UU. cuentan así con base de adecuación, complementada con cláusulas contractuales tipo para países fuera del marco. Tras la sentencia Schrems II, se recomiendan medidas adicionales como claves de cifrado gestionadas por el cliente (AWS KMS con claves importadas), políticas IAM estrictas y evaluaciones de impacto de las transferencias. Para cargas sensibles, los editores pueden fijar los servicios a regiones de la UE, activar AWS Nitro Enclaves y excluir contractualmente el acceso del soporte estadounidense mediante la futura AWS European Sovereign Cloud anunciada para la región de Brandeburgo. ## **Consentimiento y base legal** Para uso puramente infraestructural (hosting, cache CDN, filtrado de seguridad), el artículo 6.1.f del RGPD (interés legítimo) es la base habitual, apoyada en una evaluación de interés legítimo documentada. Para cualquier funcionalidad AWS que perfile usuarios, ejecute analítica o alimente publicidad, es obligatorio un consentimiento previo recogido por una CMP conforme antes de toda llamada al SDK o pixel de AWS. ## **Pasos prácticos de cumplimiento** Firmar el DPA de AWS, restringir las cargas a regiones UE siempre que el negocio lo permita, activar cifrado en reposo y en transito con claves del cliente, limitar los accesos IAM a roles nombrados, configurar la retención de logs al mínimo necesario, mencionar AWS y sus subencargados relevantes en la política de privacidad, documentar la evaluación de impacto de las transferencias e integrar cada cookie o pixel disparado por AWS en la CMP para que solo cargue tras un opt-in explícito cuando se requiera consentimiento. Cumplimiento ## Amazon Web Services (AWS) y el RGPD Amazon Web Services (AWS) está clasificado como «Sin clasificar». En un sitio dirigido a visitantes europeos, solo debe cargarse después del consentimiento del visitante y debe figurar en su política de cookies. - Base jurídica Legitimate interest under Article 6(1)(f) GDPR for core hosting and security (load balancers, CDN cache) when properly documented. Consent under Article 6(1)(a) is required when AWS components serve tracking, analytics or advertising features and store identifiers on the user device. - Nivel de riesgo medium - Normativa aplicable GDPR, ePrivacy Directive, EU-US Data Privacy Framework, Schrems II case law, German TTDSG / TDDDG, French Data Protection Act ### Evaluación de impacto (EIPD) Se recomienda una Evaluación de Impacto en Protección de Datos (EIPD) cuando AWS aloja datos personales a gran escala, trata categorías especiales o combina CloudFront, AWS WAF y CloudWatch con identificadores de usuario. La EIPD debe abarcar la elección de región, el cifrado en reposo y en transito, los controles IAM, la lista de subencargados, los plazos de conservación y el plan de respuesta ante solicitudes de acceso de autoridades estadounidenses. ### Texto de ejemplo para su banner > Utilizamos Amazon Web Services para alojar y entregar este sitio, incluida la distribución mediante Amazon CloudFront. AWS puede instalar cookies técnicas para balanceo de carga y procesar su dirección IP. Algunos flujos transitan por infraestructura estadounidense bajo el EU-US Data Privacy Framework y las cláusulas contractuales tipo. Al pulsar Aceptar autoriza estos tratamientos para las funciones de analítica y personalización basadas en AWS. Cookies y rastreadores ## Lo que Amazon Web Services (AWS) instala y contacta - Método de seguimiento Cloud infrastructure with session cookies for load balancing and content delivery - Ubicación de los servidores Global, multi-region, customer configurable. EU regions include Frankfurt, Ireland, Paris, Stockholm, Milan, Madrid and Zurich. US regions remain the default for many features. - Transferencia de datos fuera de la UE Operated by Amazon Web Services Inc. (United States). Even when an EU region is selected, support access, billing data, IAM and several global services route through US infrastructure. Transfers rely on Standard Contractual Clauses and the EU-US Data Privacy Framework certification. ### Cookies instaladas (4) | Nombre | Tipo | Duración | Finalidad | | ---------- | ----------- | -------- | -------------------------------------------------------------------------------------------------------- | | AWSALB | HTTP cookie | 7 days | Application Load Balancer sticky session: keeps a visitor on the same backend instance during a session. | | AWSALBCORS | HTTP cookie | 7 days | Same as AWSALB but compatible with cross-origin requests using the SameSite=None attribute. | | AWSELB | HTTP cookie | Session | Classic Load Balancer sticky session, legacy equivalent of AWSALB. | | AWSELBCORS | HTTP cookie | Session | Classic Load Balancer sticky session in cross-origin context. | ### Dominios de terceros contactados (4) - `amazonaws.com` - `cloudfront.net` - `awsstatic.com` - `s3.amazonaws.com` Preguntas ## Preguntas frecuentes sobre Amazon Web Services (AWS) ¿No encuentra su pregunta? Escríbanos, respondemos rápido. [Escríbanos](https://www.flowconsent.com/es/demo) ### ¿Qué cookies instala AWS en una web? AWS solo coloca unas pocas cookies técnicas. El Application Load Balancer puede establecer AWSALB y AWSALBCORS (7 días) para mantener al visitante en el mismo backend, y el antiguo Classic Load Balancer usa AWSELB y AWSELBCORS. CloudFront no instala cookies por defecto, pero al activar signed cookies para contenido protegido puede guardar CloudFront-Key-Pair-Id y CloudFront-Policy. Servicios AWS de mas alto nivel como Pinpoint o Personalize fijan sus propios identificadores. ### ¿Se necesita consentimiento para usar AWS en mi web? Para uso de infraestructura puro, como cache de CloudFront o un Application Load Balancer que mantiene la sesión, las cookies de balanceo suelen considerarse estrictamente necesarias y quedan exentas de consentimiento previo bajo la Directiva ePrivacy. El consentimiento es obligatorio en cuanto los componentes AWS sirven analítica, publicidad, personalización o perfilado. ### ¿Cuál es la base legal para los tratamientos vía AWS? El interés legítimo del artículo 6.1.f del RGPD es la base mas habitual para alojamiento y seguridad, apoyada en una evaluación de interés legítimo documentada. El consentimiento del artículo 6.1.a es necesario para marketing y perfilado. La necesidad contractual del artículo 6.1.b puede aplicar cuando AWS aloja un servicio al que el visitante se ha suscrito expresamente. ### ¿Transfiere AWS datos a Estados Unidos? Si. Aun seleccionando región UE, el soporte, IAM y algunos servicios globales pueden acceder a los datos desde Estados Unidos. Amazon Web Services Inc. esta certificada bajo el EU-US Data Privacy Framework reconocido por la Comisión Europea y AWS facilita cláusulas contractuales tipo en su DPA. Tras Schrems II se recomiendan medidas adicionales como claves de cifrado gestionadas por el cliente. ### ¿Necesito una EIPD para usar AWS? Se recomienda una Evaluación de Impacto en Protección de Datos cuando AWS aloja datos personales a gran escala, trata categorías especiales o combina seguridad, distribución de contenido y analítica vinculadas a identificadores de usuario. La EIPD debe documentar la elección de región, el cifrado, los controles IAM, la conservación, los subencargados y la respuesta a solicitudes de autoridades estadounidenses. ### ¿Cómo desplegar AWS conforme al RGPD en una web europea? Firmar el DPA de AWS en AWS Artifact, restringir las cargas a regiones UE cuando sea posible, activar cifrado en reposo y en transito con claves del cliente, limitar las políticas IAM a roles nombrados, conservar logs solo el tiempo necesario e integrar cada cookie o píxel disparado por AWS en la CMP para que cargue solo tras opt-in explícito cuando se requiera consentimiento. ### ¿Hay alternativas a AWS mas amigables con el RGPD? Para CDN puro, Bunny CDN, KeyCDN y Scaleway Edge son europeos. Para almacenamiento de objetos, Scaleway, OVHcloud y Hetzner ofrecen servicios compatibles con S3 en regiones UE. Para cómputo y serverless, OVHcloud, Scaleway, Hetzner y la futura AWS European Sovereign Cloud son opciones. La alternativa adecuada depende de la carga, certificaciones requeridas y SLA. ### ¿Cómo actualizar la política de cookies tras desplegar AWS? Listar AWS como encargado en la política de privacidad, nombrar CloudFront y cualquier otro servicio AWS en uso, describir las cookies técnicas instaladas (AWSALB, AWSALBCORS, AWSELB), mencionar el EU-US Data Privacy Framework y el uso de cláusulas contractuales tipo, enlazar el DPA de AWS y ofrecer un punto de contacto para las solicitudes de los interesados. Misma categoría ## Más servicios: Alojamiento [Ver toda la categoría](https://www.flowconsent.com/es/services/alojamiento) ### [Windows Server](https://www.flowconsent.com/es/services/alojamiento/windows-server) [Alojamiento](https://www.flowconsent.com/es/services/alojamiento/windows-server) · ### [Host Europe](https://www.flowconsent.com/es/services/alojamiento/hosteurope) [Alojamiento](https://www.flowconsent.com/es/services/alojamiento/hosteurope) · ### [Synology DiskStation](https://www.flowconsent.com/es/services/alojamiento/synology-diskstation) [Alojamiento](https://www.flowconsent.com/es/services/alojamiento/synology-diskstation) · ### [Supabase](https://www.flowconsent.com/es/services/alojamiento/supabase) [Alojamiento](https://www.flowconsent.com/es/services/alojamiento/supabase) · ### [Render](https://www.flowconsent.com/es/services/alojamiento/render) [Alojamiento](https://www.flowconsent.com/es/services/alojamiento/render) · ### [iWeb](https://www.flowconsent.com/es/services/alojamiento/iweb) [Alojamiento](https://www.flowconsent.com/es/services/alojamiento/iweb) ## Haga que su sitio cumpla la normativa hoy mismo. Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso. [Crear mi banner](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Escanear mi sitio](https://www.flowconsent.com/es/scan)