Dropbox

Que es Dropbox

Dropbox es uno de los servicios originales de almacenamiento y sincronización en la nube, operado por Dropbox Inc., con sede en San Francisco y cotizada en NASDAQ. En un sitio web, Dropbox aparece como encargado del tratamiento de almacenamiento backend (el operador usa la API de Dropbox o un conector de terceros para almacenar archivos en una cuenta Dropbox) o como componente embebido (Dropbox Chooser para elegir un archivo del Dropbox del visitante, Dropbox Saver para guardarlo en su Dropbox, Dropbox Embedder para previsualizar un archivo compartido). Los componentes embebidos son widgets JavaScript cargados desde www.dropbox.com.

Flujos de datos por caso de uso

Para almacenamiento backend, el servidor del operador sube archivos a una carpeta Dropbox vía la API. Contenido y metadatos residen en infraestructura Dropbox. Para componentes embebidos, el navegador del visitante carga JavaScript directamente desde dropbox.com y se autentica frente a la cuenta Dropbox del propio visitante. En ese flujo, Dropbox ve la IP del visitante, el user agent, la URL referente de la página del operador y la identidad de la cuenta Dropbox. Dropbox coloca algunas cookies (lid, gvc, t, hp_session) en el dominio dropbox.com.

Implicaciones RGPD y ePrivacy

Para almacenamiento backend, aplica el RGPD y Dropbox actúa como encargado bajo su Business Agreement y DPA. El artículo 5(3) de ePrivacy no se aplica si no se colocan cookies en el dispositivo del visitante. Para componentes embebidos, ambos aplican: las cookies en dropbox.com requieren consentimiento, y los datos personales compartidos con Dropbox (IP, identidad, referer) entran en el RGPD. Los operadores deben tratar los componentes embebidos como widgets de terceros que requieren un gating granular (funcional o marketing según el caso).

Residencia y CLOUD Act US

Los planes Dropbox Business Advanced y Enterprise incluyen residencia UE: el contenido de archivos se guarda en centros de datos de Dropbox en Frankfurt (Alemania). Los metadatos de cuenta, logs de uso compartido y datos de gestión de equipo se procesan en infraestructura estadounidense. Dropbox Inc. es estadounidense y esta sujeta al CLOUD Act, riesgo residual señalado por autoridades europeas (BfDI, DSK, AEPD, CNIL). Dropbox se autocertifica bajo el EU US Data Privacy Framework y proporciona CCT. Para entidades HIPAA, Dropbox ofrece un anexo HIPAA aparte.

Cifrado y gestión de claves

Dropbox cifra los archivos en reposo con AES 256 y en transito con TLS 1.2+. La gestión de claves la realiza el proveedor en estándar. Los operadores con necesidades elevadas pueden usar herramientas de cifrado de lado de cliente como Cryptomator antes de subir archivos a Dropbox, lo que elimina la capacidad de Dropbox de leer el contenido pero rompe la vista previa y la búsqueda. Los planes Enterprise ofrecen controles adicionales (marca de agua, logs de auditoría avanzados, control granular de admin).

Pasos prácticos

Firmar el Business Agreement y el DPA de Dropbox. Para residencia UE del contenido, suscribir Business Advanced o Enterprise y activar la opción de almacenamiento UE. Documentar Dropbox como encargado en el registro de tratamientos con categorías de datos, ubicación de almacenamiento, plazo de conservación y mecanismo de transferencia US. Para componentes embebidos en páginas públicas, envolverlos en un gate de CMP (funcional o marketing) y listar las cookies de dropbox.com en la política de cookies. Realizar una Evaluación de Impacto de la Transferencia para cualquier almacenamiento de datos personales, con mitigaciones (residencia UE, cifrado, acceso admin limitado).