Parmin Cloud

Como proveedor de hosting y cloud, Parmin Cloud trata todo lo que el cliente sube a la plataforma: direcciones IP de visitantes, credenciales de autenticación, cookies de sesión, datos de aplicación, archivos subidos, contenidos de bases de datos y copias de seguridad. El portal de clientes deposita cookies de sesión de origen y un token CSRF para la autenticación, y los sitios alojados heredan el comportamiento de cookies que configure el cliente. Los registros operativos (HTTP, sistema, auditoría) se conservan en infraestructura en Irán por motivos de seguridad y respuesta a incidentes.

Sí, y es más exigente que con un alojador europeo. El sitio alojado aún requiere consentimiento Art. 6(1)(a) RGPD y Art. 5(3) ePrivacy para cualquier cookie no esencial. Además, cada visita produce una transferencia a Irán, tercer país sin adecuación, por lo que normalmente se requiere consentimiento explícito conforme al Art. 49(1)(a) RGPD para la propia transferencia. La política de privacidad debe indicar con claridad que los datos se alojan en Irán, que no existe adecuación y que el nivel de protección no puede garantizarse equivalente al de la UE.

Deben cumplirse dos capas. Capa uno: una base del Art. 6 (normalmente Art. 6(1)(b) para la relación contractual y Art. 6(1)(a) para cookies y analítica del lado del visitante). Capa dos: un mecanismo del capítulo V para la transferencia. Las CCT son técnicamente posibles, pero su ejecución contra un encargado iraní es incierta bajo las sanciones de la UE. En la práctica, la mayoría de responsables se apoyan en el consentimiento explícito del Art. 49(1)(a) o en la necesidad contractual del Art. 49(1)(b) para flujos ocasionales iniciados por el interesado.

Alojar en Parmin Cloud es en sí una transferencia a un tercer país, porque toda la infraestructura está en Irán. Irán carece de decisión de adecuación, está sujeto a medidas restrictivas de la UE (Reglamento 359/2011 y 267/2012) y tiene leyes de vigilancia que conceden a las agencias de seguridad amplios poderes de acceso. Schrems II exige al responsable evaluar si el tercer país ofrece un nivel de protección esencialmente equivalente y prever medidas suplementarias cuando no lo haga. Para Irán la conclusión suele ser que las transferencias comerciales ordinarias no cumplen el estándar.

Sí. El tratamiento implica una transferencia a un tercer país no adecuado con alto riesgo de vigilancia, lo que el CEPD considera indicador de alto riesgo. La EIPD debe describir las categorías de datos, el volumen, la conservación, las medidas técnicas y organizativas y un Análisis de Impacto de Transferencia detallado bajo Schrems II. También debe valorar si medidas suplementarias (claves bajo control del cliente, seudonimización, fragmentación) pueden alcanzar un nivel esencialmente equivalente y prever un plan claro de salida y repatriación.

Minimiza los datos personales de la UE almacenados, cifra cada conjunto de datos en reposo y en tránsito con claves generadas y custodiadas en infraestructura de la UE fuera de Parmin Cloud, hashea los identificadores en cliente y desactiva la telemetría que pueda exfiltrar texto en claro. Firma el módulo de CCT más ejecutable, registra cada acceso del proveedor, recaba consentimiento explícito Art. 49(1)(a) cuando la transferencia sea la finalidad principal y documenta el conjunto en la EIPD, el registro de actividades y el Análisis de Impacto de Transferencia. Planifica la migración a un alojador del EEE como estado objetivo.

Sí y cambiar suele ser la opción más segura. Hyperscalers europeos y hosters independientes como OVHcloud (Francia), Scaleway (Francia), Hetzner (Alemania), IONOS (Alemania), Aruba (Italia) y UpCloud (Finlandia) ofrecen VPS, dedicados y servicios gestionados comparables con residencia de datos en el EEE, DPA firmados y CCT probadas. Las ofertas de cloud soberano (Bleu, S3NS, Delos) cubren cargas sensibles bajo SecNumCloud francés o C5 alemán. Estas opciones eliminan la exposición a las sanciones contra Irán y al riesgo Schrems II y mantienen baja latencia para los visitantes europeos.

Trata esta transferencia como de alto riesgo y supervísala continuamente. Revisa la EIPD, el Análisis de Impacto de Transferencia y la política de privacidad al menos cada seis meses y de inmediato cuando cambien las sanciones de la UE contra Irán, surja jurisprudencia relevante o Parmin Cloud modifique su infraestructura o subencargados. Vuelve a solicitar el consentimiento cuando cambien la base jurídica, la conservación o las categorías de datos. Mantén un plan de salida por escrito con RTO y RPO concretos para repatriar cargas a un alojador del EEE en plazos breves.