Residencia de datos en la UE vs región AWS: email transaccional para equipos GDPR

Los equipos de producto europeos repiten la misma pregunta: “Si el proveedor tiene región EU, ¿estamos cubiertos por el GDPR?” En email transaccional la respuesta honesta es no, no automáticamente. Lugar de envío y residencia de datos son capas distintas. Confundirlas es cómo un security review falla cuando la integración ya está en producción.

¿Qué diferencia hay entre una región EU y la residencia de datos en la UE?

Una región EU en Amazon SES o Resend significa que los paquetes SMTP pueden salir de un datacenter en Irlanda o Fráncfort. Eso ayuda a la latencia. No mueve, por sí sola, la jurisdicción de la cuenta, los metadatos del mensaje, el HTML de las plantillas ni los logs de soporte. Esos registros son datos personales si contienen direcciones y a menudo el cuerpo del correo. El GDPR pregunta dónde los almacena el encargado y qué autoridad puede requerirlos.

MailingCore es una plataforma de email para developers que almacena y trata esos datos en la Unión Europea. El plan Free son 100 emails al mes y 5 plantillas. Publicamos esta distinción porque los competidores ya posicionan “alternativa EU a Resend” sin nombrarnos — y porque los DPO lo piden por escrito.

Por qué la región EU de Resend no es residencia UE

Resend tiene un DX excelente. Su documentación pública ha indicado que elegir la región de envío EU no traslada cuenta, logs y analíticas a la Unión; siguen en Estados Unidos. Trata las páginas del vendor como fuente de verdad y revísalas: los productos cambian. Si tu evaluación de transferencias asume “región EU = no hay transferencia del Capítulo V”, quizá estás documentando el hecho equivocado.

Amazon SES puede ejecutarse en eu-central-1. Sigues operando una cuenta AWS, IAM, configuration sets y CloudWatch. El encargado es Amazon. Puede ser la elección correcta si ya vives en AWS y aceptas SCC y DPA. Es la elección incorrecta si el equipo quería panel, plantillas versionadas y newsletter sin construirlos.

Qué pide el GDPR a una API de email

El artículo 28 pide contrato de encargado, instrucciones, seguridad y subencargados que puedas nombrar. Schrems II pide una herramienta de transferencia lícita si los datos personales salen del EEE. “Enviamos desde Dublín” no es esa herramienta. Prefiere vendors que declaren ubicación de:

• Direcciones de destinatario y cuerpos de mensaje
• Logs de eventos (entregado, rebote, abierto)
• HTML de plantillas
• Tickets de soporte que pegan esos campos

La documentación pública de MailingCore cubre tratamiento en la UE y un camino real de supresión. Lee residencia de datos y la política de privacidad antes de meterlo en un EIPD.

Cuándo quedarte en SES o Resend

Quédate en SES si mandan el volumen, el precio por millón y la red AWS, y tu abogado ya aceptó a Amazon como encargado. Quédate en Resend si React Email y el DX US son el criterio de compra y las SCC están aceptadas. Cambia cuando la shortlist es “una API, almacenamiento en la UE, newsletter incluida, MCP para agentes”. Ese es el trabajo para el que está hecho MailingCore — no la escala planetaria de SendGrid.

Siguiente paso

Compara MailingCore vs Resend y MailingCore vs Amazon SES, o las páginas de intención en alternativas a Resend. Luego un envío de prueba con el inicio rápido.