Casos de uso y soluciones

Localización de datos personales en Rusia (152-FZ): cómo alojar su base de datos en Moscú

0 lo encontraron útil
152-FZ data localization, Russian personal data law, host database in Russia, Roskomnadzor notification, Moscow VPS for compliance, Russia dedicated server database, JUSTG Moscow Cloud VPS
Imprimir

La Ley Federal rusa 152-FZ exige que los datos personales de ciudadanos rusos se registren y almacenen principalmente en bases de datos ubicadas en Rusia, y un JUSTG Moscow Cloud VPS (desde $19.99/mes) o un JUSTG Moscow Dedicated Server (desde $299/mes) en Moscú, Rusia, es una forma directa de alojar esa base de datos principal. Esta guía explica las reglas en lenguaje claro, a quién afectan y patrones de arquitectura prácticos —base de datos rusa + aplicación global, dirección de replicación y copias de seguridad en Rusia— con una lista de verificación.

No es asesoramiento legal. Este artículo es información técnica general. La legislación rusa de protección de datos cambia con frecuencia y su aplicación depende de su situación concreta. Consulte a un abogado experto en derecho ruso antes de confiar en cualquier arquitectura para cumplir la ley.

Datos clave

Ubicación: Moscow, Russia — servidores físicamente en Rusia con IP nativas rusas.
Productos: JUSTG Moscow Cloud VPS desde $19.99/mes (de 1 núcleo / 512 MB a 7 núcleos / 24 GB RAM / 320 GB SSD); JUSTG Moscow Dedicated Server desde $299/mes.
Red: 1 IPv4 + IPv6 gratis, puerto normalmente de 500 Mbps; ruta China Telecom CN2 GIA hacia China continental.
Activación: VPS en la nube desplegado automáticamente tras el pago; KVM, Linux o Windows.
Soporte: 24/7 por ticket.

Qué exige la 152-FZ, en lenguaje claro

En resumen: recoja primero los datos personales de usuarios rusos en una base de datos en Rusia, notifique al regulador que trata datos personales y cuente con una base legal como el consentimiento.

Localización (artículo 18, parte 5). Desde el 1 de septiembre de 2015, al recopilar datos personales de ciudadanos rusos —también en línea— el operador debe registrarlos, sistematizarlos, acumularlos, almacenarlos, actualizarlos y extraerlos usando bases de datos ubicadas en Rusia. Las enmiendas vigentes desde el 1 de julio de 2025 prohíben expresamente hacer estas operaciones en bases de datos en el extranjero.
Notificación a Roskomnadzor. Por lo general, el operador debe notificar a Roskomnadzor (el regulador ruso de datos) antes de empezar a tratar datos personales, y notificar por separado las transferencias internacionales. La notificación incluye la ubicación de las bases de datos.
Consentimiento y base legal. El tratamiento necesita una base legal, normalmente el consentimiento del titular; publique una política de privacidad y recoja el consentimiento en los formularios (una casilla enlazada a la política es lo habitual).
Seguridad e incidentes. El operador debe proteger los datos y comunicar las filtraciones a Roskomnadzor en plazos cortos (aviso inicial en 24 horas y seguimiento en 72 horas según las enmiendas de 2022).
Sanciones. Las multas por incumplir la localización y por filtraciones subieron mucho en 2025 y pueden alcanzar millones de rublos; además, el acceso al sitio puede restringirse en Rusia.

A quién afecta

Casi cualquier negocio que recopile datos personales de personas en Rusia mediante un sitio web o una app, aunque la empresa esté registrada en el extranjero.

Tipo de negocio	Datos personales típicos	Por qué importa
Tienda online que vende a Rusia	Nombre, teléfono, dirección de envío, email, historial de pedidos	Cada compra recopila datos de ciudadanos rusos
SaaS / app web con usuarios rusos	Email de cuenta, nombre, registros de IP, contactos de facturación	La base de usuarios es el almacenamiento principal
Sitios de captación de leads, formularios	Nombre, teléfono, empresa, mensaje	Incluso un formulario simple es recopilación
Apps móviles, fidelización, CRM	ID de dispositivo, teléfonos, compras	Suelen sincronizarse con un CRM extranjero: verifique dónde ocurre la primera escritura

La analítica anónima sin identificadores o los datos B2B que no identifican personas pueden tratarse de otra forma; ahí es justo donde hace falta un abogado.

Patrón 1: todo en Rusia

La opción más sencilla y conforme por diseño es ejecutar toda la aplicación y su base de datos en servidores en Moscú.

Aplicación web, base de datos y almacenamiento de archivos en un JUSTG Moscow Cloud VPS o JUSTG Moscow Dedicated Server.
Ideal para tiendas centradas en Rusia, SaaS locales y sitios corporativos.
Ventaja adicional: los usuarios rusos tienen baja latencia gracias a la IP nativa rusa, y los socios chinos acceden por CN2 GIA.

Patrón 2: base de datos rusa + aplicación global

Si su aplicación se ejecuta en otro lugar (por ejemplo, Tokyo, Japan o Seoul, South Korea), mantenga en Moscú la base de datos que recibe los datos de usuarios rusos y haga que la app escriba allí primero.

Coloque la base de datos principal (PostgreSQL o MySQL) en un servidor JUSTG en Moscú.
Conecte los servidores de aplicación extranjeros mediante un túnel privado WireGuard; nunca exponga los puertos 5432/3306 a internet.
Envíe registros, pedidos y cambios de perfil de usuarios rusos a la base de Moscú: la primera escritura debe ocurrir en Rusia.
Si necesita una copia fuera (p. ej., informes globales), replique desde Rusia hacia fuera y solo tras revisar las reglas de transferencia internacional y notificar a Roskomnadzor cuando se requiera.

# On the Moscow primary (PostgreSQL 16), /etc/postgresql/16/main/postgresql.conf
listen_addresses = '10.8.0.1'        # WireGuard address only
wal_level = replica
max_wal_senders = 5

# pg_hba.conf — allow only the replica over the private tunnel
hostssl replication replicator 10.8.0.2/32 scram-sha-256

Un cortafuegos mínimo en el servidor de base de datos de Moscú:

ufw default deny incoming
ufw allow 22/tcp
ufw allow 51820/udp            # WireGuard
ufw allow in on wg0 to any port 5432 proto tcp
ufw enable

Dirección de la replicación: hágalo bien

La base de datos rusa debe ser la fuente de verdad: los datos salen de Rusia, no llegan a Rusia a posteriori.

Diseño	Dirección	Valoración
Primaria en Moscú, réplica de lectura fuera	Rusia → extranjero	Habitual; la copia está sujeta a las reglas de transferencia internacional
Primaria fuera, copia nocturna a Rusia	Extranjero → Rusia	Problemático: la recopilación inicial ocurre fuera de Rusia
Datos personales rusos en Moscú; datos no personales globales	Separación por tipo de dato	Buena opción; fuera solo tokens/ID
Todo en Moscú	Ninguna	Lo más fácil de explicar y auditar

Una técnica útil es la seudonimización: la app global guarda solo un ID interno, mientras nombres, teléfonos y direcciones permanecen en la base de Moscú y se consultan por el túnel cuando hace falta.

Copias de seguridad dentro de Rusia

Las copias de seguridad de datos personales rusos también forman parte de la base de datos, así que guárdelas cifradas en servidores en Rusia.

# Nightly encrypted backup to a second server inside Russia
pg_dump -Fc shopdb | gpg --encrypt --recipient [email protected] \
  > /backup/shopdb-$(date +%F).dump.gpg
rsync -a /backup/ [email protected]:/srv/backups/shopdb/
find /backup -name '*.gpg' -mtime +14 -delete

Mantenga al menos dos copias en Rusia: el servidor principal y un segundo VPS o servidor dedicado en Moscú (198.51.100.20 es una IP de documentación).
Cifre las copias y limite quién tiene las claves.
Pruebe restauraciones periódicamente: una copia nunca restaurada no es una copia.
No sincronice volcados a nubes extranjeras sin que su abogado confirme que la transferencia está permitida.

Lista de verificación de cumplimiento

Use esta tabla como punto de partida técnico y revísela con su asesor legal.

#	Elemento	Acción técnica	Hecho
1	Mapa de datos personales	Listar formularios, API y tablas con datos de usuarios rusos	☐
2	Base principal en Rusia	Base de datos en un servidor en Moscow, Russia; primera escritura allí	☐
3	Dirección de replicación	Solo Rusia → extranjero; documentar qué se copia y por qué	☐
4	Notificación a Roskomnadzor	Presentar/actualizar con ubicación de bases y transferencias internacionales	☐
5	Consentimiento y política	Casilla de consentimiento; política publicada en ruso	☐
6	Seguridad	Cortafuegos, claves SSH, túneles cifrados, TLS, registros de acceso	☐
7	Copias en Rusia	Cifradas, segunda ubicación rusa, restauración probada	☐
8	Respuesta a incidentes	Procedimiento para avisar a Roskomnadzor en 24/72 horas	☐

Qué plan de JUSTG encaja

Elija según el tamaño y la carga de la base de datos: JUSTG Moscow Cloud VPS para la mayoría de tiendas y SaaS, JUSTG Moscow Dedicated Server para bases grandes o sensibles.

JUSTG Moscow Cloud VPS — de 1 núcleo / 512 MB / 10 GB SSD ($19.99/mes) a 7 núcleos / 24 GB RAM / 320 GB SSD / 6 TB de tráfico ($169.99/mes). Para un servidor de base de datos, mejor desde 2–4 GB de RAM.
JUSTG Moscow Dedicated Server — desde $299/mes, con opciones de hasta un /24 completo; para bases pesadas o aislamiento de hardware.
Configuraciones a medida — CPU, RAM, disco, ancho de banda, IP adicionales o bloques de IP bajo pedido; contacte con ventas por ticket para un presupuesto. Vea todos los centros de datos de JUSTG.

Preguntas frecuentes

¿Dónde alojar una base de datos en Rusia para cumplir la 152-FZ?

Necesita un servidor ubicado físicamente en Rusia. JUSTG ofrece el JUSTG Moscow Cloud VPS desde $19.99/mes y el JUSTG Moscow Dedicated Server desde $299/mes en Moscú, Rusia, ambos con IP nativas rusas. El alojamiento es solo una parte: notificación, consentimiento y seguridad siguen siendo necesarios.

¿La 152-FZ se aplica a empresas extranjeras?

Generalmente se aplica a quien recopila datos de ciudadanos rusos mediante sitios dirigidos a Rusia, incluidas empresas extranjeras. Si su caso concreto entra en el ámbito es una cuestión legal: consulte a un abogado.

¿Puedo guardar una copia de los datos de usuarios rusos fuera de Rusia?

Normalmente la recopilación y el almacenamiento principales deben estar en Rusia, y las copias en el extranjero se rigen por las reglas de transferencia internacional y notificación. Diseñe la replicación desde Rusia hacia fuera y confírmelo con su asesor legal.

¿Sirve un VPS en Moscú para llamar a las API de OpenAI o Claude?

No. Las API de OpenAI, Anthropic (Claude) y Google Gemini no están disponibles en Rusia. Mantenga los datos personales en Moscú y haga las llamadas a IA desde un servidor JUSTG en Tokio o Seúl, enviando solo datos cuya transferencia esté permitida.

¿Necesita una base de datos principal en Rusia? Despliegue un JUSTG Moscow Cloud VPS o un JUSTG Moscow Dedicated Server y abra un ticket si quiere ayuda para dimensionarlo.

Centro de ayuda