Servicios de subida de archivos calificados según el RGPD e ISO 27001, con optimización de imágenes y almacenamiento del cliente
Una comparación orientada a la contratación de Transloadit, Cloudinary, ImageKit, Uploadcare y Filestack para subidas desde el navegador, procesamiento de imágenes y exportación a Amazon S3, Google Cloud Storage, Microsoft Azure Blob Storage u otro destino controlado por el cliente.
Evidencia verificada: 3 de septiembre de 2026
Esta página se basa en documentación pública de los propios proveedores. Las acreditaciones de seguridad, las condiciones contractuales, los planes y los precios cambian. Antes de decidir, solicita a cada proveedor el certificado vigente y su alcance, el DPA, la lista de subencargados del tratamiento y el formulario de pedido.
La respuesta breve
Entre las fuentes públicas revisadas para esta página, Transloadit es el único candidato que incluye documentación de cada parte del requisito en un solo lugar:
- Certificación: La página de seguridad declara la certificación ISO/IEC 27001 del proveedor.
- RGPD: El aviso de privacidad documenta un DPA y endpoints regionales de procesamiento.
- Subidas: Uppy cubre las subidas desde el navegador y el preprocesamiento.
- Almacenamiento del cliente: Los Robots nativos de exportación escriben los resultados del flujo de trabajo en S3, GCS, Azure y otros destinos.
Los otros servicios siguen siendo candidatos útiles, pero sus modelos de almacenamiento y su evidencia pública sobre ISO no son intercambiables:
- Cloudinary e ImageKit son principalmente plataformas administradas de imágenes y activos.
- Uploadcare documenta opciones directas para el S3 del cliente, mientras que sus guías de GCS y Azure dependen del código del backend del cliente.
- Filestack documenta almacenamiento nativo del cliente en S3, GCS y Azure, pero su declaración pública sobre ISO describe las instalaciones de AWS, no un certificado de Filestack.
Qué significa «calificados» aquí
Esta es una lista de candidatos preseleccionados, no una certificación de cumplimiento normativo ni una opinión jurídica. Cada celda de las matrices siguientes lleva una de estas tres etiquetas:
- Verificado: La fuente enlazada del proveedor respalda directamente la afirmación.
- Condicional: La capacidad depende de un plan, una configuración, el backend del cliente o un contrato.
- Por revisar: Las fuentes públicas no acreditan el requisito exacto de contratación. Eso no significa que el proveedor carezca de esa capacidad. Solicita evidencia privada actualizada.
ISO explica que implementar ISO/IEC 27001 y tener un certificado son cosas distintas. La Comisión Europea explica que cumplir el RGPD sigue siendo una obligación incluso cuando una organización utiliza un mecanismo de certificación aprobado y opcional. Por eso, esta página no trata la afirmación «cumple el RGPD» como una certificación general del proveedor.
Matriz de seguridad y contratos
| Criterio | Transloadit | Cloudinary | ImageKit | Uploadcare | Filestack |
|---|---|---|---|---|---|
| Certificación de seguridad del proveedor | Verificado: La página de seguridad declara la certificación ISO/IEC 27001 y SOC 2 Type II. Solicita el certificado o informe vigente y su alcance. | Por revisar: La página de confianza actual incluye SOC 2 Type 2, pero no menciona ISO 27001. Una página de confianza anterior con fecha sí lo hacía; solicita el certificado vigente y su alcance. | Por revisar: La página de confianza afirma que ImageKit cumple ISO 27001 y ha sido auditado de forma independiente, pero no enlaza un certificado. Solicita el certificado, la versión y el alcance. | Por revisar: El centro de confianza incluye SOC 2 Type II, HIPAA y RGPD. Su documento técnico de seguridad atribuye los controles de ISO 27001 a los proveedores de infraestructura, no a un certificado de Uploadcare. | Por revisar: Filestack publica una carta sobre el estado de la auditoría SOC 2. Su declaración de seguridad atribuye la certificación ISO 27001 a los centros de datos de AWS, no a Filestack. |
| Rol ante el RGPD y DPA | Verificado: El aviso de privacidad y la sección sobre el DPA (English) describen los roles de responsable y encargado del tratamiento, y un DPA firmado por ambas partes disponible previa solicitud. | Verificado: Cloudinary publica un DPA y explica sus obligaciones como encargado del tratamiento en la política de privacidad. | Verificado: La página sobre el RGPD describe los roles de responsable y encargado del tratamiento, y un DPA con cláusulas contractuales tipo disponible previa solicitud. | Verificado: La página sobre el RGPD identifica el DPA y las cláusulas contractuales tipo utilizados para el tratamiento de datos de los clientes. | Por revisar: El aviso de privacidad aborda la actividad como encargado del tratamiento, los derechos del RGPD y las transferencias internacionales. No se encontró un DPA público vigente del producto; solicita el DPA aplicable y las condiciones de transferencia. |
Matriz de subidas y procesamiento de imágenes
| Criterio | Transloadit | Cloudinary | ImageKit | Uploadcare | Filestack |
|---|---|---|---|---|---|
| Componente de subida desde el navegador | Verificado: Uppy ofrece un componente modular de subida desde el navegador con subidas reanudables e integración con Transloadit. | Verificado: El widget de subida admite subidas desde el navegador a partir de fuentes locales y remotas. | Verificado: La guía de inicio rápido para la web documenta las subidas desde el navegador a la biblioteca multimedia, incluida la integración con Uppy. | Verificado: El componente de subida de archivos es un componente web con selección de fuentes y un editor de imágenes. | Verificado: El selector de archivos permite subidas web desde fuentes locales y conectadas. |
| Preprocesamiento en el navegador | Verificado: Uppy ofrece edición y compresión de imágenes en el navegador antes de subirlas. | Verificado: El widget de subida admite el cambio de tamaño de imágenes del lado del cliente antes de subirlas. | Por revisar: ImageKit documenta el preprocesamiento en los SDK móviles, pero la guía de inicio rápido para la web revisada no acredita un preprocesamiento equivalente en el navegador. Las transformaciones durante la subida son una función independiente del lado del servidor. | Verificado: La reducción de imágenes cambia el tamaño y vuelve a comprimir las imágenes en el navegador mediante canvas, con sujeción a los límites documentados. | Verificado: El selector de archivos documenta opciones para las dimensiones de las imágenes locales y el cambio de tamaño antes de subirlas. |
| Procesamiento de imágenes del lado del servidor | Verificado: El procesamiento de imágenes cubre el cambio de tamaño, el recorte, la conversión de formatos, la optimización y los flujos de trabajo componibles. | Verificado: Cloudinary documenta las transformaciones de imágenes del lado del servidor. | Verificado: ImageKit documenta la optimización automática y las transformaciones de imágenes del lado del servidor. | Verificado: Uploadcare ofrece una API de transformación de imágenes para cambiar el tamaño y recortar. | Verificado: La API de procesamiento de Filestack transforma imágenes y otros archivos. |
| Transformaciones mediante URL | Condicional: Smart CDN combina un Template firmado, parámetros de URL y almacenamiento en caché; es opcional, no la única vía de procesamiento. | Verificado: La referencia de transformaciones de Cloudinary define transformaciones de entrega basadas en URL. | Verificado: La sintaxis de transformación de ImageKit aplica transformaciones mediante parámetros de URL o directivas de ruta. | Verificado: La API de transformación de Uploadcare utiliza operaciones en la URL para entregar contenido procesado. | Verificado: La API de procesamiento de Filestack codifica tareas en las URL de entrega y devuelve los activos transformados a través de su CDN. |
Matriz de almacenamiento, residencia de datos y precios
| Criterio | Transloadit | Cloudinary | ImageKit | Uploadcare | Filestack |
|---|---|---|---|---|---|
| Destinos de exportación | Verificado: Los Robots de exportación de archivos nativos escriben los resultados en S3, GCS, Azure, SFTP, FTP y otros destinos; un flujo de trabajo puede dirigirse a varios destinos de almacenamiento. | Condicional: Cloudinary documenta S3, GCS y Azure como fuentes de subida, almacenamiento principal o copia de seguridad, según el plan y una configuración especial. Esto no está documentado como una exportación genérica a múltiples destinos por flujo de trabajo. | Condicional: La página de confianza documenta orígenes del cliente de solo lectura y copias de seguridad al S3 del cliente casi en tiempo real. Las fuentes revisadas no acreditan una exportación nativa de la biblioteca multimedia a GCS o Azure. | Condicional: El almacenamiento directo en el S3 del cliente y la copia de archivos a ese destino se documentan en la integración con S3. Las guías de GCS y Azure transfieren archivos mediante código del backend del cliente. | Verificado: El almacenamiento externo admite S3, GCS, Azure, Dropbox y Rackspace del cliente en los planes de pago. |
| Propiedad del almacenamiento | Verificado: El almacenamiento del cliente puede ser el sistema de registro persistente tras la exportación. El aviso de privacidad (English) explica que Transloadit procesa los archivos temporalmente y que la retención de los resultados depende de si se exportan los archivos. | Condicional: Cloudinary normalmente ofrece almacenamiento administrado de activos; los buckets del cliente pueden ser, en su lugar, un origen, almacenamiento principal o copia de seguridad según el plan y la configuración documentados. | Condicional: Los originales pueden permanecer en un origen del cliente de solo lectura, mientras que las subidas a la biblioteca multimedia utilizan el almacenamiento de ImageKit, salvo que se configure una copia de seguridad al S3 del cliente. | Condicional: El almacenamiento de Uploadcare es la opción predeterminada. El almacenamiento directo en el S3 del cliente es una opción del plan Enterprise; copiar a S3 no elimina por sí solo el papel de Uploadcare en el procesamiento y el almacenamiento. | Condicional: El S3 administrado por Filestack es el destino predeterminado; los planes de pago permiten seleccionar almacenamiento propiedad del cliente. |
| Procesamiento regional | Verificado: El aviso de privacidad (English) documenta las regiones del este de Estados Unidos, Irlanda y Singapur, y afirma que un endpoint regional explícito mantiene una Assembly en esa región. | Condicional: Cloudinary documenta centros de datos en Estados Unidos, la UE y Asia-Pacífico y nombres de host regionales para las configuraciones empresariales aplicables; verifica el almacenamiento, el procesamiento, los registros y la conmutación por error en el formulario de pedido. | Condicional: La página sobre el RGPD enumera regiones de procesamiento seleccionables. La página de confianza señala que el almacenamiento está aislado, pero que puede haber conmutación por error a otra región, mientras que algunos datos de cuentas y registros se gestionan por separado. | Por revisar: La lista pública de subencargados del tratamiento y la evaluación de transferencias describen las transferencias internacionales, pero las fuentes revisadas no acreditan regiones de procesamiento fijas que el cliente pueda seleccionar. | Condicional: Filestack afirma que su centro de datos principal y su base de datos están en el norte de Virginia, mientras que el almacenamiento del cliente puede estar en otra región. Un bucket regional, por sí solo, no acredita que el procesamiento sea regional. |
| Modelo de precios | Verificado: Planes por GB basados en el uso; la página de precios incluye una cuota gratuita del plan Community, Lite a 29 $/mes con 15 GB incluidos y 2 $ por GB adicional, Pro a 54 $/mes con facturación anual o 69 $ mes a mes, y planes Enterprise personalizados. | Verificado: Un modelo de créditos que combina transformaciones, almacenamiento y ancho de banda; la página de precios incluye los planes Free, Plus a 99 $/mes o 89 $/mes con facturación anual, y Enterprise. | Verificado: Ancho de banda, almacenamiento y unidades de extensión; la página de precios incluye los planes Free, Lite desde 9 $/mes, Pro desde 89 $/mes y Enterprise. | Verificado: Operaciones, tráfico y almacenamiento; la página de precios incluye los planes Free, Pro desde 66 $/mes, Business y Enterprise. | Verificado: Cuotas del plan, excesos de uso y complementos opcionales; la página de precios incluye los planes Free, Start desde 69 $/mes, Grow, Scale y Enterprise. |
Los precios de entrada no son precios para un entorno de producción. Las páginas públicas de planes no definen un nivel comparable entre proveedores, por lo que una cotización en igualdad de condiciones debe cubrir tu volumen, transformaciones, transferencia de salida, almacenamiento, soporte, regiones, funciones de seguridad y configuración del almacenamiento del cliente.
Términos de almacenamiento que se confunden con facilidad
- Origen: El servicio lee los originales de tu bucket, normalmente sin cambiar la titularidad.
- Almacenamiento principal: Los activos recién subidos se escriben en el bucket del cliente seleccionado como su ubicación persistente principal.
- Copia de seguridad: Se escribe una copia en el almacenamiento del cliente, mientras el almacén de activos del proveedor sigue activo.
- Exportación del flujo de trabajo: Los resultados de procesamiento seleccionados se escriben en uno o más destinos una vez finalizada una tarea.
«Usa tu propio bucket» puede referirse a cualquiera de las cuatro opciones. Sea cual sea la que ofrezca un proveedor, pregunta si los archivos temporales, las cachés, los activos derivados, los metadatos, los registros y las copias para conmutación por error permanecen en la infraestructura del proveedor.
Verificaciones recomendadas para la contratación
- Obtén el certificado ISO/IEC 27001 vigente, el organismo emisor, la versión, la fecha de vencimiento y la declaración de aplicabilidad. Confirma que el servicio contratado y la entidad operativa correspondiente estén incluidos en el alcance.
- Revisa el DPA, las cláusulas contractuales tipo, la lista de subencargados del tratamiento, el calendario de eliminación, las condiciones sobre incidentes y los derechos de auditoría.
- Traza la ruta real de los datos: navegador, endpoint de subida, almacenamiento temporal, región de procesamiento, caché, registros, destino de exportación y eliminación.
- Prueba la operación de almacenamiento exacta que necesitas. Un origen en S3, una copia de seguridad en S3 y la exportación de cada archivo derivado a S3 son arquitecturas distintas.
- Calcula el costo de una carga de trabajo equivalente a la de producción, no el del plan de pago más barato: volumen de subidas, transformaciones, transferencia de salida, almacenamiento, operaciones, complementos, soporte y excesos de uso.
Cuándo Transloadit es la opción más adecuada
Transloadit es la mejor opción cuando el almacenamiento controlado por el cliente es el destino final y la capa de procesamiento debe seguir siendo componible: sube una vez, valida, optimiza o convierte y exporta cada resultado a uno o varios destinos de almacenamiento. Empieza por la guía práctica de subida de archivos, optimización de imágenes y S3 (English) y luego revisa la seguridad, la privacidad y el DPA (English) y la exportación de archivos con tus equipos de seguridad y plataforma.
Si tu requisito principal es una solución administrada de gestión de activos digitales con entrega de imágenes centrada en URL, Cloudinary o ImageKit pueden encajar mejor. Si la amplitud de opciones del selector o un conector específico para el almacenamiento del cliente determina la decisión, Uploadcare o Filestack pueden merecer una prueba de concepto. La respuesta correcta depende de la ruta de datos verificada y del contrato, no de la lista de funciones más larga.