# Self-hosting com a pràctica professional > Cuadernos Lacre > https://solo2.net/ca/quaderns/articulos/la-pregunta-entre-el-nuvol-i-el-soterrani-self-hosting.html Convé començar desactivant una paraula que espanta sense motiu: servidor. Un servidor no és una màquina misteriosa en una sala refrigerada. És, simplement, l'ordinador d'una altra persona —o el teu— que desa informació i l'entrega a qui la demana. Durant dècades hem guardat la informació dels nostres clients en una carpeta, en un arxivador, a la taula del despatx i ningú perdia la son per això. La informació no feia por perquè fos en paper; no n'ha de fer tampoc perquè sigui en un disc. El «núvol» tampoc és eteri. És l'ordinador d'una empresa, gairebé sempre lluny i gairebé sempre d'un altre. Ho vaig aprendre involuntàriament el dia que, confiat que els meus fitxers eren en bon lloc a Google Drive, vaig descobrir que la carpeta del meu ordinador no contenia els meus documents, sinó dreceres a documents que vivien en un altre lloc. Si aquell altre lloc decidia tancar, canviar el preu o cancel·lar el servei, la meva tranquil·litat se n'aniria amb ell. No posseïa les meves coses; en tenia permís d'accés. D'aquí neix la pregunta d'aquest Quadern, més senzilla d'enunciar que de respondre: on haurien de viure les dades dels teus clients? I les teves pròpies? La conversa pública la planteja com si només hi hagués dues respostes enfrontades —el núvol de les grans plataformes o muntar-s'ho un mateix—, gairebé una qüestió de bàndol. Però no són dos camins: són tres, i cap no és un acte de fe. Llegits a poc a poc, tenen més matisos i demanen més del que sembla. És fàcil pensar que la confidencialitat és cosa d'advocats, metges o periodistes, i que la resta no tenen res a amagar. És un error, i dels cars. Gairebé qualsevol negoci guarda dades dels seus clients subjectes a la llei, i molts en guarden, sense saber-ho, informació força més sensible del que sembla. Una botiga de sofàs anota el nom, l'adreça i el telèfon de qui compra; si hi ha finançament, també les seves dades econòmiques. Una empresa de reformes o de decoració conserva fotos de l'interior de les cases dels seus clients i els plànols complets dels seus habitatges. Una empresa de neteja maneja els plànols de les oficines que neteja, sovint marcats amb colors i números que indiquen quin empleat entra on, a quina hora i amb quina clau. Res d'això no sembla gran cosa fins que un es pregunta per a qui més tindria valor: aquests plànols de neteja són, vistos amb altres ulls, el mapa perfecte per a qui vulgui entrar a robar. El fet que un negoci sigui petit, o que vengui sofàs en lloc de defensar plets, no fa que les seves dades manquin de valor ni fa que la llei deixi d'aplicar-se-li. Només fa que el seu amo tendeixi a pensar-hi menys. I pensar poc en una cosa que és la teva responsabilitat és precisament on comencen els problemes. Aquí sorgeix l'objecció immediata, i és raonable: si ho tinc tot a l'ordinador del despatx, què passa si s'avaria? La pregunta és bona. La resposta és que la xarxa de seguretat que ens imaginem en els grans proveïdors és més modesta —i més imitable— del que sembla. Quan deixo les meves dades al centre de dades d'una multinacional, confio que tingui còpies en diversos llocs. I probablement les té: en una segona ubicació, potser en una tercera. Però aquella redundància no és infinita i sobretot no és meva: segueix sent un disc dur del qual no soc el propietari, gestionat per algú en qui diposito una fe que gairebé mai verifico. Aquella mateixa xarxa la puc teixir jo, i amb un avantatge decisiu. El meu servei diari viu a l'ordinador del despatx. D'allà en guardo una còpia xifrada a l'ordinador d'una empresa amiga —un col·lega de professió, un altre despatx de confiança— i una altra còpia xifrada, si vull, en aquell mateix proveïdor europeu de què parlàvem. La diferència ho és tot: el que deixo fora no és el meu servei ni les meves dades en clar, sinó una còpia xifrada que només jo puc obrir. El proveïdor extern guarda un cofre tancat del qual no en té la clau. No li confio la meva informació: li confio uns bytes que sense mi no signifiquen res. Permeteu-me una història personal, perquè il·lustra el cas millor que qualsevol argument. Durant més de deu anys vaig ser un client devot de CrashPlan, un servei de còpies de seguretat tècnicament extraordinari. En feia a la seva plataforma de tots els meus ordinadors i els de la meva família —els de l'empresa i els de casa, tot—, amb versions que podia recuperar amb la freqüència que volgués, viatjant en el temps fins a un fitxer específic de feia mesos. Després de la primera còpia només transmetia les diferències, xifrades i comprimides, de manera que mantenia actualitzat un backup enorme amb gairebé cap esforç. Em va salvar moltes vegades, des d'un document banal fins a un disc sencer. El preu va anar pujant amb els anys i no em va importar: pagava feliç. El que jo no sabia és que CrashPlan havia comès un error de càlcul: havia promès per contracte emmagatzematge il·limitat, en espai i en temps. I l'espai multiplicat pel temps —anys d'història, versions cada pocs minuts— creix fins a fer-se insostenible. Un dia ens van comunicar a tots que el servei s'acabava. Ho van fer amb elegància i amb un termini generós, gairebé un any, i ens van donar mitjans per descarregar el que era nostre. Però on va un home amb més de deu anys de còpies versionades de tots els seus discs? Allà descobreixes que no tens ni la manera de baixar-ho tot ni lloc on posar-ho, i que, encara que poguessis, el nou magatzem costaria una fortuna. Vaig salvar quatre coses imprescindibles. La resta se'n va anar quan van apagar l'interruptor. Jo estava tranquil, la meva informació estava fora de perill... fins que va deixar d'estar-hi. I no per una traïció: CrashPlan es va comportar de manera impecable —al contrari que Evernote, que anys després es va comportar de manera vergonyosa—; senzillament, el meu àngel de la guarda al núvol va decidir, amb tot el dret, deixar de ser-ho. El resultat, per a mi, va ser idèntic: el que creia segur va desaparèixer. El que aquesta història ensenya realment té més a veure amb la natura humana que amb la tecnologia. Quan algú sent que una cosa és la seva responsabilitat, actua de manera preventiva: fa còpies, s'assegura l'esquena, desconfia amb bon criteri. Quan creu —erròniament— que la responsabilitat la sosté un tercer gran i solvent, es relaxa i deixa fer. Aquella tranquil·litat delegada no és prudència: és, sense maquillatge, una forma d'irresponsabilitat. Aquella irresponsabilitat silenciosa s'assembla molt a la d'uns pares que matriculen el fill a l'escola més cara, li paguen després un màster, i amb això es creuen que han complert amb el seu deure. No han complert. Ser pare és preocupar-se pel que ha après avui, per allò que no entén, pels seus valors, per la seva seguretat en si mateix. Si als vint-i-cinc anys aquell fill no sap treballar ni comportar-se, la culpa no és de l'escola que ha cobrat: és de qui ha delegat i pagat creient que amb això n'hi havia prou. Pagar a un tercer no eximeix de la responsabilitat. No ho ha fet mai. Amb les dades passa igual, i la història recent ho confirma. Fa cinquanta o cent anys un professional guardava les coses dels seus clients en carpetes, al seu despatx o a casa seva, i se'n sentia responsable. Rarament es perdia res. Hem passat al món digital i, amb una facilitat esbalaïdora, ho pugem tot a «el núvol» —que no és més que l'ordinador d'una multinacional— i deixem de preocupar-nos. I sovint hi ha accidents, i hi ha empreses que ho perden tot, i llavors es diu: la culpa va ser de Google, la culpa va ser de Microsoft. No. La informació és teva, o la dels teus clients, però el responsable ets tu. Allotjar les teves pròpies dades no és un caprici tècnic: és recuperar aquella serenitat de fa dècades, la de saber on és cada cosa i per què. La protecció de dades, mentrestant, ha viscut un pèndol brusc —de no haver-hi cap norma, quan qualsevol exhibia les dades d'un client sense pensar, a una exigència que recau amb una duresa desproporcionada sobre el més petit, l'autònom que dóna el telèfon d'un client al repartidor. No discuteixo la finalitat; n'observo el desajust. Però el desajust no ens absol: el dia que l'administració tingui mitjans per rastrejar i sancionar a escala, la mida deixarà de protegir ningú, i convé no esperar aquell dia amb la casa per endreçar. Tenir la dada sota control propi ajuda a complir i ajuda a demostrar-ho. I sobretot, torna les coses al seu lloc: quan la informació és teva, la responsabilitat és enterament teva —no hi ha un tercer a qui culpar, ni un tercer la fallada del qual t'exposi—. Seria deshonest pintar això sense ombres. Ocupar el lloc de l'intermediari significa carregar amb el que li és propi: mantenir les còpies al dia, aplicar actualitzacions i una responsabilitat legal —la del RGPD— que, en realitat, mai no va deixar de ser del tot teva (les referències al peu detallen els articles). Hi ha feina, i hi ha un dia en què alguna cosa falla a deshora. No ho amaguem. Però la por que envolta aquesta paraula, responsabilitat, està mal calibrada. És molt més fàcil perdre els teus arxius en un servei del núvol que tanca, o les teves fotos a Google Fotos, que perdre aquella carpeta de documents importants que tens al teu propi ordinador: la que saps on és i que notaries que falta tan bon punt desaparegués. El que sents teu, el cuides; el que creus fora de perill en mans d'un altre, el descures. Pensa en els àlbums de fotos d'abans, els de paper revelat guardats en un calaix. Has sentit mai algú dir que va «perdre» el seu àlbum familiar? Se sent allò de la casa que va cremar amb l'àlbum a dins; perdre'l sense més, no. I en canvi, gent que tenia totes les seves fotos a Google Fotos o a Apple Fotos i es va quedar sense res: aquesta història torna cada pocs mesos, perquè creien que estava fora de perill. Google Fotos cuida les teves fotos, és clar que sí; però no les cuida com uns pares cuiden l'àlbum on hi ha els seus fills i els seus néts. Aquesta diferència no l'arregla cap centre de dades: la responsabilitat, quan és teva, no és només una càrrega; és també la millor garantia. ## Fonts i lectura addicional - Reglament (UE) 2016/679 — article 28 (encarregat), article 32 (seguretat del tractament), article 33 (notificació de bretxes), article 37 (designació del Delegat de Protecció de Dades). - Agència Espanyola de Protecció de Dades — *Guia pràctica per a anàlisi de riscos en el tractament de dades personals* (revisió vigent). Marc per a responsables que assumeixen funcions tècniques pròpies. - Comitè Europeu de Protecció de Dades — *Guidelines 1/2024 on processing of personal data based on legitimate interests*. Aplicable també a l'examen de proporcionalitat en decisions d'infraestructura pròpia. - Comissió Europea — directori públic de proveïdors de serveis de la informació establerts en jurisdicció europea. Punt de partida administratiu per identificar opcions de hosting gestionat europeu. - Nextcloud GmbH (Alemanya) — *Nextcloud Enterprise architecture and compliance documentation*. Cas documentat de programari lliure amb modalitats autohostejada i gestionada per proveïdor europeu; útil com a referència tècnica d'un projecte mantingut en jurisdicció europea des de 2016. --- *Cuadernos Lacre · Una publicació de Menzuri Gestión S.L. · escrita per R.Eugenio · editada per l'equip de Solo2.* *https://solo2.net/ca/quaderns/*