¿Dónde están los datos y quién puede usarlos?
Es la primera pregunta y suele ser la que decide. Todos los servidores de Base44 están en Estados Unidos y ahí se guardan los datos por defecto. Y en los planes con precio público, su documentación dice que los datos pueden usarse para entrenar modelos de IA.
En la migración real en la que se basa esta guía, ese fue el miedo de IT: que datos de la empresa acabaran en un modelo y aparecieran en respuestas a terceros. Entre los subencargados que Base44 declara están OpenAI y Anthropic, así que la pregunta no es teórica.
La residencia en la UE existe, pero solo en Enterprise, solo para apps creadas después del 16 de abril de 2026 y solo para el almacenamiento: las peticiones pueden procesarse en otra región, y los archivos subidos, la cuenta y la facturación siguen en Estados Unidos.
En vuestros servidores, los datos se guardan y se procesan dentro de vuestra red. La pregunta del entrenamiento de IA deja de existir, porque Base44 solo ve datos de prueba.
¿Quién puede entrar y desde dónde?
En los planes con precio público, la app tiene su propio registro de usuarios. Puede ofrecer "Entrar con Microsoft", pero ese botón no es el inicio de sesión único de la empresa: no limita el acceso a vuestro directorio ni da de baja a quien se va.
El inicio de sesión único, las bajas automáticas, la lista de IP permitidas y los registros de auditoría son de Enterprise. El inicio de sesión funciona con OIDC; la documentación no menciona SAML, así que si vuestro proveedor de identidad solo usa SAML, conviene preguntarlo antes de negociar.
Hay una pregunta que ningún plan resuelve: si la app necesita leer de SAP o de una base de datos interna, desde la nube solo puede llegar si se abre ese sistema a internet. En la comunidad de Base44 hay equipos parados justo ahí, sin poder pasar a producción hasta tener una IP fija o una VPN.
En vuestros servidores, el acceso se integra con lo que ya usa IT y la app puede no verse desde internet. Los sistemas internos se consultan desde dentro, sin abrir nada.
¿Quién ha revisado la app?
Normalmente, nadie de IT. La documentación de Base44 deja claro que los ajustes de seguridad de cada app son responsabilidad de quien la crea, y quien la crea suele ser alguien de negocio que ha descrito lo que quería.
Los fallos habituales están en los permisos: una tabla que cualquier usuario puede leer entera, un rol que edita lo que no debe, una función accesible sin iniciar sesión. Tres comprobaciones que IT puede hacer en media hora, sin leer código:
- Entrar con un usuario del rol más bajo e intentar ver y editar registros de otros.
- Abrir la app en una ventana privada, sin sesión, y comprobar qué se ve.
- Pedir a quien la creó la lista de reglas de acceso de cada tabla y el resultado del escaneo de seguridad de la plataforma.
Al llevarla a vuestros servidores, los permisos se reescriben en el backend tabla por tabla y la app pasa por la misma revisión que cualquier otra de la empresa.
¿Qué pasa si se rompe o el proveedor cambia?
En Base44, las copias de seguridad son de la plataforma: IT no puede devolver los datos de una app a un momento concreto por su cuenta. El código sí puede quedar en un repositorio de GitHub de la empresa (plan Builder o superior), y es lo primero que conviene exigir.
La otra pregunta es quién responde. En una app creada fuera de IT, la respuesta suele ser "quien la hizo", sin suplente. Otro usuario lo decía en el mismo hilo de Reddit: su app no era "de las que necesitan que IT se involucre". Cuando la usa un equipo entero, IT acaba respondiendo por algo que no ha visto.
Llevarla a un servidor propio no resuelve esto por sí solo. En la migración real, cuando IT preguntó quién mantendría la app, no hubo una respuesta clara: la había hecho y migrado una sola persona, y el plan era apoyarse en la IA para lo que fuera surgiendo. Es la pregunta que más conviene tener resuelta antes de pedir la aprobación.
En vuestros servidores, los datos entran en vuestras copias de seguridad y el código en vuestro repositorio, con un responsable de mantenimiento por escrito. Si la plataforma cambia de planes o de precio, la app sigue funcionando.
Lo que Enterprise no resuelve
Enterprise contesta varias preguntas de la tabla: sin entrenamiento de IA, inicio de sesión único, bajas automáticas, lista de IP y auditoría. Pero no está en la página de precios: se pide hablando con ventas y el precio depende del tamaño del espacio de trabajo. Al ser un proveedor nuevo, además, pasa por la revisión de seguridad y compras. En la migración real, esa solicitud llevaba más de medio año parada.
Y una vez firmado, cuatro cosas siguen igual:
- Los datos se procesan en la nube de Base44, no solo donde se guardan, y los archivos subidos siguen en Estados Unidos.
- Los mismos terceros, incluidos los proveedores de IA, siguen en la cadena.
- Los sistemas internos siguen sin estar al alcance sin abrirlos a internet.
- IT sigue sin poder restaurar los datos ni garantizar que la app funcione si cambia el contrato.
En la migración real fue el propio responsable de IT quien propuso la otra vía: llevar la app a un servidor de la empresa. Las tablas se recrearon en SQL Server, la app se sirvió con IIS y el acceso se resolvió con un login propio con roles. Cómo se hace, pieza por pieza, está en la guía cómo llevar una app de Base44 a vuestro servidor propio.
Cuándo no hace falta: si la app no maneja datos personales ni confidenciales, o si la empresa ya tiene Enterprise contratado y su residencia en la UE cumple vuestra política, basta con pasar las comprobaciones de esta guía y aprobarla en la nube.
Checklist para copiar
Para pegar en el correo o en el ticket de revisión. Cada punto debe tener respuesta por escrito antes de aprobar.
- Proveedor: si hay que aprobar uno nuevo y cuánto tarda esa revisión.
- Datos: región donde se guardan y donde se procesan, también los archivos subidos.
- IA: si el plan permite usar los datos para entrenar modelos.
- Terceros: lista de subencargados, contrato de tratamiento de datos firmado e informe SOC 2.
- Acceso: con qué cuenta se entra y qué pasa con la de alguien que deja la empresa.
- Red: si el acceso se puede limitar a la red interna.
- Sistemas internos: a cuáles necesita llegar y qué habría que abrir.
- Registro: si queda constancia de quién ve y cambia qué.
- Permisos: reglas de acceso de cada tabla, probadas con el rol más bajo y sin sesión.
- Código: repositorio de la empresa con copia del código.
- Recuperación: quién restaura los datos y en cuánto tiempo.
- Responsable: quién mantiene la app, quién la sustituye y qué pasa si se deja de pagar la plataforma.
Si creaste la app: qué preparar antes de pedir la aprobación
Llegar con esto resuelto ahorra semanas de idas y vueltas: el plan contratado, la lista de tablas con el tipo de datos que guarda cada una, las reglas de acceso, el repositorio de GitHub conectado y el nombre de quien la mantendrá si tú no estás.
Fuentes
- Base44: Privacy and security (residencia de datos, entrenamiento de IA, ubicación de servidores). Consultado el 4/10/2026.
- Base44: Security overview (responsabilidad del creador, funciones Enterprise). Consultado el 4/10/2026.
- Base44: Setting up SSO (plan requerido y proveedores OIDC). Consultado el 4/10/2026.
- Base44: Enterprise (contratación con ventas, precio según el espacio de trabajo). Consultado el 4/10/2026.
- Base44: Security you can build on (lista de subencargados). Consultado el 4/10/2026.
- Base44: GitHub Integration (copia del código, plan Builder). Consultado el 4/10/2026.