Cada vez que un ecommerce te manda la confirmación del pedido, o una app te envía el código para restablecer la contraseña, ese correo no sale directamente del servidor de la empresa. Sale de la infraestructura de un proveedor especializado en entrega de email, un eslabón invisible que decide, entre otras cosas, en qué país se procesan y almacenan durante semanas los metadatos de ese mensaje: tu dirección, la hora en la que lo abriste, si hiciste clic en el enlace.
SendGrid y Postmark son dos de los proveedores de email transaccional más usados por empresas europeas. Las comparativas habituales se centran en tasas de entrega, documentación de la API o precio por cada mil correos. Aquí vamos a hacer una distinta: quién controla la jurisdicción legal de esos datos y qué margen de maniobra te deja cada uno si te importa que ese control esté en tus manos.
SendGrid: la maquinaria de email de Twilio
SendGrid nació en 2009 en Boulder, Colorado, fundada por Isaac Saldaña, José López y Tim Jenkins. En 2019, Twilio la adquirió por unos 2.000 millones de dólares e integró su motor de entrega dentro de la plataforma de comunicaciones más amplia de la compañía, con sede central en San Francisco. Estados Unidos obtiene 7,85 en el Índice de Democracia de la EIU: una democracia imperfecta con instituciones sólidas, pero también con un marco legal de vigilancia que preocupa a muchas empresas europeas.
Twilio SendGrid procesa varios cientos de miles de millones de emails al año, lo que lo convierte en uno de los mayores proveedores de entrega del mundo. Desde 2023 ofrece una función llamada Data Residency for Email (EU): permite crear un subusuario europeo, asignarle una IP dedicada con origen en la UE y usar un endpoint de API específico para que los datos de eventos —aperturas, clics, rebotes, bajas— se almacenen y procesen dentro de centros de datos europeos, principalmente en Irlanda y Alemania.
Por qué la jurisdicción vuelve a importar aquí
La CLOUD Act estadounidense, aprobada en 2018, obliga a las empresas tecnológicas de EE.UU. a entregar datos almacenados en sus servidores cuando lo solicita una orden judicial estadounidense, con independencia de en qué país esté el servidor físico. El Marco de Privacidad de Datos UE-EE.UU. (2023) intenta tender un puente legal, pero sus dos predecesores —Safe Harbor y Privacy Shield— fueron invalidados por el Tribunal de Justicia de la UE tras sendas demandas de Max Schrems.
En email marketing y transaccional, esto no es abstracto. Una lista de suscriptores con nombre, dirección de correo y comportamiento de apertura es un dato personal según el RGPD. Si esa lista se procesa en Estados Unidos, cualquier empresa europea que la use asume, en teoría, la posibilidad de que autoridades estadounidenses soliciten acceso sin pasar por un tribunal de la Unión.
Postmark: la apuesta por la simplicidad transaccional
Postmark fue creado en 2010 por Wildbit, una empresa fundada en Filadelfia por Chris y Natalie Nagele. A diferencia de SendGrid, Postmark se especializó exclusivamente en email transaccional —confirmaciones, recibos, códigos de acceso, notificaciones— y prohíbe explícitamente el uso de su plataforma para email marketing masivo. Esa restricción, lejos de ser una limitación, protege la reputación de envío compartida de todos sus clientes y explica buena parte de sus altas tasas de entrada en bandeja de entrada. En mayo de 2022, Wildbit vendió Postmark a ActiveCampaign, compañía con sede en Chicago.
Postmark ha sido explícita sobre su posición respecto a Europa: su página de privacidad para la UE reconoce que el RGPD no exige físicamente servidores europeos y confirma que, a día de hoy, no tiene planes de añadirlos. Todos los datos de cuenta, contenido de los emails, metadatos, registros y analíticas se almacenan en Estados Unidos, en un centro de datos cercano a Chicago operado por Deft y en infraestructura de AWS en regiones estadounidenses.
Análisis democrático: mismo país, distinto margen de maniobra
Conviene corregir un error habitual en comparativas rápidas de este tipo de herramientas: ni SendGrid ni Postmark son europeas, y ninguna de las dos tiene sede fuera de Estados Unidos. Ambas empresas matrices —Twilio y ActiveCampaign— están incorporadas y operan bajo la misma jurisdicción, con la misma puntuación EIU de 7,85. La diferencia democrática relevante no está en la nacionalidad de la sede, sino en si el proveedor te da una palanca real para sacar tus datos de esa jurisdicción.
SendGrid ofrece esa palanca, aunque no viene activada por defecto: hay que configurar explícitamente el subusuario europeo y el endpoint dedicado para que los eventos de tus destinatarios se queden en Irlanda o Alemania. Postmark no ofrece ninguna palanca equivalente: todos sus clientes, estén donde estén, tienen sus datos procesados en Estados Unidos, sin opción de configuración alternativa en 2026.
Es una diferencia real, pero también parcial. Aunque los datos de SendGrid vivan físicamente en un centro de datos de Fráncfort, Twilio sigue siendo una empresa estadounidense sujeta a la CLOUD Act, del mismo modo que ocurre con Google y sus centros de datos europeos. La residencia de datos en la UE reduce la exposición práctica y satisface buena parte de los requisitos de las cláusulas de protección de datos que exigen los departamentos de compras europeos, pero no elimina por completo la cadena de jurisdicción estadounidense en última instancia.
Autenticación de remitente: lo que no cambia entre proveedores
Con independencia de si eliges SendGrid o Postmark, ambos exigen configurar SPF, DKIM y, cada vez con más insistencia, una política DMARC en tu dominio de envío. Desde 2024, Google y Yahoo exigen DMARC obligatorio a cualquier remitente que supere las 5.000 emails diarias hacia sus bandejas, un requisito fijado unilateralmente por dos plataformas privadas estadounidenses que, de facto, marca el estándar mínimo de todo el sector, con independencia de la jurisdicción del remitente.
SendGrid guía la configuración de autenticación con un asistente integrado en el panel y verificación automática de registros DNS. Postmark ofrece un proceso equivalente, más orientado a desarrolladores, con validación en tiempo real durante la configuración inicial del dominio. En ambos casos, una configuración incorrecta de DMARC es hoy la causa más común de que los correos transaccionales legítimos acaben en la carpeta de spam, por encima de cualquier diferencia de jurisdicción entre proveedores.
Comparativa técnica: funciones, precio y perfil democrático
SendGrid combina email transaccional y marketing en una sola plataforma: campañas, informes de entregabilidad, IPs dedicadas, amplio soporte de API y SMTP, e integración directa con el resto del ecosistema de Twilio —SMS, WhatsApp, verificación—. Postmark, en cambio, se centra únicamente en transaccional, separa los flujos de mensajes por tipo (message streams) para proteger la reputación, y su documentación para desarrolladores está considerada una referencia del sector por su claridad.
En precio, ambos escalan por volumen mensual de envíos y ofrecen niveles gratuitos o de entrada muy limitados, con tarifas que crecen de forma escalonada según los correos enviados; conviene revisar siempre las tablas publicadas en el momento de contratar, ya que ambos proveedores han ajustado sus planes varias veces en los últimos años. En igualdad de volumen, la diferencia de coste suele ser moderada; la decisión rara vez se toma solo por precio.
A nivel de plantillas, SendGrid ofrece un editor de diseño de correo y plantillas dinámicas basadas en Handlebars, con pruebas A/B integradas para campañas de marketing. Postmark mantiene un sistema de plantillas más austero pero con SDKs nativos para múltiples lenguajes y una consola de depuración de cada envío individual que muchos equipos de desarrollo consideran superior para diagnosticar problemas de entrega en producción.
Certificaciones y transparencia de seguridad
Twilio, matriz de SendGrid, mantiene certificación ISO 27001 y atestaciones SOC 2 Type II, además de ISO 27017 e ISO 27018 para seguridad y privacidad en la nube, todas documentadas públicamente en su centro de confianza. Es un nivel de transparencia auditable que cualquier departamento de compras europeo puede verificar sin necesidad de firmar acuerdos de confidencialidad previos.
La situación de Postmark es más matizada. ActiveCampaign, su matriz, cuenta con certificación SOC 2 Type II a nivel corporativo, pero Postmark como producto no ha pasado su propia auditoría SOC independiente: quien sí la tiene es el centro de datos que utiliza, con informes SOC 1, SOC 2 y SOC 3 disponibles solo bajo acuerdo de confidencialidad. No es una alarma, pero sí una capa adicional de opacidad frente a la documentación abierta de Twilio.
Legislación europea que aplica en 2026
Más allá del RGPD y el Marco de Privacidad de Datos, desde enero de 2025 el Reglamento DORA (Digital Operational Resilience Act) obliga a las entidades financieras europeas a auditar formalmente a sus proveedores externos de TIC, incluidos los proveedores de email transaccional que envían confirmaciones de operaciones o alertas de seguridad. Para un banco o una fintech con sede en la UE, elegir entre SendGrid y Postmark ya no es solo una decisión técnica: es parte de un registro de riesgo de terceros que un supervisor puede pedir ver.
Cómo evalúa Democratic Market las herramientas B2B
Para este tipo de productos —software, no bienes físicos— aplicamos un criterio equivalente al que usamos con fabricantes: país de incorporación de la matriz, puntuación EIU de esa jurisdicción, existencia de opciones reales de residencia de datos, transparencia del listado de subprocesadores y disponibilidad de certificaciones de seguridad auditadas de forma independiente, como SOC 2 o ISO 27001, que verifican compromisos más allá del texto de marketing.
Ninguna de las dos empresas queda descartada por origen: ambas operan desde un país con puntuación EIU de 7,85, por encima del umbral de 6,0 que aplicamos en Democratic Market. La diferencia se traduce en matices, no en exclusión, y el matiz aquí favorece a quien te deja decidir.
Guía práctica de elección
Si tu empresa está en la UE y necesita justificar ante un cliente, un auditor o un departamento de compras que los datos de tus destinatarios se procesan dentro de la Unión, la opción con recorrido es SendGrid, configurando expresamente el subusuario europeo desde el primer día: por defecto, la cuenta enruta a través de Estados Unidos igual que cualquier otra.
Si solo envías email transaccional puro —confirmaciones, recibos, códigos de un solo uso— y priorizas la máxima tasa de entrega en bandeja de entrada sobre la ubicación exacta del procesamiento, Postmark sigue siendo una opción sólida. En ese caso, reduce el riesgo minimizando los datos personales que incluyes en el cuerpo del mensaje y revisa periódicamente el listado público de subprocesadores, que puede cambiar sin aviso destacado.
En cualquiera de los dos casos, exige a tu proveedor el listado de subprocesadores actualizado y pregúntale explícitamente si tus datos de entrenamiento de modelos de IA quedan excluidos de la residencia geográfica contratada: varias empresas del sector han empezado a matizar esta letra pequeña durante 2026.
Migrar de uno a otro: más fácil de lo que parece
Una ventaja poco comentada de este mercado es que ambos proveedores hablan protocolos estándar: SMTP y APIs REST bien documentadas. Migrar el envío técnico de SendGrid a Postmark, o al revés, suele resolverse en días, no en meses, reconfigurando registros DNS y adaptando el nombre de las variables de plantilla. La verdadera fricción no está en el código, sino en la reputación de envío: un dominio nuevo en cualquier proveedor empieza sin historial y necesita un periodo de calentamiento gradual de volumen antes de alcanzar tasas de entrega óptimas.
Esa facilidad de migración técnica es, en sí misma, una buena noticia desde la perspectiva de Democratic Market: significa que la elección entre SendGrid y Postmark no es una decisión que te encierre de por vida. Si tus necesidades de residencia de datos cambian —por ejemplo, porque firmas un cliente del sector público europeo con requisitos más estrictos—, el coste de cambiar de proveedor es bajo comparado con el de renegociar un contrato de infraestructura en la nube más amplio.
Conviene recordar, además, que la responsabilidad no recae solo en el proveedor de email. El modelo de responsabilidad compartida que rige toda la infraestructura en la nube implica que, aunque SendGrid ofrezca residencia europea o Postmark publique su listado de subprocesadores, la empresa que envía los correos sigue siendo la responsable legal del tratamiento de esos datos personales ante el RGPD, con obligaciones propias de documentación, minimización y respuesta a solicitudes de los interesados.
Muchas pequeñas y medianas empresas europeas sin un equipo legal o de cumplimiento dedicado se saltan directamente este análisis y usan el proveedor que les recomendó un tutorial o un compañero. Es comprensible, pero también significa que la palanca de residencia europea que ofrece SendGrid queda sin activar en una parte significativa de las cuentas que técnicamente podrían habilitarla. Configurarla durante el alta inicial es un esfuerzo de apenas diez minutos para cerrar esa brecha sin necesidad de cambiar de proveedor.
Conclusión: la jurisdicción también se configura
SendGrid y Postmark comparten pasaporte: ambas son estadounidenses, ambas puntúan 7,85 en el índice EIU, ninguna es una autocracia disfrazada de infraestructura técnica. Lo que las separa es si te dan, o no, una palanca para mover tus datos a una jurisdicción distinta cuando eso te importa. Usar esa palanca cuando existe, y exigirla cuando no, es una forma pequeña pero concreta de que tu stack tecnológico refleje tus valores, correo a correo.
