Seguridad y RGPD en un chatbot con IA: qué pasa con los datos de tus clientes

Quién es responsable y quién es encargado

Respecto a las conversaciones y los datos de tus clientes, tu empresa es la responsable del tratamiento y Wozzo (SOFTNAT S.L.) es el encargado: los tratamos solo para prestar el servicio y siguiendo tus instrucciones. Respecto a los datos de tu propia cuenta (usuarios, facturación), Wozzo es responsable.

Las condiciones del encargo están en la política de privacidad, que incluye un anexo con la distribución de responsabilidades. Si tu empresa necesita un contrato de encargo firmado aparte, escríbenos a info@wozzo.es.

Qué proveedores intervienen y para qué

Para que el asistente funcione intervienen cuatro proveedores tecnológicos, que actúan como subencargados. Cada uno recibe solo lo que necesita para su parte.

OpenAI se usa a través de su API. Según sus condiciones para la API, los datos que se envían por esa vía no se usan para entrenar sus modelos. Es una diferencia importante con pegar información en la versión de consumo de ChatGPT.

Transferencias fuera de la Unión Europea

Algunos proveedores son empresas de Estados Unidos, así que puede haber transferencias internacionales de datos. Se amparan en el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework) o en cláusulas contractuales tipo de la Comisión Europea.

Esto es lo habitual en casi cualquier herramienta que use IA generativa, porque los grandes proveedores de modelos son estadounidenses. Lo importante es que la transferencia tenga una base válida y que tú lo indiques en tu propia información de privacidad.

Medidas de seguridad que aplicamos

Aplicamos medidas técnicas y organizativas proporcionadas a un servicio de este tipo. No tenemos certificaciones como ISO 27001 o ENS y no las anunciamos; esto es lo que sí hacemos:

• Cifrado en tránsito: toda la comunicación con la plataforma y con el chat va por HTTPS.
• Contraseñas protegidas: se guardan con un algoritmo de hash (bcrypt), nunca en claro.
• Sesiones que caducan: el acceso al panel usa tokens firmados que caducan a los 7 días.
• Webhook verificado: los avisos que llegan de Meta se comprueban con su firma antes de procesarse.
• Control de accesos: cada usuario ve solo los datos de su empresa; el acceso interno está limitado por roles.
• Registros y copias de seguridad.

Qué no deberías meter en las fuentes del chatbot

Las fuentes son la información que el asistente puede contar a cualquiera que pregunte, así que solo deben contener lo que publicarías en tu web. Si un dato no se lo darías a un desconocido por teléfono, no lo subas.

Cuánto tiempo se guardan las conversaciones

Los datos se conservan mientras dure la relación contractual y el tiempo que exija la normativa, como recoge la política de privacidad. Dentro de ese marco, tú decides qué conversaciones mantienes: puedes borrarlas desde el panel.

Una pauta razonable para la mayoría de negocios es revisar y borrar las conversaciones antiguas que ya no aportan nada, por ejemplo las de más de un año, y conservar solo los contactos con los que mantienes relación. Cuantos menos datos guardes, menos riesgo y menos que proteger: es el principio de minimización del RGPD.

Lo que te toca hacer a ti: lista de comprobación

Como responsable, tienes que informar a tus clientes y tener una base legal para los datos que recoge el asistente. Son pocos pasos y casi todos se hacen una vez.

1. Actualiza tu política de privacidad

   Indica que usas un asistente con IA, quién es el encargado (Wozzo) y los subencargados, y las transferencias internacionales.

2. Avisa de que es una IA

   El mensaje de bienvenida puede decir «Soy el asistente virtual de…». El Reglamento europeo de IA exige informar a las personas de que interactúan con un sistema de IA cuando no es evidente.

3. Enlaza tu política desde el chat o la web

   Que quien deje sus datos sepa para qué se usarán.

4. No uses los contactos para publicidad sin consentimiento

   Que alguien pida que le llamen por un presupuesto no autoriza a mandarle promociones.

5. Decide cuánto tiempo guardas las conversaciones

   Puedes borrar conversaciones desde el panel cuando ya no las necesites.

6. Registra el tratamiento

   Añade el asistente a tu registro de actividades de tratamiento si estás obligado a llevarlo.

Derechos de las personas que hablan con el asistente

Tus clientes pueden ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad. Como responsable, los atiendes tú; si nos llega una solicitud a nosotros, te la trasladamos y te ayudamos a resolverla.

También pueden reclamar ante la Agencia Española de Protección de Datos (aepd.es). Para cualquier consulta sobre el tratamiento que hace Wozzo, el contacto es info@wozzo.es.

Preguntas frecuentes