Resumen
Un asistente telefónico con IA suele procesar nombres, números de teléfono, contenido de conversaciones y consultas. La licitud y las condiciones dependen de la finalidad, los tipos de datos, la base jurídica, las partes implicadas y la implementación concreta. Esta lista ayuda a revisar las principales cuestiones de privacidad antes del lanzamiento. Es información general: no sustituye el asesoramiento jurídico ni la valoración del caso por parte de los responsables de privacidad.
La privacidad empieza por la finalidad
Definan primero para qué se utilizará el asistente. Una finalidad concreta podría ser: «Atender llamadas, responder preguntas administrativas frecuentes y enviar solicitudes de devolución de llamada al equipo de servicio». Eviten objetivos vagos como «mejorar los datos de clientes» o «analizar todas las conversaciones» si no hay un proceso específico detrás.
El RGPD exige, entre otras cosas, un tratamiento lícito, leal y transparente, y limitar los datos a lo necesario. Hay que valorar una base jurídica adecuada para cada finalidad; no existe una respuesta única válida para todas las llamadas (RGPD, en particular los artículos 5 y 6).
1. ¿Qué datos se procesan?
Hagan una lista de la información utilizada. Un proceso sencillo de devolución de llamada puede incluir nombre, teléfono y motivo; una reserva puede necesitar datos adicionales. No pidan más información solo porque el sistema pueda recogerla.
Valoren si quienes llaman pueden comunicar datos sensibles. En una clínica, la conversación puede contener datos de salud sujetos a una protección especial. Decidan si hacen falta para el proceso del asistente y eviten preguntar detalles médicos cuando la consulta sea únicamente administrativa.
2. Evaluar por separado audio, transcripciones y resúmenes
«Se procesa la llamada» puede referirse a varias cosas: se utiliza el audio en directo para reconocer el habla, se guarda una transcripción, se envía un resumen al equipo o queda disponible una grabación. Cada actividad tiene finalidades y riesgos distintos. Documenten qué datos se generan, para qué se necesitan y cuándo se eliminan.
Grabar una conversación privada también puede afectar al artículo 201 del Código Penal alemán, que prohíbe las grabaciones no autorizadas. Evalúen cada grabación por separado, anúncienla con claridad y utilicen un procedimiento adecuado (artículo 201 del Código Penal alemán). Las transcripciones y los resúmenes tampoco están libres de protección de datos: pueden seguir conteniendo información personal.
Documentar los flujos de datos de VoiceBooker
Con VoiceBooker pueden utilizar transcripciones y grabaciones de audio e incorporar correo electrónico, SMS e integraciones externas a sus procesos. Nuestro resumen de funciones indica qué incluye cada plan. Para su configuración concreta, documenten qué funciones utilizan, qué datos de llamada generan y a qué buzones o sistemas conectados los envían.
Consulten después la documentación contractual y la información de su uso específico para identificar proveedores, plazos de conservación y eliminación y personas con acceso. En nuestras condiciones se establece que cada cliente debe evaluar la licitud de su uso concreto conforme a la normativa de protección de datos. Cuando es necesario, firmamos por separado un acuerdo de tratamiento de datos. Una función del producto o un aviso general de privacidad no sustituyen esta evaluación.
La grabación de audio se puede activar por separado en los ajustes del asistente de VoiceBooker. Mediante nuestra API pueden recuperar una grabación si estaba activada para esa sesión. Comprueben por separado si graban audio, consultan transcripciones o historiales y envían resúmenes por correo o a sistemas conectados: son funciones con flujos de datos y finalidades diferentes.
3. Informar con claridad a quienes llaman
Determinen qué deben saber: quién procesa sus datos, con qué finalidad, qué información se comunica a terceros y cómo pueden ejercer sus derechos. La información de privacidad debe corresponder al proceso real y estar disponible en un lugar apropiado.
Preparen un saludo comprensible. Si atiende una llamada un asistente con IA, el proceso no debe dar a entender que se trata de una persona. Expliquen brevemente qué puede hacer y cómo contactar con alguien del equipo. Soliciten una revisión jurídica de la información y la forma de comunicarla para su caso.
4. Aclarar responsabilidades y proveedores
Determinen quién decide los fines y los medios esenciales del tratamiento, y qué proveedores o subencargados reciben datos. Si un proveedor trata datos por cuenta de la empresa, comprueben si hace falta un contrato de encargo y si regula instrucciones, seguridad, asistencia y eliminación o devolución de datos al finalizar. El artículo 28 del RGPD establece requisitos al respecto.
Preparen un mapa de datos: dónde se recogen y procesan las llamadas; qué proveedores reciben audio, transcripciones o resúmenes; en qué países se procesan o almacenan; qué subencargados intervienen; cómo se transmiten y protegen los datos; y quién accede a grabaciones, registros y configuración.
Verifiquen estos puntos con la documentación contractual y técnica vigente para el proveedor y la configuración concretos. Una afirmación comercial o la ubicación de un servidor no demuestra por sí sola que todo el proceso cumpla los requisitos.
5. Limitar conservación y accesos
Establezcan periodos de conservación separados para grabaciones, transcripciones, resúmenes y registros técnicos. Guarden los datos solo mientras lo exija una finalidad documentada. Limiten el acceso al personal que los necesita y definan cómo se gestionan exportaciones, correos y copias de seguridad.
Determinen también cómo se atienden las solicitudes de supresión, si deben borrarse datos de CRM o sistemas de tickets conectados y qué información está sujeta a obligaciones legales de conservación independientes.
6. Evaluar riesgos y seguridad
Elijan medidas técnicas y organizativas adecuadas al tipo, alcance y riesgo del tratamiento: controles de acceso por función, transmisión segura, permisos limitados, registros y revisión periódica de proveedores. El artículo 32 del RGPD exige un nivel de seguridad apropiado al riesgo.
Valoren si el uso previsto requiere una evaluación de impacto en protección de datos, en particular cuando pueda entrañar un alto riesgo. Consulten pronto con su delegado de protección de datos o asesor jurídico si hay datos sensibles, grandes volúmenes o una supervisión extensa.
7. Planificar transferencias humanas y errores
La privacidad y la calidad del servicio también dependen de lo que ocurre cuando falla algo. Definan qué consultas no puede gestionar el asistente, cómo se transfiere la llamada al personal y qué información se transmite. Comprueben si el equipo necesita el resumen completo o si bastan menos datos.
Prueben errores de reconocimiento, llamadas interrumpidas, registros duplicados y sistemas de destino inaccesibles. Una opción clara para devolver la llamada es mejor que afirmar sin pruebas que la solicitud ya se ha resuelto.
Lista de comprobación antes del lanzamiento
- Se han documentado las finalidades y los tipos de datos.
- Se ha evaluado la base jurídica de cada finalidad.
- Audio, transcripciones, resúmenes y registros se han analizado por separado.
- La información a quienes llaman coincide con el proceso real.
- Se han revisado proveedores, subencargados, ubicaciones y contratos.
- Están definidos los plazos, accesos y métodos de eliminación.
- Se han valorado las medidas de seguridad y, si procede, la evaluación de impacto.
- Están organizadas las transferencias, las solicitudes de derechos y los casos de error.
Conclusión
Un asistente telefónico con IA no es automáticamente conforme ni contrario a la normativa de privacidad. Depende de qué datos se traten, con qué finalidad y cómo se diseñe el proceso completo. Documentar los flujos, recoger solo lo necesario y asignar responsabilidades claras son buenos primeros pasos.