Toda plataforma de voz con IA graba llamadas. Es fundamental para el funcionamiento de la tecnología. Las grabaciones se usan para control de calidad, monitorización de cumplimiento, entrenamiento de IA y resolución de disputas. Pero bajo el RGPD, cada grabación crea obligaciones legales significativas que la mayoría de empresas ignoran.
Las grabaciones de voz son datos personales bajo el RGPD. Identifican a individuos a través de características vocales y contenido. Eso significa que se aplican los Artículos 6 (base legal), 13 y 14 (transparencia), 15 (derecho de acceso), 17 (derecho de supresión) y 30 (registro de actividades de tratamiento).
20 M EUR
Multa RGPD por protección de datos inadecuada (Vodafone España, 2021)
Requisitos de consentimiento
El consentimiento es necesario cuando la grabación no es necesaria para el servicio o cuando quien llama es un consumidor (B2C). El consentimiento debe ser libre, específico, informado e inequívoco. En la práctica: "Esta llamada se graba para control de calidad. Si prefiere no ser grabado, hágamelo saber ahora."
El interés legítimo puede aplicarse cuando la grabación es necesaria para tu negocio (monitorización de calidad, cumplimiento normativo, resolución de disputas) y no prevalece sobre los derechos del individuo. Más común en contextos B2B.
Cómo obtener consentimiento sin matar la conversión: "Hola, soy Álex de Ringvox. Un aviso rápido, esta llamada se graba para que todo vaya bien. ¿Es buen momento?" Has declarado la grabación, dado una opción fácil de exclusión y mantenido la llamada natural.
Almacenamiento de datos: dónde y durante cuánto tiempo
El RGPD no exige que las grabaciones se almacenen en la UE. Lo que exige son salvaguardas adecuadas al transferir datos fuera de la UE. La residencia de datos en la UE es más segura y simple. Almacenar grabaciones en regiones cloud de la UE (Irlanda, Fráncfort) evita la complejidad de las transferencias internacionales.
Períodos de retención comunes: Control de calidad y formación (30-90 días). Resolución de disputas (12 meses). Monitorización de cumplimiento (3-5 años según regulación sectorial). La clave es la documentación. Tu política de privacidad debe indicar tus períodos de retención y tus sistemas deben aplicar la eliminación automática.
El derecho de supresión
El Artículo 17 del RGPD otorga a los individuos el derecho a solicitar la eliminación de sus datos personales. Para grabaciones de llamadas, esto significa que si alguien solicita la eliminación, debes eliminar la grabación de todos los sistemas, incluidas copias de seguridad, en un plazo de 30 días.
La eliminación en todos los sistemas es la parte difícil. Las grabaciones suelen residir en múltiples lugares: almacenamiento primario, copias de seguridad, archivos de log y conjuntos de datos de entrenamiento de IA. La mayoría de empresas eliminan el registro primario y se olvidan de las copias de seguridad. Eso no es conforme.
Acuerdos de Tratamiento de Datos
Si usas una plataforma de IA de terceros, necesitas un Acuerdo de Tratamiento de Datos (DPA). El Artículo 28 del RGPD lo exige. El DPA debe contener: objeto y duración del tratamiento, naturaleza y finalidad, tipos de datos personales, obligaciones del encargado, derechos del responsable.
Señales de alerta en un DPA: no menciona residencia de datos en la UE o mecanismos de transferencia. El encargado reclama propiedad de los datos de llamadas. No hay lista de sub-encargados. No hay derechos de auditoría.
Cómo gestiona Ringvox el cumplimiento de grabaciones
Captura de consentimiento integrada. Almacenamiento de datos en la UE. Políticas de retención configurables con eliminación automática. Gestión automatizada de solicitudes de eliminación y acceso. DPA proporcionado de serie con documentación de sub-encargados.
¿Necesitas una plataforma de voz con IA conforme al RGPD? Descubre cómo Ringvox gestiona consentimiento, almacenamiento y eliminación automáticamente: https://ringvox.co/compliance