RGPD
Última actualización:
Qué es el RGPD
El Reglamento General de Protección de Datos es la principal ley europea de protección de datos. Regula el tratamiento de datos personales, es decir, toda información sobre una persona identificada o identificable, como un nombre, un email, un número de teléfono, un identificador en línea o un mensaje que revela quién lo escribió (artículo 4, apartado 1).
Se aplica a las organizaciones establecidas en la UE y, según el artículo 3, apartado 2, también a las de fuera de la UE que ofrecen bienes o servicios a personas en la UE o controlan su comportamiento allí. Esta página es información general, no asesoramiento jurídico. Cómo se aplican las normas depende de tu sector, tu país y lo que hagas con los datos.
Cómo funciona
El reglamento es extenso, pero unas pocas reglas marcan la mayoría de las decisiones del día a día:
- Principios (artículo 5): licitud, lealtad y transparencia, limitación de la finalidad, minimización de datos, exactitud, limitación del plazo de conservación, integridad y confidencialidad.
- Base jurídica (artículo 6): cada finalidad necesita una de seis bases: consentimiento, contrato o medidas precontractuales, obligación legal, intereses vitales, misión de interés público o interés legítimo.
- Transparencia (artículo 13): explica quién eres, por qué tratas los datos, con qué base, quién los recibe y cuánto tiempo los guardas.
- Derechos (artículos 15 a 21): acceso, rectificación, supresión, limitación, portabilidad y oposición a ciertos tratamientos. Por lo general tienes un mes para responder (artículo 12, apartado 3).
- Responsables y encargados (artículo 28): quien decide los fines y medios del tratamiento es el responsable. Un proveedor que trata los datos por su cuenta es un encargado del tratamiento, y ambos necesitan un contrato de encargo.
- Brechas de seguridad (artículo 33): una violación de la seguridad de los datos personales debe notificarse a la autoridad de control en un plazo de 72 horas si es posible, salvo que sea improbable que suponga un riesgo para las personas.
- Multas (artículo 83): las infracciones graves pueden costar hasta 20 millones de euros o el 4 % del volumen de negocio total anual global, la cuantía que sea mayor.
Ejemplo
Una tienda de muebles añade un chatbot con IA a su web. Una visitante de Viena pregunta por la entrega y escribe su email para recibir un presupuesto. Ese email, la conversación y el identificador de sesión que mantiene abierto el chat son datos personales. Como responsable del tratamiento, la tienda necesita una base jurídica para contactarla, debería mencionar el chatbot en su política de privacidad, tiene que firmar un contrato de encargo con el proveedor del chatbot y debe decidir cuánto tiempo guarda conversaciones y leads.
Por qué importa en los chatbots para empresas
Un chatbot trata datos personales desde el primer mensaje. Los visitantes escriben preguntas que pueden incluir nombres, direcciones o datos de salud aunque nadie los pida. Los formularios de leads recogen emails y números de teléfono. Y el widget suele guardar un identificador de sesión en el navegador, lo que también activa las normas ePrivacy sobre cookies y tecnologías similares.
Los chatbots con IA añaden una capa: el proveedor del chatbot suele enviar los mensajes al proveedor de un modelo de IA, que actúa como subencargado del tratamiento. Esa cadena debe figurar en tu registro de actividades de tratamiento y en tu política de privacidad. Suiza tiene su propia ley, la nueva Ley Federal de Protección de Datos (nLPD), en vigor desde el 1 de septiembre de 2023, con principios similares.
El RGPD e intoCHAT
Ningún software hace que un chatbot cumpla el RGPD por sí solo: depende de tu base jurídica, tu política de privacidad, tu gestión del consentimiento y tus plazos de conservación, e intoCHAT no tiene ninguna certificación de protección de datos. Lo que te da es control sobre los puntos que importan:
- Tú decides con qué se entrena el agente: las páginas, archivos, textos y pares de pregunta y respuesta que añades y que puedes editar, reentrenar o borrar.
- El formulario de leads recoge solo un email y/o un número de teléfono, y solo si el visitante decide compartirlos. No hay campo de nombre ni campos personalizados.
- Puedes exportar los leads en un archivo CSV y borrar conversaciones y leads uno a uno, lo que ayuda con las solicitudes de acceso o supresión.
- intoCHAT usa un modelo de OpenAI para responder, así que los mensajes de los visitantes y los fragmentos relevantes de tu contenido se envían a OpenAI. Menciónalo como destinatario en tu política de privacidad.