«Datos en Europa» aparece en la web de todos los proveedores y no significa lo mismo en todas. Esto va de qué preguntas te va a hacer tu responsable de protección de datos, y cuáles de ellas dejan de existir según dónde se procese.
No es «¿cumplen el RGPD?». Todos dicen que sí. La que bloquea es esta:
¿Hay una transferencia internacional de datos personales, y con qué amparo?
Cuando un proveedor trata datos personales fuera del Espacio Económico Europeo, esa transferencia necesita justificación propia: cláusulas contractuales tipo, una evaluación de impacto, y el análisis de si el país de destino ofrece garantías equivalentes. Desde que cayó el Privacy Shield, ese último punto arrastra una incertidumbre que ningún jurista firma con entusiasmo.
Ese trabajo cuesta semanas y dinero, y hay que rehacerlo cada vez que cambia el marco.
Si no hay salida de datos, ese trabajo no existe. No es que sea más fácil de justificar: es que no hay nada que justificar. Ahí está la diferencia práctica entre «datos en Europa» y «procesado íntegramente en España».
El artículo 5.1.b del RGPD exige que los datos se traten solo para el fin por el que se recogieron. La fórmula habitual del sector es:
No usamos tus datos personales para otros fines.
Y, unos párrafos más abajo, el permiso para usar los mismos datos una vez agregados o «anonimizados».
Merece la pena pararse ahí, porque en audio esa puerta es más grande de lo que parece. Un audio al que se le quita el nombre del cliente sigue siendo la voz de una persona. La voz es un identificador; «anonimizar» una grabación quitándole los metadatos es una operación que suena bien y no lo es.
La pregunta útil para el proveedor: ¿qué queda guardado, y durante cuánto? Si la respuesta es «nada», la limitación de finalidad deja de ser una política que hay que creerse y pasa a ser una consecuencia técnica.
Un sistema de voz suele ser una cadena: el que recibe tu audio no siempre es el que lo transcribe, ni el que lo resume. Cada eslabón es un encargado de tratamiento más que documentar, y a veces uno fuera de Europa que el intermediario no menciona.
Pregunta directa: ¿hay subencargados, y quiénes son? Si el proveedor transcribe con un modelo y resume llamando a un tercero, eso tiene que estar en el contrato y en tu registro de tratamientos.
En la mayoría de proyectos, la soberanía es un argumento entre varios. En estos, decide:
Tres preguntas que un proveedor serio contesta por escrito y sin rodeos:
Las nuestras están en la documentación de privacidad, artículo por
artículo. Y si algo de lo que hay escrito ahí no te cuadra con lo que ves, escríbenos a
support@uttera.ai: preferimos corregir una página a que alguien firme con una idea
equivocada.
¿Algo que añadir o que corregir? Escríbenos a support@uttera.ai. Si nos corriges, editamos la entrada y te damos crédito.
Uttera