Qué hacemos con tus datos

La respuesta corta: procesarlos y devolvértelos. Nada más. Uttera no es un archivo ni una copia de seguridad: el audio que nos mandas entra, se convierte en lo que has pedido, sale y desaparece.

Ni entrenamos con tus datos, ni los agregamos

Este apartado existe porque es donde casi todo el mundo se guarda una puerta. La fórmula habitual es «no usamos tus datos personales» y, debajo, el permiso para usar los mismos datos una vez agregados o «anonimizados». Aquí no hay esa puerta:

• Tu audio y tu texto no entrenan ningún modelo, ni el nuestro ni el de nadie.
• No se agregan en estadísticas, métricas de calidad ni conjuntos de estudio.
• No se «anonimizan» para reutilizarlos de ninguna forma. Un audio del que se quita el nombre del cliente sigue siendo la voz de una persona, y seguirlo usando sería exactamente lo que decimos que no hacemos.
• No se revisan a mano, ni por muestreo, ni «para mejorar el servicio».

Y no depende de nuestra buena voluntad. Una promesa de no usar algo que tienes guardado sólo vale lo que valga quien la firma. Aquí la promesa es más fuerte porque es una consecuencia: no queda copia con la que hacerlo. El audio se procesa en memoria y se descarta al responder; lo único que sobrevive una hora es el audio que generamos para ti, y se borra solo.

Los modelos no aprenden de lo que pasa por ellos: cada petición empieza y termina sin dejar rastro en el modelo.

Lo que esto no dice

Conviene ser exacto, porque la frase corta —«no entrenamos modelos»— dice más de lo que queremos decir. Esto no es una promesa de no entrenar nunca. Entrenar un modelo es legítimo y es como avanza esta tecnología.

Si algún día afinamos un modelo nuestro, será para lo que de verdad hace falta: que pronuncie mejor —el castellano de España tiene sonidos que los modelos abiertos suelen comerse—, que entone como habla la gente, y que transmita lo que el texto pide. Y será con material obtenido lícitamente: corpus de dominio público, licencias compradas, o grabaciones encargadas y pagadas por nosotros. Se dirá aquí cuando pase.

La línea que no se cruza es la otra, la de arriba: lo que pasa por la API de un cliente no entra ahí jamás — ni con un permiso implícito enterrado en unos términos, ni agregado, ni «anonimizado». Esa distinción es justo la que casi nadie hace, y es la que nos importa.

La caché de voz dura una hora

Cuando conviertes un texto en voz, guardamos el audio resultante durante 60 minutos. Si en esa hora vuelves a pedir exactamente lo mismo —mismo texto, misma voz, mismo formato— te lo servimos del disco en unos milisegundos en vez de volver a generarlo, y te cuesta el 10 %. La respuesta te lo dice con la cabecera X-Cache: HIT.

El nombre del fichero es una huella de la petición, no un identificador de cliente. Se calcula a partir del texto, la voz y los parámetros, y es lo único que hay: en el disco no queda nada que diga quién lo pidió. Dos clientes que piden el mismo texto con la misma voz comparten la entrada, y por eso la caché no puede saber de quién es — no es de nadie.

Lo que sí contiene el fichero es lo que se dijo, porque es el audio. Por eso se trata como un dato y no como algo inocuo: dura una hora y se borra.

Está ahí por una razón concreta: en una integración real el mismo aviso, el mismo menú o la misma frase de bienvenida se piden cientos de veces. Regenerarlos cada vez sería más lento para tu usuario y más caro para ti.

Pasada la hora, el fichero se borra del disco. No se marca como caducado y se deja ahí: un proceso periódico lo elimina. La diferencia importa —un fichero «caducado» que sigue en el disco sigue siendo un dato almacenado— y por eso el borrado es real.

Dónde está el sistema

Todo —la API, los modelos, las tarjetas gráficas que hacen el trabajo y el poco disco que se usa— está en centros de datos propios en Andalucía, en el sur de España, dentro de la Unión Europea. No hay nada en otro continente, ni en una nube de terceros, ni una réplica «por si acaso» en otra jurisdicción.

Esto importa más de lo que parece. Cuando un proveedor procesa datos personales fuera del Espacio Económico Europeo, la transferencia necesita amparo legal propio —cláusulas contractuales tipo, evaluaciones de impacto, y la incertidumbre que arrastran desde que cayó el Privacy Shield—. Aquí ese problema no existe: no hay transferencia internacional que justificar porque no hay salida de datos.

Nada se envía a terceros

Tu audio y tu texto no salen de nuestra infraestructura. Ni para transcribir, ni para traducir, ni para resumir. En concreto:

El resumen merece un párrafo aparte, porque es donde casi todo el mundo acaba llamando a una API ajena. Nosotros no: el modelo de lenguaje está instalado en nuestras máquinas y solo escucha en su interfaz local. No hay ninguna llamada a OpenAI, a Anthropic, a Google ni a nadie. Ni siquiera existe la ruta de red para hacerla.

Todo cifrado en tránsito

La conexión entre tu sistema y el nuestro va por HTTPS con TLS 1.2 y 1.3, con certificado emitido por una autoridad pública. No se admite tráfico en claro: el puerto 80 solo redirige al 443.

Dentro de nuestra instalación, el tráfico entre el borde y los nodos de cálculo circula por una red privada que no está enrutada a internet y a la que no llega nadie de fuera. El borde, además, corre aislado en su propio contenedor, sin acceso al resto de la máquina que lo aloja.

Lo que sí guardamos, y por qué

Ningún sistema serio funciona sin registros. Los nuestros están pensados para poder responderte «qué pasó con esta petición» sin conservar lo que iba dentro:

Ese registro se conserva 180 días y después se destruye. Los contadores de consumo guardan números —cuántas peticiones, cuántos créditos, cuántos segundos de audio—, nunca lo que había en ellas.

Y se guarda a propósito. Es la única forma de investigar un incidente: un abuso, un intento de fraude, un cliente que pregunta qué pasó con una petición concreta, un nodo que falló a las tres de la mañana. Un servicio que no puede responder «esto fue lo que ocurrió» no es más respetuoso con tus datos, es simplemente peor. El RGPD no lo prohíbe: la seguridad de la red es un interés legítimo reconocido expresamente (art. 6.1.f y considerando 49). Lo que exige es que el plazo esté definido y sea proporcionado. Seis meses lo son: es el plazo que se usa habitualmente para registros de seguridad, y cubre de sobra el tiempo en que un incidente se detecta, se investiga y se cierra, sin convertirse en un archivo histórico.

La cabecera X-Request-Id que devuelve cada petición es el hilo que une tu incidencia con nuestro registro. Es también la razón de que podamos ayudarte sin guardarnos tu contenido: nos basta con el identificador.

Por qué esto cumple el RGPD

«Cumplimos el RGPD» lo dice todo el mundo. Esto es lo que hay detrás, artículo por artículo:

Categorías especiales de datos

Conviene decirlo claro porque casi nadie lo advierte: el análisis de tono y el perfil del hablante producen inferencias sobre una persona a partir de su voz. Según para qué se usen, pueden acercarse a lo que el RGPD llama categorías especiales (art. 9).

Nuestra postura es la que ya está escrita en la documentación de esos servicios: son estimaciones acústicas, se equivocan, y no deben usarse para nada que tenga consecuencias para una persona —ni para contratar, ni para puntuar, ni para decidir a quién se atiende—. Si tu caso de uso se acerca a esa frontera, es un caso que pide evaluación de impacto antes que integración.