OXEs una de las primeras preguntas que nos hacen, y nos parece una gran señal: quien se preocupa por los datos de sus clientes es quien mejor los va a cuidar. Así que vamos a explicarlo con calma y sin jerga legal, porque la normativa es más razonable de lo que parece.
Quién es responsable de qué
Cuando un visitante escribe en el chat de tu web, los datos que deja (sus preguntas y, si quiere, su nombre o su teléfono) son de tu negocio. En el lenguaje del Reglamento General de Protección de Datos, el RGPD, tu empresa es la responsable del tratamiento. El proveedor del chatbot es el encargado: los trata solo para darte el servicio y siguiendo tus instrucciones.
Esa relación tiene que estar por escrito en un contrato de encargo del tratamiento. No es un trámite opcional: es lo que garantiza que el proveedor no puede usar los datos de tus clientes para otra cosa. Si un proveedor no te lo ofrece, mala señal.
Dónde están los datos
El RGPD no prohíbe que los datos salgan de la Unión Europea, pero exige garantías cuando lo hacen. Durante unos años esto fue un quebradero de cabeza con Estados Unidos, porque los acuerdos anteriores fueron anulados por los tribunales europeos. Desde julio de 2023 existe el Marco de Privacidad de Datos UE-EE. UU., que permite transferir datos a las empresas estadounidenses adheridas con un nivel de protección que la Comisión Europea considera adecuado.
Aun así, lo más tranquilo es que los datos se guarden en Europa y que, si algún proveedor de servicio los trata fuera, sea con las garantías que exige el RGPD y quede explicado en la política de privacidad.
La pregunta que casi nadie hace: ¿entrenan su IA con mis datos?
Esta es importante. Algunos servicios de inteligencia artificial gratuitos o de consumo pueden usar lo que se les escribe para mejorar sus modelos. Para una empresa eso es un problema: no quieres que las conversaciones con tus clientes acaben formando parte de nada que no controlas.
Pregúntalo directamente y pide que esté por escrito. La respuesta correcta es un no rotundo.
El aviso de que se habla con una IA
El Reglamento europeo de Inteligencia Artificial añade una obligación sencilla y lógica: la persona tiene que saber que está hablando con una IA. Un chatbot que se hace pasar por una persona no solo es poco honesto; además va contra la norma. Lo correcto es que se presente como el asistente con IA de tu empresa y que, si alguien quiere hablar con una persona, pueda hacerlo.
El consentimiento al dejar los datos
Si el chatbot pide nombre, email o teléfono, tiene que hacerlo bien: explicando para qué se usan, con una casilla de aceptación y con un enlace a tu política de privacidad. Y el visitante tiene que poder ejercer sus derechos (acceder, rectificar, suprimir) como con cualquier otro dato que tengas de él.
Las cookies
Otro detalle que a veces se pasa por alto: algunos chats añaden cookies en tu web que obligan a pedir consentimiento en el banner. Si el chat no pone cookies, te ahorras ese problema.
Qué preguntar a tu proveedor
- ¿Me firmáis un contrato de encargo del tratamiento?
- ¿Dónde se guardan los datos?
- ¿Usáis las conversaciones para entrenar alguna IA?
- ¿El chat se presenta como asistente con IA?
- ¿El formulario de contacto recoge el consentimiento?
- ¿El chat pone cookies en mi web?
Nuestro compromiso
En OX·IA nos tomamos todo esto muy en serio, porque sabemos que es lo que permite a un negocio confiar en una herramienta así. El contrato de encargo del tratamiento está incluido en nuestras condiciones, los servidores están en España, los datos de tus clientes no se usan para entrenar ninguna IA, el chat no pone cookies en tu web, el asistente se presenta siempre como IA de tu empresa y el formulario de contacto recoge el consentimiento con enlace a tu política de privacidad. Si algún proveedor de servicio trata datos fuera de la UE, es con las garantías del RGPD y está explicado en nuestra política de privacidad.
Creemos que la protección de datos no es un apartado legal al final de la web: es parte del producto.