IA y proteccion de datos

Enfoque general

STAKKER SYSTEMS construye sistemas con IA para automatizar atencion, llamadas, mensajeria, formularios, leads, reservas y procesos internos. Cuando esos sistemas tratan datos personales, lo hacen bajo Reglamento UE 2016/679 (RGPD), Ley Organica 3/2018 (LOPDGDD), Ley 34/2002 (LSSI-CE) y Reglamento UE 2024/1689 (AI Act, en vigor por fases hasta 2027).

STAKKER actua tecnicamente como encargado del tratamiento de los datos del cliente. El cliente sigue siendo responsable del tratamiento frente a sus usuarios finales.

No prometemos cumplimiento absoluto. Disenamos los sistemas para reducir riesgo, documentamos lo que hacen y dejamos al cliente lo necesario para que su DPO o asesor legal valide.

RGPD aplicado a sistemas IA

Cualquier sistema IA que reciba o procese informacion sobre una persona identificada o identificable trata datos personales: un agente telefonico que escucha al usuario, un chatbot que guarda conversaciones, un formulario que captura email, un workflow n8n que sincroniza un CRM.

STAKKER aplica los principios RGPD por defecto:

• Licitud, lealtad, transparencia: el usuario sabe que esta interactuando con IA y para que.
• Limitacion de finalidad: los datos solo se usan para lo declarado.
• Minimizacion: solo se recogen los datos necesarios.
• Exactitud: el cliente puede rectificar y borrar datos cuando aplique.
• Limitacion del plazo de conservacion: retencion definida por defecto (ver Logs y retencion).
• Integridad y confidencialidad: cifrado en transito, cifrado en reposo donde aplica, control de acceso por rol (RBAC).
• Responsabilidad proactiva: registro de actividades, evaluaciones cuando proceda y documentacion del sistema.

Cuando hace falta consentimiento

El consentimiento explicito (art. 6.1.a RGPD) suele ser la base legal cuando el tratamiento no esta cubierto por contrato, obligacion legal, interes vital, mision de interes publico o interes legitimo. Casos tipicos en sistemas IA:

• Comunicaciones comerciales por email, SMS o WhatsApp (LSSI + RGPD).
• Grabacion de llamadas para fines distintos a la prueba contractual.
• Llamadas salientes (outbound) sin relacion contractual previa.
• Cookies no esenciales o tecnologias de seguimiento.
• Tratamientos basados en perfilado o decisiones automatizadas con efecto significativo (art. 22 RGPD).

Para outbound de voz IA, STAKKER exige que el cliente aporte base legal documentada (consentimiento previo o evaluacion de interes legitimo / LIA). Sin esa base, no se activan campanas.

Tratamiento de datos personales

Los sistemas que construye STAKKER tipicamente tratan:

• Datos identificativos: nombre, email, telefono, NIF/CIF.
• Datos de contacto: direccion, codigo postal, perfil pro.
• Datos de interaccion: contenido de mensajes, transcripciones, preferencias declaradas, historico.
• Datos tecnicos: IP, user agent, eventos de uso, logs de workflow.
• Datos comerciales o contractuales segun el sistema (CRM, facturacion, agenda).

STAKKER no entrena modelos publicos con los datos del cliente. Cuando se usan modelos LLM externos (Claude, GPT, etc.), se opera con configuracion que excluye uso para entrenamiento.

Datos sensibles (categorias especiales)

El RGPD considera categorias especiales (art. 9): salud, origen racial o etnico, opiniones politicas, convicciones religiosas, afiliacion sindical, orientacion sexual, datos geneticos, biometricos y judiciales (art. 10).

STAKKER no acepta proyectos donde el sistema deba tratar datos sensibles salvo que el cliente cumpla todas estas condiciones:

• DPO designado y acreditable.
• Base legal explicita reforzada (art. 9.2 RGPD).
• Evaluacion de impacto (DPIA) previa al despliegue, art. 35.
• Cifrado en transito y en reposo.
• Control de acceso por rol y trazabilidad completa (audit log).
• Revision humana obligatoria en decisiones criticas.
• Proveedores externos con garantias verificadas.

En clinicas, despachos juridicos, RRHH o entornos similares STAKKER puede automatizar el lado no sensible del proceso (recepcion, citas, recordatorios, FAQs administrativas) y derivar al humano cuando el flujo entra en territorio sensible.

Grabacion de llamadas con IA

La grabacion de llamadas en Espana exige base legal explicita (RGPD + LOPDGDD + jurisprudencia AEPD) e informacion previa al inicio de la llamada. STAKKER aplica por defecto:

• No se graba audio salvo peticion expresa del cliente con base legal documentada.
• Cuando se graba, hay aviso al inicio de la llamada ("esta llamada esta siendo atendida por un asistente virtual y puede ser grabada con fines X").
• Se almacenan transcripciones de texto antes que el audio cuando es viable.
• Retencion por defecto 30-90 dias, configurable contractual.
• Cifrado en reposo y acceso restringido al equipo necesario.

Para llamadas salientes (outbound) STAKKER exige especialmente LIA o consentimiento previo del receptor. La AEPD ha publicado circulares advirtiendo sobre llamadas comerciales con IA sin consentimiento (referencia: AEPD junio 2023).

Base legal del tratamiento

Cada flujo declarado en el contrato debe tener una base legal clara segun el caso:

• Consentimiento (art. 6.1.a): formularios, marketing, comunicaciones comerciales.
• Contrato (art. 6.1.b): atencion al cliente activo, gestion de pedidos, soporte.
• Obligacion legal (art. 6.1.c): facturacion, fiscal.
• Interes legitimo (art. 6.1.f): seguridad, prevencion fraude, mejora del servicio, con LIA documentada.

STAKKER no decide la base legal: la valida con el cliente antes de configurar el sistema y la deja documentada en el registro de actividades.

Encargados de tratamiento

STAKKER actua como encargado del tratamiento (art. 28 RGPD) respecto a los datos personales del cliente. Antes de pasar a produccion firmamos:

• Contrato de encargo (DPA) con clausulas art. 28 RGPD.
• Lista de subencargados (proveedores externos) con identidad, pais y finalidad.
• Medidas tecnicas y organizativas (cifrado, control de acceso, copias de seguridad, gestion de incidentes).
• Procedimiento de notificacion de brechas en plazos RGPD (72h al responsable).
• Compromiso de confidencialidad del personal con acceso.
• Devolucion o supresion de datos al final del contrato.

Proveedores externos tipicos

Los sistemas que construye STAKKER pueden involucrar subencargados. La lista exacta depende del proyecto y se documenta en el DPA. Proveedores frecuentes:

Transferencias internacionales

Algunos proveedores estan ubicados fuera del Espacio Economico Europeo (mayoritariamente Estados Unidos). STAKKER aplica las garantias previstas en el capitulo V RGPD:

• Decisiones de adecuacion (Data Privacy Framework EU-US para empresas adheridas).
• Clausulas Contractuales Tipo (Standard Contractual Clauses, SCC).
• Medidas tecnicas adicionales: cifrado, anonimizacion cuando aplique.

La lista exacta de transferencias y garantias se entrega al cliente con el DPA antes de produccion.

Logs, trazabilidad y retencion

STAKKER mantiene logs operativos para depuracion, monitorizacion y trazabilidad. Por defecto:

• Logs tecnicos (errores, latencias, eventos de sistema): retencion 30-90 dias.
• Transcripciones y conversaciones IA: retencion configurable, por defecto 30-90 dias para soporte y mejora del flujo.
• Audio bruto de llamadas: solo si esta activado, mismo plazo.
• Logs de seguridad y acceso (auth, panel admin): retencion ampliada por exigencia de seguridad.
• Datos de negocio del cliente (CRM, agenda, facturas): segun reglas del cliente y obligaciones fiscales aplicables.

Los plazos concretos se cierran en el DPA. El cliente puede solicitar borrado anticipado de conversaciones cuando exista base legal para hacerlo (ejercicio de derechos del usuario final).

Revision humana y derivacion

Por defecto los sistemas STAKKER tienen humano en el bucle:

• Handoff a persona humana cuando el sistema detecta caso complejo, queja, vulnerabilidad o tema fuera de alcance.
• El usuario final siempre puede solicitar hablar con persona humana.
• Decisiones automatizadas con efecto significativo no se ejecutan sin verificacion humana o sin haber declarado art. 22 RGPD al usuario y obtenido su base legal.
• En sectores regulados (sanidad, financiero, juridico) la validacion humana es obligatoria antes de comunicar decision al usuario final.

Limites del servicio

STAKKER no asume:

• El rol de DPO del cliente.
• Auditorias regulatorias sectoriales (sanidad, financiero, educativo, asegurador). Esas las realiza el asesor del cliente.
• Validacion juridica final de textos legales propios del cliente (avisos, consentimientos, contratos B2C, terminos).
• Garantia de resultado comercial: STAKKER garantiza la implementacion tecnica acordada, no resultados comerciales especificos.
• Responsabilidad sobre datos que el cliente tratase fuera del sistema construido por STAKKER.
• Cobertura de incidentes derivados de configuracion tomada por el cliente contra recomendacion documentada de STAKKER.

STAKKER asume su responsabilidad como encargado tecnico: disenar, documentar, mantener y monitorizar el sistema; aplicar medidas tecnicas y organizativas; notificar incidentes en plazo y cumplir las clausulas del DPA.

Necesidad de contrato y DPA

Antes de pasar cualquier sistema a produccion con datos personales reales, cliente y STAKKER firman:

• Contrato de servicios con alcance, plazo, importes, soporte y garantias.
• DPA (acuerdo de encargo del tratamiento) con clausulas art. 28 RGPD, proveedores subencargados y medidas tecnicas/organizativas.
• Anexos especificos cuando aplica (LIA outbound voz, DPIA si tratamiento de alto riesgo, condiciones particulares por sector).

STAKKER no entrega credenciales de produccion, ni realiza outbound real, ni activa flujos sobre usuarios reales sin esos documentos firmados.

Validacion legal del cliente

STAKKER es proveedor tecnico, no firma juridica. El cliente debe validar con su asesor legal o DPO:

• Adecuacion del sistema a su sector concreto (sanidad, financiero, juridico, educativo, menores, datos publicos).
• Textos legales que el cliente publica en su web, formularios o contratos con sus usuarios finales.
• Bases legales declaradas en cada flujo y compatibilidad con su politica corporativa.
• Necesidad de DPIA art. 35 RGPD en su caso.
• Necesidad de adaptaciones por convenios sectoriales o regulacion especifica.

STAKKER puede colaborar con la asesoria del cliente y entregar la documentacion tecnica necesaria, pero no sustituye a esa asesoria.

Preguntas frecuentes