Un chatbot de un sitio web recoge datos personales: lo que la gente escribe, sus datos de contacto y, a veces, información de ubicación o del dispositivo. Si alguno de tus visitantes está en la Unión Europea o en el Reino Unido, la normativa de protección de datos se aplica a ese chat, sea cual sea el tamaño de tu negocio. La buena noticia es que el cumplimiento para el chatbot de un negocio de servicios típico se reduce a un conjunto claro de pasos prácticos. Esta lista los recorre, explica con palabras sencillas qué significa cada uno y señala las preguntas que conviene hacer al proveedor de tu chatbot.
Esto es información general, no asesoramiento jurídico. La normativa de protección de datos es detallada y depende de tus circunstancias. Lee la orientación oficial y consulta a un asesor cualificado sobre tu situación. Para el texto del reglamento consulta el sitio informativo sobre el RGPD.
Por qué los chatbots necesitan una atención especial
Un chat parece informal, así que los visitantes escriben más de lo que harían en un formulario, incluidos datos sensibles. Además, un asistente de IA puede enviar ese texto a un proveedor de IA externo, guardar transcripciones y usar analítica. Cada una de estas es una actividad de tratamiento de datos que necesita una base jurídica, transparencia y salvaguardas. Trata el chatbot como cualquier otro sistema que maneja información de clientes.
Paso 1: Saber qué datos maneja el chatbot
Empieza con un mapa sencillo. ¿Qué recoge el chatbot y adónde va?
| Dato | De dónde viene | Adónde va |
|---|---|---|
| Mensajes escritos por los visitantes | El chat | El proveedor de tu plataforma y el proveedor de IA que escribe las respuestas |
| Nombre, correo, número de teléfono | El chat o un formulario de contacto | Tu proveedor, tu correo o tu CRM, tu equipo |
| Datos de la reserva | El flujo de reserva | Tu calendario, los correos de confirmación |
| Datos técnicos (dirección IP, navegador) | La visita | Los registros y sistemas de seguridad de tu proveedor |
| Un identificador del visitante guardado en el navegador | El widget | Tu proveedor, para continuar una conversación |
Anótalo. Se convierte en la columna vertebral de tu aviso de privacidad y de tu registro de actividades de tratamiento.
Paso 2: Decidir tu base jurídica
Con el RGPD necesitas una base jurídica para cada finalidad. Para un chatbot de servicios, las candidatas habituales son estas.
- Interés legítimo: responder a las preguntas de los visitantes y mantener una herramienta de atención. Deberías poder demostrar que es necesario, que lo has ponderado frente a los derechos de los visitantes y que la gente lo esperaría razonablemente.
- Contrato: adoptar medidas a petición del visitante antes de celebrar un contrato, como reservar una cita.
- Consentimiento: para extras opcionales como correos de marketing o cookies no esenciales. El consentimiento debe ser libre, específico y fácil de retirar.
No te apoyes en una casilla premarcada ni en el silencio. Mantén el consentimiento de marketing separado del chat en sí.
Paso 3: Ser transparente
- Di a los visitantes que están hablando con un asistente de IA.
- Muestra un aviso breve en el chat o cerca de él que explique qué se recoge y enlace a tu política de privacidad.
- Explica en la política de privacidad qué recoges a través del chat, por qué, cuánto tiempo lo conservas y quién lo trata.
- Da datos de contacto para las solicitudes de privacidad.
Ejemplo de aviso: 'Estás chateando con un asistente de IA. Guardamos esta conversación para responderte y mejorar nuestro servicio. Lee nuestra política de privacidad.'
Paso 4: Recoger solo lo que necesitas
La minimización de datos es un principio básico. Diseña el flujo para que pida lo necesario y nada más. Una reserva necesita un nombre y una forma de contactar con la persona. No necesita una fecha de nacimiento. Desaconseja a los visitantes escribir información sensible: añade una línea como 'Por favor, no compartas aquí datos médicos ni financieros.' Configura el asistente para que no solicite datos de categoría especial, como información de salud, salvo que tengas una base jurídica específica y salvaguardas.
Paso 5: Ordenar los encargados del tratamiento y el proveedor de IA
El proveedor de tu chatbot es un encargado del tratamiento que actúa en tu nombre, y también pueden serlo el proveedor de IA y el servicio de correo. Necesitas un contrato de encargado del tratamiento con cada uno que trate datos personales por ti. Pídele uno a cada proveedor, junto con su lista de subencargados. Crescelo publica un anexo de tratamiento de datos y una lista de subencargados. Con una configuración en la que traes tu propia clave, tú eliges el proveedor de IA, así que debes aceptar sus condiciones comerciales y comprobar cómo trata los datos de la API.
| Pregunta | Por qué importa |
|---|---|
| ¿Ofrecéis un contrato de encargado del tratamiento? | Obligatorio cuando un proveedor trata datos personales por ti |
| ¿Quiénes son vuestros subencargados y dónde están? | Necesitas saber quién maneja los datos |
| ¿Se usan los datos de la API para entrenar modelos? | Afecta a la confidencialidad |
| ¿Dónde se almacenan y tratan los datos? | Relevante para las transferencias fuera del Reino Unido o la UE |
| ¿Cuánto tiempo se conservan las conversaciones y puedo eliminarlas? | Conservación y derechos de supresión |
| ¿Cómo se protegen las claves y los datos? | Seguridad del tratamiento |
Paso 6: Transferencias internacionales
Si los datos se almacenan o tratan fuera del Reino Unido o la UE, por ejemplo por un proveedor con sede en EE. UU. o un proveedor de IA, necesitas un mecanismo de transferencia lícito, como una decisión de adecuación o las cláusulas contractuales tipo. Los proveedores deberían decirte cuál usan. Es una de las áreas más técnicas; pide a tu proveedor su documentación sobre transferencias y busca asesoramiento si hace falta.
Paso 7: Conservación y supresión
- Decide cuánto tiempo conservas las transcripciones. Consérvalas solo mientras sean útiles, por ejemplo para responder a seguimientos y mejorar el asistente.
- Elimina los contactos y conversaciones que ya no necesites.
- Asegúrate de poder eliminar los datos de una persona a petición suya, también de los sistemas del proveedor.
- Documenta tu plazo de conservación en tu política de privacidad.
Con Crescelo puedes eliminar contactos, citas y fuentes de conocimiento desde el panel, y puedes solicitar la supresión de todo abriendo un ticket de soporte.
Paso 8: Respetar los derechos de los visitantes
Las personas pueden pedir ver sus datos, rectificarlos, suprimirlos, limitar u oponerse al tratamiento y recibir una copia. Por lo general debes responder en el plazo de un mes. Prepara un proceso sencillo: quién recibe las solicitudes, cómo verificas la identidad, cómo encuentras los datos de chat de una persona y cómo confirmas la supresión. Incluye una vía de contacto en tu política de privacidad. Consulta nuestro formulario de contacto, que crea un ticket de soporte, como ejemplo de una vía con seguimiento.
Paso 9: Cookies y almacenamiento del navegador
Un widget de chat puede guardar un identificador en el navegador del visitante para que una conversación continúe tras recargar la página. Que necesite consentimiento depende de si es estrictamente necesario para un servicio que el visitante ha solicitado y de las normas locales. Describe en tu política de cookies qué guarda el widget y pregunta al proveedor si es estrictamente necesario. Las cookies de analítica y de marketing suelen requerir consentimiento. Consulta nuestra política de cookies como ejemplo de cómo lo describimos.
Paso 10: Seguridad
- Usa un proveedor que cifre los datos en tránsito y en reposo y aísle los espacios de trabajo de los clientes.
- Protege tu cuenta con contraseñas seguras y autenticación en dos pasos.
- Da a los miembros del equipo el acceso mínimo que necesiten.
- Guarda las claves de API solo en los ajustes cifrados de la plataforma.
- Ten un plan para una brecha de seguridad, incluido quién avisa a la autoridad y a las personas afectadas en el plazo exigido.
Consulta configurar roles de equipo y autenticación en dos pasos.
Paso 11: Situaciones especiales
- Menores: evita recoger datos de menores salvo que tengas salvaguardas, y valora si el servicio está pensado para ellos.
- Servicios sanitarios, jurídicos y financieros: conllevan obligaciones adicionales. Limita el chat a reservas e información general y busca asesoramiento.
- Marketing: no añadas a personas a listas de correo desde un chat sin una aceptación separada y clara.
- Decisiones automatizadas: si el chatbot toma decisiones que afectan de forma significativa a las personas, se aplican normas adicionales.
Una lista para copiar y usar
- Mapa de datos de lo que recoge el chatbot y adónde va.
- Base jurídica elegida para cada finalidad.
- Aviso de IA y enlace de privacidad visibles en el chat.
- Política de privacidad actualizada con el chatbot, las transcripciones, los encargados y la conservación.
- Recogida mínima de datos; advertencia contra compartir datos sensibles.
- Contratos de encargado del tratamiento con el proveedor del chatbot y otros encargados.
- Subencargados y transferencias internacionales revisados.
- Plazo de conservación fijado y supresión posible.
- Proceso para atender las solicitudes de los visitantes.
- Política de cookies y ajustes de consentimiento acordes con lo que guarda el widget.
- Controles de seguridad, incluida la autenticación en dos pasos.
- Revisión periódica de las transcripciones y de la propia lista.
Un aviso de privacidad breve que puedes adaptar
Usa un lenguaje sencillo y mantenlo breve. Por ejemplo: 'Este chat está gestionado por un asistente de IA. Recogemos los mensajes que envías y los datos de contacto que decidas darnos para poder responderte, organizar citas y mejorar nuestro servicio. Nuestros proveedores de IA y de alojamiento tratan estos datos en nuestro nombre. Conservamos los chats durante [plazo]. Puedes pedir en cualquier momento ver o eliminar tus datos. Por favor, no compartas información sensible aquí. Los detalles completos están en nuestra política de privacidad.' Adapta la redacción, añade tus datos y haz que alguien la revise.
Guías relacionadas
- Trae tu propia clave de IA, explicado trata adónde van tus datos cuando eliges el proveedor de IA.
- Captación de contactos con chatbot, RGPD y CCPA profundiza en la recogida de datos de contacto.
- Transparencia y aviso de IA explica cómo decir a los visitantes que es una IA.
- Cómo evitar que un chatbot se invente cosas reduce el riesgo de afirmaciones erróneas sobre tu negocio.
Documentos que conviene conservar
- Tu mapa de datos y registro de actividades de tratamiento del chatbot.
- Contratos de encargado del tratamiento con el proveedor del chatbot, el proveedor de IA y otros encargados.
- Una nota con tu base jurídica y cualquier prueba de ponderación del interés legítimo.
- Las versiones de tu política de privacidad y de cookies.
- Tu calendario de conservación y tu registro de supresiones.
- Un registro de las solicitudes de los visitantes y de cómo las atendiste.
Tener esto a mano facilita responder a una autoridad o a un cliente que pregunta cómo tratas sus datos. Si además quieres usar el chat para conseguir clientes, esta guía explica cómo captar leads con un chatbot cumpliendo el RGPD y la LOPDGDD.
Preguntas frecuentes
¿Se aplica el RGPD al chatbot de mi sitio web?
Sí, si tratas datos personales de personas en la UE o el Reino Unido, estés donde estés. Los mensajes de chat y los datos de contacto son datos personales.
¿Necesito consentimiento para un chatbot?
No siempre. Muchos usos de chatbots se apoyan en el interés legítimo o en el contrato, pero se necesita consentimiento para el marketing y para las cookies no esenciales. Sé transparente en cualquier caso.
¿Tengo que decir a los visitantes que es una IA?
Es una buena práctica y cada vez más una obligación. Di a la gente que está hablando con una IA y dale una forma de contactar con una persona.
¿Es el proveedor de IA un encargado del tratamiento?
Normalmente sí, cuando trata datos personales en tu nombre. Necesitas condiciones adecuadas con él y debes comprobar cómo trata los datos de la API.
¿Cuánto tiempo puedo conservar las transcripciones del chat?
Solo el tiempo que las necesites para una finalidad definida. Fija un plazo de conservación y elimina los datos después.
¿Y si alguien me pide que elimine su chat?
Deberías poder encontrarlo y eliminarlo, también en tu proveedor, y confirmarlo dentro del plazo legal, por lo general un mes.
Lee nuestra política de privacidad para ver cómo tratamos los datos, y consulta cómo el asistente de IA responde solo a partir de tu contenido. Para probarlo con tus propios documentos, usa el playground.
RESPONDE A CADA VISITANTE. RESERVA CITA A QUIEN ESTÁ LISTO.
Instala Crescelo en tu sitio web en 15 minutos
Entrena a tu asistente con tus listas de precios, documentos y condiciones de servicio. Activa respuestas basadas en tus fuentes las 24 horas y reservas de citas en el chat sin solapamientos.