Quién es responsable de qué
En las conversaciones de tus visitantes, tú eres el responsable del tratamiento y nosotros somos tu encargado del tratamiento: las guardamos y las tratamos por cuenta tuya, para que funcione tu agente, y para nada más. No vendemos datos, no mostramos publicidad ni creamos perfiles, y no entrenamos modelos con tu contenido ni con tus conversaciones. Una agencia se sitúa en medio: su cliente es el responsable, la agencia es su encargada y nosotros somos el encargado de la agencia. Tienes a tu disposición un contrato de encargo del tratamiento: escribe a management@sri-group.eu.
Dónde están los datos
| Qué | Quién | Dónde |
|---|---|---|
| La aplicación | Vercel | Fráncfort (Alemania) |
| Agentes, fuentes y conversaciones | Neon (Postgres) | Unión Europea |
| Archivos subidos y logotipos | Cloudflare R2 | Jurisdicción de la UE |
| La redacción de las respuestas | Cortecs | Una pasarela europea de modelos |
| La conversión del texto en vectores de búsqueda | OpenAI | Estados Unidos |
| Los correos que enviamos: informes y avisos de contactos y tickets | Resend | Estados Unidos, enviados desde servidores en Irlanda |
Los dos pasos fuera de la UE. Para buscar por significado, cada fragmento de tus fuentes y cada pregunta se convierten en una fila de números. Ese paso se hace en OpenAI, en Estados Unidos, con sus condiciones de tratamiento de datos, y OpenAI no entrena con ello. Los correos que enviamos pasan por Resend, que trata el correo en Estados Unidos al amparo del Marco de Privacidad de Datos UE-EE. UU. y de cláusulas contractuales tipo. Nombramos los dos en lugar de dejar que «alojado en la UE» dé a entender otra cosa.
Qué se guarda de un visitante
- La conversación, con las fuentes y las mediciones que hay detrás de cada respuesta, hasta que la borres.
- Ninguna dirección IP. Para el límite de mensajes guardamos una huella de la dirección durante 24 horas, creada con una clave que cambia cada día.
- Ninguna cookie. El widget no instala ninguna y no guarda nada en el navegador del visitante antes de que use el chat.
- Ni nombre ni correo electrónico, salvo que actives el formulario de contacto o los tickets y el visitante los rellene.
Qué te pide el RGPD y cómo te ayuda esto
- Informa a los visitantes. En tu política de privacidad, menciona el chat, lo que guarda y los encargados de la tabla anterior. Nuestra página de privacidad y Datos y privacidad (en inglés) te dan todos los datos para redactarla.
- Recoge solo lo que necesitas. El chat no pide datos personales salvo que actives el formulario de contacto o los tickets. Si dejas que el formulario de contacto pida el consentimiento para recibir noticias y ofertas, lo pide por separado y registra las palabras exactas que aceptó el visitante.
- Atiende las solicitudes. Un visitante puede preguntar qué datos tienes de él y pedir que se borren. Encuentras su conversación en Actividad y la borras, y los datos de contacto y los tickets tienen cada uno su propia opción de borrado.
- Mantenlo en la UE siempre que puedas. Las conversaciones de tus visitantes, tus fuentes y tus archivos se guardan en la UE.
Además, la Ley de IA
El RGPD trata de los datos personales. La Ley de IA de la UE añade que los visitantes deben saber que están hablando con una IA. Todos los widgets de ChatterLab lo dicen en el idioma del widget, y ningún plan ni ajuste lo quita. La Ley de IA y tu chatbot.
Preguntas sobre el RGPD
¿ChatterLab cumple el RGPD?
Sí, en lo que nos corresponde: actuamos como tu encargado del tratamiento, con un contrato de encargo si lo pides, guardamos en la UE las conversaciones de tus visitantes, tus fuentes y tus archivos, no instalamos cookies, no guardamos direcciones IP y te damos las herramientas para borrar lo que un visitante te pida. Dos pasos se hacen en Estados Unidos con condiciones de tratamiento de datos, como se indica más arriba. Que tu propio uso cumpla depende también de ti: de tu política de privacidad y de lo que pidas a tus visitantes.
¿Se transfiere algún dato fuera de la UE?
Sí, dos cosas, ambas con condiciones de tratamiento de datos: el texto de tus fuentes y de cada pregunta pasa por OpenAI en EE. UU. para convertirse en vectores de búsqueda, y los correos que enviamos pasan por Resend en EE. UU. Las conversaciones, las fuentes y los archivos se guardan en la UE.
¿Necesito un banner de cookies para el chat?
El widget no instala cookies ni guarda nada en el navegador del visitante antes de que use el chat. Después, hasta que se cierra la pestaña, guarda unos pocos valores pequeños en el almacenamiento de sesión del navegador: un número de visitante aleatorio y el número de la conversación y, solo donde uses esas funciones, de quién es la conversación (en un visitante que tu web ha identificado) y qué hizo el visitante con el formulario de contacto o con un ticket. El saludo o el segundo mensaje opcionales, una invitación a chatear más adelante en la visita, guardan un valor más y solo aparecen si tu web pasa el consentimiento de tus visitantes. Si un banner de cookies o tu política de cookies debe describirlos depende de las normas de tu país y de tu propia política: algunas autoridades esperan que incluso el almacenamiento que no requiere consentimiento se describa en la política.
¿Puedo conseguir un contrato de encargo del tratamiento?
Sí. Escribe a management@sri-group.eu y te enviamos nuestro contrato de encargo del tratamiento para que lo firmes.
¿Puede un visitante pedir que se borren sus datos?
Sí. Encuentras la conversación en Actividad y la borras. Los datos de contacto y los tickets tienen cada uno su propia opción de borrado, y un archivo que haya enviado un visitante se puede borrar por separado.