Quién es responsable de qué
En las conversaciones de tus visitantes, tú eres el responsable del tratamiento y nosotros somos tu encargado del tratamiento: las guardamos y las tratamos por cuenta tuya, para que funcione tu agente, y para nada más. No vendemos datos, no mostramos publicidad ni creamos perfiles, y no entrenamos modelos con tu contenido ni con tus conversaciones. Una agencia se sitúa en medio: su cliente es el responsable, la agencia es su encargada y nosotros somos el encargado de la agencia. Tienes a tu disposición un contrato de encargo del tratamiento: escribe a management@sri-group.eu.
Dónde están los datos
| Qué | Quién | Dónde |
|---|---|---|
| La aplicación | Vercel | Fráncfort (Alemania) |
| Agentes, fuentes y conversaciones | Neon (Postgres) | Unión Europea |
| Archivos subidos y logotipos | Cloudflare R2 | Jurisdicción de la UE |
| La redacción de las respuestas | Cortecs | Una pasarela europea de modelos |
| La conversión del texto en vectores de búsqueda | OpenAI | Estados Unidos |
| Los correos que enviamos: informes y avisos de contactos y tickets | Resend | Estados Unidos, enviados desde servidores en Irlanda |
Los dos pasos fuera de la UE. Para buscar por significado, cada fragmento de tus fuentes y cada pregunta se convierten en una fila de números. Ese paso se hace en OpenAI, en Estados Unidos, con sus condiciones de tratamiento de datos, y OpenAI no entrena con ello. Los correos que enviamos pasan por Resend, que trata el correo en Estados Unidos al amparo del Marco de Privacidad de Datos UE-EE. UU. y de cláusulas contractuales tipo. Nombramos los dos en lugar de dejar que «alojado en la UE» dé a entender otra cosa.
Qué se guarda de un visitante
- La conversación, con las fuentes y las mediciones que hay detrás de cada respuesta, hasta que la borres.
- Ninguna dirección IP. Para el límite de mensajes guardamos una huella de la dirección durante 24 horas, creada con una clave que cambia cada día.
- Ninguna cookie. El widget no instala ninguna y no guarda nada en el navegador del visitante antes de que use el chat.
- Ni nombre ni correo electrónico, salvo que actives el formulario de contacto o los tickets y el visitante los rellene.
Qué te pide el RGPD y cómo te ayuda esto
- Informa a los visitantes. En tu política de privacidad, menciona el chat, lo que guarda y los encargados de la tabla anterior. Nuestra página de privacidad y Datos y privacidad (en inglés) te dan todos los datos para redactarla.
- Recoge solo lo que necesitas. El chat no pide datos personales salvo que actives el formulario de contacto o los tickets. Si dejas que el formulario de contacto pida el consentimiento para recibir noticias y ofertas, lo pide por separado y registra las palabras exactas que aceptó el visitante.
- Atiende las solicitudes. Un visitante puede preguntar qué datos tienes de él y pedir que se borren. Encuentras su conversación en Actividad y la borras, y los datos de contacto y los tickets tienen cada uno su propia opción de borrado.
- Mantenlo en la UE siempre que puedas. Las conversaciones de tus visitantes, tus fuentes y tus archivos se guardan en la UE.
Además, la Ley de IA
El RGPD trata de los datos personales. La Ley de IA de la UE añade que los visitantes deben saber que están hablando con una IA. Todos los widgets de ChatterLab lo dicen en el idioma del widget, y ningún plan ni ajuste lo quita. La Ley de IA y tu chatbot.
Preguntas sobre el RGPD
¿ChatterLab cumple el RGPD?
Sí, en lo que nos corresponde: actuamos como tu encargado del tratamiento, con un contrato de encargo si lo pides, guardamos en la UE las conversaciones de tus visitantes, tus fuentes y tus archivos, no instalamos cookies, no guardamos direcciones IP y te damos las herramientas para borrar lo que un visitante te pida. Dos pasos se hacen en Estados Unidos con condiciones de tratamiento de datos, como se indica más arriba. Que tu propio uso cumpla depende también de ti: de tu política de privacidad y de lo que pidas a tus visitantes.
¿Se transfiere algún dato fuera de la UE?
Sí, dos cosas, ambas con condiciones de tratamiento de datos: el texto de tus fuentes y de cada pregunta pasa por OpenAI en EE. UU. para convertirse en vectores de búsqueda, y los correos que enviamos pasan por Resend en EE. UU. Las conversaciones, las fuentes y los archivos se guardan en la UE.
¿Necesito un banner de cookies para el chat?
El widget no instala cookies ni guarda nada en el navegador del visitante antes de que use el chat. Cuando el visitante envía un mensaje, guarda dos números en el almacenamiento del navegador hasta que se cierra la pestaña, para mantener unida la conversación; ninguno de los dos identifica a una persona. El segundo mensaje, opcional, una invitación a chatear más adelante en la visita, guarda un valor más y solo aparece si tu web pasa el consentimiento de tus visitantes. Decides tú si tu aviso de cookies los menciona: la mayoría los trata como funcionales.
¿Puedo conseguir un contrato de encargo del tratamiento?
Sí. Escribe a management@sri-group.eu y te enviamos nuestro contrato de encargo del tratamiento para que lo firmes.
¿Puede un visitante pedir que se borren sus datos?
Sí. Encuentras la conversación en Actividad y la borras. Los datos de contacto y los tickets tienen cada uno su propia opción de borrado, y un archivo que haya enviado un visitante se puede borrar por separado.