Ideas clave
- Ningún servicio de transcripción es conforme por defecto. La etiqueta «cumple el RGPD» es una afirmación del proveedor, y el cumplimiento depende del contrato y de cómo uses el servicio.
- Cinco cosas lo deciden: un contrato de encargado (artículo 28), dónde se procesa el audio (capítulo V), si el proveedor entrena con tus grabaciones, cuánto se conservan el audio y las transcripciones, y la seguridad (artículo 32).
- Cuanto más sensible es el audio, más compensa elegir alojamiento en la UE o un modelo de voz en tus propios servidores. Los datos de salud son una categoría especial según el artículo 9.
¿Qué necesita la transcripción para cumplir el RGPD?
Un servicio de transcripción facilita el cumplimiento del RGPD cuando sus contratos y ajustes se adaptan a tu finalidad lícita. Revisa el acuerdo del artículo 28, la política de entrenamiento, la conservación, los accesos y las transferencias antes de enviar grabaciones. El alojamiento en la UE ayuda con la ubicación, pero no sustituye esas comprobaciones ni tu responsabilidad sobre la grabación.
Seis preguntas para cualquier servicio de transcripción
| Pregunta | Cómo es una buena respuesta | Base en el RGPD |
|---|---|---|
| ¿Firmaréis un contrato de encargado del tratamiento? | Sí, con instrucciones, subencargados, seguridad, supresión y auditorías. | Artículo 28, apartado 3 |
| ¿Dónde se procesa y almacena el audio? | En la UE o el EEE, o una transferencia con mecanismo legal: decisión de adecuación, certificación en el Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo. | Capítulo V, artículos 44 a 46 |
| ¿Usáis nuestras grabaciones para entrenar modelos? | No, o solo con nuestra autorización expresa. | Artículo 5, apartado 1, letra b), y artículo 28, apartado 3, letra a) |
| ¿Cuánto tiempo conserváis audio y transcripciones, y podemos borrarlos cuando queramos? | Conservación corta y configurable y un mecanismo de borrado, confirmado por escrito. | Artículo 5, apartado 1, letra e), y artículo 17 |
| ¿Quiénes son vuestros subencargados? | Una lista publicada, con aviso antes de cambiarla. | Artículo 28, apartados 2 y 4 |
| ¿Cómo se protegen los datos? | Cifrado en tránsito y en reposo, control de acceso y registros. | Artículo 32 |
Qué tipo de servicio encaja en cada caso
| Tipo de servicio | Dónde encaja | Qué comprobar sobre todo |
|---|---|---|
| Servicio de transcripción alojado en la UE | Grabaciones de negocio cotidianas | El contrato, los subencargados y cualquier uso para entrenamiento |
| Servicio global con región en la UE | Equipos que ya usan al proveedor | Que el ajuste de la UE cubra almacenamiento y procesamiento, y quién tiene acceso de soporte |
| Servicio fuera de la UE | Solo audio de baja sensibilidad | El mecanismo de transferencia y si la certificación del proveedor está vigente |
| Modelo de voz en tus servidores o en tu cuenta de nube en la UE | Grabaciones de salud, jurídicas, de RR. HH. o confidenciales, y grandes volúmenes | Quién lo opera, lo parchea y lo monitoriza |
Para el audio más sensible, ejecutar el modelo de voz en tu propia infraestructura elimina las dudas sobre transferencias y subencargados, a cambio de tener que operarlo. Nuestras guías sobre voz a texto en local frente a la nube y sobre voz a texto médica profundizan en ambas opciones.
Lo que sigues debiendo, elijas el servicio que elijas
- Informa a las personas grabadas de que un servicio transcribe el audio, quién lo opera y cuánto tiempo se conserva (artículos 13 y 14).
- Elige y documenta una base jurídica para la grabación (artículo 6), y una condición del artículo 9 si contiene datos de salud.
- Haz una evaluación de impacto en protección de datos si grabas a gran escala o tratas categorías especiales (artículo 35).
- Firma el contrato de encargado antes de la primera subida, no después.
Cuéntanos el volumen de grabaciones, los idiomas y los requisitos de datos. Definiremos una transcripción en la UE o en tus servidores, con controles de conservación y revisión.
Define tu sistema de transcripciónFAQ
¿Existe un certificado RGPD para servicios de transcripción?
El RGPD prevé la certificación (artículo 42), pero la insignia de «cumple el RGPD» de un proveedor suele ser una autodeclaración. Trátala como una afirmación y comprueba tú mismo el contrato, el alojamiento y la conservación.
¿Puedo usar un servicio de transcripción de EE. UU. bajo el RGPD?
Sí, si la transferencia tiene un mecanismo legal: el proveedor está certificado en el Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795 de la Comisión), o te apoyas en cláusulas contractuales tipo. Comprueba que la certificación esté vigente y que el marco siga en vigor, y para audio sensible considera el alojamiento en la UE.
¿La grabación de una llamada es un dato personal?
Sí. La voz de una persona y lo que dice se refieren a una persona identificable, así que el RGPD se aplica tanto al audio como a la transcripción.
Fuentes
- Reglamento (UE) 2016/679 (RGPD), artículos 5, 6, 9, 13, 14, 17, 28, 32, 35, 42 y 44 a 46, Diario Oficial de la UE
- Decisión de Ejecución (UE) 2023/1795 de la Comisión, de 10 de julio de 2023, sobre el nivel adecuado de protección en el Marco de Privacidad de Datos UE-EE. UU.
- Comité Europeo de Protección de Datos, Directrices 07/2020 sobre los conceptos de responsable y encargado del tratamiento en el RGPD
Sobre el autor
Erik Salo Akimov · Cofundador · Ingeniería
Erik dirige la ingeniería en ESADEX. Diseña las plataformas, la infraestructura y los controles de seguridad que sostienen los sistemas de los clientes.
