Seguridad y compliance
Esta página está escrita para quien tiene que aprobar el proyecto, no para quien lo compra. Arquitectura, cifrado, accesos, subencargados y retención, con el mismo detalle que pondríamos en un cuestionario de seguridad. Si algo no está certificado todavía, también lo decimos.
Protección de datos
TLS en todas las comunicaciones con nuestros servicios y con los sistemas de cliente. Los datos en reposo se almacenan cifrados. Las credenciales de integración se guardan en un gestor de secretos, nunca en configuración ni en código.
Acceso por rol y por proyecto, nominal y con autenticación de doble factor. Nuestro equipo accede a datos de cliente solo cuando una intervención lo requiere; el acceso es temporal y se retira al cerrarla.
Cada operación sobre datos personales queda registrada: quién, cuándo, sobre qué registro y con qué motivo. Los registros se conservan durante el plazo acordado y están disponibles ante una auditoría.
Los datos de cada cliente están separados lógicamente. Un flujo no puede leer ni escribir en los datos de otro, y las claves de integración están aisladas por proyecto.
El agente recibe únicamente los campos que el flujo necesita. Si un flujo de confirmación de citas no necesita el historial clínico, no se le da acceso a él.
Las credenciales de tus sistemas se rotan según lo acordado y no se comparten por correo ni por mensajería. La rotación se documenta.
RGPD
Cuando Elop procesa datos por cuenta de tu organización, tú eres el responsable del tratamiento y nosotros el encargado. Esa relación se formaliza en un DPA antes de la primera llamada, no después del piloto.
El DPA recoge las finalidades, las categorías de datos, los plazos de conservación, los subencargados, las medidas de seguridad, el procedimiento de notificación de brechas y las condiciones de devolución o supresión al terminar el contrato.
Leer el DPA completoQué incluye el acuerdo
Qué se guarda
Los plazos concretos se fijan contigo en el DPA. Estos son los que aplicamos por defecto cuando no se acuerda otra cosa.
| Para qué | Retención por defecto | Configurable | |
|---|---|---|---|
| Datos de contacto e identificación | Ejecutar la gestión solicitada | Mientras dure el contrato | Sí |
| Datos de agenda | Consultar y escribir citas o reservas | Mientras dure el contrato | Sí |
| Transcripción de la llamada | Registrar el resultado y auditar calidad | 90 días | Sí |
| Grabación de audio | Control de calidad, si se activa | Desactivado por defecto | Sí |
| Metadatos de la llamada | Métricas de servicio y facturación | 24 meses | Sí |
| Registros de acceso | Trazabilidad y seguridad | 12 meses | No |
La grabación de audio está desactivada salvo que tu organización la active expresamente y se informe al interlocutor conforme a la cláusula de grabación que publicamos.
Continuidad
La pregunta correcta no es si un sistema puede caerse, sino qué ocurre con tus llamadas cuando ocurre.
A tu número de siempre
Si el servicio no responde, las llamadas van a tu centralita. Se prueba antes de producción.
Monitorización continua
Disponibilidad y calidad de las llamadas vigiladas de forma automática, con aviso al equipo.
Respaldo y restauración
Copias periódicas de la configuración y de los datos operativos, con restauración probada.
Por escrito
Niveles de servicio y tiempos de respuesta acordados en contrato y revisados contigo.
Las preguntas que aparecen en casi todos los cuestionarios de proveedor. Si te falta alguna, pídenosla.
Todavía no. Aplicamos las medidas técnicas y organizativas descritas en esta página y en el DPA, pero no tenemos la certificación formal, y decirte lo contrario se descubriría en la primera auditoría. Si tu proceso de compras la exige como requisito bloqueante, dínoslo al principio para no hacerte perder tiempo.
En infraestructura ubicada en la Unión Europea. Los subencargados que intervienen y su ubicación están listados en el DPA, y cualquier incorporación nueva se te comunica antes de aplicarla.
Sí, usamos modelos de terceros para voz y lenguaje, y están declarados como subencargados en el DPA con sus garantías correspondientes. Contratamos condiciones que excluyen el uso de los datos enviados para entrenamiento.
Sí, lo revisamos. También aceptamos anexos de seguridad propios del cliente. Lo que no hacemos es firmar sin leer: si algo no podemos cumplir, te lo decimos antes de firmarlo.
Nos trasladas la solicitud y ejecutamos la supresión en los plazos acordados, incluidas transcripciones y grabaciones si las hubiera, dejando constancia de la operación. El procedimiento está en el DPA.
Según lo pactado: devolución en formato estructurado, eliminación, o ambas cosas en secuencia. Se ejecuta en el plazo acordado y te enviamos confirmación de la supresión.
Revisamos dependencias y configuración de forma continua y corregimos las vulnerabilidades según su criticidad. Podemos coordinar una prueba de intrusión con tu equipo o con un tercero, con alcance y ventana acordados por escrito.
Escríbenos con el cuestionario de tu organización y lo respondemos entero. Si hay un requisito que no podemos cumplir, te lo diremos antes de que dediques tiempo al proyecto.
