Datos de tus vecinos. Servidores en Europa. Sin sorpresas.
Diseñado para despachos de administración de fincas con vecinos paranoicos sobre sus datos. Cumplimos AEPD, RGPD, LPH. Aquí tienes los detalles que tu DPO va a pedir.
Cinco cosas que pide tu DPO
Servidores en la UE
Hetzner FSN1, Falkenstein (Alemania). Todo el procesamiento de incidencias ocurre dentro del EEE. Backups cifrados. Sin transferencias a EE.UU. salvo para OpenAI (con ZDR + SCC) y Meta (WhatsApp Cloud API — SCC y addendum de transferencia).
Aislamiento por despacho (RLS)
Cada despacho tiene su propia "vista" de la base de datos. Postgres Row-Level Security a nivel de servidor. Los datos de tus comunidades nunca aparecen en la consulta de otro despacho. Roles owner, admin, operator.
AEPD compliance para llamadas
Aviso audible al inicio de cada llamada. Recordatorio cada 5 minutos. Derecho a transferencia a una persona (Art. 22 RGPD). Identificación como sistema automatizado (AI Act Art. 50.1). Plantilla de locución y registro de consentimiento por llamada.
DPA firmado
Acuerdo de Encargado de Tratamiento por escrito antes de procesar el primer dato real. Cláusulas estándar más addendums para AEPD biométrico (no usamos biometría), envío automático (nunca por defecto) y transferencias internacionales.
Retención configurable y borrado verificable
Por defecto: audios 30 días, transcripciones 12 meses, metadatos 24 meses, embeddings 12 meses. Configurables por despacho hasta el mínimo legal de 7 días (AEAT). Borrado a los 24 meses con confirmación al DPO.
Política de retención
Estos son los plazos por defecto. Cada despacho puede ajustarlos arriba o abajo dentro del rango permitido. El mínimo está fijado por la AEAT para fines fiscales y la AEPD para fines de aseguramiento de calidad.
| Tipo de dato | Por defecto | Configurable | Mínimo legal |
|---|---|---|---|
| Audios de llamadas | 30 días | 7 días – 24 meses | 7 días (AEAT) |
| Transcripciones | 12 meses | 7 días – 36 meses | 7 días |
| Metadatos de llamada | 24 meses | 7 días – 60 meses | 7 días |
| Embeddings vectoriales | 12 meses | 7 días – 36 meses | 7 días |
Subencargados
Esta es la lista pública de subencargados que tratan datos por cuenta de Incidencias. Notificamos cualquier cambio con 30 días de antelación al email principal de tu despacho, con enlace a este histórico.
| Nombre | Finalidad | Región | DPA |
|---|---|---|---|
| Hetzner Online GmbH | Alojamiento de servidores y bases de datos (Postgres, Redis, aplicaciones) | UE — Falkenstein, Alemania (FSN1) | Ver DPA |
| OpenAI Ireland Ltd. | Inferencia de modelos de lenguaje (clasificación, redacción de borradores) y embeddings | UE/EE.UU. (endpoints UE con SCC y ZDR) | Ver DPA |
| Meta Platforms Ireland Ltd. | WhatsApp Business Cloud API (mensajería con vecinos) | UE/EE.UU. | Ver DPA |
| Deepgram Inc. | Reconocimiento de voz (transcripción de audios adjuntos) | UE (endpoints) | A petición del DPO |
| ElevenLabs | Síntesis de voz para el agente telefónico | UE (plan Business) | A petición del DPO |
| Telnyx LLC | Conmutación de llamadas SIP/PSTN | EE.UU. con SCC | A petición del DPO |
| Postmark (Wildbit LLC) | Correo transaccional (avisos al despacho y al vecino) | UE (servidor Postmark EU) | Ver DPA |
| Sentry (Functional Software, Inc.) | Monitorización de errores de la aplicación | UE (sentry.io EU region) | Ver DPA |
| Better Stack | Logs y monitorización de uptime | UE | A petición del DPO |
| Neon Inc. | Postgres serverless para recepcionista core (no Incidencias) | UE (eu-central-1) | Ver DPA |
| Vercel Inc. | Hosting de la web y edge functions | UE (eu-west / fra1) | Ver DPA |
| Cloudflare, Inc. | CDN y protección DDoS | UE (logs EU) | Ver DPA |
| Stripe Payments Europe Ltd. | Facturación y cobros recurrentes | UE | Ver DPA |
Consentimiento de voz (criterio AEPD)
Antes de cualquier interacción con un vecino, el sistema avisa que la llamada puede ser grabada y que está hablando con un asistente automatizado. Texto exacto:
«Esta llamada puede ser grabada con fines de calidad y cumplimiento. Le atiende un asistente automatizado. Si lo prefiere, puede solicitar hablar con una persona.»
Se reproduce al inicio de cada llamada (entrante o saliente). Recordatorio cada 5 minutos en la primera pausa natural. Si el vecino no consiente, la llamada se transcribe pero no se almacena más allá de 24h.
Reparto de responsabilidades
Responsable del tratamiento
El despacho de administración de fincas.
- · Decide finalidades, base legal y conservación.
- · Atiende los derechos de los vecinos (acceso, rectificación, supresión, oposición, portabilidad).
- · Mantiene su Registro de Actividades de Tratamiento.
- · Configura los plazos de retención dentro del rango permitido.
- · Informa a los vecinos en la primera comunicación.
Encargado del tratamiento
Recepcionista.com / Incidencias.
- · Ejecuta el tratamiento según las instrucciones del despacho.
- · Firma DPA antes del primer dato real.
- · Mantiene la lista pública de subencargados y notifica cambios con 30 días.
- · Garantiza cifrado en tránsito y reposo, control de acceso y registro de auditoría.
- · Notifica brechas sin demora indebida y devuelve o borra los datos al final del servicio.
Lo que pregunta tu DPO
¿Dónde se almacenan exactamente los datos de mis vecinos?+
En Hetzner Online GmbH, datacenter FSN1 de Falkenstein (Alemania). Es decir, dentro del Espacio Económico Europeo. Los backups también viven en la UE y van cifrados. La única vez que un dato sale del EEE es para inferencia con OpenAI (endpoints UE, cláusulas contractuales tipo y zero data retention) y para entrega de mensajes vía WhatsApp Cloud API de Meta (con su addendum de transferencia internacional).
¿Usáis IA para identificar a vecinos por su voz?+
No. No hacemos biometría. La voz se transcribe a texto con Deepgram y el audio se borra a los 30 días por defecto (configurable a 7 días). No generamos huella vocal ni reconocemos a personas por su voz. Identificamos al vecino por el número de teléfono que llama, no por características biométricas.
¿Qué pasa si un vecino ejerce su derecho de supresión?+
El despacho (responsable del tratamiento) nos pide el borrado vía panel o por email a su DPO. Nosotros (encargado) ejecutamos el borrado en menos de 30 días en todos los sistemas: base de datos, backups del último ciclo, índices vectoriales y logs. Emitimos un certificado de borrado con timestamp y hash que el despacho puede entregar al vecino.
¿Tenéis ISO 27001?+
Hetzner sí (toda la infraestructura física). Nosotros, todavía no — la certificación propia está diferida hasta el primer contrato enterprise que la requiera. Mientras tanto aplicamos políticas equivalentes a SOC-2: control de acceso por rol, MFA obligatoria, registro de auditoría inmutable, revisión trimestral de accesos y simulacro de brecha anual.
¿Puedo firmar un DPA antes de empezar la auditoría?+
Sí. Es lo normal. Firmamos DPA antes de procesar cualquier dato real de tus vecinos. Si quieres la auditoría de 48h con datos reales, la firma del DPA es prerrequisito. Si prefieres una demo con un despacho ficticio anonimizado, no hace falta DPA — pero entonces tampoco trabajamos con tus datos.
¿Cómo me notificáis cambios en subencargados?+
Email al contacto principal del despacho con 30 días de antelación, con un enlace al histórico público de esta misma página. Si en esos 30 días te opones por escrito, tienes derecho a rescindir sin penalización. Si no respondes, se entiende aceptado al término del plazo (cláusula estándar de DPA con derecho de oposición).
¿Quién es el DPO de Incidencias?+
Tenemos DPO externo (un despacho de privacidad especializado en SaaS B2B). Los datos de contacto y el nombre del despacho asignado están en la página general de RGPD. Es la vía oficial para ejercer derechos como interesado y para que tu propio DPO se coordine con el nuestro.
¿Puedo auditar vuestros logs de acceso?+
En plan Despacho, sí. Exportamos los logs de acceso a tus datos en formato compatible con Splunk o Microsoft Sentinel (CIM/CEF). Cubre quién accedió, cuándo, desde qué IP, qué consulta ejecutó y qué filas tocó. Frecuencia configurable: diaria, semanal o bajo demanda. En planes inferiores el log existe pero la exportación SIEM no está expuesta.
Más cumplimiento y privacidad
¿Tu DPO quiere el detalle técnico?
Escríbenos a hola@recepcionista.com y le mandamos el dossier completo: arquitectura, DPA, registro de subencargados firmado y procedimiento de brechas. O empezamos por la auditoría de 48h y vemos cómo encaja con tu despacho.