El encargado del tratamiento es, según el RGPD, quien trata datos personales por cuenta de otro: el responsable, que es quien decide para qué y cómo se usan. Cuando contratas una recepcionista con IA, tu negocio es el responsable (los clientes son tuyos y tú decides qué se hace con sus datos) y el proveedor es el encargado (los trata solo para prestarte el servicio y según tus instrucciones). La AEPD lo recuerda para los servicios de transcripción con IA: quien adopta el servicio es el responsable aunque use una herramienta de un tercero.
La relación se formaliza en un contrato de encargado del tratamiento, obligatorio, que fija qué datos se tratan, para qué, durante cuánto tiempo, con qué medidas de seguridad, qué subencargados intervienen (otros proveedores a los que el encargado recurre), qué pasa con los datos al terminar y cómo ayuda el encargado a atender los derechos de las personas. Sin ese contrato, el tratamiento no está en regla, por muy bueno que sea el servicio.
Para un negocio con citas, esto se traduce en tres preguntas al contratar: ¿firmáis contrato de encargado?, ¿quiénes son vuestros subencargados y dónde tratan los datos?, ¿qué plazos de conservación y qué borrado aplicáis?
Centralitia firma un contrato de encargado del tratamiento con cada cliente. En él constan los datos (nombre, teléfono, motivo, citas, transcripciones, resúmenes y, si la activas, grabaciones), los plazos de conservación acordados y el subencargado: Telnyx, que procesa el audio y la voz y puede tratar datos fuera del Espacio Económico Europeo con cláusulas contractuales tipo. La web, el panel y la base de datos están en servidores propios en España. Ejemplo: una clínica recibe la petición de un paciente que quiere que se borren sus datos. Como responsable, la clínica decide y responde; como encargado, Centralitia localiza sus llamadas, transcripciones y citas y las elimina o exporta según le indique la clínica, dentro del plazo pactado. El detalle, en seguridad y en RGPD, grabación y transcripción.
Un caso práctico
Una cadena de centros de estética de Bilbao decide cambiar de proveedor de reservas por teléfono. Antes de firmar con el nuevo, su asesoría revisa el contrato de encargado del tratamiento del antiguo para ver qué pasa al terminar: en qué formato se devuelven las citas y el historial de llamadas, en qué plazo, y cuándo se borran del todo las transcripciones y las grabaciones. Como lo dejaron escrito al contratar, el cambio es ordenado: la cadena recibe sus datos, el antiguo proveedor confirma el borrado y el nuevo firma su propio contrato con la lista de subencargados.
La cadena actualiza también su política de privacidad, porque el nuevo proveedor procesa la voz con otra empresa y en otros países. Ese cambio lo detectó al leer la lista de subencargados.
Errores habituales
- Pensar que el proveedor es el responsable. Los clientes y las decisiones sobre sus datos son tuyos; si alguien reclama, quien responde ante él es tu negocio.
- Firmar sin leer la lista de subencargados. Ahí aparece quién procesa la voz y dónde, que es justo lo que debes trasladar a tu política de privacidad.
- No fijar plazos de conservación. Sin plazos acordados, grabaciones y transcripciones se acumulan sin necesidad, y cada dato guardado de más es un riesgo más.
- Olvidar qué pasa al terminar el contrato. Si no está escrito cómo se devuelven y se borran los datos, cambiar de proveedor se complica.
Qué preguntar antes de contratar
- ¿Me podéis enviar el contrato de encargado antes de contratar el servicio? — Así tu asesoría lo revisa con calma, no después del alta.
- ¿Quiénes son vuestros subencargados y en qué países pueden tratar los datos? — Lo necesitas para informar de las transferencias internacionales en tu política de privacidad.
- ¿Puedo fijar plazos distintos para audio, transcripciones y registros de llamadas? — Cada plazo debe estar justificado por su finalidad.
- ¿Cómo me ayudáis a atender una petición de acceso o de borrado de un cliente? — Tú respondes a la persona, pero los datos los tiene el proveedor.
Actualizado el 23 de octubre de 2026.