En la quinta parte trazamos la línea entre lo que responde el asistente y lo que gestiona un empleado, y exigimos un traspaso que lleve consigo toda la conversación. Todo lo que hemos construido hasta ahora descansa sobre una sola cosa: el registro de las conversaciones con tus clientes. Y ese registro no es un archivo operativo: son datos personales regulados por la ley.

Esta parte no es un texto alarmista ni una recitación jurídica. La mayor parte de lo que necesita una pequeña o mediana empresa se reduce a decisiones de gestión sencillas que se toman una sola vez, antes del lanzamiento, y que cuestan una hora de reunión en lugar de un consultor. Tomarlas después del lanzamiento cuesta muchas veces más.

Una conversación de WhatsApp son datos personales, y tú eres responsable de ellos

La Ley de Protección de Datos Personales (PDPL) del Reino está en vigor desde el 14 de septiembre de 2023, el periodo de gracia para el cumplimiento terminó el 14 de septiembre de 2024 y la Autoridad Saudí de Datos e Inteligencia Artificial (SDAIA) es la autoridad supervisora. Su alcance es más amplio de lo que suponen muchos empresarios: cubre cualquier tratamiento de datos de personas dentro del Reino por cualquier medio y se extiende a entidades fuera del Reino que traten datos de personas que están en él.

Cuando una clienta envía su nombre, su número y la dirección de su casa para reservar una cita de instalación, eso son datos personales según la ley, no una charla pasajera. Y lo que la mayoría pasa por alto es cuánto contiene realmente una conversación: nombres y números, fotos de documentos de identidad o de residencia que los clientes envían sin que se les pida, direcciones particulares, imágenes de documentos y facturas y, a veces, datos de salud o financieros mencionados de pasada dentro de una queja. Un asistente de IA no crea estos datos, pero sí hace que queden almacenados, indexados y localizables en lugar de perdidos en el teléfono de un empleado. Eso ya es en sí una mejora operativa, y también aumenta tu responsabilidad.

La base legal y la notificación al cliente

No se tratan datos personales sin un motivo legítimo. Para la mayoría de las empresas la base es sencilla: el propio cliente inició la conversación pidiendo un servicio, y prestar lo que pidió exige tratar sus datos. Es una base sólida para responder a su consulta y preparar su pedido. No se extiende automáticamente a nada que no haya pedido.

Merece la pena detenerse en la distinción práctica. Responder a la consulta de un cliente es una cosa; añadir su número un mes después a una difusión masiva de marketing es algo totalmente distinto. Lo primero cumple lo que pidió; lo segundo es un propósito nuevo que necesita su consentimiento explícito. Es la infracción más frecuente que vemos en el mercado, precisamente porque parece gratuita e inofensiva.

En cuanto al aviso, se exige menos de lo que imaginas: una línea breve al inicio de la conversación, o una política de privacidad en tu web a la que enlace el asistente, que diga quién eres, por qué recoges los datos, cuánto tiempo los conservas, con quién los compartes y cómo ejerce el cliente sus derechos. Escríbelo en un lenguaje que tu cliente entienda, no en lenguaje de contrato.

Recoge lo mínimo y elimina lo que ya cumplió su propósito

La norma más fácil de aplicar de toda la ley: los datos que nunca recogiste no se te pueden filtrar ni te los pueden exigir. El control empieza ahí, en la redacción de las propias preguntas del asistente.

  • Pide solo lo que el servicio necesita. Si una reserva necesita un nombre, un número y un barrio, no hagas que el asistente pida un número de identidad o una fecha de nacimiento solo porque el campo existe en tu antiguo formulario en papel.
  • Bloquea los documentos sensibles en el chat. Las fotos de documentos de identidad y las tarjetas bancarias no se piden por WhatsApp. Ponlas en la lista de rechazos que construimos en la cuarta parte y lleva al cliente a un canal adecuado si de verdad hace falta.
  • Fija un plazo de conservación por escrito. Elige uno por tipo: conversaciones de consulta que nunca se convirtieron en pedido, y pedidos completados cuyos registros debes conservar por motivos contables y regulatorios. Lo importante es que el plazo esté escrito y se aplique, no que quede abierto para siempre.
  • Haz de la eliminación un procedimiento, no una intención. Un plazo de conservación sin un mecanismo detrás es un archivo permanente con otro nombre. Pregunta a tu proveedor cómo eliminas una conversación o un cliente entero, y cuándo desaparece realmente de sus copias de seguridad.

¿Quién de tu equipo puede ver las conversaciones?

El mayor riesgo práctico para los datos de tus clientes no es una brecha externa: es el acceso interno sin restricciones. Cuando las conversaciones viven en el teléfono personal de un empleado, salen de la empresa con él el día que dimite, y tú no tienes ni una copia ni ningún control. Llevar las conversaciones a un sistema central lo resuelve, siempre que controles quién ve qué.

Bastan tres decisiones de gestión: cada empleado ve las conversaciones que tiene asignadas o que son relevantes para su trabajo, no todas; cada usuario tiene una cuenta nominativa en lugar de un acceso compartido que el equipo se pasa de mano en mano, para que sepas quién vio qué; y el acceso se revoca el mismo día en que termina la relación laboral, no semanas después. Añade a tus contratos de trabajo y procedimientos una cláusula que prohíba exportar los datos de los clientes o sacarlos del sistema.

Cuando las conversaciones salen del Reino

Esta es la parte que los empresarios pasan por alto por completo, porque es invisible. Un asistente de IA funciona sobre un modelo de lenguaje, y ese modelo puede estar alojado fuera del Reino, lo que significa que el texto de la conversación de tu cliente puede cruzar la frontera para generar la respuesta.

La ley restringe la transferencia de datos personales fuera del Reino a casos y controles definidos, y no la deja a criterio del proveedor. No necesitas ser experto en derecho: necesitas hacer tres preguntas por escrito a cualquier proveedor y guardar las respuestas documentadas:

  • ¿Dónde se almacenan las conversaciones de mis clientes y dónde se procesan? ¿Salen los datos del Reino en alguna fase?
  • Si salen, ¿en qué base y en qué controles os apoyáis para la transferencia?
  • ¿Usáis las conversaciones de mis clientes para entrenar vuestros modelos o para cualquier fin propio?

La tercera pregunta es la más importante en lo comercial y la que menos se hace. Los datos de tus clientes son tuyos, y que un proveedor los tenga para prestar un servicio no es un permiso para usarlos con otro fin. Deja la prohibición explícita en el contrato en lugar de darla por implícita según el contexto.

Los derechos del cliente, y dónde termina tu responsabilidad y empieza la de tu proveedor

La ley concede al titular de los datos derechos claros: a ser informado de que se recogen sus datos y por qué, a acceder a ellos y obtener una copia, a solicitar su corrección y a solicitar su destrucción cuando su propósito ya no se aplique. No son textos teóricos: son solicitudes que algún día pueden llegar en la misma conversación de WhatsApp, así que tu equipo necesita saber qué hacer cuando llegue una, y tu sistema necesita un botón que la ejecute en lugar de un laborioso proceso manual.

Queda el punto que zanja la mayoría de las discusiones con los proveedores: tú eres el responsable del tratamiento, porque determinas el propósito y la forma del tratamiento, y el proveedor del asistente de IA es un encargado que actúa en tu nombre. La responsabilidad legal frente a tu cliente sigue siendo tuya, incluso cuando el fallo es técnico y está en tu proveedor. Así que exige un contrato escrito que establezca lo que puede y no puede hacer con tus datos, le obligue a notificarte sin demora cualquier brecha y defina qué pasa con tus datos el día en que termine la relación: devueltos íntegramente y después destruidos por su parte.

La visión de Origami

En Mahir, el asistente de IA de Origami para WhatsApp, el asistente funciona con el número que tu empresa ya tiene, sin número nuevo ni aplicación adicional en el teléfono del empleado, y la vinculación es un escaneo único de un código QR, de modo que las conversaciones con tus clientes se quedan en un sistema de la empresa en lugar de dispersas en dispositivos personales que se van cuando se van sus dueños. El entrenamiento empieza dándole el enlace de tu web para que la lea y complete tus datos; después añades los servicios, los precios y las preguntas frecuentes con respuestas que tú apruebas. Tiene dos niveles entre los que eliges: Malik para preguntas directas, rápidas y repetitivas, y Mahir para conversaciones largas, solicitudes compuestas y objeciones; puedes cambiar en cualquier momento sin volver a vincular y sin perder el entrenamiento, y la prueba es gratuita. En cuanto a las seis preguntas de esta parte sobre el lugar de almacenamiento, las transferencias fuera del Reino y el uso de los datos para entrenamiento: plantéalas por escrito a cualquier proveedor que estés valorando, nosotros incluidos, y deja la respuesta en el contrato.

Conclusión

Lo que se te exige es menos de lo que te asusta: una base legal clara, un aviso breve y comprensible, recoger lo mínimo que necesitas, un plazo de conservación por escrito seguido de una eliminación real, un acceso controlado dentro de tu equipo, respuestas documentadas sobre dónde están los datos, cómo se mueven y cómo se usan, y un contrato escrito con tu proveedor en el que cada parte conozca su papel. Toma estas decisiones antes del lanzamiento: son mucho más fáciles que corregirlas después. Queda la última pregunta del empresario: ¿qué devuelve todo esto y cómo se implanta en una sola semana? Esa es la séptima parte, y el final de la serie.

Fuentes

  • Autoridad Saudí de Datos e Inteligencia Artificial (SDAIA): la Ley de Protección de Datos Personales y su Reglamento de Aplicación: alcance, base legal del tratamiento, derechos del titular de los datos y obligaciones de responsables y encargados del tratamiento.
  • SDAIA: el Reglamento de Transferencia de Datos Personales fuera del Reino y sus controles asociados.
  • SDAIA: guías y herramientas de cumplimiento publicadas para los responsables del tratamiento en las plataformas de la Autoridad.
  • Visión Saudí 2030: la economía digital y la construcción de la confianza del consumidor en las transacciones digitales.