Art. 50Disclosure de IA en conversación
● verificado en producciónQué exige: La persona debe saber que habla con una IA, desde el principio.
Sara se identifica como IA en su primera frase, en cada llamada. Y no se asume: el sistema VERIFICA contra la transcripción real de cada llamada que el disclosure se dijo, y lo registra.
Art. 50Registro forense de cada llamada
● verificado en producciónQué exige: Poder demostrar el cumplimiento, no solo declararlo.
Cada llamada terminada escribe una fila en una cadena de auditoría con hash SHA-256 encadenado (inmutable por diseño): cuándo se hizo el disclosure, qué marcador se detectó, duración y coste.
Art. 52Marcado del audio sintético (watermark)
◐ en curso · fecha 2-agoQué exige: El audio generado por IA debe ser identificable como tal.
La cadena de auditoría del watermark ya está en producción y registra cada llamada (hash SHA-256 encadenado, tabla dedicada). La firma acústica en origen (PerTH/AudioSeal, ambos open source auditables, ya elegidos y con la interfaz de integración lista) se ejecutará en servidor propio EU en cuanto ese sidecar esté desplegado — no hoy todavía.
Corregido 6-sep-2026: esta nota decía que el sidecar de firmado llegaría antes del 2-ago-2026 — esa fecha ya pasó y el sidecar sigue sin desplegar (depende del servidor propio EU, todavía sin aprovisionar). Lo decimos claro: hoy la cadena registra cada llamada; la firma acústica llega en cuanto esa pieza de infraestructura esté lista, sin fecha nueva que no podamos cumplir.
GDPRResidencia de datos EU
● verificado en producciónQué exige: Datos de prospectos y clientes tratados en la UE.
Base de datos en Frankfurt (EU) con aislamiento por cliente a nivel de fila (RLS) en el propio motor de datos — no en la capa de aplicación.
GDPR / AI ActDónde se procesa el AUDIO de la llamada (no solo la base de datos)
◐ en curso · fecha 2-agoQué exige: Que el comprador sepa, sin preguntar dos veces, por dónde pasa la voz de sus prospectos.
El motor de voz soberano sobre servidor propio EU es la arquitectura de destino, y es la que corre hoy en Enterprise y on-prem. Nota aparte: la firma acústica del watermark (fila de arriba) depende de un sidecar propio, distinto de este motor de voz — que uno esté disponible en Enterprise no implica que el otro lo esté.
En el plan por defecto, la llamada la procesa hoy Vapi (EE. UU.) — el mismo proveedor de telefonía que usan la mayoría de agentes de voz IA del mercado, dentro y fuera de Europa. La base de datos y el resto de la plataforma sí son EU desde el día uno; la voz lo será cuando el motor propio esté en producción. Lo decimos aquí en vez de dejar que lo descubras tú.
GDPR / ePrivacyAnalítica de prospectos sin invadir
● verificado en producciónQué exige: Medir sin identificar ni rastrear entre sitios.
Las webs de prospecto miden engagement first-party sin cookies, sin fingerprint y con coordenadas agregadas — nunca texto tecleado ni identificadores persistentes.
Art. 15 (seguridad)Postura de seguridad medida, no declarada
● verificado en producciónQué exige: Robustez y ciberseguridad demostrables del sistema.
La consola de seguridad mide EN VIVO sobre la base de datos: funciones expuestas, aislamiento por tenant, estado de la cadena de auditoría. Cabeceras de seguridad, firmas de webhook fail-closed y guard SSRF en producción.
B2B outboundOpt-out que se respeta solo
● verificado en producciónQué exige: Derecho de oposición efectivo (GDPR art. 21).
Una respuesta pidiendo no recibir más emails entra en la lista de supresión automáticamente (detector + clasificador) y las secuencias activas se pausan para ese contacto.