Evidencias que se sostienen. Datos que se protegen.
Lo que necesitan saber IT, compliance, protección de datos y el comité de empresa antes de auditar las llamadas de un servicio. Esta página describe medidas que funcionan hoy.
Evidencias que se pueden verificar
Para que una auditoría valga ante un auditor, un regulador o una reclamación, tiene que poder demostrarse que no se ha cambiado.
Huella encadenada
Cada llamada y cada resultado se registran con una huella SHA-256 enlazada a la anterior: si alguien cambia o borra algo, la cadena deja de cuadrar.
Sello de tiempo externo
Una autoridad de sellado independiente (RFC 3161) firma que esa huella existía en esa fecha y hora. Si necesitas sellos cualificados eIDAS, se configura una autoridad cualificada.
Verificable sin nosotros
Cada auditoría tiene su paquete de prueba (contenido, sello, transcripción y grabación) que cualquiera comprueba con OpenSSL.
Historial de cambios
Qué evaluó la IA, quién revisó el resultado, qué cambió y cuándo. Las alegaciones y su respuesta quedan unidas a la auditoría.
Acceso y cuentas
Solo entra quien debe, y cada uno ve solo lo suyo.
Cuenta de trabajo (SSO)
Microsoft 365 o Google Workspace, limitado a personas de tu directorio. Altas y bajas automáticas por SCIM: quien deja la empresa pierde el acceso ese día.
Roles y departamentos
Propietario, editor, supervisor (solo sus departamentos), lectura y empleado (solo su propia área). Cada empresa cliente en su propio espacio, separado del resto.
Credenciales protegidas
Contraseñas con PBKDF2-SHA256 y sal propia; claves de API, sesiones y enlaces guardados solo como huella; claves de proveedores cifradas.
Registro de accesos
Queda anotado quién ve una auditoría o escucha una grabación, y el cliente puede consultarlo.
Datos personales y RGPD
Las llamadas contienen voces, nombres y, a veces, datos de clientes. Se tratan con el mínimo necesario.
Conservación limitada
Cada cliente decide cuánto tiempo se guardan transcripciones y grabaciones; al vencer el plazo se borran solas y quedan solo los resultados.
Enmascarado
DNI, teléfonos, emails, IBAN y tarjetas se pueden ocultar en las transcripciones; el audio de las grabaciones subidas puede borrarse tras transcribirlo.
Derechos de la plantilla
Registro del aviso al personal, alegaciones con revisión humana, y acceso, exportación y supresión de los datos de cada empleado desde su ficha.
Encargado del tratamiento
Contrato de encargo y lista pública de subencargados, con dónde tratan los datos y las garantías si están fuera del Espacio Económico Europeo.
Uso responsable de la IA
La IA ayuda a evaluar; las decisiones sobre personas las toman personas.
Solo lo que se dice y se hace
No reconoce emociones ni deduce rasgos de personalidad. Cada veredicto lleva la frase de la conversación que lo justifica.
Revisión humana
Puedes exigir que una persona revise cada evaluación antes de darla por buena, y el empleado puede alegar.
Trazabilidad del modelo
Cada evaluación guarda qué proveedor y qué modelo la hizo y cuándo, con los criterios que se aplicaron.
La IA también se evalúa
Si el cliente virtual hace mal su papel, la auditoría se marca como no válida y no penaliza a nadie.
Integraciones
MystAudit encaja con lo que ya usas.
API
Envía grabaciones desde tu centralita y consulta resultados con una clave de API limitada a las funciones de integración.
Webhooks y correo
Alertas cuando una auditoría falla o un servicio no contesta, por correo o por webhook a cualquier sistema que los reciba.
Directorio de empresa
SCIM 2.0 estándar para crear y dar de baja usuarios desde tu proveedor de identidad.
Exportación
Informes, dossier de la Ley 10/2025 y exportación completa de tus datos cuando la necesites.
¿Necesitas más detalle para tu evaluación de proveedores?
Te enviamos el contrato de encargado del tratamiento y respondemos a tu cuestionario de seguridad.