Definición
La conservación de datos es el tiempo que una organización guarda los datos y la regla para borrarlos. En un agente de voz abarca el audio de las llamadas, las transcripciones, los registros y los campos extraídos. Algunas leyes fijan límites o plazos mínimos, pero la mayoría de los plazos vienen de la política y el contrato.
Qué abarca
La conservación de datos es una política con dos partes: cuánto tiempo se guarda cada tipo de dato y qué ocurre al final, normalmente el borrado o la anonimización. Una llamada de un agente de voz genera varios tipos de datos que pueden tener plazos distintos. Está el audio, la transcripción, los campos estructurados que extrajo el agente, las cargas enviadas a herramientas y webhooks, los resúmenes y puntuaciones del análisis, y los registros operativos. También puede haber copias en cada proveedor de la cadena de la llamada.
Qué exige
No existe una única ley de conservación para los datos de llamadas. Distintos regímenes tiran en direcciones distintas.
- El artículo 5(1)(e) del RGPD establece que los datos personales pueden conservarse de forma identificable solo durante el tiempo necesario para los fines del tratamiento. Eso fija un techo, pero no menciona un número de días. Véase RGPD.
- El requisito 3.2.1 de PCI DSS pide limitar al mínimo el almacenamiento de datos de cuenta mediante políticas de conservación y eliminación, y el requisito 3.3.1 prohíbe guardar datos de autenticación sensibles tras la autorización. La FAQ 1210 del Consejo PCI añade que PCI DSS no anula las leyes locales o regionales de conservación de audio. Véase PCI DSS.
- HIPAA exige que una entidad cubierta conserve durante seis años la documentación requerida, como las políticas de privacidad y los registros de acciones que debe documentar (45 CFR 164.530(j)(2)). Esa norma trata de la documentación que HIPAA exige y, por sí sola, no fija cuánto tiempo se guardan las grabaciones de llamadas. Véase HIPAA.
- Las normas sectoriales y estatales, como los deberes de conservación de registros en servicios financieros o en cobranza, pueden exigir guardar algunos registros durante un plazo mínimo. Comprueba las tuyas.
El resultado suele ser un intervalo: guardar lo mínimo que requieran los fines, pero no menos de lo que exija cualquier norma que obligue a conservar un registro.
Qué significa para un agente de voz
Fija un plazo para cada tipo de dato, no uno para «datos de llamadas». El audio es lo más sensible y suele ser lo más breve. Las transcripciones pueden necesitarse más tiempo para revisiones de calidad o disputas, y ocultar nombres, números y dígitos de tarjeta antes de guardarlas puede acortar la exposición.
El borrado tiene que llegar a los proveedores. Pregunta si cada uno ofrece una interfaz de borrado, cómo trata las copias de seguridad y los registros, y con qué rapidez se completa. La conservación que fijes en tu propio sistema no cubre la copia en poder de un proveedor de voz, de LLM o de un operador.
La conservación y la grabación se influyen entre sí. Si se puede grabar siquiera es tema del consentimiento para grabar llamadas, y lo que se guarda lo trata la grabación de llamadas. La opción de un proveedor de no almacenar nada se describe en retención cero de datos. Para decisiones de infraestructura, consulta la guía sobre IA de voz en local.
Preguntas para el asesor jurídico
- ¿Qué plazos mínimos y máximos se aplican a nuestras grabaciones, transcripciones y registros?
- ¿Cambia el calendario una retención legal o una disputa, y quién puede imponerla?
- ¿Cómo demostramos que el borrado llegó a nuestros proveedores y copias de seguridad?
- ¿Podemos conservar una transcripción con datos ocultos más tiempo que el audio, y con qué base?
- ¿Cuáles de nuestros registros exigen las normas sectoriales, y por cuánto tiempo?
Términos relacionados
Guías
- IA de voz en infraestructura propia: qué es y cómo funciona
- Centro de llamadas con IA: qué es y cuánto cuesta
Casos de uso
Fuentes
- Regulation (EU) 2016/679 (GDPR), Article 5(1)(e), EUR-Lex
- PCI Security Standards Council, PCI Data Security Standard (PCI DSS)
- PCI SSC FAQ 1210, audio recordings and sensitive authentication data
- 45 CFR 164.530, Administrative requirements (eCFR)
Esta página ofrece información general, no asesoramiento jurídico. Las normas varían según el país, el estado y el caso de uso, y cambian. Consulta las fuentes enlazadas y pide consejo a un abogado cualificado antes de basarte en ella.
Última revisión el 19 de octubre de 2026