Administrar agentes según las normas de datos de la UE sin pretender que sea sencillo

Muchos proveedores tratan la protección de datos europea como un apéndice de cumplimiento. Operamos desde Barcelona, ​​por lo que es simplemente el entorno, y el diseño se deriva de él en lugar de ser una adaptación.

Eso no lo hace sencillo. Lo hace familiar, lo cual es diferente.

La distinción que causa más confusión

La ley de protección de datos separa al controlador, que decide por qué y cómo se procesan los datos personales, del procesador, que actúa siguiendo las instrucciones del controlador.

Para los datos sobre nuestros propios clientes, somos el responsable del tratamiento. Para el contenido que nuestros clientes envían a través de la plataforma, ellos son el controlador y nosotros el procesador. Se trata de obligaciones diferentes, y su combinación genera promesas excesivas y resultados insuficientes.

En la práctica: si una persona nos pide que eliminemos datos que un cliente ingresó en la plataforma, la solicitud pertenece a ese cliente y se lo decimos en lugar de actuar unilateralmente.

Las transferencias se evitan en lugar de ocultarse

Lo habitual es tramitar donde convenga y cubrir la transferencia con cláusulas contractuales. Eso es legal y no es nuestra opción por defecto.

Nuestro valor predeterminado es el procesamiento dentro de la Unión Europea, con Barcelona como región principal, lo que elimina la pregunta para la mayoría de los clientes en lugar de responderla. Cuando un contrato requiere una ubicación específica, el procesamiento puede fijarse en ella. Cuando una transferencia fuera del EEE es realmente inevitable, está cubierta por las Cláusulas Contractuales Tipo junto con el cifrado en reposo y en tránsito y el control de acceso basado en roles.

Los agentes crean un problema de retención que los documentos no

Un sistema tradicional almacena lo que le pones. Un sistema de agente también almacena lo que hizo: el plan, los pasos intermedios, las llamadas a herramientas, el registro de auditoría.

Ese registro es realmente necesario. Es lo que hace posible la gobernanza y lo que responde un regulador once meses después. También son datos personales cuando se trata de personas identificables y se acumulan más rápido de lo que nadie espera.

Nuestra posición es que los datos de auditoría se conservan durante el período necesario para cumplir con las obligaciones legales y contractuales y luego se eliminan o se anonimizan irreversiblemente, y que los clientes pueden ver lo que se conserva en lugar de tener que preguntar.

No entrenamos con tus datos

Esto es breve porque debería serlo. El contenido que pasa por la plataforma no se utiliza para entrenar modelos. No es una configuración que tengas que buscar y desactivar.

¿Dónde permanece realmente la dificultad?

Dos lugares, sinceramente.

El primero es la minimización de datos en un sistema de recuperación. Un agente trabaja mejor con acceso a más contexto y la protección de datos le pide que procese el mínimo necesario. Estos tiran en direcciones opuestas y la resolución es un juicio sobre el alcance más que un control técnico. Ayudamos haciendo que los límites de acceso sean ejecutables, pero la decisión sobre hasta dónde debe llegar un agente es del cliente.

El segundo es explicar un resultado. El derecho a comprender una decisión es más fácil de satisfacer para un motor de reglas que para un agente que elaboró ​​un plan en varios pasos. Una pista de auditoría completa es la mejor respuesta disponible y es un registro de lo que sucedió en lugar de una simple explicación de por qué.

Decir lo contrario sería más prolijo y menos cierto.

Siguiente

El Aviso de Privacidad cubre nuestro propio procesamiento y el Centro de Confianza cubre subprocesadores, transferencias e informes de seguridad. Los acuerdos de procesamiento de datos y los cuestionarios se pueden solicitar en contact@capconsultor.eu.