Información general sobre Astu
Al interactuar con Astu, está utilizando un asistente virtual basado en inteligencia artificial. El sistema ha sido desarrollado por Innova Digital Export y es utilizado por ASTUREX como herramienta de apoyo para facilitar información y atender consultas de las personas usuarias a través de WhatsApp y, cuando proceda, del canal web habilitado.
Las respuestas se generan de forma automatizada mediante modelos de inteligencia artificial y tienen una finalidad exclusivamente informativa. Por tanto, pueden contener errores, imprecisiones o información desactualizada y no sustituyen el asesoramiento profesional ni la atención personalizada cuando esta resulte necesaria.
Astu no adopta decisiones automatizadas que produzcan efectos jurídicos o afecten significativamente a las personas. Tampoco evalúa solicitudes, elabora perfiles de las personas usuarias ni interviene en procedimientos de selección, valoración o concesión de ayudas.
Cuando la naturaleza de la consulta lo requiera o el asistente no pueda ofrecer una respuesta adecuada, la persona usuaria podrá ser derivada a los canales de atención gestionados por personal de ASTUREX.
¿Qué datos tratamos mediante el asistente?
Durante la utilización de Astu podrán tratarse las siguientes categorías de datos:
- El contenido de los mensajes.
- Un identificador de sesión generado automáticamente para gestionar y mantener la continuidad de la conversación.
- La fecha y hora de cada interacción.
- El canal utilizado para acceder al asistente: WhatsApp o web.
- El idioma detectado en el mensaje.
- La categoría temática de la consulta.
- El resultado general del análisis del contenido de la conversación.
Cuando la interacción se realice a través de WhatsApp, el número de teléfono se utiliza para generar el identificador de sesión. El número no se almacena en claro en la base de datos de conversaciones, sino que se transforma mediante una función hash combinada con una clave secreta.
Este mecanismo constituye una medida de seudonimización. Aunque reduce la posibilidad de identificación directa, el identificador continúa considerándose un dato personal mientras pueda vincularse indirectamente con una persona.
En el canal web, el identificador de sesión se genera aleatoriamente y no se vincula directamente con datos identificativos de la persona usuaria.
Astu no almacena la dirección IP, el navegador, el sistema operativo, la información del dispositivo ni el idioma configurado en el navegador. Tampoco utiliza cookies propias para mantener el historial de la conversación.
Las personas usuarias deben evitar facilitar datos personales que no sean necesarios para formular su consulta, categorías especiales de datos —como información relativa a la salud, ideología, religión, afiliación sindical, origen racial o étnico, orientación sexual, datos genéticos o biométricos— o datos de terceras personas sin contar con legitimación suficiente.
¿Con qué finalidades tratamos sus datos?
Los datos serán tratados para las siguientes finalidades:
- Facilitar el acceso y la utilización del asistente Astu.
- Responder a consultas, solicitudes y peticiones relacionadas con los servicios, actividades y funciones de ASTUREX.
- Mantener el contexto inmediato de la conversación cuando resulte necesario para ofrecer respuestas coherentes.
- Derivar la consulta a los canales de atención humana cuando resulte necesario.
- Proporcionar soporte sobre el funcionamiento del asistente.
- Gestionar incidencias técnicas y garantizar la seguridad y continuidad del servicio.
- Recibir y analizar las consultas de información de las personas usuarias.
- Elaborar informes y estadísticas sobre la utilización del asistente, incluyendo el idioma, la categoría temática y el análisis general del sentimiento de las consultas.
- Evaluar y mejorar el funcionamiento, la calidad de las respuestas y la estrategia de atención a las personas usuarias.
- Remitir información comercial o sobre eventos por medios electrónicos únicamente cuando exista una base jurídica específica que lo permita.
Los datos obtenidos mediante el asistente no se utilizarán para adoptar decisiones automatizadas con efectos jurídicos, evaluar solicitudes, realizar perfiles de las personas usuarias ni intervenir en procedimientos de selección, valoración o concesión de ayudas.
¿Cuál es la base jurídica del tratamiento?
La base jurídica aplicable dependerá de la finalidad concreta del tratamiento:
- La atención y gestión de las consultas podrá basarse en la ejecución de medidas solicitadas por la persona interesada antes de formalizar una relación o, cuando corresponda, en la ejecución de una relación existente, de conformidad con el artículo 6.1.b) del RGPD.
- La seguridad, mantenimiento, análisis estadístico y mejora del servicio podrán fundamentarse en el interés legítimo de ASTUREX en disponer de canales eficaces y seguros de información y atención, de conformidad con el artículo 6.1.f) del RGPD.
La utilización del asistente implica necesariamente el tratamiento del contenido de la consulta y de los datos técnicos mínimos necesarios para gestionarla. Si la persona usuaria no desea que sus datos sean tratados por este canal, podrá dirigirse a ASTUREX a través de los canales alternativos de atención disponibles.
¿Cómo funciona la memoria del asistente?
En el canal web, cada conversación comienza sin información procedente de visitas anteriores. El identificador de sesión es aleatorio y no persiste entre conversaciones independientes.
En WhatsApp, Astu conserva como contexto los dos últimos mensajes asociados al identificador seudonimizado de la persona usuaria. Esta memoria limitada se utiliza exclusivamente para mantener la coherencia inmediata de la conversación.
La memoria conversacional no se utiliza para personalizar las respuestas en función de características, preferencias o perfiles de la persona usuaria.
Además de esta memoria técnica inmediata, se mantiene un registro histórico de las interacciones formado por la pregunta previamente sanitizada, la respuesta generada, el identificador de sesión y la fecha. Posteriormente, se incorporan al registro el idioma, la categoría temática y el análisis de sentimiento para la elaboración de estadísticas e informes de utilización.
¿Cómo se minimizan los datos personales?
Antes de que las consultas sean remitidas al modelo de inteligencia artificial o almacenadas en la base de datos, los mensajes pasan por un mecanismo automático de detección y minimización de datos personales.
Cuando el sistema detecta nombres, teléfonos, direcciones de correo electrónico, direcciones postales, documentos de identidad u otros datos personales, los sustituye por marcadores dentro del texto. El mecanismo también está configurado para detectar y sustituir información relativa a enfermedades o al estado de salud.
El mensaje ya sanitizado es el que se remite al modelo de inteligencia artificial y el que se almacena en el registro de conversaciones. Por tanto, los datos detectados por este mecanismo no se conservan ni se envían al modelo en su forma original.
No obstante, ningún mecanismo automático de detección ofrece una garantía absoluta. Por este motivo, se recomienda no introducir información personal innecesaria ni datos especialmente sensibles durante la conversación.
¿Se utilizan las conversaciones para entrenar modelos de inteligencia artificial?
No. Las conversaciones mantenidas mediante Astu no se utilizan para entrenar ni mejorar los modelos de inteligencia artificial de OpenAI.
Los modelos se utilizan mediante su interfaz de programación —API— para generar respuestas, clasificar las consultas, detectar el idioma y efectuar el análisis general del sentimiento.
Antes de remitir el contenido a los modelos de OpenAI, se aplica el proceso de sanitización descrito anteriormente.
¿Durante cuánto tiempo conservamos las conversaciones?
Las conversaciones mantenidas con Astu se conservarán durante un plazo máximo de doce meses desde la fecha de registro de cada mensaje.
Existe un proceso automático, ejecutado diariamente, que elimina los registros cuya antigüedad sea superior a doce meses. Una vez eliminados todos los mensajes asociados a una sesión, también se elimina su memoria conversacional.
Los datos podrán conservarse durante un plazo superior cuando resulte necesario para cumplir una obligación legal o para formular, ejercer o defender reclamaciones.
La información podrá conservarse sin limitación temporal cuando haya sido sometida a un proceso de anonimización efectivo e irreversible que impida identificar o volver a identificar a las personas.
¿Quién puede acceder a los datos?
ASTUREX utiliza proveedores tecnológicos que pueden tratar datos por su cuenta y bajo sus instrucciones, en calidad de encargados o subencargados del tratamiento.
En particular, intervienen:
- Innova Digital Export, como empresa responsable del desarrollo, configuración, mantenimiento y soporte técnico de Astu.
- Supabase, como proveedor de la base de datos PostgreSQL en la que se almacenan las conversaciones.
- DigitalOcean, como proveedor de la infraestructura en la que se ejecuta el flujo técnico del asistente mediante n8n.
- OpenAI, como proveedor de los modelos de inteligencia artificial utilizados mediante API.
- Los proveedores vinculados al funcionamiento de WhatsApp Business, cuando la interacción se produzca a través de este canal, en los términos descritos en la política de privacidad correspondiente a dicho servicio.
El acceso directo a las conversaciones almacenadas se encuentra limitado al personal técnico autorizado de Innova Digital Export que necesita acceder a ellas para administrar, mantener y resolver incidencias del sistema.
ASTUREX no dispone actualmente de acceso técnico directo a la base de datos de conversaciones, sin perjuicio de su condición de responsable del tratamiento y de sus facultades de control, supervisión e instrucción respecto del proveedor.
Los datos no se comunicarán a otros terceros, salvo que exista una obligación legal o resulte necesario para formular, ejercer o defender reclamaciones.
¿Se realizan transferencias internacionales de datos?
La base de datos de Astu se aloja mediante Supabase en París, Francia, por lo que este almacenamiento tiene lugar dentro del Espacio Económico Europeo.
El servidor en el que se ejecuta el flujo técnico del asistente mediante DigitalOcean se encuentra en Londres, Reino Unido. La transferencia de datos al Reino Unido se fundamenta en la decisión de adecuación adoptada por la Comisión Europea mientras esta se encuentre vigente.
La utilización de los modelos de OpenAI puede implicar el tratamiento de información en Estados Unidos. Esta transferencia se encuentra amparada por el acuerdo de tratamiento de datos suscrito con OpenAI, mediante las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea o, cuando resulte aplicable, por una decisión de adecuación.
Supervisión y atención humana
ASTUREX supervisa periódicamente el funcionamiento de Astu para detectar incidencias, revisar respuestas incorrectas y mejorar progresivamente la calidad de la información facilitada.
Cuando el asistente no pueda resolver adecuadamente una consulta o esta requiera una valoración específica, la persona usuaria podrá ser derivada a los canales de atención gestionados por personal de ASTUREX.
La persona usuaria también podrá solicitar atención humana mediante los canales de contacto indicados por ASTUREX.
¿Qué medidas de seguridad se aplican?
ASTUREX y sus proveedores tecnológicos aplican medidas técnicas y organizativas adecuadas al riesgo para proteger la confidencialidad, integridad, disponibilidad y resiliencia de la información.
Entre otras medidas, se aplican:
- Sanitización automática de datos personales antes de su envío al modelo y almacenamiento.
- Seudonimización del identificador de sesión utilizado en WhatsApp.
- Generación de identificadores aleatorios en el canal web.
- Limitación del acceso al personal técnico autorizado.
- Autenticación en dos pasos para el acceso a los principales proveedores tecnológicos.
- Cifrado de las comunicaciones mediante protocolos HTTPS/TLS.
- Cifrado en reposo de la información almacenada en Supabase.
- Registro y auditoría de determinadas operaciones de lectura, modificación y eliminación efectuadas sobre la base de datos.
- Copias de seguridad semanales.
- Detección y gestión de errores de ejecución.
- Eliminación automática de las conversaciones y de la memoria asociada una vez finalizado el plazo de conservación.
- Acuerdos contractuales de tratamiento de datos con los proveedores correspondientes.
¿Cuáles son sus derechos?
La persona interesada puede solicitar a ASTUREX:
- El acceso a sus datos personales.
- La rectificación de los datos inexactos.
- La supresión de sus datos cuando proceda.
- La limitación del tratamiento.
- La oposición al tratamiento cuando la base jurídica lo permita.
- La portabilidad de sus datos cuando resulte aplicable.
- La retirada del consentimiento en cualquier momento respecto de los tratamientos basados en este.
Para ejercer estos derechos deberá dirigir una solicitud a asturex@asturex.org , indicando el derecho que desea ejercer y aportando la información necesaria para acreditar su identidad cuando resulte imprescindible.
Cuando la conversación se haya mantenido mediante un identificador aleatorio o seudonimizado, ASTUREX podrá solicitar información adicional razonablemente necesaria para localizar los datos correspondientes y verificar la identidad de la persona solicitante.
Si considera que el tratamiento de sus datos personales no se ajusta a la normativa, puede presentar una reclamación ante la Agencia Española de Protección de Datos a través de su sede electrónica o de los demás canales habilitados por dicha autoridad.
ASTUREX podrá actualizar esta política cuando se produzcan cambios normativos, técnicos o funcionales que afecten al tratamiento de datos realizado mediante Astu.
La versión vigente estará disponible a través del propio asistente y de los canales digitales de ASTUREX.