El acceso por voz a datos empresariales requiere seguridad de nivel bancario. Así es como lo hemos construido, en lenguaje sencillo.
Dar acceso a un asistente IA a tu contabilidad y CRM plantea una pregunta legítima: cómo está asegurado? Aquí está nuestra respuesta, sin jerga.
Los permisos viven en el servidor, no en la IA
Lo que un usuario puede hacer se verifica en cada acción por nuestro código de servidor, como tu app bancaria que solo muestra tu propia cuenta sin importar lo que escribas. Aunque alguien intente engañar al asistente con formulaciones ingeniosas, el servidor rechaza todo lo que el PIN no permite. La IA no puede anular esto.
Esto difiere fundamentalmente de chatbots que tienen en su prompt: 'No debes mostrar datos financieros.' Eso es una instrucción a un modelo de lenguaje, no una medida de seguridad. En CallMerlin, la seguridad está en código, no en texto.
Tus claves, cifradas en reposo
Conectas tus propias cuentas SaaS. Las credenciales se cifran con AES-256-GCM y nunca se muestran después de la configuración, ni siquiera a ti. Ni nuestros propios empleados pueden ver los valores sin cifrar.
Un PIN por persona, 2FA encima
Cada miembro del equipo recibe un PIN personal de 6 dígitos con sus propios permisos. Para roles sensibles puedes activar verificación en dos pasos via app authenticator (recomendado) o SMS. Funciona idénticamente por teléfono, widget, app de escritorio y Slack/Teams.
Alojamiento UE, RGPD by design
- Todos los datos se almacenan y procesan dentro de la Unión Europea.
- Por defecto registramos qué comandos se ejecutaron, no la conversación hablada.
- Logs de auditoría conservan quién/qué/cuándo durante 90 días, sin datos de contenido.
- Un acuerdo de procesamiento de datos (DPA) está disponible con cada plan de pago.
- Tú eliges cómo aparecen los usuarios en los logs: nombre, seudónimo o anónimo.
Comparación con alternativas
La mayoría de plataformas de voz IA funcionan en servidores estadounidenses (OpenAI, Twilio, AWS US). En CallMerlin, los datos de cuenta y plataforma permanecen en la UE (Google Cloud europe-west4, Países Bajos). Para la IA (Grok), chat, voz y transcripciones pueden ir a xAI en EE. UU., bajo DPA y cláusulas contractuales tipo. No es una promesa solo-UE; somos transparentes al respecto.
Preguntas sobre seguridad? Estaremos encantados de repasar la arquitectura con tu equipo de IT. Contáctanos via el panel. Para MSP o requisitos estrictos sobre dónde quedan los datos: ver CallMerlin Edge (on-prem) (early access) y el blog Edge.
