8x8

¿Qué es 8x8 y por qué es relevante para el RGPD?

8x8 es una plataforma estadounidense de comunicaciones en la nube que combina telefonía VoIP, videoconferencia, mensajería de equipo y software de centro de contacto en una única solución. Para las organizaciones europeas, las obligaciones derivadas del RGPD surgen tanto del tratamiento de datos de empleados como del extenso contenido de las comunicaciones empresariales que circula por el sistema. En particular, las grabaciones de llamadas, las transcripciones de buzones de voz y las interacciones del centro de contacto pueden contener datos personales sensibles y, por tanto, están sujetas a requisitos de protección adicionales.

¿Qué datos trata 8x8?

8x8 trata metadatos de llamadas (números de origen y destino, duración, marcas de tiempo), grabaciones opcionales, mensajes de buzón de voz, transcripciones generadas por IA, contenido de chat y mensajería, grabaciones de videoconferencia y tickets del centro de contacto con datos similares a un CRM. La plataforma también registra inicios de sesión, información de dispositivos y estadísticas de uso para seguridad y facturación.

Requisitos del RGPD y de ePrivacy

La Directiva ePrivacy exige informar claramente a todos los participantes de la llamada antes de iniciar cualquier grabación. En España, la AEPD ha publicado guías que requieren información previa, base jurídica clara y plazos de conservación definidos. Para el RGPD, debe identificar una base jurídica, definir un plazo de conservación y documentar el tratamiento en su Registro de Actividades de Tratamiento.

Transferencias de datos a Estados Unidos

Por defecto, los datos en 8x8 se alojan en Estados Unidos, lo que constituye una transferencia internacional según el Capítulo V del RGPD. No obstante, 8x8 ofrece residencia de datos opcional en la UE, que mantiene los datos de voz, las grabaciones y los metadatos en centros de datos europeos. Si activa la residencia en la UE y firma el DPA con cláusulas contractuales tipo, reduce significativamente el riesgo de transferencia. Sin residencia en la UE es necesaria una Evaluación de Impacto de la Transferencia.

Pasos prácticos de cumplimiento

Firme el DPA de 8x8, active la residencia de datos en la UE para voz y grabaciones, configure plazos de eliminación automática de las grabaciones, programe un mensaje grabado previo que informe sobre la grabación, forme a los agentes para anunciar correctamente las grabaciones, documente el tratamiento en su Registro y realice una EIPD si despliega grabaciones o transcripciones de IA a gran escala.