El RGPD obliga al responsable del tratamiento a atender los derechos ARSULIPO en plazo y con prueba documental. Un chatbot IA introduce matices: hay datos en backend, en logs y, potencialmente, en prompts que se enviaron a terceros. Esta guía cubre los seis casos.
Qué derechos cubre ARSULIPO y por qué se nombran juntos
ARSULIPO es el acrónimo informal que las y los profesionales de protección de datos en España usan para referirse a los seis derechos del Capítulo III del RGPD aplicables al interesado: Acceso (art. 15), Rectificación (art. 16), Supresión (art. 17), Limitación (art. 18), Portabilidad (art. 20) y Oposición (art. 21). Hay un séptimo derecho que se trata habitualmente en bloque (art. 22 sobre decisiones automatizadas) pero queda fuera del acrónimo. Cada derecho tiene presupuestos jurídicos distintos: acceso es siempre admisible; supresión solo cuando concurre alguno de los motivos del art. 17.1; limitación solo en cuatro supuestos tasados. Confundirlos al recibir una solicitud lleva a respuestas erróneas que la AEPD sanciona.
Cómo se reciben y validan las solicitudes vía chatbot
Vexakon entrega a cada cliente un flujo predefinido para gestión de derechos ARSULIPO en chatbot. El usuario que solicita un derecho recibe del bot un mensaje con tres elementos:
- Confirmación de que la solicitud queda registrada con timestamp.
- Notificación de que la respuesta humana llegará en plazo máximo de un mes.
- Enlace al canal escrito (privacidad@cliente.example) por si quiere ampliar contexto.
El bot NO resuelve la solicitud. La validación de identidad (que el solicitante es realmente el titular de los datos), el análisis jurídico (si procede el derecho en este caso) y la respuesta material (entrega de copia, supresión, etc.) corresponden al responsable del tratamiento. El bot solo acelera la recepción y deja constancia.
Internamente el responsable valida la identidad con dos elementos cruzados (DNI + email registrado, o equivalente), analiza la procedencia del derecho con criterio jurídico y responde por escrito. Vexakon entrega plantilla de respuesta validada por Passas Abogados.
Plazo legal y consecuencias del retraso
| Hito | Plazo |
|---|---|
| Acuse de recepción al interesado | Inmediato (lo hace el bot) |
| Validación de identidad | 5 días laborables |
| Análisis jurídico de la solicitud | 10 días laborables |
| Respuesta material al interesado | 1 mes desde recepción |
| Prórroga (solo si la solicitud es compleja) | +2 meses con notificación previa al interesado |
Pasado el plazo sin respuesta, el interesado puede denunciar ante la AEPD por incumplimiento del derecho. La AEPD trata estas denuncias con celeridad porque la prueba es objetiva (fecha de solicitud vs fecha de respuesta). Las multas sobre PYME oscilan entre 3 000 € y 15 000 € por incidencia, según resoluciones públicas de 2025-2026.
Casos típicos por derecho
Acceso (art. 15)
El interesado pide saber qué datos personales suyos trata la empresa. Respuesta: copia estructurada de los datos en formato legible (CSV, JSON o PDF según preferencia). Para chatbot IA: incluir histórico de conversaciones, metadatos (fecha, canal, idioma) y categorización de la conversación si existiera. No incluir datos derivados que no sean comprensibles sin contexto técnico (embeddings vectoriales sin documentación).
Rectificación (art. 16)
El interesado pide corregir un dato erróneo. Procedimiento: corregir en el sistema, propagar la corrección a backups si hay obligación, dejar constancia documental del cambio con timestamp. Si los datos corregidos viajaron a un subprocesador (modelo LLM en concreto), notificar al subprocesador la corrección. El art. 19 RGPD obliga a comunicar al interesado las personas a las que se ha notificado, salvo imposibilidad o esfuerzo desproporcionado.
Supresión / olvido (art. 17)
El interesado pide borrado de sus datos. Procedimiento: eliminar de backend del cliente, dejar registro de la eliminación, comunicar a subprocesadores. En IA conversacional, el dato típico es la conversación. La supresión de la conversación borra:
- El registro en Postgres del cliente.
- Los logs de N8N asociados a esa conversación.
- Los logs de Retell AI / ElevenLabs / Deepgram asociados (vía API de los proveedores).
- El historial de conversaciones del widget en la base de datos del proveedor.
NO afecta al modelo LLM en sí porque, con opt-out de entrenamiento contratado, el modelo no incorporó esos datos a su conocimiento general. Esta es la salvaguarda contractual fundamental.
Limitación (art. 18)
El interesado pide congelar el tratamiento mientras se resuelve una controversia (p. ej. el dato es exacto pero el interesado lo discute). Procedimiento: marcar el registro como "limitado" en backend, no eliminar pero no usar para nuevas operaciones. Para chatbot IA: bloquear que el interesado siga interactuando hasta resolver la controversia.
Portabilidad (art. 20)
El interesado pide sus datos en formato estructurado para llevárselos a otro proveedor. Procedimiento: entrega en CSV o JSON con campos estandarizados. Vale el mismo paquete de datos del derecho de acceso, formateado para reutilización por terceros.
Oposición (art. 21)
El interesado se opone al tratamiento basado en interés legítimo o tarea de interés público. Procedimiento: cesar el tratamiento salvo motivos legítimos imperiosos. Para chatbot IA: desactivar el contacto saliente al interesado, dejar registro pero no usar el dato para nuevas comunicaciones.
Plantilla operativa Vexakon · respuesta tipo a derecho de acceso
Estimada o estimado [Nombre],
Hemos recibido su solicitud del derecho de acceso del art. 15 RGPD el día [fecha]. Adjuntamos copia estructurada de los datos personales de los que somos responsables relativos a su persona, en formato CSV.
El conjunto incluye: datos identificativos, datos de contacto, histórico de conversaciones con nuestro asistente de inteligencia artificial (canales, fechas, idioma de la conversación) y la categorización interna que aplicamos a cada conversación.
El tratamiento de estos datos se realiza con base en [base legal según caso]. Los destinatarios de los datos incluyen a [Vexakon como encargado, OpenAI como subprocesador del modelo, Retell AI como subprocesador del motor de voz, etc.].
Si desea ejercer cualquier otro derecho ARSULIPO o requerir aclaración sobre el contenido entregado, puede responder este correo o escribirnos a privacidad@[empresa].com.
[Firma del responsable]
Esta plantilla cumple los requisitos del art. 15 RGPD y se adapta automáticamente a cada cliente con sus subprocesadores específicos.
Preguntas frecuentes
(Generadas como FAQPage schema desde el frontmatter de este artículo.)
Aviso legal: este artículo describe la práctica habitual a fecha de mayo de 2026. No constituye asesoramiento legal. Para análisis particular, consulta a abogada o abogado tecnológico colegiado.
Lecturas relacionadas:
Implantación VEXA-CHAT en despachos jurídicos boutique:
- Despachos en Valencia — ICAV, secreto profesional y triaje sin acceso al expediente.
- Despachos en Dénia — ICALI Marina Alta, multilingüe extranjería UE.
- Despachos en Murcia — ICAM, agroalimentario exportador (servicio remoto).