Revoluciona tu operativa de llamadas con Retell
SOC 2 Tipo II: informe de auditor que verifica si los controles de un proveedor funcionaron en un periodo. Tipo 1 vs. 2, los 5 criterios y cómo leerlo.
SOC 2 Tipo II (también escrito SOC 2 Type 2) es el informe de una firma independiente de auditoría (CPA) que evalúa si los controles de un proveedor de servicios para proteger los datos de los clientes se diseñaron adecuadamente y funcionaron de forma eficaz durante un periodo definido, conforme a los Trust Services Criteria del AICPA. Es una atestación, no un certificado: el resultado es la opinión de un auditor junto con las pruebas que la respaldan, no un sello de aprobado o suspenso.
El Tipo I comprueba el diseño de los controles en una fecha concreta. El Tipo II comprueba que esos mismos controles siguieron funcionando a lo largo de varios meses.
| SOC 2 Tipo I | SOC 2 Tipo II | |
|---|---|---|
| Periodo cubierto | Una fecha («a fecha de») | Un periodo con fecha de inicio y de fin |
| Qué evalúa el auditor | Si los controles están diseñados adecuadamente | Si los controles están diseñados adecuadamente y funcionaron de forma eficaz |
| Qué le indica a un comprador | Los controles existen sobre el papel y en la configuración | Los controles se aplicaron, y dónde fallaron (excepciones) |
Las empresas suelen completar primero un Tipo I y, después, un Tipo II cuando ya tienen un historial operativo que se pueda evaluar.
Los Trust Services Criteria (criterios de servicios de confianza) son las cinco categorías del AICPA que puede cubrir un informe SOC 2. La seguridad figura en todos los informes SOC 2. La empresa decide si añade las otras cuatro.
Dos proveedores pueden decir «SOC 2 Tipo II» y cubrir categorías distintas, así que revisa el alcance antes de compararlos.
Los periodos de auditoría suelen durar entre 3 y 12 meses. El informe solo se refiere a ese intervalo, así que consulta las fechas exactas de inicio y fin.
Para cubrir el hueco entre el final del periodo y el siguiente informe, los proveedores suelen emitir una bridge letter (o gap letter): una declaración de la dirección de que no ha habido cambios materiales en los controles desde entonces. La redacta el proveedor, no el auditor, por lo que no sustituye al informe.
Empieza por la opinión y las fechas, y después lee las partes que te trasladan el riesgo a ti:
Los informes SOC 2 son documentos de uso restringido que suelen compartirse bajo NDA. Un SOC 3 es una versión más breve de uso general que el proveedor puede publicar, pero omite el detalle de las pruebas mencionado arriba.
Una plataforma de agentes de voz gestiona grabaciones de llamadas, transcripciones y los datos personales que los interlocutores dicen en voz alta, y esos datos pueden pasar por proveedores de telefonía, de voz y de modelos de lenguaje. Por eso las organizaciones subcontratadas importan más de lo habitual. Complementa la revisión de SOC 2 con otras dos preguntas: dónde se almacenan los datos (residencia de datos) y si algún proveedor los conserva después de la llamada (retención cero de datos).
SOC 2 también tiene límites. No evalúa la precisión de un agente de IA ni sustituye a un acuerdo de socio comercial (BAA) de HIPAA ni a un acuerdo de tratamiento de datos del RGPD. Para una visión más amplia, consulta cumplimiento normativo para agentes de voz con IA, la guía de cumplimiento de IA de voz para empresas y cumplimiento de HIPAA para agentes telefónicos con IA.
La documentación de seguridad y cumplimiento de Retell incluye SOC 2 Tipo 1 y Tipo 2, con controles auditados de forma independiente en seguridad, disponibilidad y confidencialidad. Los certificados, los informes y el estado de la última auditoría están en el Retell Trust Center. Pide el informe Tipo 2 y revísalo con la lista de comprobación anterior.
Algunos controles dependen de ti. En Retell, por ejemplo, tú defines el periodo de retención de datos de cada agente, desde 1 día hasta 2 años o sin eliminación automática, y te corresponde a ti tomar y documentar esa decisión. Para obtener listas de subencargados o una revisión de seguridad personalizada, la documentación remite a los compradores a support@retellai.com.
Si tu equipo de seguridad está evaluando proveedores de IA de voz, descubre cómo Retell da soporte a despliegues regulados en la página de la plataforma de IA conversacional para empresas.