Vapi frente a Retell: Cumplimiento de HIPAA, SOC 2 y GDPR (2026)

Vapi frente a Retell: lo que debes comprobar antes de firmar

Al comparar Vapi y Retell, todas las páginas de ventas dicen lo mismo: seguro, preparado para empresas, conforme a la normativa. La verdadera pregunta es más específica. ¿Qué certificado o contrato obtienes en cada plan, a qué precio y cubre todo el flujo de llamadas desde la línea telefónica hasta el modelo de voz? Esta guía analiza HIPAA, SOC 2 y GDPR para plataformas de IA de voz y muestra dónde encaja Famulor como la primera opción para equipos que operan en la UE.

Un agente de voz maneja más datos personales que la mayoría del software. Graba una voz, la transcribe, envía el texto a un modelo de lenguaje, dicta la respuesta y, a menudo, escribe el resultado en un CRM o calendario. Cada uno de esos pasos es un procesador que debes ser capaz de identificar. Por eso, una única línea de "somos conformes" en una página de precios nunca es suficiente.

Los tres marcos en palabras sencillas

HIPAA: un contrato más controles

HIPAA se aplica en EE. UU. cuando manejas información de salud protegida en nombre de una entidad cubierta, como una clínica o una aseguradora. Si un agente de voz escucha el nombre de un paciente junto con un síntoma o el motivo de una cita, eso es información de salud protegida. El proveedor debe firmar un Acuerdo de Asociado Comercial (BAA), y cada subprocesador que toque los datos necesita la misma cobertura. Sin el BAA, una lista de funciones "preparadas para HIPAA" no te protege.

SOC 2 Tipo II: una auditoría del proveedor

SOC 2 es una auditoría independiente basada en criterios de confianza como la seguridad y la disponibilidad. El Tipo I verifica que los controles estén bien diseñados en un momento dado. El Tipo II verifica que realmente funcionaron durante un período, generalmente de seis a doce meses. Te indica que el proveedor ejecuta procesos disciplinados. No dice nada sobre cómo configuras tu agente, qué almacenas en los prompts o cuánto tiempo conservas las grabaciones.

GDPR: una base legal, un contrato y una ubicación

Para quienes llaman desde la UE, los documentos clave son un acuerdo de procesamiento de datos, una lista de subprocesadores, una base legal para la grabación y una respuesta clara sobre dónde se almacenan el audio y las transcripciones. La Ley de IA de la UE añade un deber de transparencia: se debe informar a las personas de que están hablando con una IA. Un certificado estadounidense no reemplaza nada de esto.

Vapi: SOC 2 Tipo II y un complemento de HIPAA de pago

Vapi documenta una auditoría anual SOC 2 Tipo II. Según su documentación, la auditoría cubre a todos los clientes, incluidas las cuentas de pago por uso. HIPAA funciona de manera diferente. Vapi enumera un complemento de HIPAA a 2.000 dólares al mes y un complemento de Retención de Datos Cero a 1.000 dólares al mes en su página de precios. Su documentación de soporte también establece que para el flujo de voz principal (voz a texto, modelo de lenguaje, texto a voz) solo puedes seleccionar proveedores que sean ellos mismos conformes con HIPAA. Las integraciones de terceros siguen estando disponibles, pero tú asumes el trabajo de cumplimiento para ellas.

El efecto práctico es que una clínica con un pequeño volumen de llamadas paga una tarifa de cumplimiento fija antes de que se facture el primer minuto. Eso puede ser justo para un grupo hospitalario. Es una gran parte del presupuesto para una consulta dental de dos sillones.

El gráfico muestra los dos complementos uno al lado del otro. Si un equipo necesita ambos, la tarifa mensual asciende a 3.000 dólares, lo que supone 36.000 dólares en doce meses antes de cualquier coste de uso (2.000 + 1.000 = 3.000; 3.000 x 12 = 36.000).

Retell: reclamaciones de autoservicio de HIPAA y qué verificar

Retell afirma en sus propias páginas que admite HIPAA con un Acuerdo de Asociado Comercial y que los datos de las llamadas se ejecutan en una infraestructura certificada SOC 2 Tipo II. Las revisiones independientes son menos consistentes. Algunas describen el BAA como una función empresarial, y una revisión dice que Retell no publica de forma destacada su propio informe SOC 2 Tipo II. El GDPR se describe brevemente en las páginas de Retell, con consentimiento y derechos de acceso, pero los documentos detallados no son fáciles de encontrar públicamente.

No podemos verificar los términos del contrato desde fuera, y tú tampoco desde un blog. Trata cada afirmación pública, incluida la nuestra, como un punto de partida para una solicitud de diligencia debida. Pide a Retell tres cosas por escrito: el informe SOC 2 actual o carta de puente, la plantilla de BAA con sus condiciones de plan y la lista de subprocesadores con sus ubicaciones.

Famulor: alojamiento en la UE, DSGVO por diseño, transparente sobre SOC 2

Famulor está diseñado para el mercado de la UE. Los datos se alojan en Fráncfort, la plataforma está diseñada en torno a la DSGVO y el aviso de transparencia para llamadas de IA es parte del producto. SOC 2 Tipo II está en proceso, y lo decimos abiertamente en lugar de imprimir una insignia. Para los equipos en Alemania, Austria y Suiza, esa suele ser la pregunta que decide el proyecto: ¿dónde se almacena el audio y quién firma el acuerdo de procesamiento?

El mismo principio se aplica a los datos de salud de EE. UU. Si necesitas un BAA para información de salud protegida, acláralo con el equipo de Famulor en la fase de proyecto, junto con los proveedores de voz y lenguaje que planeas usar. Nuestra página de empresa muestra cómo manejamos las revisiones de seguridad y los contratos, y la página de precios enumera los planes actuales.

Comparativa: lo que publica cada proveedor

Lee la tabla como una lista de preguntas, no como una clasificación. Las celdas marcadas como "verificar" o "preguntar" significan que la información pública es escasa y deberías solicitar documentos. La comparación de precios y características entre las dos plataformas estadounidenses se trata en nuestra comparativa de Retell frente a Vapi.

Lo que realmente cuesta el trabajo de cumplimiento

El coste de cumplimiento tiene tres partes. La primera es la tarifa visible, como los complementos de Vapi anteriores. La segunda es la restricción de proveedores: si solo se permiten modelos de voz y lenguaje preparados para HIPAA, pierdes algunos de los modelos y voces más nuevos. La tercera es el trabajo interno, como la revisión legal, un registro de entrada de procesamiento y la formación del personal. La tercera parte es igual en todas las plataformas.

Para el lado del uso, Famulor cobra 0,15 € por minuto en pago por uso, y los planes comienzan desde 0,05 € por minuto. Usa la calculadora para comparar tu propio volumen frente a una tarifa de cumplimiento mensual fija.

Cuatro errores que cometen los equipos con el cumplimiento de la IA de voz

Tratan un certificado como un permiso

Un informe SOC 2 demuestra que el proveedor ejecuta procesos controlados. No te da una base legal para grabar una llamada. La base legal, el texto de consentimiento y la regla de retención siguen siendo tu trabajo, sea cual sea la plataforma que elijas.

Olvidan los subprocesadores

Un agente de voz es una cadena. El operador transporta la llamada, un modelo de voz la transcribe, un modelo de lenguaje responde y un modelo de voz habla. Una clínica en Múnich que utiliza una plataforma conforme pero enruta el audio a través de un proveedor sin un acuerdo de procesamiento tiene una brecha, y el regulador encontrará primero el eslabón más débil.

Prueban con personas que llaman reales

Ejecuta las primeras semanas con colegas y datos de pacientes falsos. Comprueba que el aviso de IA se reproduce, que se captura el consentimiento de grabación y que una solicitud de eliminación realmente elimina el audio y la transcripción. Famulor incluye herramientas de calidad que te ayudan a revisar las llamadas antes de salir a producción.

Ignoran el prompt

Los prompts y las bases de conocimiento también pueden contener datos personales. Mantén los nombres, números de póliza y notas internas fuera de los prompts, y cárgalos en el momento de la llamada a través de una llamada de herramienta. Eso mantiene la configuración almacenada limpia y simplifica las auditorías.

Un breve ejemplo: una consulta de fisioterapia con seis terapeutas quiere un agente que reserve citas. Los que llaman dicen su nombre y, a menudo, una queja como "dolor de espalda después de la cirugía". Esa frase es un dato de salud. La consulta necesita un acuerdo de procesamiento con la plataforma, un período de retención claro y un aviso al inicio de la llamada. No necesita una insignia de auditoría separada para empezar, pero sí necesita que cada procesador de la lista sea nombrado y contratado.

Una lista de verificación de diligencia debida de cinco pasos

1. Clasifica los datos. Decide si las llamadas contienen datos de salud, datos de pago o solo datos de contacto. La respuesta establece el marco.
2. Solicita los documentos. Informe SOC 2, BAA o DPA, lista de subprocesadores, política de retención.
3. Mapea la ruta de la llamada. Enumera cada procesador y su ubicación. Elimina cualquiera que no pueda firmar.
4. Establece la retención y la redacción. Decide cuánto tiempo viven el audio y las transcripciones y quién puede leerlos.
5. Ejecuta una prueba con datos falsos. Prueba el mensaje de consentimiento, el aviso de IA y la solicitud de eliminación antes de que lleguen los que llaman reales.

Las industrias reguladas añaden sus propias capas. Nuestras guías sobre pagos telefónicos conformes con PCI y el manual de cumplimiento de cobro de deudas muestran cómo funciona esto en la práctica.

Migrar de Vapi o Retell sin perder tu configuración

Si una revisión de cumplimiento muestra que tu plataforma actual no se ajusta a tu mercado, cambiar es menos trabajo de lo que parece. Famulor importa asistentes de ambas plataformas, incluidos prompts y configuraciones. Consulta las páginas para la migración desde Vapi y la migración desde Retell, y la página del centro de llamadas de IA para ver cómo es una configuración de producción.

Conclusión: elige por documentos, no por insignias

Vapi te ofrece una ruta clara y con precio definido para cumplir con HIPAA. Retell publica afirmaciones contundentes que deberías verificar. Famulor proporciona a los equipos de la UE alojamiento en Frankfurt, un diseño basado en el DSGVO y un estado SOC 2 honesto. Nada de esto sustituye tu propia revisión legal. La forma más rápida de decidir es enviar las mismas cinco preguntas a cada proveedor y comparar las respuestas por escrito.

El siguiente paso es sencillo: reserva una demostración, trae tu flujo de llamadas y pídenos los documentos de seguridad para tu caso de uso.

Preguntas frecuentes

¿Es Vapi conforme a HIPAA?

Vapi ofrece soporte para HIPAA como un complemento de pago, con un precio de 2.000 dólares al mes, y restringe el canal de voz principal a proveedores que cumplen con HIPAA. Aun así, necesitas un BAA firmado y debes gestionar tú mismo el cumplimiento de las integraciones de terceros.

¿Tiene Retell AI la certificación SOC 2 Tipo II?

Retell afirma que sus datos de llamadas se ejecutan en una infraestructura con certificación SOC 2 Tipo II. Las opiniones independientes son contradictorias sobre si Retell publica su propio informe, así que solicita el informe actual por escrito.

¿Cuál es la diferencia entre HIPAA y SOC 2?

HIPAA es una ley estadounidense para datos de salud que exige contratos y salvaguardas. SOC 2 es una auditoría voluntaria de los controles de un proveedor. Un informe SOC 2 no te hace cumplir con HIPAA.

¿Necesito un BAA para un agente de voz?

Sí, si el agente maneja información de salud protegida para una entidad cubierta en EE. UU. El BAA también debe estar respaldado por acuerdos con cada subprocesador en la ruta de la llamada.

¿Es una plataforma de IA de voz de EE. UU. conforme al RGPD?

Puede serlo, pero solo con un acuerdo de procesamiento de datos, mecanismos de transferencia válidos y una ubicación de datos clara. Revisa la lista de subprocesadores y dónde se almacenan el audio y las transcripciones.

¿Aloja Famulor los datos en la UE?

Sí. Famulor aloja en Frankfurt y está diseñado en torno al DSGVO, incluyendo el aviso de transparencia para llamadas de IA.

¿Tiene Famulor la certificación SOC 2?

La certificación SOC 2 Tipo II está en proceso. Lo declaramos abiertamente para que puedas planificar tu revisión en función del estado real.

¿Tengo que informar a los interlocutores de que hablan con una IA?

En la UE, la Ley de IA exige transparencia. La mejor práctica es un breve aviso al inicio de la llamada, que Famulor admite como un anuncio integrado.

¿Cuánto tiempo debo conservar las grabaciones de las llamadas?

Solo el tiempo necesario para un fin definido. Muchos equipos utilizan periodos de retención cortos y eliminan el audio tras la transcripción. Configúralo por espacio de trabajo y documéntalo.