Asistente de reuniones con IA con SOC 2: guía 2026

En sentido estricto, ningún asistente de reuniones con IA está “certificado SOC 2”: SOC 2 es un informe de auditoría emitido por una firma de contadores públicos independiente, no una certificación. Fireflies, Otter, Granola, Fathom, Noota, Modjo, MeetGeek y tl;dv declaran un SOC 2 Tipo II. Pide el informe y revisa su tipo, su periodo y su alcance.

Hacemos Reline, así que lee esto como la guía de un proveedor. Reline no tiene hoy un informe SOC 2; más abajo explicamos qué tiene en su lugar. Cada dato sobre otra herramienta viene de la página de ese proveedor, revisada el 22 de octubre de 2026, y puede cambiar.

SOC 2 es un marco del AICPA, el colegio de contadores públicos de Estados Unidos. Una firma independiente examina los controles de un proveedor según los Trust Services Criteria, que tienen cinco categorías: seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad. La seguridad es obligatoria; el proveedor elige las otras cuatro. Al final, el auditor emite una opinión en un informe, que suele compartirse con los clientes bajo un acuerdo de confidencialidad.

La documentación de Microsoft lo resume así: una auditoría de Tipo 1 no mira hacia atrás sobre un periodo. Microsoft audita Office 365 en una ventana móvil de 12 meses, del 1 de octubre al 30 de septiembre, y entre informes publica “bridge letters” que cubren el intervalo: son declaraciones de la propia Microsoft, no informes del auditor.

ISO 27001 es una certificación: un organismo certifica un sistema de gestión de la seguridad y emite un certificado válido por tres años. SOC 2 es una atestación: un informe que describe un sistema y da una opinión. Los proveedores dicen “certificado SOC 2” constantemente, pero la pregunta correcta sigue siendo: “¿Me envían su último informe SOC 2 Tipo II?” En España, los compradores del sector público piden además a menudo el Esquema Nacional de Seguridad (ENS), y en Europa es habitual pedir ISO 27001.

1. Tipo y periodo: Tipo II, con un periodo que terminó hace menos de 12 meses. Si no, pide la bridge letter que cubre el intervalo.
2. Alcance (la descripción del sistema): ¿están el asistente de reuniones y sus funciones de IA? Un informe puede cubrir la plataforma principal y dejar fuera un producto más nuevo. Zoom, por ejemplo, incluye expresamente AI Companion en el alcance de su informe.
3. Criterios cubiertos: ¿solo seguridad, o también confidencialidad y privacidad? Con grabaciones de reuniones, esos dos importan.
4. La opinión del auditor: una opinión sin salvedades es lo esperado; una con salvedades necesita una explicación por escrito.
5. Excepciones y respuestas de la dirección: algunas excepciones son normales; lo que importa es cuáles fueron y cómo se corrigieron.
6. Subproveedores: alojamiento, transcripción y proveedores de IA. Si quedan fuera del alcance (método “carve-out”), pide sus propios informes.
7. Tu parte de los controles (los “complementary user entity controls” o CUEC, que el informe enumera): SSO, revisión de accesos, bajas. El informe da por hecho que los aplicas.

La tabla recoge lo que cada proveedor dice en su propia página, revisada el 22 de octubre de 2026. Es la declaración del proveedor, no una auditoría nuestra: solo el informe es prueba.

Cómo leer la tabla: si SOC 2 Tipo II es un requisito de compra, Fireflies, Otter, Granola, Fathom, Noota, Modjo, MeetGeek y tl;dv lo declaran; pídeles el informe. Jamie declara un Tipo II aún en curso. Si quieres a la vez SOC 2 Tipo II y alojamiento en Europa, Noota, Modjo y tl;dv declaran ambos; Noota declara además ISO 27001. Si basta con la plataforma de videollamadas de la empresa, las funciones de IA de Zoom y Teams heredan los informes de su plataforma, según el alcance.

• El RGPD. Un informe SOC 2 no sustituye el contrato de encargo del artículo 28, la base jurídica ni la información a las personas grabadas.
• Dónde están los datos y cómo se transfieren. SOC 2 no dice dónde se alojan. Con un proveedor estadounidense, una empresa de la UE necesita un mecanismo de transferencia: el Data Privacy Framework o las cláusulas contractuales tipo.
• El entrenamiento de modelos. Un proveedor puede tener un excelente SOC 2 y entrenar modelos con datos desidentificados: la política de privacidad de Otter lo dice, por ejemplo. Lee el DPA y la política de privacidad.
• La conservación. ¿Cuánto tiempo se guardan el audio, las transcripciones y las notas, y el borrado es completo?
• El consentimiento de los participantes. Con bot visible o captura sin bot, la obligación de informar a todos sigue siendo tuya.
• El futuro. Un informe describe un periodo pasado. Lo que cambió después (una nueva función de IA, un nuevo subencargado) no aparece.

Para el RGPD en detalle (DPA, transferencias, conservación, representación de los trabajadores), consulta nuestra guía de tomadores de notas con IA conformes al RGPD. Para la lista completa de un equipo de TI, consulta nuestra checklist de aprobación.

1. ¿Pueden enviarme su último informe SOC 2 Tipo II y la bridge letter vigente?
2. ¿Están en el alcance el asistente de reuniones, la transcripción y las funciones de IA?
3. ¿Qué criterios cubren además de la seguridad?
4. ¿Qué excepciones anotó el auditor y cómo las corrigieron?
5. ¿Qué subencargados tratan el audio y las transcripciones, en qué país, y tienen sus propios informes?
6. ¿Dónde se almacenan y procesan los datos, y con qué mecanismo de transferencia?
7. ¿Entrenan modelos con nuestras reuniones, y pueden hacerlo sus proveedores de IA?
8. ¿El DPA cubre el plan que compramos o solo Enterprise?

Reline no tiene hoy un informe SOC 2. SOC 2 Tipo II está en su hoja de ruta; Reline tampoco tiene ISO 27001 ni BAA de HIPAA. Si un informe SOC 2 Tipo II es un requisito firme de tu equipo de compras, Reline no es la opción adecuada hoy.

Esto es lo que Reline sí tiene, según su página de seguridad: TLS 1.2 o superior en cada petición, cifrado en reposo de la base de datos y las grabaciones, notas privadas por defecto con permisos en cinco niveles, un registro de actividad de solo anexado en cada nota (todos los planes) más un registro de auditoría del espacio de trabajo en Enterprise, y SSO con Google y Microsoft bajo petición para Enterprise. El DPA está prefirmado en reline.so/dpa, la lista de subencargados es pública y Reline no entrena modelos con tus datos. Los datos se alojan en EE. UU. bajo las cláusulas contractuales tipo de la UE. La documentación de seguridad se comparte bajo acuerdo de confidencialidad.

En cuanto al producto, Reline capta el micrófono y el audio del sistema en local, sin bot en la llamada; la transcripción, la IA y el almacenamiento funcionan en la nube. Si el bot visible es tu verdadero problema, nuestra comparativa en francés de tomadores de notas con IA sin bot repasa las opciones.