¿Es seguro Fireflies.ai? Análisis de seguridad y privacidad

Fireflies.ai es razonablemente seguro para la mayoría de las reuniones de trabajo. Su página de seguridad menciona SOC 2 Type II, RGPD, HIPAA y cifrado AES-256, publica un DPA y afirma que no entrena IA con tus reuniones. Los riesgos reales están en los valores por defecto: un bot que entra en cada reunión del calendario, resúmenes abiertos a quien tenga el enlace y procesamiento en EE. UU.

Cada área que suele cubrir una revisión de seguridad, lo que Fireflies declara públicamente y lo que conviene comprobar por tu cuenta.

La página de seguridad de Fireflies enumera SOC 2 Type II, RGPD e HIPAA, y describe cifrado AES-256 para notas y transcripciones en reposo y TLS para los datos en tránsito. Es la base que debes exigir a cualquier asistente de notas en la nube, y sobre el papel Fireflies la cumple.

Lee los sellos con precisión. SOC 2 es el informe de un auditor independiente sobre los controles de una empresa durante un periodo, no un certificado permanente, así que lo útil es pedir el último informe Type II en el trust center de Fireflies y revisar fechas y excepciones. El RGPD es una ley, no una certificación: lo que importa es el DPA, la base legal para llevar datos a EE. UU. y la lista de subencargados. HIPAA depende de un contrato: la guía del plan Enterprise dice que el soporte HIPAA está disponible bajo petición y exige un Business Associate Agreement (BAA) firmado. La misma guía fija Enterprise en 39 dólares por usuario al mes, con facturación anual.

Según Fireflies, no, con un matiz de redacción que conviene notar. Su política de privacidad afirma que no usa datos personales para entrenar modelos de IA. Las notas de actualización de sus políticas añaden que el contenido de las reuniones no entrena modelos internos ni externos, que los proveedores lo tienen prohibido por contrato y que los proveedores externos no guardan audio, vídeo ni transcripciones tras el procesamiento.

La expresión “por defecto” es más suave que la política de privacidad, y el DPA permite a Fireflies crear datos anonimizados y usar datos del servicio, como el uso y la cuenta, para mejorar sus productos. Nada de eso contradice el compromiso. Si el entrenamiento es una línea roja para tu empresa, pide a Fireflies que confirme por escrito que ningún plan ni ajuste lo cambia.

En Estados Unidos por defecto. La guía de almacenamiento de Fireflies indica que los datos se guardan y procesan en su infraestructura en la nube en EE. UU., sobre AWS y GCP. Su política de privacidad añade que los datos personales pueden procesarse y almacenarse en servidores de Estados Unidos y de otros países.

Los clientes Enterprise pueden usar Private Storage para elegir dónde viven grabaciones, transcripciones y archivos, incluso en su propio bucket de AWS S3 o Google Cloud Storage. Para el almacenamiento en la UE, la guía marca el límite con claridad:

Para las transferencias fuera de Europa, el DPA se apoya en la autocertificación de Fireflies en el Data Privacy Framework UE-EE. UU., con las cláusulas contractuales tipo de la UE como respaldo, adaptadas a las transferencias desde el Reino Unido y Suiza. Es un esquema habitual y legal para un proveedor estadounidense, pero un equipo con una norma estricta de procesamiento solo en la UE debe tratar a Fireflies como un encargado estadounidense.

En cuanto a la conservación, Fireflies dice que borra los datos personales asociados a una cuenta en los 30 días siguientes a su eliminación, y el plan Enterprise añade plazos personalizados que borran reuniones y archivos automáticamente. En los demás planes, cuenta con borrar tú las reuniones antiguas.

Fireflies publica su Data Processing Addendum en fireflies.ai/data-processing-agreement. La versión actual se actualizó el 6 de marzo de 2026, forma parte de los términos del servicio y se aplica a las organizaciones que lo usan, así que no hay un documento aparte que firmar para las condiciones estándar. Fireflies puede modificarlo con aviso, y seguir usando el servicio equivale a aceptarlo.

Cinco puntos merecen una lectura antes de que compras dé el visto bueno:

• Subencargados: la lista está en trust.fireflies.ai/subprocessors, y las notas de actualización dicen que los clientes Business y Enterprise pueden oponerse a los nuevos.
• Aviso de incidentes: Fireflies se compromete a avisar “sin demora indebida”, sin un número fijo de horas.
• Transferencias: primero el Data Privacy Framework UE-EE. UU., y las cláusulas contractuales tipo como respaldo.
• Salida: al terminar el contrato, Fireflies borra o devuelve los datos personales según tus instrucciones, salvo que la ley obligue a conservarlos.
• Auditorías: según las notas de actualización, los clientes Business y Enterprise pueden auditar una vez al año, a su costa.

En la práctica, la mayoría de los problemas de privacidad con Fireflies vienen de los valores por defecto, no de ataques. La guía de ayuda de Fireflies lo dice sin rodeos:

En cuanto alguien conecta un calendario, el Fireflies Notetaker (fred@fireflies.ai) entra en cada reunión con enlace de videollamada, incluidas las llamadas con clientes y candidatos que nunca se registraron en Fireflies. En los ajustes de auto-join puedes elegir “Only when I invite fred@fireflies.ai”.

El uso compartido sigue la misma lógica. La guía de privacidad de los resúmenes indica “Teammates & anyone with link” por defecto: todo tu espacio de Fireflies puede encontrar la reunión y cualquiera con el enlace puede abrirla. Hay opciones más estrictas: “Only participants & teammates”, “Only participants”, “Only teammates” y “Only me”. Además, la página de seguridad describe un rol de Super Admin con acceso completo a todas las reuniones del espacio.

Fireflies ofrece también un modo de escritorio en Mac y Windows que graba el audio del sistema sin bot. Su guía explica los límites con claridad: este modo no guarda archivo de audio ni de vídeo, muestra a quienes hablan como Speaker 1 y Speaker 2 en lugar de sus nombres, y si desactivas su aviso de consentimiento, te toca a ti informar a los participantes.

Fireflies ha recibido demandas que buscan ser colectivas bajo la ley de privacidad biométrica de Illinois (BIPA). Según los registros judiciales y la prensa jurídica, las dos de abajo alegan que el asistente recopiló y almacenó huellas de voz de participantes en reuniones, incluidas personas sin cuenta en Fireflies, sin el aviso y el consentimiento por escrito que exige la BIPA. La demanda Cruz alega además que Fireflies no publicó ninguna política de conservación y destrucción. Son alegaciones; ningún tribunal se ha pronunciado sobre ellas.

La política de privacidad de Fireflies, actualizada el 28 de septiembre de 2026, dice que los datos de voz pueden considerarse biométricos en algunas jurisdicciones, que sus proveedores no los usan para identificar ni autenticar a personas y, en su sección sobre la ley de Illinois, que se destruyen al cumplirse su finalidad o, como máximo, tres años después de la última interacción de la persona.

Al revisarlo en octubre de 2026 no encontramos ninguna filtración de datos de Fireflies comunicada públicamente. Eso no prueba que no haya ocurrido ninguna, solo que no figura en las fuentes públicas que encontramos. Para el panorama legal completo, incluida la demanda colectiva contra Otter.ai, consulta nuestro seguimiento de demandas contra asistentes de notas con IA.

Fireflies encaja bien si:

• Quieres un bot que grabe reuniones a las que no asistes y guarde después un archivo de audio y vídeo.
• Quieres los nombres de quienes hablan en la transcripción y las integraciones creadas en torno al Fireflies Notetaker.
• Tu empresa está en EE. UU. y acepta el procesamiento estadounidense bajo un DPA.
• Estás en Enterprise y necesitas HIPAA con BAA, SSO, Private Storage o conservación personalizada.

Piénsalo dos veces si:

• Te reúnes con personas de Illinois o de lugares donde todos deben consentir, sin certeza de que todos aceptaron la grabación.
• Tus clientes o candidatos rechazan un bot ajeno en sus llamadas.
• Necesitas procesamiento solo en la UE, no solo almacenamiento en la UE.
• Manejarías datos de salud sin un BAA firmado.

1. Configura el auto-join en “Only when I invite fred@fireflies.ai” para que el bot nunca entre por sorpresa.
2. Cambia la privacidad por defecto de los resúmenes de “Teammates & anyone with link” a “Only participants” u “Only me”.
3. Revisa quién es Super Admin, porque ese rol ve todas las reuniones del espacio.
4. Deja activado el aviso de consentimiento y di en voz alta que la reunión se está grabando.
5. Descarga el DPA y la lista de subencargados y guárdalos con la documentación de proveedores.
6. Pide el informe SOC 2 Type II vigente; en Enterprise, fija un plazo de conservación y firma un BAA si tratas datos de salud.

Las mismas preguntas sirven para Fireflies, Otter, Read AI o Reline. Un proveedor que no puede responderlas por escrito ya te ha respondido.

1. ¿Entra un bot en la llamada, y lo hace automáticamente por defecto?
2. ¿Quién ve una reunión por defecto: solo yo, los participantes, todo el espacio o cualquiera con el enlace?
3. ¿Entrenáis modelos de IA con mi audio, mis transcripciones o mis notas, en algún plan o ajuste?
4. ¿Dónde se almacenan los datos, dónde se procesan y con qué proveedores de nube?
5. ¿Hay un DPA, una lista pública de subencargados y un compromiso de aviso de incidentes?
6. ¿Qué auditorías podéis enseñarme hoy, como informe y no como sello?
7. ¿Cuánto tiempo guardáis grabaciones y transcripciones, y puedo fijar yo ese plazo?

Reline es un asistente de notas competidor, así que valora esta sección con eso en mente. Reline nunca envía un bot: capta tu micrófono y el audio del sistema en local en Mac, Windows, Linux (beta) o en el navegador, de modo que no aparece ningún participante extra en la llamada. La transcripción, las notas con IA y el almacenamiento funcionan en la nube, no en tu dispositivo.

Las notas son privadas por defecto: un rol en el espacio de trabajo, por sí solo, no da acceso a ninguna nota. Reline no tiene hoy informe SOC 2 ni BAA de HIPAA, así que si tu área de compras los exige, Fireflies declara una auditoría SOC 2 Type II y ofrece un BAA en Enterprise, y Reline no. Y grabar sin bot no sustituye al consentimiento: sigues avisando a los demás allí donde la ley lo exija.

• Fireflies, página de seguridad y cumplimiento: https://fireflies.ai/security
• Fireflies, Data Processing Addendum (actualizado el 6 de marzo de 2026): https://fireflies.ai/data-processing-agreement
• Fireflies, cambios en la política de privacidad, los términos y el DPA: https://guide.fireflies.ai/articles/6892479029
• Fireflies, guía de almacenamiento y transferencia de datos: https://guide.fireflies.ai/articles/9596505232
• Fireflies, guía del plan Enterprise: https://guide.fireflies.ai/articles/4771323041-learn-about-fireflies-enterprise-plan
• Fireflies, guía de privacidad de los resúmenes: https://guide.fireflies.ai/articles/5319481450-how-to-configure-privacy-settings-for-your-meeting-recaps
• Fireflies, guía de ajustes de auto-join: https://guide.fireflies.ai/articles/8587670572-how-to-disable-the-fireflies-auto-join-settings
• Fireflies, grabar sin bot con la app de escritorio: https://guide.fireflies.ai/articles/6666374717-how-to-record-meetings-without-a-bot-on-the-fireflies-desktop-app
• Fireflies, política de privacidad (actualizada el 28 de septiembre de 2026): https://fireflies.ai/privacy-policy
• Cruz v. Fireflies.AI Corp, expediente (PacerMonitor): https://www.pacermonitor.com/public/case/61918314/Cruz_v_FirefliesAI_Corp
• Smith, Gambrell & Russell, asistentes de notas con IA y BIPA (16 de marzo de 2026): https://www.sgrlaw.com/newsroom/publications/ai-note-takers-biometric-privacy-and-the-battle-over-bipa-damages-what-businesses-need-to-know-now
• Top Class Actions, Fricker v. Fireflies.AI Corp. (19 de marzo de 2026): https://topclassactions.com/lawsuit-settlements/lawsuit-news/fireflies-ai-sued-over-alleged-unlawful-data-collection-from-meeting-participants/