Derechos ARCO de tus clientes: cómo atenderlos desde el CRM

Los derechos ARCO son los derechos de acceso, rectificación, cancelación y oposición que tiene cualquier persona sobre sus datos personales. Hoy el RGPD los recoge con otros nombres y los amplía: acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad. Cuando un cliente los ejerce, el negocio debe responder.

En la práctica, una petición puede llegar 1) por correo, 2) por WhatsApp o 3) en mostrador: «quiero ver qué datos tenéis míos» o «borrad mi ficha». Piensa en un negocio con 2.000 clientes. Si guarda los datos en tres sitios distintos, atender una sola petición puede llevar horas, y el riesgo de olvidar algo es alto.

Además, un CRM ordenado simplifica la respuesta. Con una ficha única por cliente, localizar, corregir o eliminar los datos de una persona lleva minutos. Los derechos de las personas son parte del RGPD, y la AEPD es la autoridad que vela por ellos en España.

¿Qué son los derechos ARCO y cuáles recoge el RGPD?

Los derechos ARCO son cuatro derechos básicos, y el RGPD añade dos más. El negocio debe reconocer cada petición aunque el cliente no use el nombre exacto.

• Acceso: saber qué datos guardas de la persona y para qué.
• Rectificación: corregir datos que son inexactos o están incompletos.
• Supresión (antes cancelación): pedir que se borren sus datos cuando proceda.
• Oposición: negarse a que uses sus datos para ciertos fines, como la publicidad.
• Limitación y portabilidad: pausar el uso de los datos o recibirlos en un formato reutilizable.

Por ejemplo, un cliente escribe «no quiero recibir más ofertas» a un mensaje de WhatsApp Business. Es un ejercicio del derecho de oposición. Una persona que pide «una copia de mis datos» ejerce el de acceso.

Con 4 derechos básicos y 2 añadidos por el RGPD, por ejemplo, una hoja que se lee en 5 minutos resume qué pide cada cliente y cómo responder, desde WhatsApp Business hasta el correo.

¿Cómo se atiende una petición de derechos ARCO?

Una petición se atiende con un procedimiento corto y repetible. Hay que identificar a la persona, localizar sus datos, responder dentro del plazo que marca el RGPD y dejar constancia de lo que se hizo.

1. Registra la petición con su fecha y el canal por el que llegó.
2. Comprueba que quien pide es el titular de los datos.
3. Localiza su ficha y sus conversaciones en el CRM.
4. Ejecuta la petición: entrega, corrige, elimina o marca la oposición.
5. Responde por escrito y guarda la respuesta en la ficha.

Imagina que un cliente pide borrar su ficha. Con un CRM, buscas su teléfono, eliminas la ficha y sus conversaciones, y le confirmas por el mismo canal. Ante un caso concreto, consulta con un abogado de protección de datos.

Con 2.000 clientes y 10 peticiones al año, por ejemplo, cada una lleva unos 20 minutos si la ficha está ordenada, con WhatsApp Business y correo en el mismo sitio.

¿Qué datos debe poder localizar el CRM?

El CRM debe poder localizar, para cada persona, todos los datos que guardas en cualquier sitio: ficha, conversaciones de WhatsApp, Instagram, Messenger y correo, llamadas transcritas, notas y citas. Si tienes copias en hojas de cálculo o en el móvil del comercial, también cuentan.

En la práctica, un buscador por teléfono, correo o nombre es la herramienta que más tiempo ahorra. Con 5.000 fichas, encontrar a una persona en 10 segundos marca la diferencia entre una respuesta ordenada y un día de búsqueda. En Kairux, la ficha reúne WhatsApp, Instagram, correo y llamadas, así que lo que pidas aparece en un solo sitio.

Además, conviene saber dónde está cada dato. Lee propiedad de los datos en el CRM y buscador de clientes en el CRM para ver cómo se organiza.

Con 3 canales y 5.000 fichas, por ejemplo, 1) Meta, 2) WhatsApp Business y 3) el correo se consultan desde un único buscador. Además, el servidor en la Unión Europea simplifica el control.

¿Qué pasa con los datos de salud y otros datos delicados?

Los datos de salud son una categoría especial según el artículo 9 del RGPD y piden más cuidado. Una clínica que recibe una petición de acceso debe entregar lo que guarda del paciente en el CRM, pero la historia clínica sigue sus propias reglas y vive en el programa clínico.

Por ejemplo, la ficha del CRM de una clínica con 400 pacientes guarda el motivo de la cita y la fecha de revisión. Si un paciente pide acceso, se le entrega eso. Las radiografías y el diagnóstico los gestiona la parte clínica.

También los permisos por rol ayudan: solo ve cada dato quien lo necesita. Hay más detalle en datos de salud en el CRM, con ejemplos de qué anotar y qué dejar fuera del sistema comercial.

Con 400 pacientes y 3 peticiones al año, por ejemplo, la clínica separa con la AEPD como guía y en 10 minutos lo que entrega del CRM y lo que depende del programa clínico.

¿Cómo prepararse antes de recibir la primera petición?

Prepararse consiste en tener tres cosas listas: 1) un responsable, 2) un procedimiento y 3) un modelo de respuesta. El responsable es la persona que recibe y tramita las peticiones. El procedimiento es la lista de pasos. El modelo es un texto de respuesta que solo hay que adaptar.

Un día cualquiera, un cliente pide por correo que se borren sus datos. Sin preparación, nadie sabe a quién reenviarlo. Con ella, el correo llega al responsable, que localiza la ficha, la elimina y responde en 1 día. Con 10 peticiones al año, el procedimiento se convierte en una rutina de pocos minutos: 1) recibir, 2) tramitar y 3) responder desde Google Calendar o el correo.

Si quieres ver cómo se construye un CRM que facilite este trabajo, en Kairux hacemos una videollamada de 45 minutos sin compromiso. Servidores en la Unión Europea, copias diarias cifradas y acceso con doble factor. Empieza por CRM a medida con agentes de IA y por CRM y RGPD.

Preguntas frecuentes

¿Puedo cobrar por atender una petición de acceso?

La norma general es que atender los derechos de las personas no se cobra. El RGPD permite excepciones en casos muy concretos, como peticiones claramente excesivas o repetidas, pero no son lo habitual. Si dudas, consulta con un especialista antes de pedir nada al cliente.

Por ejemplo, un cliente pide una copia de sus datos y tú la entregas en formato claro, con la ficha, las conversaciones y las citas. Anota la fecha y lo que enviaste. Con una ficha única por persona, preparar esa copia lleva 5 minutos. La AEPD publica guías para empresas sobre cómo atender estas peticiones. Un procedimiento escrito y probado con 2 o 3 casos de ejemplo ahorra errores cuando llegue una petición real.

Con 5 minutos por copia y 10 peticiones al año, por ejemplo, el coste es de menos de 1 hora anual. Además, 1) anota la fecha, 2) guarda lo enviado y 3) conserva la confirmación.

¿Tengo que borrar todo si un cliente lo pide?

El derecho de supresión es un derecho con límites, así que no siempre hay que borrar todo: puedes conservar los datos que necesites para cumplir una obligación legal, como las facturas, o para defender una reclamación. Lo que no necesites, se elimina.

En la práctica, se separa lo que se borra de lo que se conserva. Un cliente que pide eliminar su ficha deja de recibir mensajes y desaparece su historial comercial, mientras que su factura se guarda en la contabilidad el tiempo que exija la norma. Explícaselo en la respuesta con claridad y sin tecnicismos. Con 1 campo en la ficha para anotar «datos conservados por obligación legal», tu equipo sabe qué hacer si la persona vuelve a preguntar.

Con 1 factura por cada uno de tus 50 clientes, por ejemplo, 1) la ficha comercial se elimina y 2) la factura sigue en la contabilidad. Además, la AEPD publica guías con criterios para cada caso, y se consultan con WhatsApp abierto al lado.

¿Qué pasa si un cliente pide sus datos por WhatsApp?

Una petición por WhatsApp Business es una petición válida: 1) se tramita igual que si llegara por correo, 2) se registra con su fecha y 3) se responde por escrito. Lo importante es comprobar que quien pide es el titular, por ejemplo preguntando un dato que solo él conoce, y registrar la fecha.

Imagina que un cliente escribe con WhatsApp a las 22:00 «quiero ver mis datos». El asistente de IA acusa recibo, avisa a la persona responsable y anota la petición en la ficha. A la mañana siguiente, el responsable la tramita. Pasadas 24 horas desde el último mensaje del cliente, WhatsApp solo permite plantillas aprobadas por Meta, así que la respuesta puede ir por correo. Así nada se pierde aunque el mensaje llegue fuera de horario, y el cliente recibe una contestación ordenada y a tiempo.

Página principal: todo lo que un CRM personalizado para empresas, con agentes de IA que trabajan 24/7, puede hacer por tu negocio.