Propiedad de los datos del CRM: de quién son

Sobre la propiedad de los datos del CRM, la respuesta práctica es esta: los datos de tus clientes son de tu negocio, y el proveedor del CRM solo los trata por encargo tuyo. Tú decides para qué se usan, y deberías poder sacarlos cuando quieras, también las conversaciones de WhatsApp Business y las llamadas. Según el RGPD (2018), el proveedor no puede usarlos para sus propios fines sin tu permiso. Primero conviene leer el contrato, después hacer una exportación de prueba y por último guardar una copia de seguridad.

En lenguaje del RGPD (2018), tu negocio es el responsable del tratamiento y el proveedor es el encargado. Esa diferencia determina quién manda y quién responde, según el RGPD, ante un cliente o ante la AEPD. Por ejemplo, si cambias de proveedor, los 3.000 contactos que has recogido siguen siendo tuyos, con su historial de WhatsApp Business y de llamadas.

¿Quién es el responsable y quién es el encargado de los datos?

El responsable es quien decide por qué y cómo se usan los datos personales, y el encargado es quien los trata siguiendo sus instrucciones. Tu negocio es el responsable, porque ha recogido los contactos de sus clientes. La empresa que aloja tu CRM es la encargada.

Esta relación debe constar en un contrato de encargado del tratamiento. Es un documento que fija para qué se usarán los datos, qué medidas de seguridad se aplican, si hay subencargados y qué ocurre al terminar la relación. Según el RGPD, si el proveedor no ofrece ese contrato, es una señal de alerta.

En la práctica, pídelo antes de dar de alta ningún dato, y pregunta además si el proveedor usa servicios de terceros (subencargados) con Meta, Google o servidores externos. Primero se firma el contrato y después se sube el primer contacto. Un contrato bien hecho cabe en unas pocas páginas y se lee en 20 minutos con tu asesor, desde la primera cláusula hasta la de salida.

¿Qué significa en la práctica que los datos sean tuyos?

Que los datos sean tuyos es una afirmación práctica que significa que mandas sobre cuatro cosas: acceso, exportación, uso y borrado. Son cuatro derechos que puedes comprobar en el contrato y en el propio sistema, sin discutir con el proveedor, según el RGPD (2018).

• Acceso: puedes verlos cuando quieras, no solo cuando el proveedor lo permita.
• Exportación: puedes sacarlos en un formato utilizable, como CSV, sin pagar un extra desproporcionado.
• Uso limitado: el proveedor no los emplea para sus fines ni los cede a terceros sin tu autorización.
• Borrado: al terminar el contrato, se eliminan o se devuelven, y te lo confirman.

Por ejemplo, pide una exportación de prueba durante el primer mes y comprueba que salen 10 fichas con su historial. Si algo falta, mejor saberlo ahora que cuando quieras irte. Además, pregunta cuánto tarda una exportación completa de 2.000 contactos, que debería ser cuestión de minutos.

¿Qué pasa con las conversaciones y la IA?

Un CRM con agentes de IA guarda mucho más que nombres: mensajes de WhatsApp, correos y transcripciones de llamadas, y todo eso son datos personales de tus clientes. Pregunta con claridad dónde se guardan, quién puede leerlos y cuánto tiempo se conservan.

La normativa europea de IA pide transparencia: la persona debe saber que habla con una IA. Y si tu negocio trata datos de salud, estos son una categoría especial (artículo 9 del RGPD) y requieren más cuidado. Primero se limita el acceso, después se cifra y por último se define un plazo de conservación, según el RGPD.

Imagina una clínica con 800 pacientes: solo recepción necesita ver los mensajes de cita, y las transcripciones de llamadas pueden quedar con acceso restringido. Según el caso, estas reglas se configuran con permisos por rol. Con WhatsApp Business, el equipo de la clínica ve cada conversación y puede entrar en ella. Más detalle en CRM y RGPD.

¿Qué conviene dejar por escrito en el contrato?

Un contrato claro es el documento que deja por escrito seis asuntos que evitan discusiones futuras con el proveedor, según el RGPD (2018) y las normas de la AEPD. Un contrato claro es la mejor protección para que los datos seguirán siendo tuyos aunque cambie la relación, el equipo o el programa.

Asunto	Qué debería decir el contrato
Titularidad	Los datos pertenecen al cliente
Ubicación	Servidores en la Unión Europea
Seguridad	Copias cifradas, acceso con doble factor
Subencargados	Lista de terceros que intervienen
Salida	Entrega en formato utilizable y borrado posterior
Incidentes	Aviso rápido si hay una brecha

Además, pide que el contrato mencione el plazo de entrega de la exportación, por ejemplo 15 días. Por ejemplo, una clínica con 800 pacientes o una academia con 300 alumnos debería poder exportar todo en una tarde, con WhatsApp Business o Instagram incluidos, y recibir la confirmación del borrado en 30 días.

¿Qué no es de nadie en exclusiva?

Una pieza compartida es la que no es de nadie en exclusiva, y conviene conocerlas para no llevarse sorpresas, según el caso. Los números de WhatsApp y las cuentas de Meta tienen sus propias condiciones, y los bloqueos los decide WhatsApp. Pregunta a quién pertenece la cuenta de la API y asegúrate de que está a nombre de tu negocio.

Tampoco es tuyo el programa en sí si es de suscripción: ahí tienes derecho de uso, no de propiedad. En un CRM a medida debes aclarar qué es tuyo, por ejemplo la configuración y los contenidos, y qué sigue siendo del proveedor, como el código base. Si ya estás en un CRM y dudas, haz una exportación de prueba y lee el contrato.

En Kairux lo aclaramos en una videollamada de 45 minutos sin compromiso. Mira también cambiar de CRM y llevarte tus datos y el CRM a medida con agentes de IA.

Preguntas frecuentes

¿Puede el proveedor quedarse con mis datos si me voy?

No puede: el proveedor no puede quedarse con los datos de tus clientes, porque tú eres el responsable y él es solo el encargado. Al terminar el contrato, que puede durar 12 o 24 meses, debe devolverlos o borrarlos, según lo que hayas acordado, y confirmártelo por escrito. Si el contrato dice otra cosa, conviene revisarlo con un asesor antes de firmar.

Un proveedor serio debería entregarte en 15 días un archivo CSV con contactos, notas y etapas, y un aviso del borrado posterior de sus copias. Pide también, según el caso, que las conversaciones de WhatsApp Business y las transcripciones de llamadas entren en la entrega, o al menos que te digan cuáles no pueden exportarse. Más claridad hoy, menos disgustos mañana, y con Google Calendar o WhatsApp Business a mano para fijar la fecha.

¿Quién es dueño de las conversaciones con mis clientes?

Las conversaciones con tus clientes son datos personales de los que tu negocio es responsable, según el RGPD, así que decides tú para qué se usan y cuánto tiempo se guardan. El proveedor las almacena por encargo tuyo y no puede usarlas para otros fines. Si hay una IA, esas conversaciones se tratan igual que cualquier otro dato.

Por ejemplo, imagina que un cliente te pide que borres su ficha: tienes que poder hacerlo, incluidas las conversaciones. Según el RGPD (2018), las personas tienen derecho de acceso, rectificación y supresión, entre otros. Primero se identifica a la persona, después se busca su ficha y por último se actúa. Por eso conviene que el CRM permita buscar por teléfono y borrar o exportar una ficha completa en pocos minutos, sin pedir ayuda al proveedor, en menos de 10 minutos y con la ficha de Instagram o WhatsApp Business a la vista.

¿Qué hago si mi proveedor actual no me deja exportar?

Un bloqueo de exportación es una negativa del proveedor a darte tus datos, y la respuesta es pedir la exportación por escrito, cita el contrato y fija una fecha límite razonable, por ejemplo 15 días. Los datos de tus clientes son tuyos, y retenerlos sin motivo es un problema para él, no para ti. Si no responde, consulta con un asesor legal.

Mientras tanto, durante 30 días, guarda copias de lo que puedas sacar a mano: listados en pantalla, informes y adjuntos. Primero reúne lo que tengas, después escribe al proveedor y, por último, valora la vía legal, y la AEPD atiende reclamaciones. Guarda copia de cada mensaje, con fecha y hora. Para el proceso completo de cambio, mira cambiar de CRM. La AEPD es el organismo al que acudir si crees que se vulneran tus derechos.

Página principal: todo lo que un CRM personalizado para empresas, con agentes de IA que trabajan 24/7, puede hacer por tu negocio.