CRM y RGPD: guía práctica para pymes

CRM y RGPD van de la mano en cuanto guardas datos de personas: nombre, teléfono, correo, conversaciones y notas. El RGPD es el Reglamento General de Protección de Datos, y según su texto, en vigor desde 2018, exige que sepas por qué guardas cada dato, que lo protejas, que no lo uses para otra cosa y que puedas borrarlo si la persona lo pide.

Un CRM bien montado te ayuda a cumplirlo, y uno mal montado lo complica. Esta guía es práctica y general: no sustituye a un asesor, porque cada negocio tiene su caso. Por ejemplo, con 500 clientes y WhatsApp Business conectado, lo que aquí leas te sirve para llegar a esa consulta sabiendo qué preguntar. Primero verás qué datos guardas, después los principios y por último las situaciones delicadas, con 5 comprobaciones finales.

¿Qué datos guarda un CRM y por qué cuentan?

Un CRM guarda la ficha completa de cada cliente, y todo lo que contiene son datos personales. Cuanto más completo es el sistema, más información reúnes en un único lugar, y más importa cómo la proteges. Por eso la seguridad no es un añadido: es parte de la herramienta.

• Datos de contacto: nombre, teléfono, correo y, a veces, dirección.
• La conversación completa: mensajes de WhatsApp, correos y la transcripción de una llamada.
• Notas internas, como «pidió que no le llamen por la mañana».
• El historial de citas, presupuestos y compras.
• El origen: de qué anuncio o formulario llegó.

Piensa en la ficha de un cliente con 3 años de historia y 40 mensajes de WhatsApp Business: tiene mucho más que un nombre. Según el RGPD (2018), el responsable eres tú, y el proveedor del CRM trata esos datos por encargo tuyo.

¿Qué principios del RGPD afectan cada día a tu CRM?

Un principio del RGPD es una regla básica de protección, y los que más te afectan son cuatro: una razón para cada dato, solo lo necesario, información clara y derechos de la persona. Según el RGPD, son reglas sencillas que se aplican cada día al abrir una ficha, mandar un mensaje o crear un formulario nuevo con Meta.

Primero, no guardas datos «por si acaso»: cada dato necesita una razón válida, como que la persona te lo ha pedido, que haya un contrato, un consentimiento o un interés legítimo que puedas justificar. Segundo, pide solo lo necesario: si para dar una cita basta con el nombre y el teléfono, no pidas la dirección en el primer mensaje.

Tercero, informa a la persona de quién eres, para qué usarás sus datos y cuánto tiempo los guardarás. Por último, respeta sus derechos de acceso, corrección, borrado y oposición. Tu CRM debe permitir encontrar a una persona rápido y actuar sobre su ficha, por ejemplo en menos de 10 minutos, sin copias sueltas en hojas de Excel. Es lo mínimo.

¿Qué situaciones del CRM son más delicadas?

Una situación delicada es la que pide una regla propia, y son cuatro: las llamadas comerciales, los datos de salud, las grabaciones y la inteligencia artificial (IA). Según el caso, en cada una hay una regla distinta, y conviene tener un artículo a mano para repasarla con tu equipo antes de empezar.

• Llamadas comerciales: desde la Ley 11/2022 General de Telecomunicaciones (artículo 66), las personas tienen derecho a no recibir llamadas comerciales no deseadas. Mira llamadas comerciales y consentimiento.
• Datos de salud: el RGPD los trata como categoría especial (artículo 9). Lee datos de salud en el CRM de una clínica.
• Grabar conversaciones: la persona tiene que saberlo. Hay buenas prácticas en grabar llamadas de clientes.
• Inteligencia artificial: la persona debe saber que habla con una IA. Más en normativa europea de IA.

Por ejemplo, un lead que rellena un formulario de Meta pidiendo información puede ser llamado, y su origen queda en la ficha con fecha y hora. Además, un negocio de 800 pacientes debe tratar los datos de salud con más cuidado.

¿Dónde están los datos y quién los maneja?

Un encargado del tratamiento es el proveedor que aloja tu CRM, según el RGPD, y eso lo convierte en lo que el RGPD llama «encargado del tratamiento»: trata datos por cuenta tuya. Con él debe existir un contrato que diga qué hace con los datos, quién más puede acceder a ellos y qué pasa cuando termina la relación.

Pregunta también dónde están los servidores. Que estén en la Unión Europea simplifica el cumplimiento, y lo desarrollamos en datos en servidores europeos. Además, comprueba que hay copias diarias cifradas y acceso con doble factor, como se explica en seguridad en un CRM.

Por ejemplo, en la práctica, una lista de cinco preguntas al proveedor (dónde, quién, cuánto tiempo, cómo se borra y cómo se exporta) cabe en media página y se contesta en una reunión de 45 minutos. Si el proveedor usa servicios de terceros, como la API oficial de WhatsApp Business (Meta), pide que te lo indique por escrito.

¿Cómo se ordena el cumplimiento en una lista corta?

Una lista de comprobación es la mejor forma de ordenar el cumplimiento, y se revisa una vez al año, según los cambios de tu negocio. No hace falta ser experto: hace falta tener las respuestas por escrito y saber dónde están. Esa lista se puede hacer en una tarde y repasar en 30 minutos cada 12 meses. Por ejemplo, con WhatsApp Business (Meta), Excel y el CRM abiertos a la vez, cada punto lleva 5 minutos.

1. Anota qué datos guardas y para qué.
2. Comprueba que cada formulario informa a la persona.
3. Define cuánto tiempo conservas las fichas inactivas.
4. Pide el contrato de encargado del tratamiento a tu proveedor.
5. Prueba que sabes encontrar, exportar y borrar una ficha.

Si quieres ver cómo se resuelve en un sistema real, en Kairux te lo enseñamos en una videollamada de 45 minutos sin compromiso. Más en CRM a medida con agentes de IA y IA y protección de datos.

Preguntas frecuentes

¿Necesito el consentimiento de mis clientes para guardar sus datos en un CRM?

El consentimiento es solo una de las bases legales, y no siempre hace falta, porque el RGPD admite otras: que la persona te haya pedido información, que haya un contrato o que exista un interés legítimo que puedas justificar. Lo importante es tener una razón válida para cada dato y poder demostrarla ante la AEPD. Según el RGPD, también hay que informar de ella. Cuál se aplica en cada caso conviene decidirlo con tu asesor.

Por ejemplo, quien rellena un formulario pidiendo una cita te da sus datos para que le contestes, y esa petición es la razón. Para enviar publicidad después, la situación cambia y pide más cuidado. En el CRM, con WhatsApp Business o formularios de Meta, guarda siempre el origen, la fecha y lo que aceptó la persona, de modo que la respuesta a cualquier consulta sea rápida, en menos de 1 minuto.

¿Qué hago si un cliente me pide que borre sus datos?

Un derecho de borrado es la petición de eliminar los datos de una persona, y debes atenderla y confirmar el borrado, salvo que otra obligación legal te exija conservar algún dato, como el de una factura. Según el RGPD, la persona tiene derecho de acceso, corrección, borrado y oposición. Tu CRM debe permitir localizar su ficha con el teléfono o el nombre y eliminar o exportar todo el contenido.

En la práctica, primero identifica a la persona, después busca su ficha, incluidas las conversaciones de WhatsApp Business, y por último confirma por escrito lo que has hecho. Evita tener copias en hojas sueltas o en móviles del equipo, porque esas copias también cuentan. Si dudas de algún plazo concreto, consulta con tu asesor de protección de datos o con la AEPD. Según el RGPD, el plazo general para responder es de un mes, así que conviene contestar en pocos días.

¿Cuánto tiempo puedo conservar los datos de mis clientes?

El tiempo de conservación es el plazo que decides tú con una razón concreta, porque el RGPD (2018) pide no guardar los datos más de lo necesario, según el tipo de dato. Una regla útil es separar los clientes activos, las consultas que no avanzaron y los datos que debes conservar por obligación legal. Cada grupo puede tener un plazo distinto, que fijas con tu asesor.

Imagina, con Google Sheets o Excel, un negocio con 3.000 fichas, de las que 1.200 llevan más de 3 años sin actividad. Puede archivarlas, revisarlas una vez al año y borrar las que ya no tengan una razón para existir. Además, anota el criterio por escrito. Así, si alguien pregunta cuánto guardas, tienes una respuesta clara y coherente con lo que informas en tus formularios, y el cálculo cabe en 15 minutos.

Página principal: todo lo que un CRM personalizado para empresas, con agentes de IA que trabajan 24/7, puede hacer por tu negocio.