Roles y permisos en un CRM: quién ve qué

Los roles y permisos en un CRM definen qué ve y qué puede hacer cada persona del equipo: quién consulta fichas, quién las edita, quién exporta datos y quién cambia la configuración. Es la forma de que cada uno acceda a lo que necesita para trabajar, y a nada más.

Un permiso mal puesto tiene dos riesgos: que alguien vea datos que no debe o que no pueda hacer su trabajo. Por ejemplo, en un negocio con 6 personas y 400 clientes, no todos necesitan ver los presupuestos de todos, aunque todos deban atender WhatsApp.

En el punto 1 verás el principio básico; además, un ejemplo de roles y, por último, los errores más comunes, con WhatsApp Business y Google Workspace como referencia. Según el caso, se ajustan en una videollamada. Un rol es un conjunto de permisos para un tipo de trabajo.

¿Qué significa dar solo el mínimo necesario?

Dar el mínimo necesario consiste en que cada persona acceda solo a los datos que su trabajo exige. Es un principio de protección de datos: cuanta menos gente ve un dato personal, menos riesgo hay de pérdida, de error o de fuga.

En la práctica, se parte de cero y se abre según haga falta, y no al revés. Primero se define qué hace cada puesto, después qué datos usa y, por último, qué acciones puede realizar. Según el RGPD, los datos personales deben limitarse a lo necesario para su finalidad.

Por ejemplo, quien atiende el WhatsApp de ventas necesita ver conversaciones y estados de sus clientes, pero no el historial económico de otros. Una persona de administración ve facturas y cobros, pero no las notas de venta. Con 6 personas, bastan 3 o 4 roles distintos, y con Google Workspace se alinean los accesos del correo.

¿Qué roles suele necesitar un negocio pequeño?

Un negocio pequeño suele necesitar tres o cuatro roles, no veinte. Cada rol agrupa permisos pensados para un tipo de trabajo, y las personas se asignan a uno de ellos.

• Atención: ve y responde las conversaciones de sus clientes, y crea citas.
• Comercial: ve su cartera, los presupuestos y el embudo de sus oportunidades.
• Coordinación: ve todo el equipo, reasigna chats y revisa informes.
• Administración: gestiona usuarios, exporta datos y configura el sistema.

Los permisos por rol son algo que se construye a medida según el caso, y su diseño se ve en la videollamada. Imagina un negocio con 8 empleados: 4 en atención, 2 comerciales, 1 en coordinación y 1 en administración. Con 4 roles, cada alta de una persona nueva lleva menos de 2 minutos. Con 3 roles claros, un alta nueva lleva menos de 2 minutos. WhatsApp Business admite además varias personas atendiendo, y primero se decide quién entra a qué chats. Además, el rol de coordinación revisa los casos derivados.

¿Quién debe poder exportar los datos de los clientes?

Exportar es un permiso aparte, y solo debería tenerlo una o dos personas. Un fichero con todos los clientes sale del sistema y ya no se controla: puede acabar en un correo, en un móvil o en una nube personal.

Por eso conviene separar «ver» de «descargar». Quien atiende puede ver la ficha en pantalla sin poder llevarse 400 contactos en una hoja. Además, cada exportación queda anotada con la fecha y la persona.

Primero se decide quién exporta, después se registra cada exportación y, por último, se revisa cada trimestre si sigue haciendo falta. Según la AEPD, la seguridad de los datos personales exige medidas adecuadas al riesgo. En la práctica, con una persona de administración con ese permiso, se evita el 90 por ciento de los tropiezos habituales. También conviene un aviso por correo cada vez que alguien descarga más de 50 clientes, con Google Workspace para el registro.

¿Cómo proteger los datos más sensibles?

Los datos sensibles son los que, si se filtran, causan más daño: salud, situación económica, documentos de identidad o conversaciones privadas. Se protegen con permisos más estrictos y con menos personas que los vean.

Según el RGPD, los datos de salud son una categoría especial (artículo 9) y piden más cuidado. En una clínica, por ejemplo, recepción ve la cita y el motivo general, y solo el profesional ve las notas. El CRM no tiene por qué duplicar datos clínicos, que viven en el programa de gestión.

1. Marca qué campos son sensibles en cada ficha.
2. Limita su vista a los roles que de verdad los necesitan.
3. Activa el doble factor de acceso para todos los usuarios.
4. Revisa los accesos cada 3 meses, y retira los que sobren.

Hay más en CRM y RGPD y en seguridad en un CRM, con servidores en la Unión Europea y copias diarias cifradas.

¿Qué errores son los más comunes con los permisos?

Los errores más comunes con los permisos son tres: dar acceso total a todos por comodidad, no retirar permisos cuando alguien se va y no revisar nunca los roles. Los tres se arreglan con costumbres sencillas.

Primero, empieza cerrado y abre según pidan. Además, cuando una persona deja el negocio, su acceso se retira ese mismo día, en menos de 10 minutos. Por último, revisa los roles cada trimestre con una lista corta de usuarios activos y de lo que ven.

Por ejemplo, una persona temporal de verano mantiene el acceso 5 meses después de irse. Con una revisión trimestral en Google Calendar, ese acceso se detecta a tiempo. Para el marco general, mira el CRM a medida con agentes de IA; en una videollamada de 45 minutos sin compromiso lo planteamos con tu equipo.

Preguntas frecuentes

¿Cuántos roles hacen falta en un equipo pequeño?

Hacen falta pocos: entre 3 y 4 roles cubren casi cualquier negocio pequeño. Un rol es un conjunto de permisos pensado para un tipo de trabajo, y es más fácil mantener 4 roles claros que 20 permisos individuales. Según el caso, se parte de lo que ya hace cada persona hoy.

Por ejemplo, un equipo de 5 personas se organiza con atención, comercial y administración. Primero se listan las tareas, además se agrupan en roles y, por último, se asigna cada persona. En el paso 1 se prueba con 2 usuarios, y con WhatsApp Business conectado se comprueba que cada uno ve solo las conversaciones que le tocan. Un rol claro evita preguntas diarias del tipo «¿puedo ver esto?». WhatsApp Business admite varias personas atendiendo el mismo número desde la API, y el CRM reparte lo que ve cada una con 3 permisos básicos.

¿Puede ver el dueño todas las conversaciones?

Puede, si así se decide. El rol de dirección suele ver todo, porque responde del negocio, pero conviene que sea una decisión consciente y no un permiso por defecto. Según el RGPD, el acceso debe tener una razón, y la dirección tiene una clara: supervisar la calidad de la atención.

En la práctica, muchos dueños prefieren ver los informes y entrar en las conversaciones solo cuando hay una queja. Por ejemplo, se activa un aviso para los casos derivados a una persona. Primero llega el aviso, después se abre la ficha y, por último, se decide. En el punto 1 queda anotado quién entró y cuándo, con Google Workspace. Según el caso, la dirección ve todo sin intervenir, y entra solo cuando la queja lo pide. Con 2 niveles de aviso, el equipo sabe cuándo mirar sin sentirse vigilado.

¿Qué pasa con los permisos si alguien se va de la empresa?

Se retira su acceso el mismo día y se reasignan sus clientes y sus tareas pendientes. Es un paso corto pero crítico, porque una cuenta olvidada es la vía más habitual de accesos no deseados. Con el doble factor activado, además, el riesgo baja bastante.

Por ejemplo, una persona de atención se va un viernes a las 15:00. Primero se desactiva su usuario, después se reparten sus 12 chats abiertos y, por último, se revisa su historial. En el paso 1 de la baja se avisa a administración, y con WhatsApp Business los clientes siguen escribiendo al mismo número, sin enterarse del cambio interno. Según el RGPD, la baja de un usuario es parte de la seguridad del sistema. Una cuenta olvidada es un riesgo evitable, y conviene anotar la baja en una lista de 4 pasos que administración repite con cada salida, en menos de 10 minutos.

Página principal: todo lo que un CRM personalizado para empresas, con agentes de IA que trabajan 24/7, puede hacer por tu negocio.