Qué exige la ley para tener un CRM con datos de tus clientas

Una entrenadora personal monta su CRM un domingo por la tarde. Pasa los contactos del Excel, crea un campo de notas y, desde el lunes, apunta en cada ficha lo que le cuenta cada clienta: una lesión de rodilla y la medicación para la tensión. Después activa un correo automático de seguimiento.

Funciona muy bien. Pero ese CRM ya guarda datos de salud, manda correos con seguimiento y contiene información de personas, y cada una de esas cosas tiene sus reglas.

Yo no soy abogada. Esto es lo que he recopilado de las guías de la Agencia Española de Protección de Datos (AEPD) para saber qué mirar antes de montar un CRM. Para tu caso concreto, contrástalo con la propia AEPD o con una profesional del derecho.

Lo que se aplica a cualquier CRM

En cuanto guardas el nombre, el correo o el teléfono de una persona, estás tratando datos personales. Lo que sigue vale igual para 20 clientas que para 2.000.

• Una base legal para cada uso de los datos. Para atender a una clienta que ha contratado, suele bastar el propio contrato. Para mandarle publicidad hace falta su consentimiento.
• Informar a la persona de lo que haces con sus datos: quién es la responsable, para qué los usas, durante cuánto tiempo, a quién se los das y qué derechos tiene.
• Un registro de actividades de tratamiento. La ley exime de él a quien tiene menos de 250 personas empleadas, salvo que el tratamiento no sea ocasional o incluya datos de salud. Un CRM se usa a diario, así que lo normal es llevarlo.
• Un contrato con cada proveedor que toque esos datos: el programa del CRM y la herramienta de correo.

Para la parte de papeles, la AEPD tiene una herramienta gratuita pensada para pymes y autónomas que se llama Facilita RGPD. Genera la cláusula informativa, el registro y los modelos de contrato con proveedores.

Derechos de las personas y cuánto tiempo guardas los datos

Cualquier persona puede pedirte que le enseñes sus datos, los corrijas, los borres, limites su uso o se los lleves a otro sitio. También puede oponerse a que los uses. Tu CRM tiene que permitirte hacerlo sin bucear en tres hojas de Excel.

Esto lleva a una pregunta práctica: ¿cuánto tiempo guardas la ficha de una clienta que dejó de serlo hace cuatro años? La ley pide que lo decidas y que se lo cuentes en la cláusula informativa. Si no hay motivo para conservarla, se borra.

Seguridad y qué hacer si algo sale mal

Las medidas dependen del riesgo. Para un CRM pequeño, lo básico es lo que ya harías con cualquier cosa importante: contraseñas distintas y una persona por usuario, acceso solo para quien lo necesita, copias de seguridad y el programa actualizado.

Si hay una brecha, por ejemplo un portátil perdido con el CRM abierto o un correo con datos enviado a la persona equivocada, tienes 72 horas desde que lo sabes para notificarla a la AEPD. Cuentan también los fines de semana. Si el riesgo para las personas afectadas es alto, además hay que avisarlas a ellas.

La AEPD tiene una herramienta, Asesora Brecha, que te ayuda a decidir si hay que notificar.

Correos de seguimiento, cookies y píxeles

El seguimiento automático es lo que más se usa de un CRM y lo que más reglas trae.

• Los correos comerciales necesitan que la persona los haya aceptado, con una excepción para quien ya es clienta y recibe algo parecido a lo que contrató. En todos tiene que haber una forma fácil de darse de baja.
• Los píxeles que avisan de si abrieron un correo siguen la misma lógica que las cookies. Según la AEPD, hace falta consentimiento antes del primer envío que los lleve.
• Las cookies de analítica de tu página web piden consentimiento, salvo que cumplan las condiciones de exención que describe la AEPD. Si tu formulario de contacto alimenta el CRM, aparece también ahí.

Qué cambia si guardas datos de salud

Aquí la ley sube el nivel. La salud es una categoría especial de datos, y la norma de partida es que no se pueden tratar. Para hacerlo hace falta una excepción concreta, además de la base legal de siempre.

Depende de quién seas:

• Si eres profesional sanitaria y los usas para atender a la paciente, no necesitas su consentimiento, pero sí informarla. Si quieres mandarle publicidad, sí lo necesitas.
• Si no eres sanitaria, como la entrenadora del principio, lo habitual es pedir un consentimiento explícito antes de apuntar nada de su salud.
• En ambos casos, solo deben acceder a esos datos personas obligadas por el secreto profesional o que trabajen bajo tu responsabilidad.
• La seguridad tiene que ser más estricta que en un CRM normal. Y apunta solo lo que necesitas: una lesión que condiciona el entrenamiento, no todo el historial médico.

Dos cosas más. La historia clínica de una paciente se conserva como mínimo cinco años, y algunas leyes autonómicas lo amplían. Y el delegado de protección de datos es obligatorio en hospitales, centros de salud y clínicas, pero no en la consulta privada de una sola profesional sanitaria.

Si tratas datos de salud con regularidad, mira también la lista de tratamientos que la AEPD publica como obligados a una evaluación de impacto. En un CRM pequeño no suele hacer falta, pero conviene comprobarlo.

Lo que revisaría antes de montar un CRM

• Qué datos vas a guardar de verdad y cuáles sobran.
• Con qué base legal guardas cada uno.
• Qué dice la cláusula informativa de tu formulario y de tu página de privacidad.
• Qué proveedores van a tener los datos y si hay contrato con cada uno.
• Quién puede entrar al CRM y qué ve cada persona.
• Qué pasa con los datos de una clienta que se da de baja.

Si estás en ese punto y quieres revisarlo con tu negocio delante, pide una primera valoración. Son 15 minutos. Para entender cómo encaja el CRM en el día a día de una autónoma, tienes este otro artículo. Y si necesitas un sistema construido para tu negocio, con estas reglas ya pensadas desde el diseño, mira el CRM a medida.

Preguntas frecuentes

¿Tengo que cumplir el RGPD si soy autónoma y solo tengo 20 clientas?

Sí. El reglamento se aplica en cuanto guardas datos personales, sea cual sea el tamaño del negocio. Lo que cambia es la cantidad de papeleo, no la obligación.

¿Necesito el consentimiento de mis clientas para guardarlas en el CRM?

Para atender a quien ha contratado contigo suele bastar el contrato. El consentimiento hace falta para mandar publicidad y, si no eres sanitaria, para guardar datos de salud.

¿Puedo apuntar en el CRM lo que una clienta me cuenta de su salud?

Solo si lo necesitas para tu servicio y has cubierto antes lo que pide la ley para datos de salud. Apunta lo mínimo.

¿Qué pasa si pierdo el móvil con el CRM abierto?

Es una posible brecha de seguridad. Tienes 72 horas desde que lo sabes para decidir si hay que notificarla a la AEPD.