RGPD en el CRM: el mínimo operativo que una pyme debe tener resuelto

Si tu empresa tiene un CRM, tiene un fichero de datos personales. No hace falta más para que el RGPD te aplique: nombres, correos, teléfonos, notas de reuniones. La decisión que este artículo ayuda a tomar es qué mínimo operativo debes tener resuelto con esos datos —por qué los tratas, quién accede a ellos y cuánto tiempo se guardan— para que el CRM no sea un riesgo que nadie mira. Una aclaración antes de empezar, y conviene tomarla en serio: esto es criterio operativo de gestión de datos, no asesoría legal. Las obligaciones concretas de tu empresa dependen de su actividad y de sus tratamientos, y eso debe revisarlo un profesional del ámbito jurídico. Lo que sí podemos aportar es el orden que hace que cualquier revisión legal sea más corta, más barata y con menos sorpresas.

El CRM es donde el problema se acumula

Un CRM no se llena de golpe: se llena por acumulación. Importaciones de hace años, contactos de ferias, listas que alguien subió una vez y de las que ya nadie recuerda el origen, registros duplicados que nadie ha unificado. Y los datos no se quedan dentro: se exportan a hojas de cálculo, se sincronizan con la herramienta de correo comercial, se copian a un archivo local "para trabajar más cómodo".

Por eso el CRM es el primer sitio donde mirar, pero no el perímetro completo. Es el centro de gravedad: si el orden no existe ahí, no existe en ninguna de sus copias. Todo lo que sigue parte de esa idea.

Por qué tienes cada dato

La pregunta operativa es simple: si un contacto cualquiera de tu CRM te preguntara "¿por qué tenéis mis datos?", ¿sabrías responder sin inventar?

No hace falta memorizar las bases jurídicas del reglamento para ver el patrón. Los datos con una relación real detrás —clientes con contrato, proveedores, personas que os pidieron algo concreto— se explican solos. Los que llegaron "de alguna parte" no se explican, y ahí es donde conviene pararse: una lista heredada de origen desconocido no es un activo comercial, es un pasivo. Usarla para campañas masivas es exactamente el tipo de tratamiento que peor se sostiene cuando alguien pregunta.

El ejercicio mínimo no es un informe: es poder separar, dentro del CRM, los contactos que tienen una relación que los justifica de los que no. Esa separación, además, mejora el trabajo comercial: nadie vende bien contra una base de datos que no sabe de dónde salió.

Quién accede y qué puede hacer

En muchas pymes la respuesta honesta es "todo el mundo, a todo". Es cómodo y es un riesgo, por tres vías concretas:

• Cuentas compartidas. Si varias personas entran con el mismo usuario, nadie es responsable de nada: no hay forma de saber quién exportó, quién borró, quién cambió un dato.
• Exportaciones. Cada exportación a hoja de cálculo es una copia del fichero que sale del perímetro del CRM y deja de estar gobernada. No se trata de prohibirlas: se trata de saber que existen y de que no se conviertan en el CRM paralelo de cada comercial.
• Accesos que nadie retira. Empleados que se fueron, agencias externas que terminaron el proyecto, el proveedor que configuró el sistema hace tres años. El acceso que no se retira es la fuga más tonta y la más común.

El mínimo operativo: cada persona con su usuario, permisos por función —no todo el mundo necesita exportar la base entera— y una revisión de accesos cuando alguien sale, con la misma naturalidad con la que se le retira el correo.

Cuánto tiempo se guarda

Un CRM sin criterio de conservación solo crece. Contactos sin actividad desde hace años, empresas que cerraron, personas que cambiaron de puesto tres veces: todo sigue ahí, porque borrar da pereza y "por si acaso".

Los plazos concretos dependen del tipo de dato y de las obligaciones que apliquen —la documentación contractual y de facturación tiene las suyas— y fijarlos es un buen encargo para el asesor legal. Lo que es operativo, y tuyo, es otra cosa: que exista un criterio escrito, que distinga entre lo que hay obligación de conservar y lo que se guarda por inercia, y que alguien lo aplique de verdad con una purga periódica. Eso no es solo cumplimiento: una base con contactos muertos ensucia cada informe y cada campaña que sale de ella.

La prueba de la solicitud

Hay una prueba que resume casi todo lo anterior: si mañana un contacto pide acceder a sus datos o que los borréis, ¿podrías localizar todas las copias?

En el CRM, probablemente sí. ¿Y en la herramienta de correo comercial que se sincroniza con él? ¿En las hojas exportadas? ¿En el archivo local de aquel comercial? Atender el derecho es una obligación legal; poder atenderlo es un problema de orden de datos. Si la respuesta honesta es "no sabría dónde está todo", el problema no es jurídico todavía: es que no controlas dónde viven tus datos, y eso te costaría igual en una migración, en una fuga o en una venta de la empresa.

Lo que no debería estar escrito

Los campos de texto libre —notas, observaciones, comentarios de visita— son donde se cuela lo que no debería estar en ningún fichero: estados de salud, situaciones familiares, opiniones personales sobre el cliente. Todo eso son datos personales, algunos de categoría especialmente protegida, y viajan en cada exportación.

La norma interna cabe en una frase: no escribas de un contacto nada que no aceptarías que ese contacto leyera. Es fácil de recordar, cubre la mayor parte del riesgo y, de paso, sube la calidad de las notas comerciales.

Cinco preguntas antes de dar el CRM por resuelto

1. ¿Sabrías explicar, para cualquier contacto, por qué tenéis sus datos?
2. ¿Quién puede ver, editar y exportar la base, y sobra alguien en esa lista?
3. ¿Existe un criterio de conservación escrito y alguien lo aplica?
4. Si un contacto pidiera borrar sus datos, ¿encontrarías todas las copias?
5. ¿Qué hay escrito en vuestros campos de texto libre?

Responderlas no sustituye una revisión legal; la abarata, porque el profesional que la haga se encontrará un tratamiento ordenado en lugar de un cajón. En Dateliers ese orden del dato es parte de cómo miramos cualquier sistema: si quieres ver el planteamiento completo, así trabajamos.