Guía
CRM y RGPD: dónde están tus datos y qué tienes que tener firmado
En corto
Un CRM guarda datos personales de clientes y contactos, así que tu proveedor es un encargado del tratamiento y necesitas un contrato firmado con él, que casi todos ofrecen dentro de sus condiciones. Además necesitas una base legal para tener a cada contacto ahí, un plazo de conservación definido y saber en qué país se alojan los datos: dentro del Espacio Económico Europeo no hacen falta trámites adicionales; fuera, sí.
Actualizado el
Contenido 7 secciones
Lo que un CRM es, legalmente
Una base de datos de personas. Nombres, correos, teléfonos, cargo, empresa y —esto se olvida mucho— todo lo que has anotado sobre ellas: qué te dijeron, qué presupuesto tienen, qué piensas de su capacidad de decisión.
Eso son datos personales, y trae cuatro obligaciones concretas.
1. El contrato con tu proveedor
Tu CRM es un encargado del tratamiento: trata datos personales por cuenta tuya. Eso exige un contrato entre las dos partes.
Casi todos los proveedores lo tienen incorporado a sus condiciones o disponible para firmar. Lo que hay que hacer es buscarlo, firmarlo si toca y guardarlo con el resto de la documentación. Cuando alguien pregunte, ese papel es la respuesta.
2. Una base legal para cada contacto
No puedes meter a cualquiera en el CRM «porque me dio su tarjeta».
En contactos comerciales entre empresas se suele apoyar en el interés legítimo, que es una base válida y no es un cheque en blanco: exige informar al contacto, valorar si su interés prevalece sobre el tuyo y permitirle oponerse de forma sencilla.
Si además vas a mandarle comunicaciones comerciales, ahí entra también la normativa de servicios de la sociedad de la información, que tiene sus propias reglas.
3. Un plazo de conservación
«Para siempre por si acaso» no es un plazo. Los datos se guardan mientras sirvan a la finalidad por la que los tienes, y después se borran o se anonimizan.
En la práctica: define un plazo razonable para contactos que no avanzan y revisa la base cada cierto tiempo. Un CRM lleno de gente de hace ocho años que nunca respondió no es solo un problema legal, es también un problema de datos.
4. Dónde viven los datos
Dentro del Espacio Económico Europeo, sin trámites adicionales. Es el caso de Clientify, española, o de Brevo, francesa.
Fuera del EEE hay una transferencia internacional que necesita garantías documentadas. Es el caso de HubSpot, Salesforce o Bitrix24, todos estadounidenses.
No es ilegal ni raro —lo hace medio mundo— pero es papeleo que con un proveedor europeo no tienes. Está explicado con más detalle en dónde están tus datos, que escribimos para servidores y aplica igual aquí.
Lo que declara cada CRM del ranking
De los quince que analizamos, esto es lo que se puede afirmar y lo que no:
Cumplen el RGPD todos los que están en el ranking: es requisito para entrar. Lo que cambia es dónde procesan y quién responde.
Con sede y soporte en España hay dos: Clientify y ForceManager. Para una empresa que necesita un interlocutor en su zona horaria y una factura española, esa fila pesa más que cualquier función.
Con sede fuera de la UE: HubSpot y Salesforce son estadounidenses, Zoho CRM es india y monday israelí. Ninguna de las cuatro está descartada por eso —el RGPD permite transferencias con las garantías adecuadas— pero es lo que hay que documentar si alguien te lo pregunta.
La pregunta que hay que hacerle al fabricante
No es «¿cumplís el RGPD?». Todos dicen que sí y casi todos tienen razón.
Es esta: «¿dónde se procesan mis datos y con qué garantía para la transferencia?». La respuesta tiene que ser un documento —el contrato de encargado de tratamiento y su anexo de subencargados— y no una frase en una página de marketing. Está desarrollado con el mismo criterio en la guía de dónde están tus datos.
Lo que esto no es
No es asesoramiento jurídico. Es la lista de lo que conviene tener resuelto antes de meter dos mil contactos en una herramienta nueva, para que la conversación con quien te lleve el cumplimiento sea corta.
El resto de la comparación, con el país de cada proveedor anotado, está en el ranking de CRM.
Preguntas frecuentes
¿Puedo meter en el CRM a cualquiera que me deje una tarjeta?
Necesitas una base legal para tratar sus datos. En contactos comerciales B2B suele apoyarse en el interés legítimo, pero eso exige informar, valorar el impacto y permitir oponerse. No es un cheque en blanco.
¿Necesito firmar algo con mi proveedor de CRM?
Sí: un contrato de encargado del tratamiento. Casi todos lo tienen incorporado a sus condiciones o disponible para firmar, y conviene guardarlo con el resto de documentación.
¿Importa dónde estén los servidores?
Dentro del Espacio Económico Europeo no hacen falta trámites adicionales. Fuera —Estados Unidos, por ejemplo— hay una transferencia internacional que necesita garantías documentadas.
¿Cuánto tiempo puedo guardar un contacto?
El que necesites para la finalidad por la que lo tienes, y no más. Lo que no vale es "para siempre por si acaso": conviene definir un plazo y revisar la base periódicamente.
Pasa a la práctica
Herramientas mencionadas
- Análisis de Clientify
CRM y automatización de marketing español, con precio por cuenta en lugar de por usuario y módulos que se contratan aparte. Publica su tarifa en euros y avisa de que los impuestos van según país.
- Análisis de Brevo
Plataforma francesa que empezó siendo email marketing y hoy incluye CRM, automatización y mensajería. Su modelo cobra sobre todo por contactos y envíos, no por usuario, aunque no hemos podido verificar los importes.
- Análisis de HubSpot
El CRM más conocido del mercado, con un plan gratuito generoso de verdad y una escalera que llega a 150 euros por licencia y mes. Sus planes altos exigen además una tarifa de incorporación de miles de euros que casi nadie menciona.
Más sobre CRM o vuelve al índice de guías.