repliso
El nombre de un cliente, su usuario en redes sociales, su número de teléfono y su pregunta sobre un pedido pueden ser datos personales. Pasar la conversación a una bandeja de entrada compartida o usar la IA para redactar una respuesta no hace que esos datos dejen de ser personales.
Para gestionar los mensajes de clientes conforme al RGPD (Reglamento General de Protección de Datos) en Alemania, empieza por un mapa claro de lo que recoges, para qué lo necesitas, adónde va y quién puede acceder. No empieces con la promesa de que una plataforma de mensajería concreta hace que cualquier flujo de trabajo cumpla la normativa.
Define la finalidad y la base jurídica
El RGPD solo permite el tratamiento sobre una de seis bases jurídicas: consentimiento, contrato, obligación legal, interés público, intereses vitales o intereses legítimos. Para una tienda pequeña, las habituales son el contrato (responder a una pregunta antes de una compra o tramitar un pedido), el consentimiento (por ejemplo, para un boletín) y los intereses legítimos (por ejemplo, la prevención del fraude), cada una solo cuando de verdad encaja. No se pueden exigir como condición del contrato datos que el contrato no necesita.
Deja por escrito la finalidad y la base jurídica de cada actividad, incluidos el soporte, la analítica y el marketing. El consentimiento debe darse de forma libre, específica e informada; retirarlo debe ser tan fácil como darlo, y debes poder demostrarlo. Los datos sensibles (salud, religión, opiniones políticas y similares) tienen condiciones adicionales, y no debes recogerlos si no los necesitas: un pedido de ropa no necesita la religión del cliente. Si los clientes envían información sensible por iniciativa propia, limítate a lo necesario para ayudarles y no la compartas. Fuente: Comisión Europea, bases jurídicas del tratamiento.
Explica qué ocurre con la información
Tu información de privacidad debe indicar quién es el responsable y cómo contactar contigo, para qué tratas los datos y con qué base jurídica, cuánto tiempo los conservas, quién los recibe y qué derechos tienen las personas, incluido el derecho a reclamar ante una autoridad de protección de datos. Debe ser concisa, transparente y estar escrita en lenguaje claro. Debe coincidir con los proveedores de bandeja de entrada y de IA que usas realmente, incluidas las transferencias fuera de la UE.
Cuando recoges los datos directamente de la persona, por ejemplo porque te escribe, la información debe darse en el momento de la recogida, salvo que ya la tenga. Cuando los datos proceden de otra fuente, infórmale en el plazo de un mes, en el primer contacto o cuando comuniques los datos por primera vez. Haz que la información sea fácil de encontrar en el recorrido del cliente, por ejemplo con un enlace en tu perfil y en tu web. Fuente: Comisión Europea, obligaciones.
Recoge menos y conserva con motivo
Pide solo los datos necesarios para resolver la cuestión. Una referencia de pedido puede bastar donde una copia del pasaporte sería excesiva. No recojas números de tarjeta en las conversaciones habituales por redes sociales.
Fija plazos de conservación según la finalidad. Los registros de pedidos con obligaciones legales de conservación y una pregunta casual sobre la talla pueden necesitar un tratamiento distinto. «Guardar todos los chats para siempre» no es una política útil. Del mismo modo, no prometas borrarlo todo de inmediato cuando una obligación legal exige conservar algunos registros. Fuente: Comisión Europea, principios del RGPD.
Revisa los proveedores y los accesos
Un proveedor que trata los mensajes de clientes por cuenta tuya, como una herramienta de bandeja de entrada, una empresa de alojamiento o un servicio de IA, suele ser un encargado del tratamiento. En ese caso necesitas un contrato de encargo por escrito (art. 28 del RGPD) que lo obligue a seguir tus instrucciones y a aplicar medidas de seguridad. La Comisionada Federal de Protección de Datos de Alemania (BfDI) publica un modelo de contrato con el que puedes comparar. Revisa los subencargados y qué ocurre con los datos cuando termina el servicio. Una declaración comercial de un proveedor no equivale a un contrato de encargo firmado. Fuente: modelo de contrato de encargo de la BfDI.
Limita el acceso del personal a lo que requiere su trabajo. Usa cuentas individuales cuando sea posible, revisa los accesos cuando alguien se marche y planifica cómo llegan a una persona responsable las solicitudes de acceso, rectificación o supresión.
Mira más allá de la ubicación del servidor
Una etiqueta de «alojado en la UE» no resuelve por sí sola todas las cuestiones de transferencia. Comprueba los accesos desde fuera del EEE, los proveedores de soporte y las transferencias posteriores. Los datos solo pueden enviarse a un país fuera del EEE con una base válida: una decisión de adecuación de la Comisión Europea (y debes comprobar que sigue vigente), o cláusulas contractuales tipo junto con una evaluación documentada de la legislación del país de destino y, si hace falta, garantías adicionales. Las excepciones como el consentimiento explícito están pensadas como último recurso. Fuente: CEPD, transferencias internacionales.
Separa el soporte de la publicidad
Una pregunta entrante de un cliente no es un permiso general para enviar seguimientos promocionales. El derecho de la competencia alemán considera una molestia inaceptable la publicidad por correo electrónico sin el consentimiento expreso previo del destinatario (§ 7, apartado 2, n.º 2 de la UWG). Existe una excepción limitada para clientes existentes, y exige las cuatro condiciones: recibiste la dirección en relación con una venta, solo anuncias tus propios productos similares, el cliente no se ha opuesto y le informaste claramente, al recoger la dirección y en cada uso, de que puede oponerse en cualquier momento (§ 7, apartado 3 de la UWG). Una regla de trabajo segura para todos los canales: pide un permiso explícito antes de enviar promociones. La propia política de WhatsApp también exige que las personas hayan dado su aceptación (opt-in). Fuente: § 7 UWG.
Si algo sale mal
Si se pierden datos de clientes, se filtran o accede a ellos una persona que no debía, y es probable que eso ponga en riesgo a las personas, debes notificarlo a tu autoridad de protección de datos en un plazo de 72 horas desde que tuviste conocimiento, e informar a los afectados si el riesgo es alto. Un encargado del tratamiento debe comunicarte cualquier brecha. Decide de antemano quién se encarga de hacerlo. Fuente: Comisión Europea, obligaciones.
Revisa tu propia configuración
Antes de confiar en cualquier herramienta, repasa esta lista: qué datos de clientes recoges y por qué, la base jurídica de cada uso, la información de privacidad que ven los clientes, quiénes son tus proveedores y si tienes un contrato de encargo con cada uno, adónde van los datos fuera de la UE, cuánto tiempo los conservas, cómo te llega una solicitud de acceso o supresión y qué haces ante una brecha.
Cómo trata repliso los datos se describe en su política de privacidad; las empresas que usan repliso pueden solicitar un contrato de encargo del tratamiento. Usa reglas de paso a una persona para los casos delicados.
Sobre este artículo
Esta es información general basada en las fuentes oficiales enlazadas más arriba, revisadas el 13 de octubre de 2026. No es asesoramiento para tu situación concreta, y las normas cambian: en octubre de 2026 los legisladores de la UE todavía negociaban cambios en el RGPD (el paquete «Digital Omnibus»), así que consulta el texto vigente de las normas que te afectan. Un buen servicio y una práctica cuidadosa de la privacidad empiezan ambos con un responsable claro y una finalidad clara.
