Automatizar WhatsApp respetando privacidad y legalidad (checklist práctico)

Por qué la legalidad aparece cuando empiezas a escalar

Mientras respondes a mano uno a uno, nadie pregunta nada. En cuanto montas un flujo que recoge nombres, teléfonos y consultas de forma estructurada, estás tratando datos personales y la normativa aplica desde el primer registro.

No es un problema exclusivo de grandes empresas. Un estudio de tatuajes con 40 consultas semanales que usa un formulario en su bio de Instagram ya recoge suficientes datos como para que el RGPD le aplique por completo. La buena noticia: cumplir lo básico no requiere abogado ni semanas de trabajo. Requiere entender tres conceptos y aplicarlos en el flujo que ya tienes.

Qué dice la ley (sin tecnicismos inútiles)

El RGPD (Reglamento General de Protección de Datos, aplicable en España y toda la UE) y la LOPDGDD (su adaptación española) establecen reglas claras para cualquier negocio que recoja datos personales, independientemente del tamaño.

Tres principios que afectan directamente a un flujo de WhatsApp:

• Minimización: solo puedes pedir los datos que necesitas para el fin declarado. Si el fin es responder una consulta de precio, no necesitas fecha de nacimiento ni dirección postal.
• Información previa: la persona tiene que saber, antes de darte sus datos, quién eres, para qué los vas a usar y si los cedes a alguien. No hace falta un documento de 20 páginas; una frase concisa cumple el mínimo.
• Base legal para cada uso: responder una consulta tiene base legal propia (interés legítimo o ejecución precontractual). Enviarle un mensaje promocional dos semanas después requiere su consentimiento explícito. Son dos cosas distintas.

La LSSI (Ley de Servicios de la Sociedad de la Información) añade una restricción adicional: no puedes enviar comunicaciones comerciales por medios electrónicos sin consentimiento previo, salvo que exista relación contractual previa y el mensaje se refiera a productos similares a los contratados.

Checklist: privacidad y buenas prácticas en WhatsApp automatizado

Este bloque está pensado para ser revisado antes de publicar cualquier flujo de captación de consultas. Cada punto es accionable hoy.

Antes de lanzar el flujo

• Has definido por escrito qué datos recoges y para qué fin concreto.
• El flujo pide solo los datos que realmente necesitas para responder (nombre, teléfono, tipo de consulta; en muchos casos no hace falta más).
• Hay una frase informativa visible antes del primer campo: quién recoge los datos, para qué, si se ceden o no.
• Si vas a usar los datos para marketing posterior, hay una casilla o confirmación explícita y separada del consentimiento de atención.
• Has revisado que no pides datos especialmente sensibles (salud, ideología, biometría) sin justificación clara y protección adicional.

Durante la recogida de datos

• El tono informativo no espanta: una frase como "Usamos estos datos solo para responder tu consulta" reduce fricción y cumple el mínimo legal.
• El cliente tiene opción de contactar directamente si no quiere pasar por el flujo (no bloquear el acceso humano).
• No mezclas datos de distintos canales sin base legal: si alguien te escribe por Instagram DM, no añades ese número a una lista de difusión de WhatsApp sin permiso explícito.

Después de recoger los datos

• Guardas trazabilidad mínima: fecha de entrada, qué datos recogiste, qué respondiste.
• Has definido un plazo de conservación: si la consulta no se convierte en cliente, borras o anonimizas en un plazo razonable.
• Si el cliente pide acceso, rectificación o borrado de sus datos, sabes cómo gestionarlo (un email de contacto visible es suficiente para empezar).
• No reenvías los datos a terceros sin base legal (proveedor de herramienta incluido: revisa su política de subencargado de tratamiento).

Si quieres implementar este flujo sin construirlo desde cero, herramientas como las que se describen en esta guía sobre automatización local te ayudan a estructurar la entrada de consultas. Y si necesitas guardar esa información de forma ordenada sin montar un CRM complejo, puedes hacerlo con métodos ligeros como los que explica esta guía sobre cómo guardar datos de clientes sin CRM.

Lo que nunca debes hacer (anti-patrones con consecuencias)

1. Añadir a listas de difusión sin consentimiento previo. Consecuencia: reclamación ante la AEPD, posible sanción y, antes de eso, bloqueos masivos que pueden comprometer tu cuenta de WhatsApp Business.
2. Pedir más datos de los necesarios "por si acaso". Viola el principio de minimización y aumenta el abandono del flujo. Doble daño.
3. No informar del uso de datos antes de recogerlos. No hace falta un aviso legal extenso, pero sin ninguna información, el tratamiento no tiene base legal válida.
4. Tratar datos de menores sin verificación ni consentimiento parental. En servicios como tatuajes o estética que requieren edad mínima, el flujo debe incluir verificación de edad antes de recoger cualquier dato.
5. Reutilizar datos de consultas pasadas para campañas nuevas sin permiso. Si alguien te preguntó precio hace seis meses y no contrató, no puedes escribirle para una promoción sin que haya dado consentimiento explícito para eso.
6. Usar herramientas de automatización sin revisar su política de subencargado. Cualquier herramienta que procese datos en tu nombre es un subencargado. Si no tiene política de datos aceptable, tú eres responsable de lo que haga con esos datos.

Cuándo NO aplica este checklist (casos fuera de contexto)

• Si no recoges ningún dato personal (solo respondes preguntas sin pedir nombre, teléfono ni contacto), este checklist no aplica en sentido estricto.
• Si tu negocio tiene ya un equipo legal y un DPO (Delegado de Protección de Datos), este checklist es insuficiente: necesitas análisis de impacto y documentación formal.
• Si operas fuera de la UE y tu cliente tampoco está en la UE, el RGPD no aplica directamente (aunque las buenas prácticas siguen siendo recomendables).

Si tu caso encaja en la duda de si realmente necesitas automatizar o si el volumen aún no lo justifica, puedes revisar los casos en los que una herramienta de centralización de consultas no es necesaria antes de montar nada.

Por otro lado, si el problema real no es la legalidad sino el caos previo (consultas sin datos, conversaciones que no avanzan), lo más útil es empezar por filtrar y cualificar las consultas antes de responder, y añadir la capa legal encima de un flujo que ya funciona.

Un apunte sobre Inkup y legalidad

Si quieres implementar este flujo sin construirlo desde cero, herramientas como Inkup hacen exactamente esto: centralizan las consultas entrantes desde Instagram y WhatsApp mediante un link con asistente conversacional, recogen los datos mínimos necesarios y redirigen a WhatsApp con el contexto ya preparado. No es para todos los casos: si tu volumen es bajo o tu proceso de venta requiere conversación larga desde el inicio, probablemente no lo necesitas aún. Y como cualquier herramienta que trata datos en tu nombre, debes revisar su política de subencargado antes de activarla.