WhatsApp Flows y RGPD: consentimiento y protección de datos

, Editorial Team

Qué datos recoge un WhatsApp Flow, quién los trata, cuándo necesitas consentimiento y qué incluir en tu política de privacidad y en el contrato de encargado del tratamiento. Con lista de comprobación.

TL;DR

Un WhatsApp Flow recoge datos de forma estructurada, así que se le aplican las mismas reglas que a cualquier formulario: define la finalidad, pregunta solo lo necesario, informa de qué ocurre con los datos y pide un consentimiento aparte para el marketing. Este artículo se centra en el RGPD, el reglamento europeo de protección de datos. SendSeven está alojado en la UE (Fráncfort), las respuestas aparecen en el chat y en el contacto, y viajan a través de WhatsApp (Meta). Verás qué datos recoge un flow, cuándo necesitas consentimiento, cómo minimizar los datos y qué incluir en tu política de privacidad y en el contrato de encargado del tratamiento, con una lista de comprobación para tu primer flow.

Este artículo no es asesoramiento jurídico

Este artículo ofrece una visión general y no sustituye al asesoramiento jurídico. Se centra en el RGPD, el Reglamento General de Protección de Datos de la UE. En España lo complementa la LOPDGDD (Ley Orgánica 3/2018), y la autoridad de control española es la AEPD. Otras jurisdicciones tienen sus propias normas, que este artículo no cubre. Cómo puedes recoger datos con un WhatsApp Flow depende de tu negocio, tus clientes y tus finalidades. Para dudas concretas, consulta a tu delegado de protección de datos (DPD) o a un abogado.

¿Qué datos recoge un WhatsApp Flow y quién los trata?

Un WhatsApp Flow recoge exactamente los datos que pides. A ellos se suman el número de teléfono y el nombre de perfil que WhatsApp aporta en cada chat. Los datos se tratan en tres sitios como máximo: en WhatsApp (Meta), que transporta las respuestas, en SendSeven, donde se guardan en el chat y en el contacto, y en tu CRM, si conectas uno.

Como ejemplo a lo largo del artículo usamos Carpintería Aldasoro, un taller de muebles a medida de Bilbao (una empresa ficticia). En su flow, los clientes piden presupuesto o una cita para que les tomen medidas en casa y, si quieren, se suscriben a la newsletter.

Esquema de SendSeven en cuatro pasos: el cliente rellena el WhatsApp Flow de Carpintería Aldasoro, WhatsApp (Meta) transporta las respuestas, SendSeven las guarda en el chat y en el contacto y, opcionalmente, se pasan a tu CRM por webhook o API REST
La ruta de los datos de un WhatsApp Flow. Esquema de SendSeven.
  • WhatsApp (Meta): Los mensajes pasan por WhatsApp (Meta), y Meta puede transferir datos a Estados Unidos. Para ello, Meta se apoya en el EU-US Data Privacy Framework y en cláusulas contractuales tipo. Según Meta, WhatsApp conserva las fotos y los documentos subidos, cifrados, hasta 20 días (documentación de Meta, en inglés).
  • SendSeven: La plataforma está alojada en la UE (Fráncfort) y conectada directamente a WhatsApp como Meta Business Partner. Las respuestas aparecen en el chat, en la bandeja de entrada. Las respuestas que has asignado a un campo están además en el contacto, y las fotos y los documentos se adjuntan al chat y al contacto.
  • Tu CRM: Pasas las respuestas con un webhook o con la API REST, si lo configuras. Sin conexión, se quedan en SendSeven. La guía de configuración de webhooks te muestra cómo.

En la mayoría de los casos eres tú el responsable del tratamiento de los datos de tus clientes, porque decides qué preguntas y para qué. SendSeven trata los datos por encargo tuyo, como encargado del tratamiento. Cómo funciona un WhatsApp Flow a nivel técnico lo explica nuestro artículo sobre WhatsApp Flows. Nuestra comparativa entre WhatsApp Flow, botones y chatbot muestra cuándo un flow encaja mejor que unos botones.

¿Cuándo necesitas consentimiento y cuándo no?

Para la solicitud en sí no suele hacer falta un consentimiento aparte; para el marketing y la newsletter, sí. Quien te escribe y pide presupuesto en un flow quiere que uses sus datos para eso. La base jurídica suele ser entonces la aplicación de medidas precontractuales a petición del interesado, según el art. 6.1.b) del RGPD. Si más adelante quieres enviar a la misma persona promociones, descuentos o una newsletter, necesitas su consentimiento para ello. Aparte de eso, Meta exige un opt-in antes de que inicies tú la conversación con alguien mediante una plantilla de mensaje.

En Carpintería Aldasoro, el cliente que pide presupuesto o una cita para tomar medidas entra en el primer caso. La newsletter con ideas de reformas y ofertas de temporada, en el segundo. Un flow es un buen sitio para pedir ese consentimiento, porque tu cliente está activo en ese momento y tú controlas el texto exacto. Fíjate en cuatro cosas:

  • Un campo propio: Pide el consentimiento con un campo de opt-in independiente, aparte de la solicitud. Una casilla premarcada no es un consentimiento válido según el RGPD, como confirmó el Tribunal de Justicia de la UE (TJUE) en la sentencia Planet49 (C-673/17, 1 de octubre de 2019).
  • Libre: Quien solo quiere un presupuesto debe poder enviar la solicitud sin suscribirse a la newsletter. Por eso, no hagas obligatorio el opt-in.
  • Un texto claro: Di qué vas a enviar, por qué canal y cómo darse de baja. Un enlace «Leer más» en el campo de opt-in lleva a tu política de privacidad.
  • Texto guardado: SendSeven guarda el texto del consentimiento con cada opt-in. Si alguien pregunta más adelante, puedes ver a qué texto dio su consentimiento la persona.

Cómo debe solicitarse el consentimiento lo explica la AEPD, la autoridad de control española, en una pregunta frecuente de su web.

Desde Professional, una automatización en el Flow Builder se encarga del alta en la lista: el disparador que se activa al completar el WhatsApp Flow la inicia, una condición comprueba el campo de opt-in y otro paso añade el contacto a tu lista de newsletter. En qué consiste un doble opt-in y por qué WhatsApp necesita su propio consentimiento lo explica el caso de uso de doble opt-in, y WhatsApp Opt-in: 7 estrategias para ganar suscriptores muestra cómo conseguir suscriptores de manera legítima.

¿Cómo aplicar la minimización de datos en un WhatsApp Flow?

Aplicar la minimización de datos en un flow significa preguntar solo lo que necesitas para la finalidad y guardar cada respuesta únicamente donde tu equipo trabaja con ella. Un flow lo pone más fácil que un chat abierto, porque defines las preguntas de antemano y puedes usar opciones en lugar de texto libre.

  • Justifica cada pregunta: Para cada pregunta, escribe una frase sobre por qué necesitas la respuesta. Si no se te ocurre ninguna, borra la pregunta. Para presupuestar un armario empotrado, Carpintería Aldasoro necesita la estancia, las medidas aproximadas y el código postal, no la fecha de nacimiento. Nuestro artículo sobre cualificar leads con un WhatsApp Flow muestra qué datos suelen bastar para un presupuesto.
  • Opciones en lugar de texto libre: En un campo de texto libre, la gente suele escribir más de lo que quieres saber, hasta datos de salud o financieros. Una opción limita la respuesta a lo que necesitas. Si aun así quieres un campo de texto libre, por ejemplo para observaciones, indica qué debe ir en él y qué no, como «Por favor, no incluyas datos de salud».
  • Pocos campos obligatorios: Lo que no sea estrictamente necesario, déjalo como opcional.
  • Guardar con un propósito: Un ajuste de cada campo te permite decidir si la respuesta va a un campo de contacto, a un campo personalizado o a una etiqueta del contacto, o si se queda solo en las respuestas del flow. Lo que necesitas únicamente para esta solicitud puede quedarse en las respuestas del flow, en lugar de quedarse para siempre en el contacto.
  • Marcar los campos sensibles: Los campos que marcas como sensibles aparecen enmascarados en la tabla de analíticas, la API y los webhooks salientes. Tu equipo sigue viendo la respuesta en el chat, para poder gestionar la solicitud.
  • Fotos solo donde ayudan: Una foto suele mostrar más de lo previsto, como personas o documentos a la vista. Pídela solo si la solicitud la necesita de verdad, por ejemplo la de la pared donde irá el mueble, e indica qué debe salir en ella.

Decide también cuánto tiempo conservas las solicitudes y anótalo en tu registro de actividades de tratamiento. Si quieres preguntar por categorías especiales de datos, por ejemplo de salud, acláralo antes con tu delegado de protección de datos (DPD) o con tu asesor de protección de datos. Para un tratamiento a mayor escala puede hacer falta, además, una evaluación de impacto relativa a la protección de datos (EIPD).

¿Qué incluir en la política de privacidad y en el contrato de encargado del tratamiento?

Tu política de privacidad cuenta a tus clientes qué ocurre con sus datos, y el contrato de encargado del tratamiento regula cómo los trata SendSeven por encargo tuyo. Ambos deberían estar listos antes de poner en marcha tu primer flow. La política de privacidad para WhatsApp Flows suele cubrir:

  • la finalidad de las preguntas y la base jurídica, por separado para la solicitud y para el marketing,
  • WhatsApp (Meta) como canal por el que pasan los datos, con una nota sobre una posible transferencia a Estados Unidos,
  • SendSeven como proveedor que trata los datos por encargo tuyo,
  • un CRM conectado y otros posibles destinatarios,
  • cuánto tiempo conservas los datos,
  • los derechos de tus clientes y cómo retiran su consentimiento.

Enlaza la política donde recoges los datos: con «Leer más» en el campo de opt-in o en el mensaje con el que envías el flow.

Ponemos a tu disposición el contrato de encargado del tratamiento si lo pides. Cómo trata SendSeven los datos y cómo contactar con nosotros al respecto lo encuentras en nuestra política de privacidad. Además, se aplican las condiciones de WhatsApp de Meta. Si los clientes potenciales te llegan a través de un anuncio, Click-to-WhatsApp Ads y RGPD recorre la cadena de datos.

Lista de comprobación antes de tu primer flow

  • Cada pregunta tiene una finalidad que puedes explicar en una frase.
  • Campos obligatorios solo donde de verdad necesitas la respuesta.
  • El consentimiento para marketing o newsletter, en un campo propio y opcional.
  • El texto del consentimiento, adaptado a tu política de privacidad y revisado.
  • Política de privacidad enlazada, con WhatsApp (Meta) y SendSeven como destinatarios.
  • Campos sensibles marcados y fotos solo donde ayudan.
  • Plazo de conservación de las solicitudes definido.
  • Contrato de encargado del tratamiento firmado con SendSeven.

¿Qué revisar con las plantillas y el constructor con IA?

Las plantillas y el constructor con IA ahorran trabajo al crear, pero la responsabilidad de las preguntas y los textos sigue siendo tuya. Revisa cada flow antes de publicarlo, igual que revisarías un formulario nuevo de tu web.

  • Plantillas: SendSeven incluye plantillas de flow ya preparadas, entre ellas captación y cualificación de leads, solicitud de presupuesto y solicitud de llamada. Sus textos de consentimiento son solo ejemplos: adáptalos a tu política de privacidad y haz que los revisen antes de usarlos.
  • Constructor con IA: Desde Professional, el constructor con IA crea un flow estático a partir de tu descripción. Consume créditos de IA, solo en las ejecuciones correctas, y el tratamiento con IA se hace en la UE. El constructor solo necesita tu caso de uso, así que no escribas datos reales de clientes en la descripción.
  • Antes de publicar: ¿Encajan las preguntas, los campos obligatorios y el lugar donde se guarda cada respuesta? ¿Es opcional el opt-in y está adaptado el texto? Si tu política de privacidad cambia más adelante, edita el flow y vuelve a publicarlo. Si lo envías con una plantilla con botón de Flow, vuelve a enviar después la plantilla a Meta; si no, seguirá abriendo la versión antigua.

En resumen: Un WhatsApp Flow es un formulario como cualquier otro, así que pregunta solo lo necesario, pide un consentimiento aparte para el marketing, enlaza tu política de privacidad y firma el contrato de encargado del tratamiento.

Todas las funciones, de un vistazo, en la página de WhatsApp Flows. El caso de uso de gestión del consentimiento muestra cómo los equipos llevan el control del consentimiento por contacto y por canal, y las entradas del glosario sobre mensajería y RGPD y sobre WhatsApp Flows explican lo básico.

Sigue leyendo:

Preguntas frecuentes

¿Dónde se guardan las respuestas de un WhatsApp Flow?

En SendSeven, que está alojado en la UE (Fráncfort). Las respuestas aparecen en el chat, en la bandeja de entrada; las respuestas asignadas a un campo y las etiquetas, en el contacto, y las fotos y los documentos, como archivos adjuntos. Viajan a través de WhatsApp (Meta), que según Meta conserva los archivos subidos, cifrados, hasta 20 días. Nada llega a tu CRM si no configuras tú mismo un webhook o la API REST.

¿Un WhatsApp Flow implica una transferencia de datos a Estados Unidos?

Puede ocurrir, a través del propio WhatsApp: Meta puede transferir datos de WhatsApp a Estados Unidos y para ello se apoya en el EU-US Data Privacy Framework y en cláusulas contractuales tipo. SendSeven, por su parte, está alojado en la UE (Fráncfort). Por eso, menciona a WhatsApp (Meta) y la posible transferencia a Estados Unidos en tu política de privacidad.

¿Puedo recoger datos de salud con un WhatsApp Flow?

Solo con mucha cautela: los datos de salud pertenecen a las categorías especiales de datos del art. 9 del RGPD y necesitan su propia base jurídica, a menudo un consentimiento explícito. Por eso, pregunta solo lo que necesitas para la cita y deja los síntomas o los diagnósticos para hablarlos en persona. Una clínica de fisioterapia, por ejemplo, puede preguntar qué día le viene bien al paciente y si es su primera visita, y dejar la descripción de la lesión para la propia consulta. Si aun así quieres recoger esos datos por WhatsApp, acláralo antes con tu delegado de protección de datos (DPD) o con tu asesor de protección de datos.

¿Cuánto tiempo puedo conservar las solicitudes de un WhatsApp Flow?

Solo el tiempo que las necesites para su finalidad. Una solicitud que no acaba en pedido normalmente puede borrarse antes que el expediente de un cliente, para el que pueden regir plazos legales de conservación. Indica también el plazo en tu política de privacidad.

¿Pueden los clientes retirar su consentimiento?

Sí, en cualquier momento, y retirarlo debe ser tan fácil como darlo. Por eso, explica en el texto del consentimiento cómo hacerlo, por ejemplo con un mensaje breve que diga «Stop». Si alguien escribe «Stop», SendSeven tramita la baja automáticamente, sin que tengas que configurar nada. Qué implica un consentimiento válido lo explica la entrada del glosario sobre opt-in y consentimiento.