Hay una pregunta que casi nadie hace antes de poner un chatbot en su WhatsApp, y que casi todos deberían hacer: ¿qué pasa con los datos?
La respuesta corta: en cuanto un bot responde a tus clientes, tu empresa está tratando datos personales, con todo lo que el RGPD cuelga de esa frase. No es un motivo para no hacerlo — nosotros vivimos de esto —, pero sí es un motivo para hacerlo con los deberes hechos. Vamos por partes.
Qué datos trata realmente un bot de WhatsApp
Más de los que parece a primera vista:
- El número de teléfono. Es el identificador de WhatsApp y es dato personal por derecho propio. Llega con cada mensaje, lo quieras o no.
- El nombre del perfil. El que el cliente tenga puesto en su WhatsApp.
- El contenido de la conversación. Y aquí está lo serio: la gente escribe con libertad. En una conversación comercial normal pueden aparecer direcciones, situaciones familiares, datos económicos y — en sectores como el sanitario — datos de salud, que son categoría especial y exigen un cuidado reforzado. Tu bot no elige qué le cuentan.
- Metadatos. Fechas, horas, estado de la conversación.
Primer deber, entonces: saber qué se recoge, dónde se guarda y quién puede verlo. Sin ese mapa, todo lo demás es decoración.
La base jurídica: por qué puedes tratar esos datos
El RGPD exige una base jurídica para cada tratamiento (artículo 6). En un bot comercial, las candidatas habituales son dos:
- Medidas precontractuales (art. 6.1.b): el cliente te escribe pidiendo información o presupuesto, y responder a eso es exactamente lo que la norma contempla. Es la base natural de la conversación de ventas que el propio cliente inicia.
- Interés legítimo o consentimiento para lo que vaya más allá: guardar la conversación para estadísticas, reutilizar el número para campañas posteriores. Ahí ya no vale el «me escribió una vez»; hay que analizarlo, y a menudo pedir permiso.
La regla de andar por casa: responder a quien te escribe tiene un encaje claro; usar sus datos para otra cosa, no necesariamente. Documenta cuál usas para qué.
El deber de información: decir quién eres y qué haces
Los artículos 13 y 14 obligan a informar al interesado: quién trata sus datos, para qué, con qué base, cuánto tiempo, y qué derechos tiene. En WhatsApp no hay pie de página, así que la práctica razonable es una primera capa breve en la propia conversación — quién eres y un enlace a la política de privacidad — con la información completa en esa política.
Y hay un segundo deber de transparencia, este de estreno reciente: el artículo 50 del Reglamento europeo de IA exige que quien habla con una IA sepa que habla con una IA, desde el principio y sin letra pequeña. Le dedicamos un artículo entero, porque nos parece de las pocas obligaciones que además es buena idea comercial: el cliente que descubre a mitad de conversación que «Laura» era un bot no vuelve.
Quién es quién: responsable y encargados
Aquí es donde el papeleo se pone interesante, porque en un bot de WhatsApp hay más actores de los que se ven:
- Tu empresa es la responsable del tratamiento: decide para qué se usan los datos y responde ante el cliente y ante la AEPD.
- El proveedor del bot (nosotros, o quien sea) es normalmente encargado del tratamiento: trata los datos por cuenta tuya y siguiendo tus instrucciones. Eso exige un contrato de encargo (art. 28) firmado. Si un proveedor no te lo ofrece, mala señal.
- El BSP — el intermediario técnico de la API de WhatsApp, explicamos qué es aquí — es otro encargado o subencargado en la cadena.
- Meta tiene su propio papel según qué parte del servicio se mire, definido en sus propias condiciones.
No hace falta memorizar el organigrama. Sí hace falta tener los contratos de encargo firmados con cada eslabón que trate datos por cuenta tuya, y saber si alguno los saca fuera del Espacio Económico Europeo, porque las transferencias internacionales tienen sus propias garantías que verificar.
Derechos del interesado y conservación
El cliente puede ejercer sobre la conversación del bot los mismos derechos que sobre cualquier otro dato: acceso, rectificación, supresión, oposición, portabilidad. En la práctica eso significa que necesitas poder localizar las conversaciones de una persona concreta y borrarlas si lo pide. Pregunta a tu proveedor cómo se hace antes de que alguien lo pida.
Sobre conservación, el principio es de limitación: los datos se guardan mientras sirven a su fin y después se suprimen o anonimizan. «Para siempre, por si acaso» no es un plazo de conservación; es una infracción esperando fecha. Define un plazo, escríbelo en tu política y que tu proveedor pueda ejecutarlo.
Lo que esto significa al elegir proveedor
Nada de lo anterior lo resuelve el software solo — el responsable eres tú —, pero el proveedor puede ponértelo fácil o imposible. En Zatio esto lo tenemos como requisito de diseño, no como anexo: la IA se presenta como IA desde el primer mensaje, el traspaso a humano conserva el contexto sin duplicar datos por canales sueltos, y los suelos deterministas que impiden al bot inventar precios o productos también acotan lo que hace con la información que maneja. Si quieres ver cómo encaja en tu caso, aquí está el producto; pregúntanos por el contrato de encargo sin reparo, porque tenerlo listo también dice algo del proveedor.
Una última cosa, importante: esto es divulgación, no asesoramiento jurídico. Cada negocio tiene sus particularidades, y para las decisiones de cumplimiento — bases jurídicas, plazos, transferencias — habla con un profesional que pueda mirar tu caso concreto.