CRM y RGPD: qué comprobar antes de guardar datos de clientes

Un CRM que cumple el RGPD no es un producto con una insignia. Es un CRM más los contratos, los ajustes y los hábitos que te permiten cumplir tus propias obligaciones bajo el RGPD, y esas obligaciones recaen en ti como responsable del tratamiento: una base jurídica para cada uso de datos personales, un contrato de encargo del tratamiento con el proveedor que los guarda, respuestas para quien pregunta qué datos tuyos guardas y supresión cuando ya no necesitas los datos. Un fabricante de CRM puede ponértelo fácil o difícil, pero ningún CRM te hace cumplir por sí solo.

Esta guía enumera las obligaciones que importan para un CRM con el número de su artículo, muestra qué comprobar en el contrato y en la lista de subencargados de cualquier fabricante, recorre una solicitud de acceso y una de supresión, y expone dónde se sitúa Customermates, incluido lo que no afirma. Customermates la publica y aparece en secciones señaladas. Es información general, no asesoramiento jurídico: consulta a un abogado o a tu delegado de protección de datos sobre tu propio caso. Las fuentes de la legislación de la UE y las páginas legales de Customermates se comprobaron el 11 de noviembre de 2026; las páginas legales cambian, así que lee el contrato de encargo del tratamiento y la lista de subencargados vigentes antes de fiarte de esta página.

¿Qué exige el RGPD a un CRM?

El RGPD (Reglamento (UE) 2016/679, texto en EUR-Lex) no certifica software. Regula a la organización que decide por qué y cómo se usan los datos personales, el responsable del tratamiento, y a un proveedor que trata los datos por cuenta de aquella, el encargado del tratamiento. Un CRM lleno de nombres, direcciones de correo y conversaciones contiene datos personales, así que tú eres el responsable y el fabricante que los guarda por ti es un encargado. La tabla relaciona con sus artículos las obligaciones que más importan para un CRM.

La página de la Comisión Europea sobre los principios del RGPD da la versión en lenguaje sencillo, y las Directrices 07/2020 del Comité Europeo de Protección de Datos explican en detalle los papeles de responsable y de encargado. Una base de datos de CRM construida con estas obligaciones en mente empieza con menos campos y con responsables claros.

¿Existe un CRM que cumpla el RGPD?

Ningún CRM cumple el RGPD por sí solo. El cumplimiento describe cómo usas una herramienta: qué recoges, con qué base, cuánto tiempo lo conservas y cómo respondes a las solicitudes. Lo que un fabricante puede ofrecer con honestidad es más acotado y se puede comprobar:

• un contrato de encargo del tratamiento que cubra el art. 28.3;
• una lista pública de subencargados y un proceso indicado para los cambios;
• información clara sobre dónde se tratan los datos y qué mecanismo cubre cualquier transferencia fuera del EEE;
• medidas de seguridad escritas en el contrato;
• funciones del producto para encontrar, corregir, exportar y suprimir los datos de una persona; y
• una vía de salida: la devolución o la supresión de tus datos al terminar.

Trata una insignia como «cumple el RGPD» o «hecho en Europa» como una afirmación de marketing. El RGPD prevé la certificación aprobada (art. 42), así que pregunta qué certificación, de qué organismo y para qué servicio. Customermates no tiene ninguna certificación de cumplimiento; alojar en una región de la UE es un hecho de alojamiento, no una certificación.

¿Importa dónde están el fabricante del CRM y sus servidores?

Se confunden tres lugares: dónde está establecido el fabricante, dónde se ejecuta su base de datos y dónde tratan datos todos los demás proveedores de la cadena. El RGPD no exige alojamiento en la UE. Restringe las transferencias fuera del EEE (arts. 44 a 46) y te hace responder de toda la cadena de encargados. Un fabricante en Alemania puede ejecutar su aplicación en un proveedor de alojamiento de EE. UU., y un fabricante de EE. UU. puede ejecutar una base de datos en Fráncfort. Esa es la pregunta real detrás de la búsqueda de un CRM alemán o de la UE: lee los tres lugares, no el titular. Si tu empresa está fuera de la UE pero tratas datos de personas que están en ella, el RGPD también puede aplicarte, y cada país tiene además su propia ley de protección de datos; consúltalo con un abogado.

Para Customermates, las páginas legales dicen lo siguiente (tal como estaban publicadas el 11 de noviembre de 2026):

La lista de subencargados recoge a cada proveedor con su finalidad, su ubicación y su base de transferencia, y la documentación de seguridad explica el aislamiento entre inquilinos y dónde están las credenciales. El resumen: un operador en Alemania, una base de datos configurada en una región de la UE y proveedores de EE. UU. en la cadena, por lo que la lista importa más que el nombre de un país.

¿Qué debe contener un contrato de encargo del tratamiento de un CRM?

El art. 28.3 enumera el contenido mínimo de un contrato con el encargado. Contrasta el contrato de un fabricante con las letras (a) a (h). La columna de la derecha muestra el DPA de Customermates, cuyos números de sección remiten al DPA publicado.

Lee también los límites. El DPA indica lo que no puede prometer: para las cuentas conectadas no tiene un derecho contractual de supresión por cuenta frente a Unipile y solo puede solicitar la eliminación, y los registros de entrada en bruto que no se pueden atribuir a un cliente se conservan para el análisis de errores sin un plazo fijo. Un DPA que indica sus límites es más fácil de valorar que uno que no indica ninguno.

Comprueba además cómo se formaliza. Publicar un documento no lo formaliza: el DPA de Customermates entra en vigor para un cliente cuando un administrador autorizado lo acepta, junto con las Condiciones, durante el onboarding, y hay una copia en forma de texto disponible previa solicitud. La versión alemana es la que prevalece y la inglesa es una traducción de cortesía.

¿Cómo gestionas una solicitud de acceso o de supresión en un CRM?

Esta es la prueba de cualquier configuración de CRM: alguien escribe «quiero saber qué datos míos guardan» o «quiero que se supriman mis datos». Los pasos de abajo usan Customermates, y el orden sirve en cualquier herramienta.

1. Registra la solicitud y confirma quién la hace

   Anota la fecha en que la recibes: el plazo de un mes del art. 12.3 empieza entonces. Confirma la identidad en proporción a los datos, sin recoger más de lo que necesitas para ello.

2. Encuentra todos los registros

   Pulsa Cmd+K o Ctrl+K. La búsqueda global recorre todas las listas que puedes leer y encuentra a un contacto por cualquier dirección de correo o teléfono de sus Datos de contacto; busca también el nombre, y abre las organizaciones y oportunidades vinculadas. Las conversaciones no forman parte de esta búsqueda: la Bandeja de entrada, disponible desde Pro con una cuenta conectada, tiene su propia búsqueda.

3. Reúne los datos

   Filtra cada lista por la persona y elige Exportar como Excel (.xlsx) o Exportar como JSON en Más acciones. La exportación contiene lo que muestra la lista con tus filtros, hasta 5.000 registros, y solo los campos que tu rol puede leer. Customermates no tiene exportación de toda la cuenta, así que repite esto en cada lista que contenga a la persona, y añade lo que haya en tu correo, tus hojas de cálculo y otras herramientas.

4. Corrige lo que esté mal

   Edita el valor en el propio sitio. Eso responde a una solicitud de rectificación del art. 16; el Registro de actividad guarda el cambio con el valor anterior, quién lo hizo y cuándo.

5. Suprime y revisa después las copias

   Eliminar mueve el registro a la Papelera y lo saca de las listas, de la búsqueda, de los widgets y de las exportaciones. Abre la Papelera y elige Eliminar definitivamente para suprimirlo ahora, lo que también quita de su historial los valores de campo del registro; si no, desaparece solo a los 30 días. Los mensajes de una bandeja de entrada conectada son copias de mensajes de tu cuenta de correo o de mensajería, así que el original necesita la misma decisión. Pregunta cómo trata tu fabricante las copias de seguridad: el DPA de Customermates indica como máximo 90 días para las supresiones que cubre (sección 11).

6. Responde y deja constancia de lo que hiciste

   Responde dentro del mes y guarda una nota de la solicitud, de la decisión y de la fecha, para poder demostrarlo después (art. 5.2). Para una oposición al marketing (art. 21.3), añade un campo de Sí o no como «Se opuso al marketing» y deja esos registros fuera de cualquier lista de envío.

La documentación de la Papelera explica la restauración y la supresión definitiva, y la documentación de registros explica los filtros, la exportación y la importación.

¿Cómo configuras un CRM para el RGPD?

Una lista de comprobación para la primera semana, antes de que entren datos reales de clientes:

1. Decide qué guarda cada lista

   Menos campos significan menos que proteger, responder y suprimir (art. 5.1.c). Escribe la finalidad y la base jurídica de cada lista en su descripción, y deja fuera las categorías especiales de datos, como los datos de salud (art. 9), salvo que tengas un fundamento concreto.

2. Da a cada persona solo el acceso que necesita

   Los roles conceden Crear, Editar, Eliminar y Acceso de lectura (Todos, Asignados o Ninguno) por lista. No hay permisos a nivel de campo, así que guarda la información sensible en una lista aparte con un acceso más restringido.

3. Planifica cómo se van las personas

   Marcar a un miembro como Inactivo bloquea de golpe su acceso, sus claves de API y sus conexiones MCP al espacio de trabajo.

4. Formaliza el DPA y lee la lista de subencargados

   Conserva tu copia de la versión aceptada y vuelve a mirar la lista cuando llegue un aviso de cambio.

5. Conecta solo los canales que uses

   Cada cuenta conectada añade un proveedor a la cadena y una copia almacenada de sus mensajes. Desconectar una cuenta elimina los hilos, mensajes, participantes y datos de calendario almacenados de esa cuenta, tal como describe el DPA.

6. Fija una regla de conservación por lista y aplícala

   Guarda una vista de los registros no actualizados durante el plazo que elegiste, revísala con regularidad y elimina lo que ya no necesites. El RGPD deja el plazo en tus manos (art. 5.1.e); cuando el derecho fiscal o mercantil te obliga a conservar un documento, esa obligación se suma.

7. Mantén al día tus propios documentos

   El registro de actividades de tratamiento (art. 30) y tu aviso de privacidad (arts. 13 y 14) viven en tu carpeta de cumplimiento, no en los documentos del fabricante del CRM.

¿Qué cambian las funciones de IA bajo el RGPD?

Un asistente de IA añade proveedores a la cadena y les envía texto de tus registros. Para cada función de IA, pregunta qué proveedor recibe qué datos, si figura en la lista de subencargados, dónde trata los datos, si entrena con tus datos y si puedes dejar la función desactivada.

En Customermates Cloud, la lista de subencargados describe Mate: una solicitud pasa por Vercel AI Gateway hasta los proveedores indicados en la tabla de arriba y lleva solo lo necesario para la respuesta. La lista indica un ajuste de retención cero de datos en esa ruta de la pasarela, que es un control acotado y no una promesa de conservación para el propio CRM. Los modelos Claude están fijados a una zona de inferencia de la UE, mientras que la búsqueda web y el modelo de embeddings se ejecutan en EE. UU. Tú decides qué datos contiene una solicitud y sigues siendo responsable de la necesidad y de la base jurídica. Si conectas tu propio cliente de IA mediante MCP, ese proveedor trata los datos según tu contrato con él. Las instancias autoalojadas no tienen Mate. La guía de CRM con IA compara los enfoques.

Customermates y el RGPD: qué ofrece y qué no

Lo que ofrece, según la documentación del producto y las páginas legales:

• el DPA y la lista de subencargados de la nube gestionada, con el proceso de cambios descrito arriba;
• roles por lista, la opción de desactivar miembros y la separación entre inquilinos por cuenta de empresa;
• búsqueda global por dirección de correo o teléfono, corrección en el propio sitio, exportación a Excel y JSON por lista, y Papelera con supresión definitiva;
• un Registro de actividad de los cambios en los registros del CRM y en la configuración del espacio de trabajo, legible por los roles que tienen acceso; y
• un núcleo de código abierto bajo la AGPL que puedes alojar tú.

Lo que no ofrece, así que pídelo en otro sitio si lo necesitas:

• Customermates no tiene ninguna certificación de cumplimiento ni garantía contractual de que todos los datos permanezcan en una sola región;
• no tiene permisos a nivel de campo ni exportación de toda una cuenta en un solo paso;
• su Registro de actividad no cubre los inicios de sesión, las claves de API ni el contenido de la bandeja de entrada, y no tiene botón de exportación.

El autoalojamiento cambia quién es responsable. El núcleo AGPL se ejecuta con Docker y PostgreSQL en tu infraestructura, y el DPA cubre solo el servicio gestionado: tú eliges el alojamiento y los proveedores y tienes tus propios contratos del art. 28 y tus propias garantías de transferencia. TLS y el cifrado en reposo los configuras tú. El autoalojamiento usa el conjunto de funciones de Starter, sin la bandeja de entrada y sin Mate, y no está aislado de la red: al introducir por primera vez una dirección de un país se descarga de GeoNames el archivo público de códigos postales de ese país, salvo que pongas POSTAL_CODE_DATA_URL en off o en un espejo. La guía de autoalojamiento tiene los detalles, y la página del CRM de código abierto explica el límite de la licencia.

Para comprobar los puntos anteriores con tu propio caso, lee primero el DPA y la lista de subencargados, y después empieza tu prueba de 14 días: Pro, sin tarjeta de crédito. Importa unos registros de prueba antes de meter datos reales de clientes y ejecuta una vez los pasos de la solicitud de acceso.

Preguntas frecuentes sobre el RGPD y un CRM

Legislación y fuentes de terceros comprobadas el 11 de noviembre de 2026: Reglamento (UE) 2016/679 en EUR-Lex, la Directiva ePrivacy, los principios del RGPD de la Comisión Europea y las Directrices 07/2020 del Comité Europeo de Protección de Datos. Las afirmaciones sobre Customermates proceden de su DPA, su lista de subencargados y su documentación de seguridad tal como estaban publicados en esa fecha.