La ficha de permisos para WhatsApp y email: qué registrar antes de enviar nada

El correo y el teléfono de un cliente aparecen en la ficha, así que alguien prepara una campaña y pulsa enviar. El problema llega después: nadie recuerda si ese dato se recogió para confirmar una cita, entregar un pedido, mandar consejos o enviar promociones. Tener el dato no explica por sí solo qué uso está permitido.

Antes de pensar en plantillas y automatizaciones conviene crear una ficha de permisos y preferencias que cualquier persona del equipo pueda entender. No hace falta implantar un CRM nuevo. Hace falta registrar de forma consistente qué canal se autorizó, para qué finalidad, cuándo, cómo se puede demostrar y qué ocurrió si el cliente pidió dejar de recibir mensajes.

Esta guía propone un proceso operativo general. La aplicación jurídica depende del tratamiento, el mensaje y la relación concreta; si tienes dudas sobre tu caso, revisa el circuito con la persona responsable de protección de datos o con asesoramiento especializado.

Primero separa servicio y promoción

No es lo mismo avisar de que una cita se ha movido que ofrecer un plan de revisiones con descuento. Tampoco es igual confirmar que un pedido está listo que recomendar un alimento nuevo. El canal puede ser el mismo, pero la finalidad cambia.

Crea dos grupos claros. Los mensajes de servicio están ligados a una cita, compra o solicitud concreta: confirmación, cambio, recogida, incidencia o respuesta. Los mensajes promocionales buscan impulsar una venta o la imagen del negocio: campañas, ofertas, novedades y recordatorios comerciales que no forman parte del servicio ya pedido.

Esta distinción también mejora la experiencia. En el recorrido real del cliente, cada comunicación debería resolver el siguiente paso, no aprovechar cualquier dato disponible para añadir publicidad.

Qué campos debe tener la ficha

Una fila por persona y una columna que diga «sí» o «no» se queda corta. Como mínimo, registra estos elementos:

• Canal: email, SMS, llamada o mensajería instantánea. No des por hecho que aceptar uno incluye todos.
• Finalidad: avisos de cita, seguimiento solicitado, comunicaciones promocionales propias u otra finalidad descrita de forma concreta.
• Origen: formulario web, mostrador, presupuesto, compra online o solicitud recibida.
• Fecha y versión: cuándo se recogió y qué texto informativo estaba vigente.
• Prueba: registro del formulario, casilla marcada, documento firmado o evidencia equivalente.
• Estado: activo, retirado, oposición registrada o pendiente de aclarar.
• Fecha de cambio: cuándo pidió la baja y desde cuándo debe respetarse.

Si el sistema no permite todos los campos, empieza con una tabla protegida y define quién puede editarla. Una nota libre como «quiere WhatsApp» se presta a interpretaciones; «WhatsApp para avisos de cita, solicitado en mostrador el 22/09/2026» describe una decisión verificable.

El consentimiento debe poder demostrarse

La AEPD explica que el consentimiento debe ser inequívoco, libre, informado y revocable, y que quien trata los datos debe poder probar que lo obtuvo. Las casillas premarcadas y la inacción no sirven como una acción afirmativa.

Evita una única casilla genérica para aceptar «todo». La propia AEPD diferencia la confirmación de haber recibido la información de privacidad del consentimiento para un tratamiento concreto. Si una persona necesita dar su email para recibir una factura, esa necesidad no debería ocultar una autorización comercial dentro del mismo gesto.

Utiliza un lenguaje que una persona normal entienda: quién enviará, por qué canal, con qué finalidad y cómo dejar de recibirlo. Guarda la versión exacta del texto. Si dentro de seis meses cambias las finalidades, poder reconstruir qué aceptó cada cliente evita muchas suposiciones.

Qué dice la LSSI sobre comunicaciones comerciales

El artículo 21 de la Ley 34/2002 prohíbe, con carácter general, enviar comunicaciones publicitarias o promocionales por correo electrónico u otro medio electrónico equivalente si no fueron solicitadas o expresamente autorizadas. La norma contempla una excepción cuando existe una relación contractual previa, el dato se obtuvo lícitamente y la comunicación se refiere a productos o servicios propios similares a los contratados.

No conviertas esa excepción en «es cliente, así que podemos mandarle cualquier cosa». Hay que revisar que se cumplen sus condiciones y ofrecer siempre una forma sencilla y gratuita de oponerse, tanto al recoger el dato como en cada comunicación. Cuando el mensaje se envía por email, la ley exige una dirección electrónica válida para ejercer ese derecho.

Para un negocio pequeño, la regla operativa prudente es muy concreta: si no puedes identificar la finalidad y la base que respalda el envío, no lo metas en una campaña hasta aclararlo. Es preferible una lista menor y documentada que una base grande llena de interrogantes.

WhatsApp no convierte un mensaje en conversación personal

Que un canal se sienta informal no cambia el propósito del mensaje. Una confirmación solicitada puede ser útil; una promoción inesperada puede resultar intrusiva. Además, evita grupos en los que los clientes vean teléfonos ajenos. Usa las funciones y configuraciones adecuadas para que cada comunicación preserve la confidencialidad.

Si una persona escribe primero para preguntar por una cita, responde a esa solicitud. No interpretes automáticamente el inicio de una conversación como permiso permanente para promociones. Al cerrar, puedes ofrecer de forma separada una suscripción clara, sin condicionar el servicio.

Un flujo poscompra que empieza por la ficha

El correo después de la compra puede aportar instrucciones, resolver dudas o confirmar una entrega. Antes de enviarlo, etiqueta su finalidad. Si es parte del servicio, debe limitarse a ese contexto. Si añade una oferta, analiza la parte promocional y la autorización correspondiente.

Un flujo sencillo puede tener cuatro pasos: el sistema propone el mensaje; la ficha comprueba canal, finalidad y estado; se envía con identificación clara; y cualquier baja actualiza de inmediato la fuente principal. No confíes en una lista de exclusión que solo conoce quien lleva marketing. Recepción, tienda y atención deben consultar el mismo estado.

La baja tiene que llegar a todos los sitios

Una persona responde «no me mandéis más» por WhatsApp, pero sigue en la hoja de email y en la herramienta de campañas. Ese fallo no se arregla añadiendo otro pie legal. Define un responsable y un plazo interno corto para reflejar la oposición en todas las herramientas.

Guarda la mínima evidencia necesaria de la baja para no volver a incluirla por error. No borres sin más el rastro que permite respetar su decisión. Registra canal, fecha y alcance: quizá rechaza promociones por WhatsApp, pero mantiene avisos de cita que ha solicitado. Si el mensaje no es claro, pregunta una vez y sin presión.

Revisa primero veinte contactos, no veinte mil

Selecciona cinco clientes recientes de cada vía de entrada: web, mostrador, teléfono y cita. Intenta responder seis preguntas: qué dato tenemos, quién lo recogió, para qué, con qué texto, dónde está la prueba y cómo se aplicaría una baja. Cada respuesta que dependa de la memoria de alguien señala un hueco de proceso.

Después mide calidad, no solo volumen. Porcentaje de contactos con finalidad documentada, bajas aplicadas dentro del plazo interno, rebotes y respuestas negativas cuentan más que el tamaño bruto de la lista. Relaciona estos datos con la tasa de repetición, pero no confundas una venta posterior con permiso para intensificar mensajes.

Una base de datos limpia también evita regalar margen sin entender el motivo por el que vuelven. Como explicamos en los clientes que regresan sin que los puntos sean la causa, la comodidad, la confianza y la resolución consistente pesan mucho. Respetar el canal elegido forma parte de esa experiencia.

La plantilla mínima para empezar esta semana

Crea estas columnas: identificador de cliente, email, teléfono, canal, finalidad, origen, fecha, versión del texto, prueba, estado, fecha de baja y observación. Protege el acceso, evita copiar datos a documentos personales y establece una revisión mensual de registros incompletos.

Después bloquea una regla sencilla en cada campaña: nadie entra solo porque tenga correo o teléfono. Entra cuando la ficha demuestra que ese canal y esa finalidad están cubiertos y no existe una oposición vigente. Es una mejora pequeña, pero cambia la pregunta de «¿a cuántos podemos escribir?» por la que de verdad protege la relación: «¿a quién le corresponde recibir este mensaje y por qué?».