Fichero de clientes y RGPD: la guía sencilla para autónomos

Nombre, teléfono, email, fecha de la última cita, algunas notas: en cuanto guarda esta información, tiene un fichero de clientes. Y el fichero de clientes y el RGPD no son cosa solo de las grandes empresas: el reglamento europeo de protección de datos se aplica también al peluquero que anota las preferencias de sus clientas, al coach que envía una oferta de vuelta al cole o al artesano que guarda sus presupuestos. La buena noticia: para una actividad pequeña, lo esencial se resume en unos pocos gestos sencillos.

Esta guía se apoya en los documentos publicados por la CNIL, la autoridad francesa de protección de datos. Le ofrece un método en seis pasos, los plazos de conservación que debe conocer, las reglas para enviar ofertas por email o SMS y modelos para copiar. No sustituye a un asesoramiento jurídico: para un caso concreto, infórmese ante la CNIL o consulte a un profesional del derecho.

¿Le afecta el RGPD a su fichero de clientes?

Sí, en cuanto contiene información sobre personas identificables: un nombre, un número de teléfono, una dirección de email, un historial de citas. El soporte da igual. Una libreta de papel, una hoja de cálculo, los contactos de su teléfono o un software de reservas están afectados de la misma manera.

El RGPD no le prohíbe guardar esta información. Le pide que sepa por qué la guarda, que conserve solo lo útil, que avise a sus clientes, que respete sus derechos y que proteja el fichero. En su guía práctica para micro y pequeñas empresas, publicada con Bpifrance en 2018, la CNIL resume el proceso en cuatro pasos: hacer inventario de sus ficheros, ordenar sus datos, respetar los derechos de las personas y proteger sus datos.

Paso 1: haga la lista de sus ficheros y de su finalidad

La CNIL propone una lista de comprobación para pequeñas empresas que empieza por ahí: identificar todos los ficheros de la empresa y anotar la finalidad de cada uno. Para un autónomo, la lista suele ser corta:

• Clientes: reserva de citas, seguimiento de los servicios, facturación.
• Clientes potenciales: personas que han pedido un presupuesto o información sin comprar.
• Fidelización: envío de ofertas, novedades, seguimientos.
• Contabilidad: facturas y justificantes contables.

Este pequeño inventario es la base del «registro de actividades de tratamiento». La guía de la CNIL recomienda anotar en él, para cada actividad, la finalidad, las categorías de datos, quién tiene acceso y cuánto tiempo se conservan. Para una actividad pequeña, suele bastar una tabla de una página, y la CNIL pone un modelo a disposición.

Paso 2: guarde solo la información realmente útil

Es el punto que la lista de comprobación de la CNIL formula con más claridad: para cada fichero, haga la lista de la información registrada y compruebe que toda ella es indispensable para su finalidad. Si no lo es, elimínela y deje de pedirla.

En la práctica, para reservar una cita suelen bastar el nombre, un medio de contacto y el servicio. La fecha de nacimiento, la dirección postal o la profesión solo son útiles si tiene un motivo real para pedirlas (una intervención a domicilio, por ejemplo).

Cuidado con las notas «libres»

Los comentarios en una ficha de cliente son prácticos, pero son datos como los demás. El marco de referencia de la CNIL sobre la gestión de las actividades comerciales recuerda que ciertas informaciones se consideran sensibles: origen, opiniones políticas, religiosas o filosóficas, afiliación sindical, vida u orientación sexual, salud. No deben recogerse sin el consentimiento de la persona. Escriba notas objetivas, útiles para el servicio, que aceptaría enseñar al cliente.

Si es profesional sanitario o terapeuta de bienestar, el tema de los datos de salud merece una atención especial: infórmese sobre las normas propias de su actividad ante la CNIL y su colegio u organización profesional.

Paso 3: informe a sus clientes en el momento de la recogida

Sus clientes deben saber qué hace con sus datos. Según la guía de la CNIL para micro y pequeñas empresas, la información debe precisar, en particular, la finalidad de la recogida, la base jurídica (contrato, consentimiento, obligación legal o interés legítimo), quién tiene acceso a los datos, cuánto tiempo los conserva, cómo ejercer los derechos y si algunos datos salen de la Unión Europea.

Adapte los corchetes a su situación y, si tiene dudas, revise el texto final con los recursos de la CNIL.

Paso 4: pida consentimiento antes de enviar ofertas

Es la regla en la que caen más autónomos. Según la CNIL, enviar publicidad por email, SMS o fax a un particular requiere en principio su consentimiento previo, y ese consentimiento debe ser libre, específico, informado e inequívoco. Aceptar sus condiciones generales no equivale a aceptar recibir ofertas. La CNIL recomienda una casilla para marcar, sin marcar por defecto.

Existe una excepción útil para los comercios de proximidad: si la persona ya es cliente y usted le propone productos o servicios análogos a los que ya ha comprado, no es necesario el consentimiento. Pero dos condiciones siguen siendo obligatorias: debe poder negarse de forma sencilla y gratuita en el momento en que usted recoge sus datos y, después, en cualquier momento, en particular en cada mensaje.

Estas reglas se refieren a la prospección, es decir, a la publicidad y las promociones. Un recordatorio de cita, en cambio, sirve al servicio que el cliente ha pedido. Para hacer seguimiento de sus clientes respetando las reglas y sin cansarlos, nuestra guía para hacer seguimiento a un cliente propone mensajes y ritmos adecuados.

Paso 5: fije un plazo de conservación y respételo

La lista de comprobación de la CNIL lo dice sin rodeos: identifique cuánto tiempo debe guardar cada tipo de información y no la conserve más allá. Para la prospección, el marco de referencia de la CNIL sobre la gestión de las actividades comerciales da referencias precisas.

• Clientes: los datos pueden usarse para la prospección durante la relación comercial y después durante 3 años tras su fin (por ejemplo, a partir de la última compra).
• Clientes potenciales que no son clientes: 3 años a partir de la recogida o del último contacto procedente de la persona. El simple hecho de abrir un email no cuenta como contacto; un clic en un enlace, sí.
• Al cabo de 3 años: puede preguntar a la persona si desea seguir recibiendo sus mensajes. Sin una respuesta positiva y clara, los datos se eliminan o se archivan.

Las facturas y los justificantes contables siguen sus propias obligaciones de conservación: compruébelas con su gestor o contable. Lo más sencillo es fijar una cita anual de limpieza, por ejemplo cada mes de enero, para depurar los contactos inactivos.

Paso 6: proteja el acceso al fichero

Un fichero de clientes perdido o consultado por un tercero es un problema real, tanto para sus clientes como para usted. El marco de referencia de la CNIL enumera numerosas medidas de seguridad; estas son las más importantes para un autónomo:

• una contraseña sólida y distinta para cada herramienta, nunca compartida en un pósit;
• el bloqueo automático de la pantalla del teléfono y del ordenador;
• un acceso reservado a las personas que lo necesitan, retirado en cuanto un colaborador se marcha;
• copias de seguridad periódicas, guardadas en otro lugar que no sea el dispositivo principal;
• ningún fichero de clientes enviado como archivo adjunto sin proteger.

En caso de fuga que pueda suponer un riesgo para las personas, la guía de la CNIL indica que debe notificarse a la CNIL en un plazo de 72 horas, y que las personas afectadas deben ser informadas si el riesgo es alto.

¿Qué hacer cuando un cliente pide ver o borrar sus datos?

Sus clientes tienen derechos: acceso, rectificación, oposición, supresión, portabilidad y limitación. La guía de la CNIL pide responder en plazos cortos, un mes como máximo. Prevea una dirección de email para estas solicitudes y una forma sencilla de encontrar toda la información de una persona.

Ejemplos por profesión

Esteticista: guarde la información útil para el tratamiento (una alergia indicada por la clienta, por ejemplo) solo con su consentimiento, y proponga sus ofertas de fidelidad a las clientas existentes con un enlace para darse de baja. Entrenador personal: separe los contactos que han venido a una sesión de prueba (clientes) de los que solo han pedido un precio (clientes potenciales). Abogado: el secreto profesional se suma al RGPD; limite el acceso a los expedientes y a la agenda. Artesano: un presupuesto no firmado crea un cliente potencial, no un cliente: cuente tres años a partir del último intercambio. Para convertir un fichero ordenado en clientes fieles, nuestra guía para fidelizar a sus clientes ofrece métodos concretos.

Cómo le ayuda Calendrio a mantener un fichero de clientes ordenado

En Calendrio, cada cliente tiene una ficha con su historial de citas y sus notas privadas: todo está en el mismo sitio, lo que facilita una solicitud de acceso o de rectificación. Puede clasificar a sus clientes por categoría y marcar un contacto como «personal» para excluirlo de las campañas.

Cada campaña de email o SMS enviada desde Calendrio incluye automáticamente un enlace para dejar de recibir mensajes; un cliente dado de baja aparece señalado en su ficha y ya no recibe sus campañas. Los planes se presentan en la página de Precios, con una prueba gratuita de un mes, sin tarjeta bancaria y sin permanencia.