CRM y RGPD: plazo de conservación y derecho al olvido

Un antiguo prospecto escribe: «Borren todos mis datos». La solicitud es legítima, el plazo corto, y la pregunta práctica llega enseguida: ¿dónde están? En su ficha, por supuesto, pero también en los correos sincronizados, la herramienta de emailing, una exportación enviada al contable el año pasado y las copias de seguridad de la noche.

Esta guía de nuestra sección CRM y datos de clientes trata las dos caras del tema: cuánto tiempo conservar cada dato, y cómo borrar de verdad cuando se lo piden. Completa nuestra guía para limpiar los datos de su CRM, que sitúa los plazos en una limpieza más amplia. Da referencias, no un dictamen jurídico: su delegado de protección de datos, o su asesor, decide su caso. Las referencias citadas proceden de la CNIL, la autoridad francesa; en otros países, las autoridades de control pueden recomendar otros plazos.

En resumen

• La CNIL propone plazos de referencia: tres años para un prospecto, tres años después del fin de la relación para un cliente utilizado en prospección.
• Los documentos contables se conservan durante el plazo legal, en un archivo separado de los datos activos.
• Una solicitud de supresión se responde en el plazo de un mes, prorrogable dos meses si es compleja.
• Borrar es también tratar los correos sincronizados, las exportaciones, las herramientas conectadas y las copias de seguridad.
• Una persona que rechaza la prospección pasa a una lista de oposición, para no volver en la próxima importación.

Cuánto tiempo conservar qué

El referencial de la CNIL sobre la gestión de actividades comerciales da las referencias más utilizadas para un CRM:

Estos plazos no son vinculantes: según las preguntas y respuestas de la CNIL sobre estos referenciales, uno puede apartarse de ellos siempre que justifique sus decisiones. El principio, en cambio, sí lo es: el artículo 5 del RGPD exige que los datos no se conserven más tiempo del necesario.

Lo que significa «último contacto»

El plazo de un prospecto corre a partir del último contacto procedente de él. El referencial da ejemplos: una solicitud de documentación, un clic en un enlace de un correo que lleva al producto presentado. La simple apertura de un correo no debería contar. Un correo enviado por su comercial no pone, por tanto, el contador a cero.

En la práctica, hace falta un campo «último contacto entrante» actualizado automáticamente: por la sincronización de los correos con el CRM, que ve las respuestas, y por el formulario de la web, que ve las solicitudes.

Al término del plazo

El referencial prevé que se puede volver a contactar con la persona para saber si desea seguir recibiendo comunicaciones. Sin una respuesta positiva y explícita, sus datos se suprimen, o se archivan si una obligación lo justifica. Una automatización puede preparar cada mes la lista de fichas que han llegado a su vencimiento; la decisión y el envío siguen siendo humanos.

El derecho al olvido: lo que exige el reglamento

El derecho de supresión está previsto en el artículo 17 del RGPD. Cuatro reglas del mismo capítulo organizan la respuesta:

• Un mes para responder, desde la recepción de la solicitud, prorrogable dos meses en función de la complejidad y del número de solicitudes, siempre que se informe a la persona en el primer mes (artículo 12).
• Excepciones: los datos que una obligación legal impone conservar, como las facturas, o los necesarios para la formulación, el ejercicio o la defensa de reclamaciones (artículo 17).
• Avisar a los destinatarios a quienes se comunicaron los datos, salvo que sea imposible o exija un esfuerzo desproporcionado (artículo 19).
• La oposición a la prospección se respeta siempre: el referencial de la CNIL recuerda que debe tenerse en cuenta de forma sistemática.

Un justificante de identidad solo se pide en caso de duda razonable sobre la identidad de la persona, y se suprime una vez tramitada la solicitud, según el mismo referencial.

Dónde se esconden los datos de un contacto

Borrar una ficha casi nunca basta. Los datos de una persona viven también:

• en los correos sincronizados y sus adjuntos, vinculados a su ficha;
• en la herramienta de emailing, si tiene su propia lista;
• en la facturación y el soporte, que tienen sus propias fichas;
• en las exportaciones y hojas de cálculo enviadas por correo o guardadas en un disco compartido;
• en los registros de las automatizaciones, que a veces guardan el contenido de los datos tratados;
• en las copias de seguridad, que contienen la ficha tal como estaba la noche de la copia.

Ahí es donde una ficha de cliente única, que conecta las herramientas en torno a una misma clave, hace ganar más tiempo: dice dónde buscar.

En la herramienta: la papelera no es la supresión

La mayoría de los CRM no borran inmediatamente: la ficha va primero a la papelera, para que un error pueda corregirse. En Twenty, según su documentación sobre permisos, «Delete» envía la ficha a la papelera, de donde puede restaurarse, y «Destroy» la borra definitivamente; son dos derechos distintos, asignados por rol. Sus preguntas frecuentes jurídicas precisan que las fichas eliminadas se conservan 14 días por defecto antes de borrarse, un plazo ajustable en los parámetros de seguridad.

Usamos Twenty en producción desde principios de 2025, en nuestro propio servidor, y es ahí donde la cuestión se vuelve concreta: en autoalojamiento, las copias de seguridad son suyas. Una ficha borrada hoy sigue viva en cada copia de seguridad hecha antes, durante todo el tiempo que conserve esas copias.

La lista de oposición, el único dato que se conserva a propósito

Borrar por completo a una persona que rechaza la prospección tiene un efecto perverso: en la próxima importación de un fichero, vuelve. La CNIL recomienda conservar, como mínimo tres años, lo que permite respetar su oposición, en una lista que solo sirve para eso. Cada importación y cada formulario la consultan antes de crear una ficha.

Y cuando el CRM decide solo

Un CRM que puntúa los contactos, clasifica las solicitudes o descarta candidaturas sin mirada humana entra en otro capítulo del reglamento, el de las decisiones automatizadas. Nuestro artículo sobre la decisión automatizada por la IA traza sus límites.

Por dónde empezar

1. 01Escriba sus plazos

   Por categoría de datos, con la justificación de cada desviación respecto al referencial.

2. 02Cree el campo «último contacto entrante»

   Y aliméntelo automáticamente.

3. 03Reserve el derecho de destrucción

   A un rol, y ajuste la duración de la papelera.

4. 04Elabore el mapa de las herramientas

   Donde viven los datos de un contacto, copias de seguridad incluidas.

5. 05Escriba el procedimiento de supresión

   Con la persona que lo lleva y el plazo de un mes.

El resto de la sección cubre la elección entre Twenty, Dolibarr y Odoo, Twenty en producción, Twenty como back-office, la migración desde HubSpot, el coste real de Odoo, los seguimientos comerciales y la adopción de un CRM por los comerciales.

Un CRM entregado con sus plazos de conservación, sus permisos por rol y copias de seguridad probadas es nuestra oferta de CRM y ERP. Para una primera lectura de su situación, escríbanos.

Preguntas frecuentes

Fuentes

1. CNIL, referencial relativo a los tratamientos de datos con fines de gestión de actividades comerciales (nueva pestaña)cnil.fr
2. Preguntas y respuestas CNIL (nueva pestaña)cnil.fr
3. CNIL, RGPD, capítulo 2: principios (nueva pestaña)cnil.fr
4. CNIL, RGPD, capítulo 3: derechos del interesado (nueva pestaña)cnil.fr
5. Twenty, documentación: Permissions (nueva pestaña)docs.twenty.com
6. Twenty, documentación: Legal FAQ (nueva pestaña)docs.twenty.com