SaaS de atención al cliente y RGPD: ¿Cómo elegir y utilizar una herramienta que cumpla realmente con la normativa?
El software de atención al cliente probablemente contenga algunos de los datos personales más sensibles de su organización, después de los de nómina.
El software de atención al cliente probablemente contenga algunos de los datos personales más sensibles de su organización, después de la nómina: datos de contacto, historiales de compra, conversaciones, archivos adjuntos, quejas y, a veces, información financiera o de salud proporcionada voluntariamente por el cliente en campos de texto libre. Existe una idea errónea muy extendida: elegir un proveedor "que cumple con el RGPD" no transfiere su responsabilidad a dicho proveedor. Esto es lo que debe verificar en el producto, el contrato y sus propias prácticas.
RGPD en el SaaS de atención al cliente: ¿Quién es responsable de los datos de los clientes?
La empresa usuaria es, por lo general, la responsable del tratamiento de los datos.
Este es el punto de partida de todo el proceso y el que los equipos de compras suelen subestimar más a menudo. En su guía publicada el 28 de mayo de 2026 sobre la cualificación de los actores de la computación en la nube, la CNIL establece el siguiente principio: por norma general, el cliente es el responsable del tratamiento de los datos que lleva a cabo en el servicio en la nube, porque determina los fines y los medios esenciales. Elige a su proveedor y decide qué datos se procesan, cómo se configura el servicio, qué se elimina y qué se respalda.
El ejemplo dado por la CNIL se aplica directamente a la atención al cliente: una empresa que utiliza un CRM para realizar el seguimiento de sus clientes es la responsable del tratamiento de los datos, mientras que el proveedor del CRM actúa como encargado del tratamiento.
El proveedor de SaaS actúa como encargado del tratamiento, salvo en lo relativo a su propio tratamiento
El proveedor actúa como encargado del tratamiento cuando realiza operaciones con sus datos siguiendo sus instrucciones. Sin embargo, esta calificación no es monolítica: el mismo proveedor puede ser responsable del tratamiento para ciertas operaciones que decide por sí solo, por ejemplo, al utilizar datos de uso para mejorar su producto, o corresponsable del tratamiento cuando la mejora beneficia a ambas partes y los acuerdos se definen conjuntamente.
La CNIL también señala que la calificación depende de los hechos, no de una elección contractual: firmar un acuerdo de procesamiento de datos (DPA) que designe al proveedor como encargado del tratamiento no es suficiente si la realidad de la relación es distinta.
SaaS de atención al cliente y RGPD: ¿qué datos debe mapear antes de la implementación?
¿Qué fluye realmente a través de una herramienta de atención al cliente?
- apellido, nombre, datos de contacto e ID de cliente;
- conversaciones por correo electrónico, chat, WhatsApp, redes sociales o teléfono;
- tickets, notas internas, y comentarios de los asesores;
- archivos adjuntos proporcionados por el cliente;
- historial de pedidos, contratos o suscripciones;
- datos técnicos, registros de conexión y metadatos;
- grabaciones de llamadas o transcripciones, cuando corresponda;
- información proporcionada voluntariamente en un campo de texto libre.
El último punto es el más delicado y es específico del soporte. Un cliente insatisfecho puede mencionar voluntariamente un problema de salud, una dificultad financiera o una situación familiar que nunca tuvo la intención de recopilar. Estos datos siguen estando bajo su responsabilidad. Proporcione instrucciones explícitas a los asesores y establezca un procedimiento para depurar los campos de texto libre.
SaaS de atención al cliente y RGPD: cláusulas a revisar en el contrato y el DPA
El acuerdo de procesamiento exigido por el artículo 28
La relación entre el responsable y el encargado del tratamiento debe regirse por un contrato por escrito u otro acto jurídico vinculante. La CNIL también recomienda prestar especial atención a la elección del proveedor de servicios en la nube y considerar toda la cadena de proveedores de procesamiento, no solo a los encargados directos.
Comprobación punto por punto: objeto, duración, naturaleza y finalidad del tratamiento, categorías de datos y de interesados, obligación de actuar según instrucciones documentadas, confidencialidad del personal, medidas de seguridad, asistencia en las solicitudes de derechos de los interesados y evaluaciones de impacto, notificación de brechas de seguridad, derechos de auditoría, y el destino de los datos al finalizar el contrato.
Los subencargados, el punto ciego más común
Un SaaS de atención al cliente casi siempre depende de otros proveedores: un alojamiento en la nube, un servicio de envío de correos electrónicos, un proveedor de almacenamiento de archivos, una herramienta de análisis, un proveedor de modelos de IA, un servicio de transcripción de voz o soporte técnico subcontratado.
Tres requisitos mínimos: una lista de subprocesadores accesible y actualizada, un mecanismo de notificación previa para cambios y un derecho de oposición razonable por su parte. Una respuesta evasiva sobre este punto es motivo suficiente para rechazar a un proveedor.
Lista de verificación: 10 puntos a revisar en el DPA de un SaaS de atención al cliente
- ¿El DPA se proporciona por defecto, o tiene que solicitarlo?
- ¿Las instrucciones documentadas coinciden con su uso real?
- ¿La lista de subprocesadores es pública y está fechada?
- ¿Cómo se le informa de un cambio de subprocesador?
- ¿La ubicación del alojamiento está garantizada contractualmente o solo se menciona en el sitio web?
- ¿Qué transferencias fuera de la UE existen, incluso para soporte y mantenimiento?
- ¿Con qué rapidez le notifica el proveedor una violación de datos personales?
- ¿Qué asistencia concreta se proporciona para las solicitudes de derechos de los interesados?
- ¿Qué acuerdos de auditoría son realmente prácticos, más allá de un cuestionario anual?
- ¿Qué sucede con los datos tras la finalización del contrato: formato, plazos, costes y eliminación de copias?
SaaS de atención al cliente y RGPD: ¿Dónde se alojan y transfieren sus datos?
La ubicación del alojamiento y la ausencia de transferencias no son lo mismo.
«Nuestros servidores están en Europa» es una respuesta incompleta. El alojamiento europeo no descarta el acceso remoto desde un tercer país para tareas de mantenimiento, la intervención de un subprocesador técnico establecido fuera de la UE o el flujo de datos hacia una herramienta integrada en el producto.
Identifique cuatro aspectos distintos: la ubicación del almacenamiento principal, la ubicación de las copias de seguridad, el acceso de administradores y soporte, y los flujos de salida hacia componentes de terceros del producto, incluidos los motores de IA.
Transferencias fuera de la UE: ¿En qué situación se encuentra el Marco de Privacidad de Datos?
Este tema requiere una respuesta actualizada en lugar de una postura basada en principios. La decisión de adecuación del 10 de julio de 2023 sigue vigente legalmente, y el Tribunal General de la Unión Europea desestimó el recurso de anulación interpuesto contra ella el 3 de septiembre de 2025. Sin embargo, el 31 de octubre de 2025 se presentó un recurso de casación ante el Tribunal de Justicia de la Unión Europea que sigue pendiente, mientras que varios análisis sitúan la resolución a finales de 2026 o en 2027.
Se ha añadido un nuevo factor: una sentencia del Tribunal Supremo de los Estados Unidos dictada el 29 de junio de 2026 sobre la independencia de la Comisión Federal de Comercio ha llevado a varios bufetes de abogados a recomendar que las empresas preparen una solución alternativa en caso de que la decisión de adecuación sea finalmente anulada, ya que dicha decisión se basa en parte en el papel de la FTC como autoridad de control independiente.
¿Qué significa esto para su elección de herramienta?
Tres consecuencias prácticas:
- El Marco de Privacidad de Datos solo cubre a las entidades autocertificadas, cuyo estatus debe verificarse en cada renovación de contrato.
- Una decisión de adecuación nunca elimina la necesidad de contar con el contrato del Artículo 28 ni con medidas de seguridad;
- Cualquier estrategia que dependa exclusivamente de este marco conlleva un riesgo de continuidad. Ofrecer cláusulas contractuales tipo como alternativa, o elegir un alojamiento europeo, no es una postura ideológica, sino una medida de gestión de riesgos.
SaaS de atención al cliente y RGPD: ¿Qué garantías de seguridad debe exigir a su proveedor?
Distinga entre la seguridad de la nube y la seguridad en la nube
Esta es la distinción más útil que debe tener en cuenta durante un proceso de contratación. La seguridad de la nube es responsabilidad del proveedor: infraestructura, hipervisores, red y resiliencia física. La seguridad en la nube es su responsabilidad: configuración de roles, gestión de permisos, elección de los datos que aloja y control de las exportaciones.
La CNIL también advierte sobre varias suposiciones comunes, incluyendo asumir que la obligación de seguridad recae únicamente en el proveedor o pasar por alto la telemetría y los datos de uso recopilados por el proveedor en el análisis de riesgos.
Medidas técnicas que deben estar documentadas
Cifrado en tránsito y en reposo, gestión de identidades y autenticación robusta, roles y permisos granulares, registro de accesos y exportaciones, copias de seguridad en sitios geográficamente separados, procedimiento de gestión de incidentes, pruebas de seguridad periódicas, continuidad del negocio, yun plan de recuperación ante desastres.
Solicite pruebas en lugar de declaraciones: informes de auditoría, certificaciones vigentes y una descripción del proceso de gestión de vulnerabilidades.
Aplique el principio de menor privilegio a los equipos de soporte
Seis preguntas para revisar dentro de su propia organización, independientemente del proveedor:
- ¿Necesita un asesor de primera línea ver el expediente completo del cliente?
- ¿Son los archivos adjuntos visibles para todos los equipos?
- ¿Pueden los administradores leer conversaciones sin dejar rastro?
- ¿Están las exportaciones masivas restringidas y registradas?
- ¿Con qué rapidez se desactivan las cuentas de los empleados que abandonan la empresa?
- ¿Tienen los proveedores externos el mismo nivel de acceso que sus equipos internos?
La mayoría de los incidentes observados en las operaciones de atención al cliente no provienen de una vulnerabilidad del proveedor, sino de permisos excesivamente amplios que se han mantenido durante años.
RGPD en SaaS de atención al cliente: derechos del cliente, incidentes y reversibilidad
Habilite el acceso, la rectificación y la supresión
Su herramienta debe permitirle responder a las solicitudes de los interesados dentro de los plazos establecidos. Funcionalidades que debe probar en una demostración, en lugar de limitarse a leer sobre ellas en un folleto: búsqueda de una persona en todos los canales, exportación estructurada de sus datos, rectificación, eliminación, limitación del tratamiento y anonimización cuando no sea posible la eliminación completa.
Cuidado con los datos dispersos en tickets y archivos adjuntos
Eliminar el registro de un contacto no es suficiente si la misma información permanece en un ticket archivado, en el cuerpo de un correo electrónico, en un archivo adjunto, en una exportación creada por un equipo, en una copia de seguridad o en una herramienta conectada. Una solicitud de supresión mal gestionada es un motivo frecuente de reclamaciones, precisamente porque la empresa cree sinceramente que ha cumplido con la solicitud.
Pruebe el escenario completo antes de la puesta en producción: una solicitud de supresión ficticia seguida de una búsqueda en todos los canales y en todas las ubicaciones de almacenamiento.
Organice la respuesta ante una brecha de datos personales
El contrato y sus procedimientos internos deben especificar quién detecta la brecha, quién avisa a quién, en qué plazo, qué información se transmite, cómo se conservan las pruebas y qué asistencia proporciona el proveedor para que usted pueda cumplir con sus propias obligaciones. Un plazo de notificación vago en el acuerdo de procesamiento de datos es una señal de alerta grave.
Prepare la reversibilidad antes de firmar, no al finalizar el contrato
Formato de exportación, alcance de lo que realmente se puede exportar (tickets, conversaciones, archivos adjuntos, notas internas, metadatos), plazo de devolución, coste posible, asistencia en la migración y plazo de eliminación de copias residuales y copias de seguridad. Estos puntos apenas cuestan esfuerzo negociarlos antes de firmar y se vuelven casi imposibles de conseguir después.
Alcmeon, un SaaS de atención al cliente diseñado para requisitos exigentes
Alojamiento soberano y control de los flujos de datos
Alcmeon es la plataforma conversacional utilizada por grandes marcas B2C y servicios públicos franceses, incluyendo SNCF Connect, Carrefour, Fnac Darty y Le Bon Marché. El alojamiento se proporciona en Francia y en la Unión Europea, lo que simplifica considerablemente la parte de transferencias internacionales de su análisis y reduce su exposición a la incertidumbre que afecta actualmente a los marcos de adecuación transatlánticos.
Gobernanza del procesamiento y la IA
La plataforma anonimiza los datos confidenciales antes de enviarlos a los motores de IA, y las funciones de IA se pueden configurar caso por caso en lugar de activarse de forma global. Conectores CRM nativos permiten exponer a los asesores y a los sistemas automatizados solo la información necesaria para gestionar la solicitud. Para profundizar en este tema, consulte nuestra guía sobre gobernanza de la IA en atención al cliente.
Una consola única, una condición práctica para el cumplimiento
Responder a una solicitud de supresión es sencillo cuando todas las conversaciones de un cliente se encuentran en un mismo lugar, pero resulta muy difícil cuando están dispersas entre una bandeja de entrada de correo electrónico, una cuenta de Instagram, una herramienta de chat y una hoja de cálculo. La consola única de Alcmeon reúne más de quince canales, lo que hace que la búsqueda, la exportación y la eliminación sean procesos prácticos en todo el recorrido del cliente. Consulte nuestra guía sobre centralización de conversaciones con clientes.
Solicite una demostración de Alcmeon y deje que nuestros equipos evalúen su lista de verificación del RGPD.
