LGPD en el marketing: 7 puntos para revisar antes de aprobar una herramienta

Antes de aprobar una herramienta que va a tratar datos de leads, la LGPD (la Ley General de Protección de Datos de Brasil) en el marketing exige revisar siete puntos: base legal del tratamiento, encargado designado, aislamiento de tus datos, cifrado en tránsito y en reposo, logs de auditoría, anonimización bajo demanda y revocación del acceso en el origen. Son esos los elementos que el área jurídica y TI van a preguntar cuando el contrato llegue a su mesa, y es mejor llegar con las respuestas que ir a buscarlas después.

Vale empezar por una distinción que cambia el resto de la conversación. Tu empresa es la controladora de los datos, porque es la que decide por qué y cómo se tratan los datos de los leads. La herramienta contratada es la operadora, porque trata esos datos en nombre de ella. Si el proveedor se equivoca, tu empresa sigue respondiendo por el tratamiento, y por eso la evaluación técnica del proveedor hace parte de tu trabajo, no solo del área jurídica.

A continuación están los siete puntos, en el orden en que suelen aparecer en una aprobación interna.

1. Cuál es la base legal del tratamiento

Toda recolección de datos personales necesita una base legal, y la LGPD enumera diez de ellas en el artículo 7. El consentimiento es la más conocida, y no siempre es la más adecuada para la rutina comercial. Un formulario de material descargable suele apoyarse en el consentimiento. En cambio, el seguimiento de un lead que se volvió oportunidad en el CRM se apoya, casi siempre, en la ejecución de un contrato o en el interés legítimo.

Lo que hay que preguntar internamente es directo: ¿qué base legal sustenta cada recolección que la nueva herramienta va a recibir, y está registrada en algún lugar? Si la respuesta es "tenemos la aceptación del formulario", verifica si el texto de la aceptación cubre el uso que pretendes hacer. Un dato recolectado para recibir un e-book y usado después para prospección activa es el caso clásico de finalidad estirada.

Este punto depende de tu empresa, no del proveedor. Entra primero en la lista porque define qué tiene sentido preguntar en los otros seis.

2. Existe un encargado (DPO) designado

El artículo 41 de la LGPD determina que el controlador designe a un encargado del tratamiento de datos personales, y que el contacto de esa persona se divulgue públicamente. En la práctica, es el canal por el que un titular pide acceso, corrección o eliminación de sus datos, y por el que la autoridad nacional habla con la empresa.

Al evaluar a un proveedor, busca el contacto del encargado en su sitio web. Si no está publicado, pregunta. Una empresa que trata datos de terceros y no sabe decir quién responde por eso te dará trabajo con la primera solicitud de eliminación que llegue.

De tu lado, la prueba es la misma. Cuando un lead pida ser eliminado, ¿quién recibe esa solicitud y en cuánto tiempo logra borrar el registro en todas las herramientas?

3. Tus datos quedan aislados de los datos de otros clientes

Prácticamente toda plataforma de marketing hoy es multiempresa: varios clientes usando la misma aplicación. La pregunta que importa es dónde ocurre la separación entre ellos. Con el aislamiento solo en la capa de la interfaz, un error de programación puede hacer que un filtro se filtre de una cuenta a otra. En la capa de la base de datos, la consulta de una organización no alcanza los registros de otra.

Pregunta al proveedor en qué capa se aíslan los datos por cliente. Es una de las pocas preguntas en que la respuesta genérica ("tus datos están seguros") no sirve. En Laiki, el aislamiento ocurre en la capa de la base de datos, por organización, y cada cuenta ve únicamente sus propios datos. Este punto suele ser el que TI más valora en la aprobación, porque es lo que no puede verificar por su cuenta una vez firmado el contrato.

4. Cifrado en tránsito y en reposo

Son dos cosas diferentes, y las dos necesitan existir. El cifrado en tránsito protege el dato mientras viaja entre tu sitio web, el CRM y la plataforma, y aparece como TLS o HTTPS. El cifrado en reposo protege el dato mientras está guardado en la base, y aparece como un estándar de cifrado, por ejemplo AES-256-GCM.

La traducción para tu decisión es simple. Sin cifrado en tránsito, alguien en el camino puede leer lo que pasa. Sin cifrado en reposo, un acceso indebido al almacenamiento entrega los datos legibles. Cuando el proveedor cita las dos con nombre y estándar, ya pasó por esta conversación antes. Vale revisar también dónde corre la infraestructura y con qué frecuencia hay copia de seguridad.

Material de apoyo · En portuguésGuía de Prompts para Marketing y Ventas70 prompts con preguntas sobre marketing, ventas y comportamiento para hacerles a tus datos.Descargar la guía

5. Hay logs de auditoría de quién accedió a qué

El log de auditoría es el registro de quién hizo qué dentro de la plataforma: quién consultó una lista, quién exportó un reporte, quién modificó una integración. Sirve para dos situaciones concretas. La primera es el incidente, cuando necesitas reconstruir lo que ocurrió. La segunda es la rutina, cuando alguien pregunta cómo un dato fue a parar a determinado lugar.

Sin ese registro, la respuesta a cualquiera de las dos preguntas se vuelve memoria del equipo. Con él, se vuelve consulta. Pregunta si los logs existen, qué registran exactamente y por cuánto tiempo están disponibles. En Laiki, los logs de auditoría están en el plan Pro, junto con la anonimización bajo demanda.

6. Anonimización y eliminación bajo demanda

Todo titular puede pedir la eliminación de sus datos, y tu empresa necesita poder atenderlo. La anonimización es el camino intermedio: se eliminan los datos que identifican a la persona, y el historial de comportamiento sigue sirviendo para el análisis agregado. Mantienes la serie histórica del embudo sin conservar el nombre y el teléfono de quien pidió salir.

Pregunta si la plataforma hace esto bajo demanda, cuánto tarda y si la solicitud necesita pasar por soporte. Y pregunta qué pasa con los datos cuando termina el contrato: ¿se devuelven, se borran y en cuánto tiempo? Esa suele ser la pregunta olvidada en la contratación, y sale cara cuando la respuesta aparece solo en la salida.

7. Puedes revocar el acceso en el origen

Aquí la LGPD en el marketing se encuentra con la rutina de integración. Una plataforma de datos se conecta a tus herramientas de dos maneras, y el control que mantienes cambia en cada una.

En las cuentas de medios pagos y analytics, la conexión ocurre mediante una credencial nativa en OAuth2. Autorizas en la pantalla de inicio de sesión de la propia plataforma de origen, la herramienta contratada no ve ni almacena la contraseña, el alcance es el que Meta o Google concede, y la revocación ocurre allá en el origen. Si mañana quieres cortar el acceso, lo cortas.

En los demás sistemas, como CRM, formularios y chatbots, la conexión ocurre mediante un workflow, con una clave de acceso. Ahí lo que necesitas confirmar es que esa clave queda cifrada, aislada por organización, y que cada acción de la integración queda registrada. Escribimos con más detalle sobre las dos vertientes de integración y cuándo se aplica cada una, porque la elección entre ellas es técnica y afecta exactamente este control.

Las preguntas para enviar al proveedor

Los siete puntos anteriores se convierten en este bloque de preguntas. Cópialo, envíalo por correo electrónico y guarda las respuestas junto con el contrato.

1. ¿Actúan como operador o como controlador de los datos que reciben de nuestra operación, y qué dice el contrato al respecto?
2. ¿Quién es su encargado (DPO) y dónde está publicado su contacto?
3. ¿En qué capa se aíslan los datos de cada cliente: en la interfaz o en la base de datos?
4. ¿Qué estándares de cifrado usan en tránsito y en reposo?
5. ¿Dónde corre la infraestructura, en qué proveedor, y con qué frecuencia hay copia de seguridad?
6. ¿Existe un log de auditoría? ¿Qué registra, quién puede consultarlo y por cuánto tiempo está disponible?
7. ¿Quién de su lado puede ver nuestros datos, y ese acceso queda registrado?
8. ¿Anonimizan o eliminan los datos de un titular bajo demanda? ¿En cuánto tiempo y por qué canal se solicita?
9. ¿Existen subcontratados con acceso a nuestros datos? Si es así, ¿cuáles y para qué?
10. ¿Cómo autorizamos el acceso a nuestras cuentas de medios y al CRM, y cómo revocamos ese acceso cuando queramos?
11. ¿Qué pasa con nuestros datos cuando termina el contrato: devolución, plazo de eliminación y cómo se comprueba?
12. ¿Cuál es su proceso para comunicar un incidente de seguridad, y en cuánto tiempo?

Dos lecturas ayudan a la hora de evaluar las respuestas. Una respuesta corta y específica suele venir de quien ya pasó por una auditoría. Una respuesta larga y sin números suele venir de quien la está escribiendo por primera vez.

Qué hacer con este checklist de LGPD en el marketing

Lleva los siete puntos por escrito y pide también por escrito las respuestas del proveedor. Suelen ocurrir dos cosas. La conversación con el área jurídica y TI se acorta, porque llegas con las respuestas que ellos iban a pedir. Y la calidad de las respuestas separa rápido a los proveedores: quien trata la seguridad como parte del producto responde punto por punto, quien la trata como una página de marketing responde con adjetivos.

De nuestro lado, la lista es pública y específica: cumplimiento de la LGPD, encargado designado, aislamiento por organización en la capa de la base de datos, cifrado AES-256-GCM y TLS/HTTPS, autenticación sin contraseña, logs de auditoría, anonimización bajo demanda e infraestructura en AWS con Cloudflare y copias de seguridad diarias. Puedes ver cómo se organiza esto dentro del producto en la página de la plataforma de datos de Laiki.

Vale una advertencia de alcance. Ninguna herramienta deja tu operación en cumplimiento por sí sola, porque parte del trabajo es tuya: definir la base legal, ajustar los textos de aceptación y responder a los titulares. Lo que hace una buena plataforma es reducir el número de lugares donde el dato personal está disperso, y responder a una solicitud de eliminación se vuelve mucho más simple cuando existe un solo lugar donde buscar.

Preguntas frecuentes

¿La LGPD en el marketing exige consentimiento para todo?

No. El consentimiento es una de las diez bases legales previstas en la ley, y otras se aplican bien a la rutina comercial, como la ejecución de un contrato y el interés legítimo. Lo que la ley exige es que exista una base legal adecuada para cada finalidad, y que esa finalidad se informe al titular.

¿Quién responde si el proveedor filtra los datos de mis leads?

Tu empresa sigue siendo la controladora del tratamiento, así que responde ante los titulares y la autoridad nacional, y después discute la responsabilidad con el operador. Por eso la evaluación técnica antes de la firma vale más que cualquier cláusula activada después del incidente.

¿Conectar un agente de IA a los datos de marketing crea un riesgo nuevo?

El riesgo cambia de forma cuando el acceso no está controlado. En Laiki, el agente consulta lo que ese usuario ya podría consultar, dentro del mismo cumplimiento, con logs de auditoría y anonimización bajo demanda, y quien decide cuándo se conecta el agente y qué consulta es el cliente.

¿Se pueden revisar estos siete puntos sin apoyo de TI?

Se pueden levantar todos, porque las preguntas son de decisión y no de implementación. El apoyo de TI ayuda en la lectura de los puntos 3, 4 y 7, y por eso llevar el checklist completado a la reunión con ellos acelera la aprobación.