Por qué importa en un chat de ventas
Cuando un cliente escribe por WhatsApp, Instagram o TikTok, suele dejar su nombre, teléfono, dirección, a veces su DNI o su correo. Eso son datos personales. Un asistente automatizado puede recogerlos más rápido, pero la responsabilidad sigue siendo del negocio. Esta guía resume lo esencial para equipos pequeños; para tu caso concreto, consulta con asesoría legal.
El marco: Ley 29733 y su nuevo reglamento
La Ley de Protección de Datos Personales (Ley 29733) establece principios como el consentimiento, la finalidad y la proporcionalidad. Su reglamento fue reemplazado por el Decreto Supremo 016-2024-JUS, publicado el 30 de noviembre de 2024. La Autoridad Nacional de Protección de Datos Personales (ANPD), del Ministerio de Justicia y Derechos Humanos, informa que entró en vigencia el 31 de marzo de 2025.
- Consentimiento. Para tratar datos personales debe mediar el consentimiento de su titular, que debe ser previo, informado, expreso e inequívoco.
- Finalidad. Los datos se recopilan para una finalidad determinada, explícita y lícita, y no se pueden usar para otra distinta.
- Proporcionalidad. El tratamiento debe ser adecuado, relevante y no excesivo para esa finalidad. En un chat, pide solo lo que necesitas.
Cuándo no hace falta consentimiento
La ley prevé excepciones. Una de ellas es que los datos sean necesarios para preparar, celebrar y ejecutar una relación contractual en la que el titular es parte. Un pedido o una reserva es un buen ejemplo. Pero para otros fines, como enviar publicidad, necesitas consentimiento propio y separado, y la persona puede negarse o retirarlo después.
Qué debes informar antes de pedir datos
La Ley 29733 reconoce el derecho de información: el titular debe saber, de forma previa, detallada, sencilla, expresa e inequívoca, lo siguiente:
- La finalidad para la que se usarán sus datos.
- Quiénes serán sus destinatarios.
- La existencia del banco de datos, y la identidad y el domicilio de su titular y, si corresponde, de los encargados.
- Si responder es obligatorio u opcional.
- Si habrá transferencia de datos.
- Qué pasa si entrega los datos o si se niega.
- Por cuánto tiempo se conservarán.
- Cómo ejercer sus derechos.
Para la recolección en línea, la ley admite que una política de privacidad fácilmente accesible e identificable cumpla ese deber. Aun así, el reglamento aclara que la política de privacidad no exonera de obtener el consentimiento. Y, en el chat, quien trata los datos es quien debe poder probar que lo obtuvo.
Un aviso breve para el primer mensaje
"Hola, soy el asistente de [tu negocio]. Usaremos tu nombre y teléfono para atender tu consulta y gestionar tu pedido. Puedes ver cómo tratamos tus datos y ejercer tus derechos en [enlace a tu política de privacidad]. Si prefieres hablar con una persona, escríbelo."
El reglamento reconoce formas expresas de consentimiento como hacer clic o dar un toque, además de la forma escrita u oral. En un chat, una respuesta del cliente aceptando el aviso o un botón de aceptación pueden servir; conserva el registro de la conversación como evidencia.
Cómo atender los derechos ARCO
ARCO significa acceso, rectificación, cancelación y oposición. El titular puede pedir que le informes qué datos tienes, que los corrijas, que los elimines o que dejes de usarlos para un fin. Debes ofrecer un canal y atender dentro de los plazos del reglamento, que cuenta en días hábiles:
| Derecho | Plazo máximo |
|---|---|
| Información | 8 días hábiles |
| Acceso | 20 días hábiles |
| Rectificación, cancelación u oposición | 10 días hábiles |
- Los plazos de acceso y de rectificación, cancelación u oposición pueden ampliarse una vez por un periodo igual, si se justifica y se comunica dentro del plazo. El de información no.
- Si no respondes dentro del plazo, la persona puede considerar denegada su solicitud y presentar un reclamo ante la ANPD.
- Retirar el consentimiento para publicidad u oponerse a ella debe poder hacerse de forma sencilla y gratuita, y atenderse en un máximo de 10 días.
En OtraVenta publicamos un canal gratuito en derechos ARCO, y puedes pedir la eliminación en eliminación de datos. Si Meta u otro servicio independiente también conserva el dato, puede ser necesario completar su propio procedimiento. El detalle está en la política de privacidad.
Proveedores, transferencias e incidentes
- Proveedores. Si usas servicios de mensajería, nube o inteligencia artificial, los datos pasan por terceros. Pregunta a tu proveedor dónde y cómo se tratan, y qué compromisos de confidencialidad y seguridad asume.
- Flujo transfronterizo. El reglamento regula el envío de datos a otros países. Si tu proveedor procesa datos fuera de Perú, infórmalo y confirma las salvaguardas aplicables.
- Incidentes de seguridad. El reglamento exige notificar a la ANPD, dentro de 48 horas desde que se toma conocimiento, los incidentes que afecten a un gran número de personas o a datos sensibles.
- Registro. El reglamento mantiene la inscripción de bancos de datos en el Registro Nacional de Protección de Datos Personales. Confirma con tu asesor si debes inscribir el tuyo.
Buenas prácticas para un asistente en chat
- Avisa que es un asistente y ofrece pasar con una persona.
- Informa la finalidad antes de pedir cualquier dato.
- Pide solo lo necesario para la consulta, el pedido o la reserva.
- Evita pedir datos sensibles por chat salvo que sea indispensable; la ley refuerza sus requisitos.
- Define cuánto tiempo conservas las conversaciones y quién puede verlas.
- Ten un canal visible para derechos ARCO y para retirar el consentimiento.
Si quieres entender cómo tratamos los datos y qué sigue siempre en manos de personas, revisa Seguridad.