WhatsApp y RGPD en tu gimnasio: cuándo pedir consentimiento

Divide lo que envía tu gimnasio en tres grupos. Solo el tercero necesita consentimiento antes de enviarlo.

1. Respuestas. Alguien te escribe y le contestas. Lisa García pregunta si queda sitio en la clase del martes por la tarde, y se lo dices.
2. Mensajes para gestionar la cuota. Confirmaciones de reserva, una clase que cambia de hora, un recordatorio de una clase reservada, una consulta sobre un pago fallido.
3. Ofertas. Todo lo que vende: un bono de diez clases, un paquete de entrenamiento personal, un descuento de verano, un evento de pago.

El criterio es la finalidad: un mensaje que hace publicidad es una oferta, diga lo que diga además.

Sí. En España, la publicidad por correo electrónico, SMS o WhatsApp necesita antes un sí de la persona. La Agencia Española de Protección de Datos (AEPD) lo dice expresamente para WhatsApp.

Hay una excepción que encaja bien con los gimnasios: no tienes que pedir consentimiento si ofreces a tus clientes actuales servicios tuyos similares a los que ya tienen contratados.

En un gimnasio, eso puede cubrir un bono de clases, un paquete de entrenamiento personal o una mejora de cuota que ofreces a un socio actual. Solo vale si:

• La persona es cliente. Te ha comprado una cuota, un bono de clases u otro servicio.
• La oferta es de un servicio tuyo y similar. El producto de un colaborador no entra. Decidir si una oferta es «similar» es una cuestión de criterio.
• Pudo decir que no desde el principio, y puede hacerlo en cada mensaje. La ley exige una forma gratuita y sencilla de oponerse cuando recoges el número, y otra vez en cada oferta.

Toda oferta, a quien sea, debe además indicar el remitente real (el nombre de tu gimnasio, sin alias) y dar una forma sencilla y gratuita de darse de baja.

Sí, sobre lo que pidió, si ha aceptado recibir mensajes de tu gimnasio. Si Lisa García reserva una clase de prueba gratis en tu web, contestarle sobre la hora y sobre qué llevar es responder a su propia petición.

Las ofertas son otra cosa. La excepción vale para quien ya es cliente, y un lead de un formulario de clase de prueba gratis probablemente no lo es. Así que un lead no entra en tu lista de ofertas sin un sí: pídelo en el formulario.

La ley es un candado. WhatsApp añade un segundo. Su Business Messaging Policy, que cubre la app Business y la Plataforma, dice que una empresa solo puede contactar con personas que le dieron su número y aceptaron recibir sus mensajes.

Es más estricta que la ley. Una confirmación de reserva no necesita consentimiento comercial, pero WhatsApp espera igualmente un opt-in antes de que inicies un chat. Si un socio escribe primero, el chat lo ha iniciado él. Para saber cuándo puedes escribir tú primero, lee la regla de las 24 horas de WhatsApp.

El opt-in pide menos de lo que mucha gente cree. Meta dice que puede ser general y no tiene que nombrar WhatsApp, pero debe dejar claro que la persona acepta recibir mensajes de tu empresa, y debe nombrar a la empresa. Puede recogerse en línea, en persona o en papel.

Un mismo formulario puede cubrir los dos candados con dos preguntas separadas. Un texto de ejemplo para un formulario de alta o de clase de prueba, sin garantía de cumplimiento:

☐ Sí, [nombre del gimnasio] puede escribirme por WhatsApp sobre mi clase de prueba, mis reservas y mi cuota. Puedo pedir que paréis en cualquier momento.

☐ Sí, enviadme también ofertas de [nombre del gimnasio] por WhatsApp, como bonos de clases y eventos. Puedo responder STOP a cualquier oferta.

Para esa segunda casilla, el consentimiento tiene que ser una elección real: nada de casillas premarcadas, y el alta no puede depender de que acepte ofertas. Retirarlo debe ser tan fácil como darlo. Y debes poder demostrar el consentimiento, así que guarda un registro de quién marcó qué, y cuándo. Si usas la excepción para socios, guarda también constancia de que el número viene de una venta.

Que el equipo escriba a los socios desde sus propios móviles no está prohibido sin más, pero tu gimnasio responde de esos chats. Eso trae tres problemas:

• Los chats se van con la persona. Cuando un entrenador se va, los números y el historial de los socios se van con él.
• Una petición de borrado tiene que llegar a cada móvil. Si Lisa García te pide que borres sus datos, no puedes hacerlo en un móvil que no controlas.
• Un móvil perdido puede ser una brecha de datos. Puede que tengas que notificarla en un plazo de 72 horas.

Los grupos de WhatsApp de cada clase añaden uno más: cada socio ve el número de todos los demás.

La solución práctica es un único número del gimnasio desde el que trabaja el equipo, en dispositivos del gimnasio o en una bandeja de entrada, en vez de entrenadores con su móvil personal. Para ver cómo comparte un equipo un solo número, lee WhatsApp Business con varios usuarios.

Las lesiones y las notas médicas son datos de salud, una categoría especial según el RGPD, así que conviene dejarlas fuera del chat salvo que tengas una base clara. No pidas nunca números de tarjeta, de cuenta bancaria o de documento de identidad por WhatsApp; su propia política lo prohíbe.

Cualquiera puede oponerse al marketing directo en cualquier momento. Tu gimnasio tiene que parar en cuanto la persona te lo diga. El RGPD dice además que debes informar de este derecho, como muy tarde, en tu primer mensaje.

Un «stop» de un socio a una oferta significa que pares las ofertas, no que dejes de responder a sus dudas sobre reservas. Anótalo, sácalo de tu lista de ofertas y sigue gestionando su cuota.

La gente también puede pedirte que borres sus datos. Deben desaparecer cuando ya no los necesites para su finalidad; para las ofertas, en cuanto alguien retire su consentimiento o se oponga al marketing.

Tu política de privacidad debe decir que tu gimnasio usa WhatsApp y para qué; el RGPD te pide indicar las finalidades y la base legal cuando recoges los datos.

Un software que gestiona por ti los mensajes de los socios (una bandeja de entrada, un agente de IA, una herramienta de reservas que envía mensajes de WhatsApp) convierte a su proveedor en encargado del tratamiento, y el RGPD exige un contrato de encargado con él. Las condiciones de tratamiento de WhatsApp cubren a WhatsApp, no a la empresa que está en medio.

Pregunta cuatro cosas:

1. ¿Me podéis dar vuestro contrato de encargado del tratamiento?
2. ¿Dónde se guardan los datos de nuestros socios, y durante cuánto tiempo?
3. ¿Quién de vuestro equipo puede ver nuestros chats?
4. ¿Cómo borro los datos de una persona en todas partes cuando me lo pide?

En la Plataforma, Meta también actúa como encargado, y dice que sus clientes deben cumplir sus propias obligaciones del RGPD. Para la app y la Plataforma en el día a día, lee WhatsApp Business API o app.

Funcionamos sobre la Plataforma oficial de WhatsApp Business. Aquí tienes el contrato de encargado de Regymo.

1. Clasifica lo que envías: respuestas, mensajes de gestión, ofertas.
2. Añade dos casillas separadas a tus formularios de alta y de clase de prueba.
3. Indica el nombre de tu gimnasio y da una forma de darse de baja en cada oferta; anota cada baja.
4. Saca los chats con socios de los móviles del equipo y pásalos a un único número del gimnasio.
5. Borra los chats que ya no necesites, allí donde estén.
6. Pide un contrato de encargado a cada proveedor; menciona WhatsApp en tu política de privacidad.