VURAL
ESCAENContacto
← Todos los artículos

WhatsApp y RGPD: guía para cumplir sin perder citas

19 de octubre de 2026

Una peluquera consulta un mensaje con los detalles de una cita en su móvil

Sí, puedes usar WhatsApp con tus clientes. Lo que no puedes es usarlo sin criterio. Si tu negocio gestiona citas por este canal, el RGPD y la LOPDGDD te exigen tres cosas básicas: una base legal para tratar los datos, informar al cliente desde el primer mensaje y controlar quién accede a esos datos y con qué contrato.

En esta guía lo explicamos paso a paso, con ejemplos de peluquerías, centros de estética, fisioterapia y clínicas dentales. Sin jerga y con las fuentes oficiales al lado.

Vural
Gestiona citas por WhatsApp con más agilidad
Vural usa inteligencia artificial para reservar citas y responder consultas básicas, incluso fuera del horario laboral, respetando tus condiciones y precios.
Conoce Vural

TL;DR

  • WhatsApp se puede usar en la empresa si el tratamiento de datos cumple el RGPD y la LOPDGDD. INCIBE lo explica en su guía para empresas.
  • Para gestionar una cita basta con datos de contacto y la propia relación con el cliente. Para enviar publicidad, las reglas son otras.
  • Informa de qué datos tratas, quién los trata y para qué desde el primer mensaje.
  • Si usas un asistente o software de terceros, firma el contrato de encargado del tratamiento. No basta con aceptar unos términos genéricos.
  • Datos de salud, historiales y fotos de dolencias: fuera de WhatsApp.

Tabla de contenidos

Por qué WhatsApp entra de lleno en el RGPD

Un nombre y un teléfono ya son datos personales. Cuando un cliente te escribe para pedir hora, tú tratas esos datos. También los tratas cuando guardas la conversación, anotas qué servicio quiere o le mandas un recordatorio.

El RGPD no distingue entre un canal informal y uno profesional. Si lo usas para tu negocio, eres el responsable del tratamiento. Esto vale para una peluquería con dos sillones y para un centro con diez profesionales.

Hay un matiz que te tranquiliza. La LOPDGDD, en su artículo 19, regula el tratamiento de datos de contacto de empresarios individuales y profesionales liberales. Pero la mayoría de tus clientes son particulares, así que conviene aplicar las reglas generales.

El error más común en las pymes

Según INCIBE, el problema no suele ser usar WhatsApp. Es tratarlo como un sistema interno sin aplicar medidas de seguridad. Un móvil personal compartido, sin bloqueo y con copias de seguridad sin control es un riesgo real.

La AEPD ha llegado a sancionar el uso de WhatsApp personal para tratar datos de clientes. Es una práctica muy extendida, y por eso conviene separar el número del negocio del tuyo personal.

Antes de nada, el tratamiento debe ser lícito. Eso significa que se apoya en alguna de las bases del artículo 6 del RGPD. En un negocio con cita previa, las más habituales son estas:

Situación Base habitual Ejemplo Gestionar una cita que el cliente pide Ejecución de una relación contractual o precontractual Confirmar el corte del jueves a las 17:00 Recordar o cambiar una cita ya reservada La misma relación con el cliente Recordatorio 24 horas antes Enviar ofertas o novedades Relación previa con servicios similares, u otro consentimiento Promoción de un tratamiento facial Usar fotos o testimonios Consentimiento Publicar un antes y después

La tabla es una orientación práctica. Cada negocio debe revisar su caso concreto, y si tienes dudas, consulta con un delegado de protección de datos o un asesor especializado.

Consentimiento: lo que exige la AEPD

Cuando necesites consentimiento, tiene que ser libre, específico, informado e inequívoco. La AEPD indica que el consentimiento tácito y las casillas premarcadas no valen. Además, debes poder demostrar que lo obtuviste.

Requisitos y prueba del consentimiento informado

En la práctica: si un cliente te escribe una vez para una cita, eso no significa que haya aceptado recibir tus promociones. Guarda la prueba cuando alguien diga que sí, por ejemplo con una respuesta afirmativa a una pregunta clara.

Mensajes comerciales por WhatsApp

La AEPD explica en su página de publicidad no deseada que se puede enviar publicidad por WhatsApp si existe una relación contractual previa y se trata de productos o servicios similares. Los datos deben haberse obtenido lícitamente.

Hay una condición que se olvida mucho: en cada mensaje, el cliente debe tener una forma sencilla y gratuita de oponerse. Un “responde BAJA para no recibir más mensajes” lo resuelve. La falta de esa opción es un motivo frecuente de reclamación.

Un recordatorio de cita no es publicidad. Una oferta de temporada sí. No mezcles ambas cosas en el mismo mensaje. Si quieres ejemplos de textos bien separados, tienes plantillas de WhatsApp para negocio listas para adaptar.

Mensajes comerciales por WhatsApp: esquema general

El deber de informar desde el primer mensaje

El cliente tiene derecho a saber qué haces con sus datos. El INCIBE señala que, en servicios de reserva automatizados, es indispensable cumplir el deber de informar: qué datos se tratan, quién los trata y para qué.

No hace falta un párrafo legal enorme en el chat. Lo habitual es un mensaje breve con un enlace a tu política de privacidad completa. Por ejemplo:

Hola, soy el asistente de [nombre del negocio]. Uso tu nombre y teléfono solo para gestionar tu cita. Puedes ver cómo tratamos tus datos aquí: [enlace]. ¿Qué día te viene bien?

Con eso informas desde el principio y no frenas la conversación. Además, ese mensaje deja constancia de que lo hiciste.

Qué debe incluir tu información

  • Quién es el responsable (el nombre de tu negocio y un contacto).
  • Para qué usas los datos: gestionar la cita, enviar recordatorios, atender dudas.
  • Con quién los compartes, por ejemplo, el proveedor del software.
  • Cuánto tiempo los conservas.
  • Cómo ejercer sus derechos: acceso, rectificación, supresión, oposición.

Si usas un asistente o software de terceros

Cuando contratas una herramienta que gestiona las conversaciones por ti, ese proveedor pasa a ser encargado del tratamiento. La guía de la AEPD para responsables recoge que el artículo 28 del RGPD obliga a formalizar un contrato. Ese contrato debe fijar el objeto, la duración, la finalidad y las medidas de seguridad.

Aceptar unos términos genéricos no es suficiente. Necesitas un documento que vincule al proveedor a tus instrucciones.

Antes de contratar cualquier herramienta, pregunta lo siguiente:

  1. ¿Me facilitan un contrato de encargado del tratamiento?
  2. ¿Dónde se guardan los datos y quién tiene acceso?
  3. ¿Qué pasa con mis datos si doy de baja el servicio?
  4. ¿Usan las conversaciones de mi negocio para otros fines?
  5. ¿Qué medidas de seguridad aplican?

En el caso de Vural, puedes consultar nuestra política de privacidad del servicio y las condiciones del servicio, donde se explica la cuota, la baja y el tratamiento de datos.

Grupos de WhatsApp: mejor evitarlos

Crear un grupo para coordinar citas con varios clientes parece cómodo. El problema es que cada participante ve el teléfono de los demás. Eso supone dar a terceros un dato personal que no consintieron compartir.

La solución es sencilla: conversaciones individuales, una por cliente. Si necesitas comunicar algo a mucha gente, como un cambio de horario por festivo, usa listas de difusión, que no muestran los números entre sí. Y recuerda que quien las reciba debe tener tu número guardado. Si dudas, trata ese mensaje como comunicación comercial y aplica las reglas de oposición.

Datos de salud: la línea roja de fisios y clínicas dentales

Si tu negocio es una clínica de fisioterapia o dental, el listón sube. Los datos de salud son categorías especiales. La AEPD recuerda que, bajo el artículo 9 del RGPD, su tratamiento está prohibido salvo que concurra alguna de las circunstancias previstas.

Para una cita, lo razonable es limitarse a lo mínimo:

  • Sí: nombre, teléfono, día y hora, tipo de servicio genérico (“sesión de fisioterapia”).
  • No: diagnósticos, informes, resultados de pruebas, fotos de lesiones o historiales.

INCIBE advierte de que WhatsApp no debería ser el canal principal para información confidencial o documentos médicos, porque pierdes el control real sobre esos datos. Si un paciente te envía una foto o un informe por chat, no lo pidas de nuevo por ahí. Indícale un canal seguro de tu clínica.

En cada caso concreto, consulta con el responsable de protección de datos de tu clínica o con un asesor especializado en sanidad. Un chat de citas bien configurado no debe pedir síntomas. Si quieres ver cómo se plantea esto en fisioterapia, lee cómo automatizar citas de fisioterapia con IA y WhatsApp.

Qué dicen las multas y por qué te importan

En 2021, WhatsApp Ireland recibió una multa de 225 millones de euros del regulador irlandés por falta de transparencia en su gestión de datos. Esa sanción es para la plataforma, no para ti. Pero deja una lección útil: una vez que los datos salen de tu esfera, tu control se diluye. Por eso importa tanto qué compartes.

La AEPD también ha actuado antes contra la propia plataforma. En 2018 sancionó a WhatsApp y a Facebook por ceder y tratar datos personales sin consentimiento.

Para una pyme, el riesgo está en otro sitio: el uso interno descuidado. Móviles personales, grupos con clientes, capturas enviadas a terceros y mensajes que nadie borra.

Checklist práctico para tu negocio

Usa esta lista como punto de partida. Te llevará una tarde.

  1. Separa el número. Usa una línea de empresa, no tu WhatsApp personal.
  2. Escribe tu mensaje de bienvenida con el aviso de privacidad y el enlace.
  3. Define qué datos pides para una cita. Solo los necesarios.
  4. Prohíbe los grupos con clientes.
  5. Separa recordatorios y promociones, y ofrece siempre una forma fácil de darse de baja.
  6. Firma el contrato de encargado con cada proveedor que toque los datos.
  7. Fija plazos de conservación y borra lo que ya no necesitas.
  8. Forma a tu equipo. Cualquiera que conteste mensajes debe conocer estas reglas.
  9. Documenta todo. Si la AEPD pregunta, debes poder demostrar lo que hiciste.

Si tu volumen de datos no es masivo, el INCIBE recuerda que la herramienta Facilita de la AEPD puede ayudarte con el análisis inicial. Está pensada para pymes con tratamientos sencillos, según su guía de RGPD para pymes.

Nuestra perspectiva sobre WhatsApp y RGPD

Creemos que ordenar la agenda y cumplir la norma van de la mano. Un asistente que habla con cada cliente en una conversación individual, que se mantiene dentro de las condiciones y precios que tú defines, y que centraliza agenda y comunicación en una sola plataforma, reduce los puntos donde se pierden datos.

También somos claros con los límites. Un asistente de reservas está para gestionar citas y resolver consultas básicas. No está para recoger diagnósticos ni historiales. Si tu negocio es sanitario, diseña la conversación para que pida lo mínimo y derive lo sensible a un canal adecuado.

Y una última idea: el cumplimiento no es un trámite que se hace una vez. Revisa tus mensajes, tu aviso de privacidad y tus contratos cada vez que cambies de herramienta o de forma de trabajar.

Automatiza las citas sin perder el control de los datos

Si quieres que WhatsApp gestione tus reservas incluso fuera de horario, Vural lo hace por ti. Contesta a tus clientes y reserva, cambia y cancela citas, siempre con tus condiciones y precios. En los planes Pro y Premium, además, ofrece los huecos cancelados a tu lista de espera. No cobramos comisiones por reserva ni hay permanencia.

Hay cuatro planes: Inicial (79 € al mes), Esencial (199 € al mes), Pro (399 € al mes) y Premium (999 € al mes), sin IVA. Lo dejamos montado con tus datos: la puesta en marcha es un pago único a precio fijo (480 € en Inicial, 900 € en Esencial, 1.200 € en Pro y desde 1.800 € en Premium) y la cuota empieza cuando ya funciona. Puedes ver todo en vural.io.

Si quieres saber más antes de decidir, mira cómo recibir y automatizar reservas por WhatsApp o cómo personalizar las respuestas para que suenen a tu negocio.

Preguntas frecuentes

¿Puedo usar WhatsApp Business para citas con clientes?

Sí, siempre que el tratamiento de datos cumpla el RGPD y la LOPDGDD. Para gestionar una cita, el propio servicio que el cliente solicita suele ser base suficiente. Informa del uso de sus datos desde el primer mensaje y evita pedir información sensible.

¿Necesito el consentimiento del cliente para mandarle recordatorios?

Un recordatorio de una cita que el cliente ha reservado forma parte de gestionar ese servicio. Para promociones, la AEPD admite el envío si hay relación contractual previa y servicios similares, con una vía fácil de oposición en cada mensaje. Fuera de ese caso, necesitas consentimiento. Puedes ver cómo plantear los avisos en nuestra guía de recordatorios de citas por WhatsApp.

¿Qué datos no debo pedir ni enviar por WhatsApp?

Evita diagnósticos, informes médicos, fotos de lesiones, documentos de identidad y cualquier dato de salud. INCIBE aconseja no usar WhatsApp como canal principal para información confidencial. Pide solo lo necesario para dar la cita.

¿Qué pasa si uso un asistente de IA que atiende los mensajes?

El proveedor se convierte en encargado del tratamiento. Debes firmar con él el contrato que exige el artículo 28 del RGPD, según la guía de la AEPD. Revisa también qué datos guarda y qué ocurre al darte de baja.

¿Puedo crear un grupo de WhatsApp con mis clientes?

Mejor no. Cada miembro vería el teléfono de los demás, y eso es compartir datos personales de terceros sin su permiso. Usa conversaciones individuales o listas de difusión.

Fuentes

Recomendaciones

Más artículos