Usar un agente de IA en WhatsApp para atender leads inmobiliarios implica tratar datos personales desde el primer mensaje: teléfono, nombre, presupuesto, a veces situación laboral o familiar. Eso significa que el RGPD y la normativa española de protección de datos y comercio electrónico aplican igual que si esa conversación la llevara una persona. La IA no es una zona sin reglas.
Este artículo repasa los puntos que una agencia debería revisar antes de poner en marcha un agente de IA en WhatsApp. No es asesoramiento jurídico: es una guía de puntos a comprobar, y cada agencia debería validar su caso concreto con un profesional del derecho antes de lanzar el sistema en producción.
Base legal para tratar los datos del lead
Antes de que el agente de IA empiece a recoger datos, tiene que haber una base legal que lo ampare. En la mayoría de conversaciones de cualificación inmobiliaria, la base legal más habitual es la ejecución de medidas precontractuales a solicitud del interesado: el lead inicia el contacto pidiendo información sobre un inmueble, y los datos que da (zona, presupuesto, plazo) son necesarios para poder atender esa solicitud.
Para usos adicionales, como enviar comunicaciones comerciales sobre otros inmuebles más adelante, la base legal cambia: normalmente hace falta consentimiento expreso o, si existe una relación previa con el cliente, el interés legítimo debidamente justificado. Conviene no mezclar ambas cosas en la misma casilla ni asumir que un dato recogido para cualificar sirve automáticamente para cualquier otro uso.
Qué información dar en el primer mensaje
El RGPD exige informar al interesado, de forma clara y accesible, en el momento en que se recogen sus datos. En una conversación de WhatsApp esto no significa mandar un aviso legal de varios párrafos como primer mensaje, porque eso arruina la experiencia y probablemente nadie lo lea. Lo habitual y razonable es:
- Un mensaje breve que indique que la conversación puede estar gestionada por un asistente automatizado.
- Un enlace a la política de privacidad completa, donde sí debe figurar toda la información exigida: responsable del tratamiento, finalidad, base legal, plazo de conservación y derechos disponibles.
- Identificación clara de quién es el responsable del tratamiento (la agencia, no el proveedor de tecnología).
Esta información en capas (aviso breve + política de privacidad ampliada) es la práctica más extendida y equilibra la obligación de informar con la experiencia de conversación.
El proveedor de IA como encargado del tratamiento
Cuando una agencia usa una plataforma externa para gestionar el agente de IA en WhatsApp, esa plataforma actúa normalmente como encargada del tratamiento: trata los datos de los leads por cuenta de la agencia, que sigue siendo la responsable. Esto exige, como mínimo:
- Un contrato de encargo de tratamiento (a menudo llamado DPA, data processing agreement) firmado entre la agencia y el proveedor.
- Que el contrato especifique el objeto, duración, naturaleza y finalidad del tratamiento, así como el tipo de datos y las medidas de seguridad aplicadas.
- Que quede claro qué pasa con los datos si la agencia deja de usar el servicio: borrado o devolución.
Si el proveedor subcontrata a su vez servicios de infraestructura o de modelos de lenguaje de terceros, esas subcontrataciones también deben estar contempladas en el contrato, con el mismo nivel de garantías.
Conservación de los datos
Los datos de un lead no se pueden conservar indefinidamente "por si acaso". La conservación debe estar limitada a lo necesario para la finalidad del tratamiento:
- Si el lead no responde y no hay operación en curso, hay que definir un plazo razonable tras el cual los datos se eliminan o se anonimizan.
- Si el lead se convierte en cliente, los datos pasan a conservarse según los plazos aplicables a la relación contractual y a las obligaciones fiscales derivadas.
- El historial de conversación de WhatsApp debería estar sujeto a la misma política de conservación que el resto de la ficha del cliente en el CRM, no vivir de forma indefinida en un sistema aparte.
Derechos de las personas: acceso, rectificación, cancelación, oposición, portabilidad y limitación
Cualquier lead que haya conversado con el agente de IA tiene derecho a ejercer sus derechos sobre esos datos: acceder a ellos, pedir que se corrijan, que se eliminen, oponerse a un uso concreto, pedir la portabilidad o limitar el tratamiento. La agencia debe tener un canal claro para recibir estas solicitudes (normalmente un email dedicado) y un procedimiento para resolverlas dentro de los plazos legales, incluyendo la posibilidad de eliminar el historial de una conversación de WhatsApp si así se solicita.
Transferencias internacionales de datos
Si el proveedor de IA o de infraestructura de WhatsApp aloja datos fuera del Espacio Económico Europeo, eso constituye una transferencia internacional de datos y necesita una base habilitante: cláusulas contractuales tipo aprobadas por la Comisión Europea, una decisión de adecuación sobre el país de destino, u otro mecanismo válido conforme al RGPD. Esto es especialmente relevante cuando se usan modelos de lenguaje de proveedores con infraestructura en Estados Unidos u otros terceros países, y conviene pedir explícitamente esta información al proveedor antes de contratarlo.
Decisiones automatizadas
El RGPD limita las decisiones basadas únicamente en tratamiento automatizado que produzcan efectos jurídicos o afecten significativamente a la persona. En el contexto de cualificación de leads inmobiliarios, esto normalmente no llega a ese nivel porque no hay una decisión que afecte de forma significativa al interesado de forma automática (no se le deniega una vivienda ni se le exige financiación solo con el score del agente). Aun así, conviene:
- Que el score de cualificación que calcula el agente sea solo un criterio de priorización interna, nunca la única base para rechazar a un cliente.
- Que exista siempre la posibilidad de que una persona intervenga en la conversación si el lead lo pide.
- Documentar cómo funciona el score, por si se solicita esa información en el ejercicio de un derecho de acceso.
LSSI y comunicaciones comerciales
Además del RGPD, en España aplica la Ley de Servicios de la Sociedad de la Información (LSSI) a las comunicaciones comerciales. Esto afecta directamente a cómo se usa WhatsApp para enviar mensajes que no sean respuesta directa a una consulta del cliente:
- Enviar información sobre nuevos inmuebles o promociones a alguien que no lo ha pedido expresamente requiere consentimiento previo, salvo excepciones muy concretas de relación contractual previa con productos similares.
- Todo mensaje comercial debe permitir identificar claramente que es una comunicación comercial y ofrecer una vía sencilla para darse de baja.
- Las plantillas de WhatsApp Business API para comunicaciones proactivas (fuera de la ventana de conversación abierta por el cliente) tienen además sus propias reglas de aprobación por parte de Meta, independientes de la normativa española.
Checklist antes de lanzar el agente de IA en WhatsApp
- Base legal identificada para cada tipo de tratamiento (cualificación vs. comunicaciones comerciales).
- Aviso breve en la conversación más política de privacidad completa enlazada.
- Contrato de encargo de tratamiento firmado con el proveedor de IA.
- Plazos de conservación definidos y aplicados también al historial de WhatsApp.
- Procedimiento claro para atender derechos de acceso, rectificación y cancelación.
- Verificación de dónde se alojan los datos y si hace falta un mecanismo de transferencia internacional.
- Consentimiento explícito para comunicaciones comerciales proactivas, separado del consentimiento de cualificación.
Este es un resumen operativo pensado para que una agencia sepa qué preguntar y qué revisar, no un sustituto de asesoramiento legal. Antes de activar cualquier agente de IA en WhatsApp, recomendamos que un asesor jurídico revise el contrato con el proveedor y la política de privacidad concreta de la agencia. Si quieres ver cómo se configura la parte técnica de WhatsApp Business API antes de esa revisión legal, tenemos una guía completa en nuestra página de precios y puedes resolver dudas concretas en contacto.