Un CRM (siglas en inglés de gestión de la relación con los clientes) es el programa donde guardas los contactos, las oportunidades de venta y lo hablado con cada cliente. En una pyme, empezar por las funciones deja fuera lo que decide si se usará: si encaja con tu forma de vender, quién lo mantiene y qué pasa con los datos.
Por eso esta guía sigue seis pasos y deja las funciones para el tercero, como un criterio más de la matriz.
Cómo elegir un CRM en seis pasos
- Describe cómo avanza una venta y quién hace cada paso.
- Decide qué datos necesitas, con qué base legal y cuánto tiempo los guardarás.
- Escribe una matriz de criterios antes de ver demostraciones.
- Prueba los dos mejores con un guion y datos inventados.
- Lee el contrato de encargado del tratamiento del proveedor.
- Comprueba cómo saldrías: qué se exporta, cuándo y con qué coste.
Qué proceso y qué datos va a ordenar el CRM
El CRM tiene que adaptarse a cómo vende tu empresa. Escribe en una página los estados de una oportunidad (como recibida, propuesta enviada, ganada o perdida), quién la mueve y qué hace falta para cada cambio. Luego apunta solo los datos que ese recorrido usa, porque el Reglamento General de Protección de Datos (RGPD) pide que sean «adecuados, pertinentes y limitados a lo necesario» (artículo 5.1.c).
Guarda de dónde llega cada contacto y la fecha de cada cambio de estado. Con el origen podrás calcular e interpretar el coste por lead (cada contacto interesado); con las fechas, cuánto tardas en responder. Si marketing y ventas no han acordado los estados, empieza por cómo definir los estados de un lead.
Qué datos puede guardar el CRM y qué tiene que permitir
Cada contacto del CRM necesita una base jurídica, la razón legal que permite tratar sus datos. Si es tu cliente o te pide un presupuesto, la base es el contrato o las medidas precontractuales (artículo 6.1.b del RGPD). Para el contacto profesional de quien trabaja en una empresa o de un autónomo, la ley española de protección de datos (LOPDGDD) presume el interés legítimo si te limitas a los datos necesarios para localizarle y a relacionarte con su empresa (artículo 19).
Si te apoyas en el consentimiento, tiene que ser libre, específico, informado e inequívoco (artículo 6 de la LOPDGDD). Cómo pedirlo lo explica la guía sobre errores en formularios web.
| Lo que el CRM tiene que permitir | Lo que pide la norma |
|---|---|
| Guardar la prueba del consentimiento y su retirada | Poder demostrarlo, y que retirarlo sea tan fácil como darlo (RGPD, artículo 7, apartados 1 y 3) |
| Programar supresiones | Guardar los datos solo el tiempo necesario y decir ese plazo a las personas (RGPD, artículos 5.1.e, 13.2.a y 14.2.a) |
| Bloquear registros | Al suprimir o rectificar, apartar los datos para que solo los vean jueces, fiscalía y administraciones mientras prescriben las responsabilidades, y luego destruirlos; si el programa no puede bloquear, una copia segura (LOPDGDD, artículo 32) |
| Encontrar, corregir, copiar, exportar y borrar todo lo de una persona | Atender gratis sus derechos en 1 mes, prorrogable otros 2 meses si hace falta, con la portabilidad (llevarse sus datos) en un formato «estructurado, de uso común y lectura mecánica» (RGPD, artículos 12 y 15 a 22) |
Desliza a la izquierda: cuatro fichas, una por fila →
Matriz para comparar CRM por criterios, no por funciones
La matriz de un CRM fija qué valoras y cómo lo compruebas. Escribe la matriz antes de ver demostraciones, para que todos los candidatos se midan igual. Puntúa cada criterio de 0 a 2 (no lo cumple, lo cumple con apaños, lo cumple del todo), confirma cada 2 en la prueba y descarta a quien saque 0 en uno imprescindible.
| Criterio | Cómo lo compruebas |
|---|---|
| Proceso: tus estados y la fecha de cada cambio | Mover una oportunidad por todos ellos y ver su historial |
| Datos: solo los campos que usas | Montar tu ficha de contacto mínima |
| Entrada: las solicitudes de la web llegan solas | Enviar un formulario y ver si llega con su origen |
| Uso diario: registrar una llamada desde el móvil | Pedírselo a dos personas del equipo, sin ayuda |
| Permisos: quién ve y quién exporta | Intentar exportar con un usuario de rol limitado |
| Derechos de las personas | Encontrar, corregir, copiar y borrar todo lo de un contacto |
| Proveedor: contrato, subencargados, países y soporte | Pedir los documentos y escribir al soporte antes de la prueba |
| Salida: qué se exporta y en qué formato | Exportarlo todo y abrirlo fuera del programa |
| Coste total del contrato | Pedir por escrito el precio total, con implantación, formación, salida y más usuarios |
Desliza a la izquierda: nueve fichas, una por fila →
Añade a la matriz las conexiones con tu correo o tu facturación y los informes que necesites, y mira cómo pasar de los paneles de marketing a decisiones trazables.
Prueba los dos mejores CRM con un guion y datos inventados
Convierte la matriz en un guion (dar de alta un contacto del formulario, mover una oportunidad, crear un usuario limitado, atender una petición de supresión y exportarlo todo) y pide a quienes usarán el CRM que lo sigan sin ayuda.
Haz la prueba con datos inventados, no con los de tus clientes. Con datos reales, el proveedor ya los trataría «por cuenta del responsable del tratamiento» (artículo 4.8 del RGPD), así que sería tu encargado y necesitarías antes el contrato del artículo 28.
La prueba de exportación puede cambiar el orden de los candidatos. Con cifras inventadas y 9 criterios, el máximo es 18. A suma 15 y B, 14, pero si A no exporta el historial de cambios de estado que necesitas, pasa de 2 a 0 en salida y queda en 13, detrás de B; si la salida es imprescindible, queda descartada.
El proveedor del CRM trata tus datos: el contrato del artículo 28
El proveedor de un CRM en la nube es tu encargado del tratamiento; tu empresa es la responsable, la que decide para qué y cómo se tratan los datos. El RGPD te obliga a elegir un encargado que ofrezca garantías suficientes de cumplirlo (artículo 28.1).
El contrato va por escrito, aunque sea electrónico, y fija el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos, las personas afectadas y tus derechos y obligaciones; la Agencia Española de Protección de Datos (AEPD) publica un modelo orientativo de cláusulas. En ese contrato, el proveedor se compromete a ocho cosas (artículo 28.3).
8 puntos
- Tratar los datos solo con tus instrucciones documentadas, también al enviarlos fuera del Espacio Económico Europeo
- Garantizar que quien los trate está obligado a la confidencialidad
- Aplicar las medidas de seguridad del artículo 32
- No recurrir a otro encargado sin tu autorización previa por escrito, y trasladarle por contrato las mismas obligaciones
- Ayudarte a atender los derechos de las personas
- Ayudarte con la seguridad, las brechas y las evaluaciones de impacto de los tratamientos de alto riesgo (artículos 32 a 36)
- Al acabar, suprimir o devolverte los datos, a tu elección
- Darte la información para demostrar que cumple y permitir auditorías, incluidas inspecciones
Ante una brecha (datos perdidos, destruidos, alterados o vistos sin permiso), el proveedor te avisa sin dilación indebida. Tu empresa la documenta siempre y la notifica sin dilación a la autoridad de control (en España, la AEPD), si es posible en 72 horas como máximo desde que la conoce, salvo que sea improbable que suponga un riesgo; si el riesgo para las personas es alto, se la comunica también a ellas (artículos 33 y 34).
Los subencargados son otras empresas que tratan los datos para el proveedor. Con una autorización general, debe avisarte de cada alta o sustitución para que puedas oponerte. Si un subencargado incumple, el proveedor sigue siendo plenamente responsable ante ti (artículo 28, apartados 2 y 4).
Cómo salir del CRM sin perder los datos
Salir de un CRM en la nube depende del contrato. Desde el 12 de septiembre de 2025, el Reglamento europeo de Datos regula ese cambio, también en el «software como servicio» que usas por internet.
El proveedor tiene que darte el contrato antes de la firma, y ese contrato fija cómo cambias de proveedor. Incluye un preaviso de hasta 2 meses, un periodo transitorio de hasta 30 días naturales desde que acaba el preaviso (hasta 7 meses si el proveedor justifica en 14 días hábiles que es técnicamente inviable), que puedes prorrogar una vez, y, después, al menos 30 días naturales para extraer los datos, además de la lista de datos exportables y su supresión total si el cambio sale bien (artículo 25).
Desde el 12 de enero de 2027, el proveedor no podrá cobrarte costes por el cambio, y hasta entonces solo lo que le cueste directamente. No cuentan como tales sus cuotas normales ni las penalizaciones por resolución anticipada, de las que debe informarte antes del contrato, y un CRM hecho a medida para tu empresa queda fuera de esta regla (artículos 2.36, 29 y 31.1).
Comprueba que la cuenta de administración es de tu empresa, como explica la guía sobre la propiedad de tu web, tus cuentas y tus datos.
Lista de comprobación antes de contratar un CRM
Repasa estas 10 comprobaciones antes de firmar.
Marca lo que ya está y llévate la lista a tu equipo.
0de 10
Cuándo no basta esta guía
La guía no te sirve si el CRM va a guardar datos de salud u otras categorías especiales, cuyo tratamiento prohíbe el artículo 9 del RGPD salvo excepciones.
Tampoco si va a decidir de forma automática sobre las personas.
Y no trata los correos comerciales.
Preguntas frecuentes sobre cómo elegir un CRM
¿Tienen que estar en la Unión Europea los servidores del CRM?
No necesariamente. Para enviar datos fuera del Espacio Económico Europeo (la Unión más Liechtenstein, Islandia y Noruega), el RGPD pide una decisión de adecuación de la Comisión Europea, que declara adecuada la protección del país de destino, o garantías adecuadas, como sus cláusulas tipo (contratos modelo), salvo excepciones (artículos 45, 46 y 49), y que informes de ello a tus contactos (artículo 13.1.f).
¿Necesita mi pyme un registro de actividades de tratamiento?
Probablemente sí. El RGPD exime a quien emplea a menos de 250 personas salvo que el tratamiento pueda entrañar un riesgo, no sea ocasional o incluya datos especiales o penales (artículo 30.5); en la práctica, advierte la AEPD, la mayoría estarán obligadas.
¿Puede el proveedor del CRM usar los datos de mis clientes para sus propios fines?
No, si es tu encargado: el contrato le obliga a tratarlos solo siguiendo tus instrucciones documentadas (artículo 28.3.a del RGPD). Si aun así los usa para sus propios fines, la LOPDGDD lo considera responsable del tratamiento (artículo 33.2).
Siguiente paso
Escribe en una página el recorrido de una venta y los datos mínimos de cada contacto.
Si los clientes te llegan sobre todo por recomendación, mira cómo pasar del boca a boca a un sistema de captación.
Si prefieres preparar la selección con nosotros, así te ayudamos a organizar el marketing de tu pyme.
Fuentes
Las páginas se consultaron el 4 de octubre de 2026.
- Boletín Oficial del Estado: Reglamento General de Protección de Datos (RGPD), Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) y Reglamento de Datos.
- Agencia Española de Protección de Datos: directrices para elaborar contratos entre responsables y encargados, ¿estoy obligado a elaborar un registro de actividades? y garantías para las transferencias internacionales.
Historial de actualizaciones
Publicado el 10 de septiembre de 2026.
Actualizado el 7 de octubre de 2026.
Reescrito y ampliado: centrado en cómo elegir un CRM, con los seis pasos, el proceso y los datos, lo que el CRM tiene que permitir según el RGPD y la ley española, una matriz de criterios, la prueba con datos inventados y un ejemplo con cifras inventadas, el contrato con el proveedor, la salida según el Reglamento de Datos, una lista de comprobación, sus límites y preguntas frecuentes.
¿Te suena? Organizar el marketing
Ver cómo lo abordamos