Tu CRM guarda nombres, correos y celulares de cientos de personas, tu equipo graba reuniones con IA y quizás ya pruebas un agente en WhatsApp. Si un cliente pregunta de dónde sacaste su número o en qué país quedó su conversación, ¿tienes la respuesta por escrito?
Esa es la pregunta que instala la Ley 21.719, la nueva ley de datos personales en Chile. En esta guía verás qué es, desde cuándo rige, qué cambia en el CRM, la prospección, las reuniones grabadas y la atención con IA, y un checklist para pymes. No es asesoría legal: revísala con tu abogado.
Qué es la Ley 21.719 y desde cuándo rige
La Ley 21.719 es la ley chilena que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. Se publicó el 13 de diciembre de 2024 y reforma a fondo la Ley 19.628 de 1999: suma derechos para las personas, nuevos deberes para las empresas y un régimen de multas.
Según su primera disposición transitoria, entra en vigencia el 1 de diciembre de 2026 (texto oficial en la BCN). El 1 de septiembre de 2026 el Ejecutivo ingresó al Senado un proyecto para postergarla al 1 de diciembre de 2027 (boletín 18.623-07), que sigue en primer trámite; en el Senado también se ha planteado una prórroga más corta, de seis meses (revisado en octubre de 2026). Mientras no se publique como ley, la fecha vigente es la de 2026.
La Agencia de Protección de Datos Personales
La Agencia de Protección de Datos Personales es el organismo autónomo y técnico que crea la ley para fiscalizar, resolver reclamos y sancionar. Las multas llegan hasta 5.000 UTM (leves), 10.000 UTM (graves) y 20.000 UTM (gravísimas), y la reincidencia puede triplicarlas. En el primer año de vigencia podrá sancionar a las empresas de menor tamaño con una amonestación por escrito.
Conceptos clave: datos personales, bases de licitud, consentimiento y derechos
- Dato personal: información vinculada a una persona natural identificada o identificable. En un CRM B2B, los datos de la empresa no lo son; el nombre, correo y celular de tu contacto sí.
- Datos sensibles: salud, origen étnico, afiliación política o sindical, datos biométricos y la situación socioeconómica, entre otros, con reglas más estrictas.
- Responsable y encargado: el responsable (tu empresa) decide para qué y cómo se tratan los datos; el encargado (tu proveedor de CRM, transcripción o IA) los trata por cuenta tuya y según tus instrucciones.
Bases de licitud
Las bases de licitud son los fundamentos legales para tratar un dato; debes poder acreditar cuál usas en cada caso:
- Consentimiento del titular.
- Obligación legal, como emitir una factura.
- Contrato con el titular o medidas precontractuales que él pidió, como una cotización.
- Interés legítimo, si no afecta los derechos del titular.
- Obligaciones económicas, financieras, bancarias o comerciales.
- Defensa de un derecho ante tribunales u organismos públicos.
Consentimiento y derechos de los titulares
El consentimiento debe ser libre, informado, específico, previo e inequívoco, y revocable en cualquier momento; probarlo le corresponde a la empresa. Los derechos de los titulares son acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Tienes 30 días corridos para responder una solicitud (prorrogables una vez por 30 más) y 2 días hábiles ante un pedido de bloqueo temporal.
Qué cambia para tu base de clientes y leads en el CRM
La protección de datos personales en el CRM pasa por cuatro frentes:
- Origen y base. Registra en la ficha de dónde vino cada contacto y con qué base lo tratas.
- Finalidad. Un dato pedido para cotizar no se usa para otro fin, salvo que sea compatible, se enmarque en la relación contractual o precontractual, o haya nuevo consentimiento.
- Marketing directo. La persona puede oponerse, incluida la elaboración de perfiles: tu CRM necesita una marca de exclusión que las campañas respeten.
- Conservación. Guarda los datos solo el tiempo necesario; la ley obliga a suprimir o anonimizar los obtenidos para medidas precontractuales, como una cotización.
Más detalle en las guías de gestión de leads, historial del cliente y Odoo CRM.
Prospección y LinkedIn: qué datos puedes usar y cómo
Un perfil visible en internet sigue siendo un dato personal y necesitas una base para tratarlo. Incluso los datos de fuentes de acceso público están sujetos a la ley: el titular puede oponerse si no hay otro fundamento, y si los organizas o combinas quedan bajo deber de confidencialidad.
- No cargues bases de origen desconocido: la ley exige fuentes lícitas.
- Documenta la base de tu prospección en frío (en B2B suele evaluarse el interés legítimo).
- En el primer mensaje, di quién eres, cómo obtuviste el dato y cómo puede darse de baja.
- El acuerdo de usuario de LinkedIn prohíbe además extraer perfiles con robots y usar bots para agregar contactos o enviar mensajes.
Qué delegar en la IA lo explica automatización de ventas con IA.
Grabar y transcribir reuniones con IA: consentimiento y aviso
Grabar una reunión es tratar datos personales: voz, imagen y todo lo que se dice. Con clientes o prospectos, lo más claro es pedir el consentimiento para grabar reuniones con aviso previo:
- Avisa en la invitación que se grabará y transcribirá, y para qué; al inicio, ofrece no grabar.
- Firma un contrato de encargo con el proveedor de transcripción y fija cuánto se guardan audio y texto.
- Si la herramienta identifica a cada persona por su voz, estás tratando datos biométricos, que por regla general exigen consentimiento expreso.
Odoo 20 permite grabar llamadas de Discuss y obtener resúmenes (notas de versión); su disponibilidad depende de la versión y el plan. El paso de la reunión al CRM está en reuniones de ventas con IA.
Atención al cliente con agentes de IA: proveedores, transferencias y registro
En agentes de IA y datos personales, la ley pesa en tres puntos:
- El proveedor es un encargado. Necesitas un contrato con objeto, duración, finalidad y tipos de datos; no puede usarlos para otro fin ni subcontratar sin tu autorización escrita, y debe avisarte de vulneraciones de seguridad.
- Transferencias internacionales. Si el proveedor procesa fuera de Chile, el país debe tener nivel adecuado según la Agencia o la transferencia debe ir con cláusulas contractuales u otras garantías.
- Decisiones automatizadas. La persona puede oponerse a las que le produzcan efectos jurídicos o le afecten significativamente (salvo excepciones, como un contrato o su consentimiento expreso), y siempre debes asegurar explicación e intervención humana. El perfilamiento sistemático con efectos significativos o el tratamiento a gran escala exigen una evaluación de impacto previa.
Ojo con la retención: Odoo 20 guarda las conversaciones con agentes hasta 30 días tras el último mensaje. El diseño de la atención está en atención al cliente con IA.
Qué cambia y qué hacer en cada proceso
| Proceso | Qué cambia | Qué hacer |
|---|---|---|
| Clientes y leads | Acreditar base y finalidad | Campos de origen, base y exclusión de marketing |
| Prospección | Datos públicos regulados, derecho de oposición | Documentar la base y ofrecer la baja |
| Reuniones grabadas | Tratamiento de voz, imagen y contenido | Aviso, consentimiento y plazo de borrado |
| Atención con IA | Intervención humana en decisiones automatizadas | Humano en el loop, permisos mínimos y registro |
| Proveedores | Contrato de encargo y reglas de transferencia | Revisar contratos y país de procesamiento |
Checklist de adecuación para pymes (y qué revisar con tu asesor legal)
- Inventario de datos personales: dónde están (CRM, ERP, correo, planillas, IA) y su origen.
- Base y finalidad de cada tratamiento, por escrito.
- Política de tratamiento publicada en tu sitio: datos, finalidades, bases, plazos y derechos.
- Canal de derechos: correo o formulario, responsable interno y respuesta en 30 días corridos.
- Contratos con cada proveedor que trate datos por tu cuenta.
- Permisos mínimos para usuarios y agentes de IA: la ley exige protección desde el diseño y por defecto.
- Plazos de retención por tipo de dato, con supresión o anonimización.
- Protocolo de incidentes para reportar vulneraciones a la Agencia sin dilaciones indebidas.
Con tu asesor revisa además el interés legítimo, los datos sensibles, las transferencias, la evaluación de impacto y el modelo de prevención de infracciones (voluntario).
Por qué hacerlo con KPB Solutions
KPB no presta asesoría legal: tu abogado define los criterios y nosotros los llevamos a tus sistemas. En la implementación de Odoo configuramos permisos por rol, campos de origen y consentimiento, y trazabilidad de cambios. Y cuando diseñamos con Kersify un asistente o agente de IA a medida para tu CRM, sea o no Odoo, partimos con humano en el loop, permisos mínimos y registro de acciones. Somos Odoo Gold Partner, con más de 70 clientes activos en 6 países.
¿Quieres revisar tu CRM y tus herramientas de IA antes de diciembre? Agenda tu reunión y revisamos tu caso.
