Datos de clientes: el dosier de 515 páginas de McDonald's

Un periodista de Wired le pidió a McDonald's una copia de los datos que la empresa tenía sobre él. Volvieron 515 páginas. No es empleado, no es proveedor, no es influencer. Es solo un tipo que bajó la app para conseguir papas fritas gratis.

Quinientas quince páginas. De un programa de fidelidad de comida rápida. Y acá viene la parte que debería incomodar a más dueños de negocio: esa montaña de datos de clientes no la construyó un equipo de espionaje. Se construyó sola, con herramientas comunes, tal como vienen configuradas de fábrica. Las mismas herramientas que probablemente están corriendo en tu empresa ahora.

Lo que cabe en 515 páginas

No es solo "compró un Big Mac en marzo". Es cada apertura de la app. Cada pantalla vista. Cada cupón que apareció, se hizo clic o se ignoró. Horario, ubicación aproximada, modelo del celular, versión del sistema. Qué notificaciones se enviaron y qué hizo él después de cada una.

Y, en medio de eso, el pedazo más incómodo: una lectura de que difícilmente se iba a ir. El sistema no estaba solo anotando. Estaba prediciendo.

Esto no es maldad corporativa. Es el comportamiento por defecto de cualquier stack moderno de SaaS. Instalas una app de fidelidad, una herramienta de e-mail, un chat en el sitio, un analytics, un CRM. Cada uno registra todo por defecto, porque registrar es barato y porque algún día alguien puede querer mirarlo. Nadie elige guardar. Solo que nadie elige parar.

Tu negocio ya tiene una versión de esto

No tienes 40 millones de clientes. Tienes 300, 2 mil, 15 mil. Y probablemente tienes, sin haberlo decidido nunca:

• Todo el historial de conversaciones de WhatsApp Business, incluidos los audios de gente reclamando
• Documento de identidad y dirección completa de quien compró una vez en 2021
• Grabación de pantalla de visitantes del sitio, si alguien instaló Hotjar o Clarity y se olvidó
• Una planilla en Drive llamada "clientes_final_v3_ACTUALIZADA" que tres exempleados todavía pueden abrir
• Tarjetas guardadas en la pasarela de pago de cuentas canceladas hace dos años

Nada de eso fue una decisión estratégica. Fue acumulación. Y la acumulación tiene una característica mala: solo aparece el día en que da problema.

Dato que guardas y no usas no es un activo. Es stock de riesgo.

La prueba del e-mail: un cliente pide sus datos

Acá está el ejercicio que recomiendo hacer esta semana, y que casi nadie hace.

Imagina que llega un e-mail: "Con base en la ley de protección de datos, solicito copia de todos los datos personales que tienen sobre mí, y después su eliminación."

Tienes 15 días para responder. Es lo que prevé la ley para el derecho de acceso. Y la pregunta práctica es: ¿podrías?

Para responder, necesitarías saber:

1. Qué sistemas guardan datos de ese cliente. Todos, no los tres que recuerdas de memoria.
2. Quién tiene acceso a cada uno.
3. Cómo exportar en formato legible.
4. Cómo borrar de verdad, incluidos backups e integraciones que copiaron el registro a otro lugar.

En la mayoría de las empresas que veo, el punto 1 ya se traba. Nadie tiene el inventario. El CRM lo contrató el área comercial, el e-mail marketing lo contrató marketing, la herramienta de facturación la contrató finanzas, y la app de agendamiento vino de un freelance que desapareció. Son cinco copias parciales del mismo cliente en cinco lugares que no se hablan.

El punto no es el miedo a la multa de la autoridad de protección de datos. Es que si no puedes responder esa pregunta, tampoco puedes responder ninguna pregunta útil sobre tus datos de clientes.

El otro lado: tienes el dato y no lo usas

Démosle vuelta, porque esta parte es más interesante.

McDonald's guardó 515 páginas y las usó. Sabía cuándo el tipo iba a dejar de comprar. Sabía qué cupón funcionaba con él y cuál era desperdicio. Sabía que no necesitaba darle descuento, porque iba a volver de todos modos.

La empresa promedio brasileña tiene una fracción de ese dato y usa cero por ciento. Manda la misma promoción de Black Friday a toda la base, incluido quien compró anteayer a precio completo. O sea: paga por darle descuento a quien ya iba a comprar, y no le habla a quien estaba a un empujón de volver.

Un ejemplo real de escala pequeña. Una clínica con unos 1.200 pacientes en el sistema. El dato ya estaba ahí: fecha de la última atención, procedimiento, valor. Nadie lo había cruzado. Filtramos a quienes hicieron un procedimiento con retorno recomendado en 6 meses y no volvieron después de 9. Dieron 84 personas. Un solo mensaje, escrito a mano, sin cara de disparo masivo. Volvieron 19. Ninguna tecnología nueva, ningún sistema comprado. Solo mirar lo que ya estaba guardado.

Eso es lo que duele. El dato que te deja expuesto en una filtración es exactamente el mismo dato que daría dinero si alguien lo mirara.

Qué hacer en las próximas dos semanas

Nada de proyecto de seis meses. Tres pasos, en orden.

1. Haz el inventario. Una planilla, en serio. Columnas: nombre de la herramienta, quién la contrató, qué dato de cliente guarda, quién tiene acceso, cuánto cuesta por mes. Pide que cada área liste lo suyo. Vas a encontrar de dos a cuatro suscripciones que ya nadie usa y siguen guardando gente. Cancélalas.

2. Define plazo de validez. Para cada tipo de dato, decide cuánto tiempo tiene sentido mantenerlo. Lead que nunca respondió en 18 meses: se borra. Grabación de sesión del sitio: 30 días bastan. Factura: tiene plazo legal, se mantiene. La mayoría de los SaaS tiene configuración de retención automática y viene apagada. Enciéndela.

3. Elige una pregunta y respóndela con el dato que quedó. Una sola. "¿Quién compró una vez y nunca más volvió?" o "¿qué canal trae clientes que se quedan?". Si responder eso lleva más de un día de trabajo, el problema no es falta de dato. Es que está demasiado disperso.

"Pero yo soy chico, nadie me va a atacar"

El ataque casi nunca es personal. Es un barrido automático buscando puerta abierta, y una base de 2 mil clientes con documentos de identidad vale dinero en el mercado paralelo igual que una de 2 millones, proporcionalmente. Además, el daño mayor suele ser mundano: el exvendedor que se fue con toda la base exportada a su Gmail personal un viernes.

Y está el lado del cliente. A nadie le importa la privacidad en abstracto, a todo el mundo le importa cuando recibe un mensaje que sabe demasiado. El límite entre "qué atención tan atenta" y "¿cómo sabes eso?" es más fino de lo que parece, y quien cruza ese límite no recibe reclamos. Recibe silencio y bloqueo.

McDonald's puede bancarse las 515 páginas porque tiene área legal, equipo de datos y escala. Tú no necesitas eso. Necesitas lo contrario: guardar menos, saber exactamente qué guardaste, y usar lo poco que quedó de un modo que el cliente agradezca en vez de extrañarse.

Si miraste la lista de herramientas de tu empresa ahora y no supiste decir cuántas guardan datos de clientes, ese es el lugar para empezar. Cuéntame cómo está tu operación y vemos qué se puede organizar primero.

Un periodista le pidió a McDonald's los datos que la empresa tenía sobre él. Volvieron 515 páginas.

No es empleado ni proveedor. Solo bajó la app para conseguir papas fritas gratis.

Y lo más incómodo: nada de eso fue una decisión estratégica. Fue solo herramienta común corriendo en la configuración de fábrica. Las mismas que probablemente están en tu empresa ahora, guardando conversaciones de WhatsApp, el documento de identidad de un cliente de 2021 y una planilla que tres exempleados todavía abren.

Haz una prueba esta semana: si un cliente pide hoy, por ley de protección de datos, copia de todo lo que tienes sobre él, ¿podrías responder en 15 días?

En la mayoría de las empresas que veo, se traba ya en la primera pregunta: qué sistemas guardan a ese cliente. Y ahí viene la ironía: el mismo dato que te deja expuesto en una filtración es el que daría dinero si alguien lo mirara.

Si no sabes decir cuántas de tus herramientas guardan datos de clientes, ese es el lugar para empezar. Cuéntame cómo está tu operación.

#LGPD #DatosDeClientes #PequeñasEmpresas #Privacidad #Gestión