Datos de clientes al franquiciar un negocio en Colombia

Al franquiciar un negocio existente, compartir la base de clientes puede parecer tan sencillo como habilitar un usuario en el sistema de ventas. No lo es: una autorización obtenida por el negocio original no necesariamente permite que otra empresa use esos datos para sus propias campañas. Para construir una comunidad de franquicias responsable, diseñe el tratamiento de información antes de conectar el primer establecimiento franquiciado.

1. Identifique qué información circulará y para qué

Empiece por un inventario concreto, no por una cláusula genérica. Revise los datos recogidos mediante facturas, reservas, domicilios, programas de fidelización, formularios web y conversaciones de atención al cliente. Incluya también las hojas de cálculo y los teléfonos del personal: suelen contener información que no aparece en el sistema central.

Para cada flujo, documente:

• Origen: quién recoge la información y mediante qué canal.
• Finalidad: atender un pedido, gestionar una garantía o enviar publicidad, por ejemplo.
• Destinatario: qué empresa necesita acceder y por qué.
• Alcance: qué campos requiere y durante cuánto tiempo.
• Soporte: dónde se conserva la autorización, cuando sea exigible.

Separe la información necesaria para operar de la que solo resulta conveniente para analizar el negocio. Para comparar establecimientos, el franquiciante puede necesitar ventas agregadas, sin nombres, teléfonos ni direcciones de compradores.

Si una finalidad puede cumplirse con información efectivamente anonimizada, evite compartir datos identificables. Quitar el nombre no basta cuando los demás campos permiten reconocer a la persona.

2. Aplique las normas colombianas pertinentes

En Colombia, el contrato de franquicia es atípico: no existe una regulación integral específica que sustituya las reglas generales de contratación. Se aplican el Código de Comercio y, cuando corresponda, el Código Civil, además de las normas obligatorias relacionadas con cada actividad. La libertad contractual no permite eliminar los derechos de los titulares de datos.

Para este tema, las referencias centrales son la Ley 1581 de 2012, sobre protección de datos personales, y su reglamentación compilada en el Decreto 1074 de 2015. Estas normas regulan, entre otros aspectos, las autorizaciones, los deberes de responsables y encargados, las políticas de tratamiento y la atención de consultas y reclamos. La Superintendencia de Industria y Comercio ejerce funciones de vigilancia en esta materia.

Distinga dos papeles: el responsable decide sobre la base de datos o su tratamiento; el encargado trata información por cuenta del responsable. Los papeles dependen de lo que realmente hace cada empresa, no del nombre elegido en el contrato de franquicia.

Tampoco confunda registros. El Registro Nacional de Bases de Datos no es un registro de franquicias. Su obligatoriedad depende de los supuestos legales aplicables a cada organización; no estar obligado a inscribirse no elimina los demás deberes de protección de datos.

Los proyectos normativos sobre franquicias no deben presentarse como leyes vigentes. En particular, las propuestas de circular de oferta o de plazos especiales de entrega no crean, por sí solas, obligaciones exigibles.

3. Revise los permisos antes de habilitar el acceso

Imagine que su negocio tiene un programa de fidelización y quiere permitir que el nuevo franquiciado contacte a todos los inscritos. Antes de importar la base, revise quién figura como responsable, qué finalidades se informaron y qué alcance tiene la autorización existente.

Usar la misma marca no convierte a dos empresas en una sola. Si el franquiciado pretende utilizar los datos para finalidades propias, no basta con describirlo como proveedor tecnológico o encargado. Evalúe si existe una transferencia de datos y qué requisitos corresponden. Si actúa únicamente siguiendo instrucciones del responsable, analice las reglas de transmisión y el acuerdo necesario.

Una actualización de la política publicada en la página web no reemplaza automáticamente una autorización que resulte exigible para un nuevo uso. Cuando falte soporte suficiente, obtenga la autorización correspondiente antes de iniciar ese tratamiento.

Revise además dónde aloja los datos el proveedor del sistema y quién puede consultarlos desde otros países. Las transferencias y transmisiones internacionales tienen reglas distintas; no dé por resuelto el asunto porque la aplicación se comercialice en Colombia.

4. Convierta las decisiones en controles verificables

Prepare un anexo de tratamiento de datos coherente con la operación real. Identifique los papeles de cada parte, las finalidades autorizadas, las instrucciones, los accesos permitidos y el procedimiento para atender solicitudes de los titulares. Incluya cómo se comunicarán los incidentes y cómo se gestionarán proveedores tecnológicos, conservación, devolución o supresión de información.

Configure usuarios individuales y permisos por función. Quien prepara un domicilio puede necesitar una dirección, pero no descargar toda la base de clientes. Evite contraseñas compartidas y exportaciones indiscriminadas.

Antes de abrir, haga una prueba: simule una solicitud de consulta o supresión y compruebe quién la recibe, quién responde y cómo queda registrada. La supresión debe considerar las obligaciones legales de conservación que correspondan.

Conclusión práctica: antes de compartir datos con un franquiciado, valide tres entregables: inventario de flujos, soporte jurídico de cada uso y permisos técnicos configurados. Si alguno falta, posponga ese acceso, no la protección del cliente.