Base de datos de clientes: cómo reunir los contactos de tu tienda online sin saltarte la ley

Una base de datos de clientes es la lista de personas y empresas que te han comprado o te han dejado un contacto, junto con su historial de compras, el origen del contacto y lo que han consentido. Una tienda online la construye con sus propios canales: pedidos, chat, llamadas, email y cuenta de cliente. Para enviar publicidad por email o SMS en España necesitas que el destinatario la haya solicitado o autorizado expresamente (art. 21 LSSI); una lista comprada no te da ese permiso.

A la mayoría de las tiendas no les faltan fuentes: pierden contactos. Los números se quedan en el móvil personal de un empleado, los pedidos están en tres hojas de cálculo y de la mitad de los compradores no sabes si puedes enviarles ofertas. A continuación: qué guardar en la base, de dónde salen los contactos, qué exigen el RGPD y la LSSI, cómo dividir a los clientes en grupos y cuánto puede dar un boletín enviado a clientes con consentimiento.

Cuándo una tienda busca «base de datos de clientes»

Qué debe tener una base de datos de clientes

Cada ficha es más que un email: también dice de dónde vino la persona, qué ha comprado y si ha aceptado recibir publicidad.

• Datos de contacto: nombre, email, teléfono, mensajería, ciudad.
• Origen: web, marketplace, chat, llamada, feria.
• Historial: pedidos, importes, fechas, consultas, conversaciones.
• Consentimiento: para qué exactamente (email, SMS, teléfono), cuándo y con qué formulario o canal se dio.
• Estado: nuevo, habitual, perdido.

Sin historial no puedes dividir la base en grupos. Sin el consentimiento guardado no puedes demostrar que tenías derecho a enviar publicidad, y el RGPD pide justo esa prueba (art. 7.1). Si llevas la base de datos de clientes en Excel, estas son las columnas: nombre, email, teléfono, origen, último pedido, total comprado, consentimiento email, consentimiento teléfono, fecha y origen del consentimiento, baja.

Contactos fríos, templados y calientes

La diferencia está en cuánto te conoce la persona y si está lista para comprar ahora.

Lo que más rinde es hacer crecer la base desde el lado templado: no perder a quien ya te ha escrito y convertir a quien compró una vez en cliente habitual. Qué permite la ley con las llamadas comerciales en frío lo cuenta el artículo Cold calling: qué permite la ley y guion.

Cómo captar contactos de clientes: de dónde salen

Las fuentes principales son los canales de la propia tienda: cada pedido, mensaje de chat, llamada y email ya trae un contacto. El trabajo es que todos acaben en una sola base.

Canales propios de la tienda

• Pedido. La fuente principal. Junto al botón «Pedido con obligación de pago» hay una casilla aparte, sin marcar, para el boletín con ofertas; para SMS o teléfono, otra casilla cada uno.
• Chat y mensajería. Quien hizo una pregunta y dejó su número ya es un contacto caliente. No dejes que se pierda en el historial.
• Llamadas entrantes y perdidas. Un número nuevo es un posible cliente, aunque esta vez no haya comprado.
• Email y cuenta de cliente. Da un motivo para registrarse: historial de pedidos, compra más rápida, puntos.
• Marketplaces. Quien compra en Amazon.es, eBay o PcComponentes también es tu cliente, pero sus datos solo puedes usarlos dentro de las reglas de la plataforma y para el fin con el que los recibiste, normalmente servir el pedido.

Motivos para dejar un contacto

• Descuento o envío gratis en el primer pedido a cambio de suscribirse al boletín.
• Aviso cuando un producto agotado vuelve a estar disponible.
• Aviso cuando baja el precio de un producto de la lista de deseos.
• Algo útil: tabla de tallas, instrucciones de cuidado, guía de compra.

Boletín a cambio de descuento se puede, pero el consentimiento debe ser libre: se tiene en cuenta si la ejecución de un contrato se supedita a un consentimiento que no es necesario para ese contrato (RGPD, art. 7.4). El pedido debe poder hacerse también sin marcar la casilla. Más formas de que el cliente vuelva están en el artículo Tarjeta de fidelización en tienda online.

B2B y venta mayorista

• Formulario «Hazte distribuidor» o solicitud de tarifa mayorista en la web, con una casilla aparte para aceptar ofertas por email.
• Ferias y eventos del sector: tarjetas y formularios en el estand, con el consentimiento guardado junto al contacto.
• Recomendaciones de los clientes mayoristas que ya tienes.

Un email publicado en la web de una empresa no es una autorización: el art. 21.1 LSSI exige que las comunicaciones promocionales por email se hayan solicitado o autorizado expresamente, sin distinguir entre particulares y empresas.

Qué evitar

• No compres listas de emails. Tendrías que demostrar, persona por persona, que aceptaron publicidad precisamente tuya, y con una lista ajena en la práctica no puedes. Además, enviar a direcciones ajenas daña la reputación de tu dominio: tus emails acaban en spam, también para quien sí se suscribió.
• No apuntes a nadie sin decirle nada. Un pedido te permite contactar al cliente por ese pedido. Para publicidad necesitas el consentimiento o la excepción para clientes con todas sus condiciones (abajo).
• No escondas la baja. Cada email comercial debe incluir una dirección de email u otra dirección electrónica válida para darse de baja (art. 21.2 y 22.1 LSSI). La ley no fija un plazo, pero lo seguro es aplicar la baja en el momento.

Qué exige la ley: RGPD, LSSI y LOPDGDD

En España tu base de datos de clientes responde a varias normas. El RGPD dice con qué base guardas y usas los datos. La LSSI (Ley 34/2002) dice cuándo puedes enviar publicidad por email o SMS: solo si se ha solicitado o autorizado, con una excepción para clientes. Para las llamadas comerciales rigen la Ley General de Telecomunicaciones y los sistemas de exclusión publicitaria de la LOPDGDD, como la Lista Robinson.

Bases legales para los datos de clientes (RGPD)

Consentimiento para publicidad: email, SMS, teléfono

• Email y SMS. Está prohibido enviar comunicaciones publicitarias o promocionales por correo electrónico u otro medio electrónico equivalente que no hayan sido previamente solicitadas o expresamente autorizadas por los destinatarios (art. 21.1 LSSI). Vale para particulares y empresas.
• Teléfono. El usuario tiene derecho a no recibir llamadas no deseadas con fines comerciales, salvo consentimiento previo o que la llamada pueda ampararse en otra base del art. 6.1 RGPD (art. 66.1.b Ley 11/2022). Antes de una campaña de mercadotecnia directa debes consultar los sistemas de exclusión publicitaria, como la Lista Robinson, salvo que la persona te haya dado su consentimiento a ti (art. 23.4 LOPDGDD).
• Excepción para clientes (art. 21.2 LSSI). Sin autorización puedes enviar comunicaciones comerciales si se cumplen todas las condiciones: hay una relación contractual previa; obtuviste el contacto de forma lícita; ofreces productos o servicios de tu propia empresa similares a los que el cliente contrató; y le ofreces oponerse de forma sencilla y gratuita tanto al recoger los datos como en cada comunicación. Si falta una, por ejemplo el aviso ya en el checkout, la excepción no se aplica.
• El consentimiento es una acción. «El silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento» (RGPD, considerando 32). La casilla nunca viene marcada.
• Debes poder demostrarlo. El responsable debe ser capaz de demostrar que el interesado consintió (RGPD, art. 7.1). El doble opt-in no está en la ley, pero es la forma habitual de tener esa prueba: el cliente se suscribe y confirma con un enlace en un email. Guarda en cada contacto la fecha, el formulario y el texto del consentimiento.
• Retirarlo es tan fácil como darlo. «Será tan fácil retirar el consentimiento como darlo» (art. 7.3 RGPD). El destinatario puede revocarlo en cualquier momento con una simple notificación, y debes habilitar un procedimiento sencillo y gratuito para ello (art. 22.1 LSSI). Tras oponerse a la mercadotecnia directa, sus datos «dejarán de ser tratados para dichos fines» (art. 21.3 RGPD).

Información al cliente y sus solicitudes

• Al recoger datos, di quién eres y para qué. El art. 13 RGPD exige, entre otras cosas, tu identidad y datos de contacto, fines y base legal, destinatarios, plazo de conservación y derechos del cliente. Suele ser la política de privacidad, enlazada en cada formulario.
• Contacto no obtenido del propio cliente. Si los datos vienen de otra persona, en el primer contacto indica también su origen (art. 14).
• Solicitudes en un mes. Al acceso, rectificación o supresión respondes sin dilación indebida y como máximo en un mes desde la recepción; en casos complejos el plazo puede prorrogarse otros dos meses (art. 12.3).

Quién lo vigila y cuánto cuesta

Las infracciones del art. 21 y 22.1 de la LSSI las sanciona la Agencia Española de Protección de Datos (art. 43.1 LSSI). El envío masivo de emails comerciales sin cumplir el art. 21, o su envío insistente a un mismo destinatario, es infracción grave (art. 38.3.c), con multa de 30.001 a 150.000 €; las leves, hasta 30.000 € (art. 39). Las infracciones del RGPD, por ejemplo tratar datos sin consentimiento válido, llegan a 20 millones de euros o al 4 % de la facturación anual mundial (art. 83.5 RGPD).

Para tu base significa: en cada contacto consta qué aceptó, cuándo y dónde, y una baja lo saca al momento de cualquier envío. Las leyes y los criterios de la AEPD cambian: antes de una campaña grande revisa el texto vigente y consulta tu caso con un profesional.

Cómo dejar de perder contactos

La base crece menos por fuentes nuevas que por dejar de perder contactos de las que ya tienes. Fugas típicas:

• Mensajería personal de los empleados. El empleado se va y los contactos se van con él.
• Llamadas perdidas. El número no se guardó y nadie devolvió la llamada.
• Varias hojas de cálculo. Los pedidos de la web en una, los de Amazon en otra, los mayoristas en una tercera.
• Duplicados. Un cliente, tres fichas con teléfonos distintos y el historial repartido entre ellas. Encima, el consentimiento en una ficha y la baja en otra.
• Consultas sin siguiente paso. Alguien preguntó por un producto, recibió respuesta y desapareció, y nadie volvió a contactarle.

Cómo dividir la base de datos de clientes en grupos

Divide por compras: quién aún no ha comprado, quién compró una vez, quién compra con regularidad, quién ya no vuelve y quién compra al por mayor. Cada grupo tiene su propio motivo para recibir un mensaje.

Cada uno de estos mensajes es publicidad y solo va a contactos con consentimiento para ese canal o dentro de la excepción para clientes. Cómo encontrar un producto que el cliente añada de verdad al pedido lo explica el artículo Cross selling y upselling: diferencias y ejemplos.

Cuánto da una base de clientes con consentimiento

Lo más sencillo es calcular un boletín:

Resultado de un boletín = contactos con consentimiento × proporción que compra × margen bruto por pedido.

Ejemplo ilustrativo, las cifras no son datos de mercado. El último año compraron en la tienda 1.000 clientes y 600 marcaron la casilla del boletín. Un boletín con accesorios para la última compra generó pedidos del 2 % de los destinatarios: 600 × 0,02 = 12 pedidos. Con 25 € de margen bruto por pedido, un boletín dejó 12 × 25 € = 300 €, sin gasto en publicidad.

De aquí salen dos palancas. La primera es la proporción de consentimientos: si la casilla solo aparece al registrarse y no al hacer el pedido, acepta una parte menor de compradores. La segunda es el motivo: una oferta ligada a la última compra interesa más que «todo en oferta». Para que los clientes vuelvan con gusto también entre compras cuenta el servicio; de eso trata el artículo NPS: qué es y cómo se calcula.

Cuándo pasar la base de datos de clientes a un CRM

Una hoja de cálculo basta mientras los clientes son unas decenas y los contactos llegan por un solo canal. Cuando llegan de la tienda, marketplaces, mensajería y teléfono, la hoja no da abasto: se acumulan duplicados y nadie apunta los consentimientos. Qué es un CRM lo explica el artículo Qué es un CRM y para qué sirve en una tienda online.

En Elbuz los pedidos, emails, chats (Telegram, Viber, WhatsApp, Instagram, Messenger) y llamadas se vinculan a una ficha de cliente, los duplicados se detectan y se unifican, y en la ficha constan la fecha y el origen del consentimiento o de la baja. Los boletines por email y SMS solo salen a contactos con consentimiento y se saltan a quien se dio de baja. Cómo funciona el envío lo ves en la página SMS marketing y email marketing para ecommerce.

A quién no le compensa: si todos los pedidos llegan de una sola tienda y son unos pocos por semana, basta una hoja de cálculo con las columnas «Origen», «Consentimiento» y «Fecha del consentimiento».

Clientes y conversaciones en ElbuzUna base con pedidos, chats y consentimientos, 14 días gratis

Preguntas frecuentes

¿Qué es una base de datos de clientes?

La lista de personas y empresas que te han comprado o te han dejado un contacto, con historial de compras, origen y consentimiento para publicidad. Sin historial ni consentimientos es solo una lista de números: no puedes segmentarla ni demostrar que puedes enviar publicidad.

¿Cómo crear una base de datos de clientes para una tienda online?

Reúne en una sola base los contactos de pedidos, chat, llamadas, email y cuenta de cliente, da un motivo para dejar el contacto y pide el consentimiento con una casilla aparte. Detalles en la sección De dónde salen los contactos.

¿Puedo llevar la base de datos de clientes en Excel?

Sí, mientras haya pocos clientes y un solo canal. Necesitas columnas para contacto, origen, historial de compras y consentimiento con fecha y origen. Cuando los contactos llegan por varios canales aparecen duplicados y conviene un CRM.

¿Se puede comprar una base de datos de emails?

No es recomendable. Para enviar emails comerciales necesitas que cada destinatario los haya solicitado o autorizado expresamente (art. 21.1 LSSI) y poder demostrarlo; con una lista comprada en la práctica no puedes.

¿Necesito consentimiento para enviar el boletín a quien ya me ha comprado?

No siempre. Según el art. 21.2 LSSI puedes ofrecer por email productos propios similares a los que el cliente compró, si obtuviste su contacto de forma lícita en esa relación y le das la opción de oponerse al recoger los datos y en cada envío. Para todo lo demás necesitas consentimiento.

¿El doble opt-in es obligatorio?

La ley no lo exige. Pero debes poder demostrar que la persona consintió (art. 7.1 RGPD), y el doble opt-in es la forma habitual de hacerlo.

Fuentes

• Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico (LSSI): art. 21 (prohibición y excepción para clientes), art. 22.1 (revocación del consentimiento), art. 38.3.c (infracción grave), art. 39 (multas), art. 43.1 (competencia de la AEPD) — boe.es.
• Ley 11/2022, General de Telecomunicaciones, art. 66.1.b (llamadas comerciales no deseadas) — boe.es.
• Ley Orgánica 3/2018 (LOPDGDD), art. 23 (sistemas de exclusión publicitaria, consulta previa) — boe.es.
• Real Decreto Legislativo 1/2007 (TRLGDCU), art. 98.2 (botón «pedido con obligación de pago») — boe.es.
• Reglamento (UE) 2016/679 (RGPD): considerandos 32 y 47, art. 6.1, art. 7.1, 7.3 y 7.4, art. 12.3, art. 13, art. 14, art. 21.2–3, art. 83.5 — eur-lex.europa.eu.

Comprobado el 01.11.2026. No constituye asesoramiento jurídico.