Mira a ver, que tiene que haber algún archivo en tu negocio…
Puede llamarse «clientes.xlsx», «base de datos», «contactos ferretería» o simplemente «eso que organizó Paco antes de irse». Tiene cientos de entradas, puede que miles. Algunas corresponden a clientes que compran cada semana. Otras son personas que vinieron una vez en 2.014 y de las que nunca más volviste a saber nada. Hay algún teléfono que ya no existe, alguna empresa que cerró hace tiempo, y varios correos electrónicos recogidos en aquella feria del sector a la que fuiste hace ocho años.
¿Alguien ha limpiado ese archivo desde que se creó?
Pues resulta que ya hay dos fechas que te afectan directamente y que conviene tener muy presentes:
la primera es el 25 de mayo de 2.018: cuando entró en vigor el Reglamento General de Protección de Datos de la Unión Europea.
la segunda es el 28 de diciembre de 2.026, que es la fecha límite que la nueva Ley 10/2025 da a todas las empresas para adaptarse a los cambios que introduce en la normativa española de protección de datos.
La primera ya pasó. La segunda está más cerca de lo que parece.
Lo que dice la ley: RGPD, LOPDGDD y la Ley 10/2025
Vamos por partes, porque hay tres capas normativas que conviene distinguir para no liarse:
- el Reglamento General de Protección de Datos (RGPD, en vigor desde 2.018) es la norma europea que regula el tratamiento de datos personales de personas físicas. Afecta a cualquier empresa que recoja o utilice datos de personas, independientemente de su tamaño o sector. Vamos, que una ferretería, un almacén de materiales de construcción o una empresa de suministro industrial entran de lleno en su ámbito de aplicación
- la Ley Orgánica 3/2018 (LOPDGDD) es la norma española que complementa y desarrolla el RGPD en nuestro país. Añade disposiciones específicas al contexto español y regula aspectos como los plazos, el régimen sancionador y ciertos derechos digitales
- la Ley 10/2025, publicada el 26 de diciembre de 2.025, modifica la LOPDGDD e introduce cambios importantes en la forma en que las empresas deben gestionar la relación con sus clientes y, especialmente, las comunicaciones comerciales. Su plazo de adaptación termina el 28 de diciembre de 2.026, y no, no es ninguna inocentada.
El núcleo del RGPD, aplicado a tu negocio, se resume en tres principios que no han cambiado pero que ahora se aplican con más rigor:
- solo puedes guardar datos si tienes una razón legítima que justifique su almacenamiento
- debes informar a la persona de qué datos guardas y para qué los vas a usar
- no puedes quedártelos más tiempo del necesario.
Las fechas de retención que todo el mundo debería tener claras
Aquí viene la parte práctica que más confusión genera, y que conviene tener grabada a fuego:
- Los datos que aparecen en una factura —nombre, NIF, dirección— tienen obligación de conservación de cuatro años por razones fiscales y de seis años según el Código de Comercio. Eso no es el RGPD diciéndote que los borres: es la ley fiscal diciéndote que los guardes. Sin problema.
- Los datos adicionales —teléfono personal, email para campañas, historial de visitas, preferencias de producto— tienen una base legal diferente. Mientras la relación comercial está activa, tienes base legal para conservarlos. Cuando un cliente lleva más de tres años sin generar ninguna operación y no existe ningún contrato vigente, esa base se debilita considerablemente y lo más correcto es anonimizar o eliminar lo que ya no necesitas.
Ya sabes que nos encanta hacer números, así que hagamos el cálculo. Si en tu base de datos hay 500 contactos sin ninguna operación en los últimos tres años, y de esos 500 solo 60 firmaron en su momento algún tipo de consentimiento expreso para recibir comunicaciones, tienes 440 registros en una zona gris que la Agencia Española de Protección de Datos (AEPD) podría pedirte que justifiques. Uffffff, mal asunto… ¿Te acuerdas de aquel cliente que se quejaba tanto de que si le llegaban e-mails, que si le llegaban mensajes…?
¿Cuánto te puede costar eso? Pues mínimo 1.500 eurazos. Te lo cuento:
La AEPD mantiene desde 2.025 una actividad sancionadora muy intensa que incluye expresamente a pequeñas empresas y autónomos, no solo a grandes corporaciones. Las sanciones a pymes por infracciones básicas —datos guardados sin base legal, comunicaciones sin consentimiento documentado o escaneo de DNI sin justificación, entre otras— oscilan habitualmente entre los 1.500€ y los 15.000€, dependiendo de la gravedad y la colaboración con la agencia. En 2.025 se registraron más de 2.700 notificaciones de brechas de seguridad. Vamos, que la AEPD no está de adorno, es más, recauda en “modo experto”, como un radar móvil los fines de semana.
Lo que cambia con la Ley 10/2025: el 28 de diciembre de 2.026 no es una sugerencia
A priori, esto suena a “tocho infumable” pero te garantizo que la cosa no es para tanto.
El cambio más relevante que introduce la Ley 10/2025 para negocios como el tuyo afecta directamente a las comunicaciones comerciales y a la atención al cliente.
La ley refuerza de forma explícita el derecho de cualquier persona a oponerse a recibir comunicaciones comerciales y obliga a las empresas a implementar mecanismos eficaces para registrar y respetar esas solicitudes. No basta con borrar el email de una lista cuando alguien se queja: hay que tener un proceso documentado que demuestre que se gestionó correctamente y que esa persona no volverá a recibir comunicaciones no deseadas. Si no, pues te la van a liar parda.
Además, regula con más detalle la atención al cliente: tiempos de respuesta, canales accesibles, protocolos para quejas y reclamaciones, y requisitos de transparencia en la obtención del consentimiento. Todo ello, como te vengo comentando, con plazo de adaptación hasta el 28 de diciembre de 2.026.
Lo que esto significa en la práctica para un negocio de ferretería, almacén de material de construcción o suministro industrial que envía circulares de ofertas, hace seguimiento de clientes por email o gestiona reclamaciones por cualquier canal digital es que necesita revisar sus procesos antes de esa fecha. No vale después. Tiene que ser antes. No te vale lo del anuncio ese de la tele de “no muy after”…
Lo que un software de gestión puede ayudarte a hacer (y lo que no)
Seamos honestos, que es lo que toca.
Control Integral, es el mejor software de gestión total para tu negocio, porque está específicamente desarrollado para tu sector. Sin embargo, no es una herramienta de “compliance” de protección de datos:
- no gestiona solicitudes de derechos de los interesados
- no genera automáticamente el registro de actividades de tratamiento que exige el RGPD
- no verifica consentimientos ni te avisa de cuándo debes eliminar un dato.
Para todas estas cosas necesitas un asesor especializado en protección de datos o una herramienta específica de “compliance”, y te recomendamos sinceramente que lo consultes con un profesional antes de diciembre.
Dicho esto, hay algo que un buen software de gestión, como Control Integral, sí hace y que te va a resultar imprescindible para poder cumplir con el RGPD: ponerte delante toda la información que necesitas para saber qué tienes, qué debes mantener y qué debes eliminar.
Porque el problema real de la mayoría de los negocios del sector no es que no quieran cumplir la ley. Es que no saben exactamente qué datos tienen, dónde están y en qué estado se encuentran. Y cuando los datos están repartidos entre un Excel que nadie actualiza, el móvil del propietario, el programa de facturación y alguna libreta del mostrador, hacer ese inventario de datos va a estar a la altura de encontrar la aguja del pajar: prepárate para echarle un buen rato y a ver si la encuentras.
Control Integral centraliza toda la información de clientes en un único sistema: fecha de alta, historial de operaciones, última transacción, segmentación por actividad. Eso te permite saber, de un vistazo, qué clientes llevan más de tres años sin comprar —los que probablemente deberían salir de tu base de datos tal que ya—, quiénes están en período de conservación fiscal y quiénes son clientes vigentes con relación comercial activa.
Es la diferencia entre saber que tienes un problema y saber exactamente dónde está el problema
Y eso, cuando llegue el momento de revisar tu cumplimiento con un asesor de protección de datos, vale mucho tiempo y mucho dinero.
Soluciones Globales lleva más de 20 años instalando Control Integral en ferreterías, almacenes de material de construcción y negocios de suministro industrial. No te va a dar el certificado de cumplimiento del RGPD —eso no le corresponde a ningún software de gestión— pero sí te va a dar el orden y la visibilidad sobre tus datos de clientes que necesitas para que ese cumplimiento sea posible sin dedicar semanas enteras a buscarte la vida entre archivos y notas desperdigados.
La demostración es gratuita y se hace en tus instalaciones, con tus datos y tu operativa real.
Estar preparado el 28 de diciembre de 2.026 no es una sugerencia y la AEPD es como “el tío Paco”, solo que no trae precisamente “rebajas”. ¿Te ves llegando a esa fecha sin saber exactamente qué datos tienes – ni cuáles deberías borrar o conservar – o teniendo el control de la situación?
