CRM para bancos y financieras: qué permite WhatsApp, qué prohíbe y cómo atender con seguridad

¿Qué es un CRM para bancos y financieras, y qué no sustituye?

Un CRM para bancos y financieras es el sistema que guarda la relación con el cliente: quién habló con quién, qué se pidió, qué se prometió, qué solicitudes siguen abiertas y qué avisos salieron. Con WhatsApp, reúne conversación, ficha e historial en un lugar que el responsable puede auditar. La cuenta, el saldo, el contrato y la decisión de crédito siguen en el core bancario y en los sistemas de la entidad.

Las búsquedas varían: CRM bancario, CRM financiero, CRM para fintech, CRM para seguros. El tema aquí es la relación con el cliente en bancos, financieras, fintechs, cooperativas de crédito, agentes y corredurías de seguros. Quien busca un CRM financiero para controlar las cuentas por pagar de su propia empresa busca otra cosa, y esta guía no trata de eso.

En este sector, la pregunta sobre el canal va antes que la pregunta sobre el embudo. ¿Qué deja enviar la política de WhatsApp? ¿Cómo confirmar que es el cliente sin pedir datos sensibles? ¿Dónde están los datos? ¿Quién responde si algo sale mal? Por eso la guía empieza por las reglas y deja la herramienta para después.

Revisamos cada norma en la fuente el 04/11/2026 y marcamos lo que es lectura nuestra y lo que no pudimos confirmar. Nada de esto es asesoramiento jurídico. CCX Messages es una plataforma de comunicación, y la respuesta final para su caso viene de su asesoría jurídica y de su equipo de cumplimiento. Esta versión mira a la Unión Europea y a España, y añade las reglas de Brasil que aplican si atiende clientes allí. En América Latina cada país tiene su regulador, y no los revisamos aquí.

Qué permite y qué prohíbe la política de WhatsApp en el sector financiero

La política de mensajes de WhatsApp, en la versión del 23/09/2026, no tiene un capítulo para bancos. No menciona bancos, seguros, préstamos con descuento en nómina, financiación ni crédito personal. Los puntos marcados con PERMITIDO son interpretación de CCX, apoyada en las reglas generales y en los ejemplos de categoría de Meta, y presuponen que la persona dio el número y aceptó recibir. Los puntos marcados con PROHIBIDO vienen de la sección 4, que prohíbe comprar, vender, promover o facilitar el intercambio de lo listado, sea cual sea la licencia de la empresa.

PERMITIDO, en lectura de CCX. Aviso de transacción: compra aprobada, transferencia recibida o devolución, a quien es cliente y aceptó recibir. Meta da el aviso de cuenta y de reembolso como ejemplos de utilidad. No ponga una oferta en el mismo mensaje, porque eso cambia la categoría de la plantilla.

PERMITIDO, en lectura de CCX. Actualización de cuenta: tarjeta enviada, límite cambiado a petición, documento disponible en la app. Un cuidado: Meta clasifica como marketing el mensaje que pide a la persona volver para terminar una solicitud de préstamo, aunque parezca un aviso.

PERMITIDO, en lectura de CCX. Recordatorio de vencimiento: antes de la fecha, a quien ya es cliente y aceptó recibir. Meta cita el recordatorio de pago como utilidad. Después del vencimiento, el mensaje se acerca a la fila de recobro de deudas, más abajo.

PERMITIDO, en lectura de CCX. Atención: cuando el cliente escribe, se abre la ventana de 24 horas para responder con texto libre. La sección 2 acepta automatización en esa ventana, siempre que haya un camino claro y directo hacia una persona.

PERMITIDO, en lectura de CCX. Confirmación de cita en la oficina, para quien reservó la hora, con botones como Confirmar y Cambiar cita.

PERMITIDO, en lectura de CCX. Aviso de seguridad: nuevo acceso, cambio de dispositivo, alerta de una estafa en circulación. El mensaje no pide nada. El código de un solo uso solo sale en plantilla de autenticación, la única categoría que Meta acepta para eso.

PROHIBIDO por la sección 4, incluso con licencia. Recobro de deudas. CCX no ofrece este servicio. La política no define el término ni dice si entra el recobro de la cartera propia. Nuestra postura es tratar como prohibido el mensaje sobre una cuota vencida, la propuesta de acuerdo a quien está en mora y la presión para pagar.

PROHIBIDO por la sección 4, incluso con licencia. El texto en inglés dice: “Payday loans, paycheck advances, peer-to-peer lending, debt collection, and bail bonds”. Payday loan es el préstamo a muy corto plazo hasta el cobro. Paycheck advance es anticipo de salario. Peer-to-peer lending es préstamo entre particulares, modelo de algunas fintechs. Bail bond es fianza penal.

PROHIBIDO por la sección 4, incluso con licencia. Moneda real, virtual o falsa, incluidas ICO y opciones binarias. La política no explica hasta dónde llega la expresión moneda real. En nuestra lectura, el objetivo es comprar, vender o promover moneda como producto, lo que alcanza a cambio de divisas y criptoactivos. El aviso de un banco sobre la cuenta del cliente no parece ser el objetivo, pero eso es interpretación.

SIN RESPUESTA EN EL TEXTO. Préstamos con descuento en nómina, crédito personal, financiación, seguros y otros anticipos. La política no los menciona. Si su producto está en este punto, la sección siguiente le aplica, y el caso pide un dictamen jurídico antes de cualquier envío.

¿Se pueden ofrecer préstamos por WhatsApp?

La política no responde. Los préstamos con descuento en nómina, el crédito personal y la financiación no aparecen en la lista, y paycheck advances significa anticipo de salario. Si un producto con descuento en nómina u otro anticipo encaja en esa expresión, el texto no lo dice, y no vamos a afirmar ni que sí ni que no. Una oferta de crédito por WhatsApp necesita dictamen jurídico caso por caso, producto por producto.

Aunque el producto supere esa duda, la oferta es marketing: exige aceptación, plantilla aprobada y respeto a quien pide parar, como explica la guía de opt-in. En España, la LSSI (art. 21) prohíbe las comunicaciones promocionales por correo electrónico o medio equivalente sin solicitud o autorización previa, salvo una relación contractual previa y productos propios similares, con una forma sencilla y gratuita de oponerse. No encontramos en ese artículo una mención a WhatsApp. Consulte si el canal encaja como medio equivalente.

Fuera de España, las reglas de marketing electrónico dependen de la ley nacional, que no revisamos país por país, y no pudimos abrir en la fuente la directiva europea de privacidad electrónica. El crédito al consumo también tiene sus propias reglas de información precontractual, que tampoco revisamos aquí. Una oferta breve del tipo “crédito aprobado, toque aquí” rara vez deja espacio para esa información. Lo más prudente es atender a quien pidió contacto y dar las condiciones completas donde pueda leerlas con calma.

Si presta a consumidores en Brasil, el Código de Defensa del Consumidor exige informar coste total, intereses y amortización anticipada en el momento de la oferta, y prohíbe presionar a mayores o personas vulnerables (arts. 54-B y 54-C, añadidos por la Ley 14.181/2021). Para préstamos a pensionistas, la norma del INSS, IN 138/2022, en la versión consolidada hasta el 19/05/2026, prohíbe el marketing activo por cualquier medio, incluidas las apps de mensajes, en los 180 días desde la concesión. Los cambios posteriores que leímos no tocan ese artículo. Confirme el texto vigente.

¿Cómo verificar al cliente sin pedir tarjeta, cuenta, documento, contraseña o token?

La sección 3 de la política prohíbe compartir o pedir el número completo de tarjeta, de cuenta financiera, de documento de identidad u otro identificador sensible. No menciona contraseñas, tokens ni códigos de acceso. En nuestra lectura, entran como identificador sensible, y Febraban, la federación de bancos de Brasil, repite que el banco no pide nada de eso. En la operación, trate los cinco igual: ninguno se pide en el chat.

La primera salida es la plantilla de autenticación. La documentación de Meta dice que solo esta categoría puede enviar códigos de un solo uso. El texto es fijo, con aviso de seguridad y caducidad opcionales, y el botón puede copiar el código o rellenarlo en la app. El panel de CCX tiene este formato. El cliente escribe el código dentro de la app o de la banca online. Nunca le pida que devuelva el código en el chat.

La segunda salida es el deep link a la app. Un mensaje con botón abre la aplicación de la entidad, el cliente entra allí con biometría o contraseña y confirma la atención. Su sistema devuelve el resultado por la API, y la ficha recibe una etiqueta o campo como “identidad comprobada”. El agente ve la marca y sigue, sin haber visto ningún dato. Como muchos bancos enseñan a desconfiar de los enlaces, ofrezca también la opción de abrir la app por su cuenta.

La tercera es la sesión de banca online. El cliente ya conectado toca Hablar por WhatsApp, y el enlace lleva un código de referencia de un solo uso, sin datos personales, en el primer mensaje. Su sistema reconoce el código e indica quién escribe. Este diseño depende de sus equipos de tecnología y antifraude. CCX entrega el mensaje y guarda el resultado en la ficha, sin hacer la verificación de identidad.

Las preguntas de conocimiento, como fecha de nacimiento o nombre de la madre, no están en la lista de la política, pero son datos personales, y un estafador a menudo tiene las respuestas. Los últimos dígitos de la tarjeta son otro caso: la sección 3 habla de número completo, y un ejemplo de utilidad de Meta muestra los cuatro últimos dígitos de la cuenta en un mensaje enviado por la empresa. En nuestra lectura, mostrar el final no es lo mismo que pedirlo. Lo que vale en su operación lo decide cumplimiento.

¿Y si el cliente envía el dato por su cuenta, como una foto de la tarjeta o del documento? Acuerde el procedimiento antes. El agente no repite el dato, no lo copia a la ficha ni a la nota, orienta a la persona y registra lo ocurrido sin el número. Incluya este caso en la formación y en la política de conservación, junto con la plantilla de respuesta que está más adelante.

WhatsApp del banco: ¿cómo comprueba el cliente que el número es real?

Mucha gente que busca el WhatsApp de su banco solo quiere el número, y ese es un momento peligroso. En octubre de 2026, Febraban, la federación de bancos de Brasil, alertó de un perfil falso de WhatsApp con su logotipo, que hablaba de un asunto urgente y una transacción sospechosa. En marzo alertó de la estafa del falso gerente. El nombre y la foto se copian en minutos.

Para comprobarlo, busque el número en la app del banco, en la web que usted mismo escribió o en la tarjeta, nunca en un mensaje recibido. Después mire el perfil: una cuenta de empresa con la marca azul de verificación es buena señal, como explica la guía de la insignia. La falta de insignia no prueba una estafa, porque Meta decide quién la recibe. Quien pide contraseña, código, token o un pago para regularizar la cuenta es una estafa. Febraban aconseja parar y acudir a los canales oficiales.

Del lado de la entidad, tres cosas ayudan al cliente. Publique el número oficial en la app, en la web y en los extractos, y use pocos números. Solicite a Meta la insignia de verificación, sabiendo que la aprobación es suya y no tiene garantía. Y repita en los mensajes lo que nunca pide. La sección 1 de la política prohíbe hacerse pasar por otra empresa, y un perfil falso con su marca debe denunciarse.

Listas de exclusión: Lista Robinson en España y Não Me Perturbe en Brasil

En España, la Lista Robinson, gestionada por Adigital, es un servicio gratuito y voluntario para no recibir publicidad de empresas a las que no se ha dado consentimiento. Cubre teléfono, correo postal, correo electrónico y SMS/MMS, y los cambios pueden tardar hasta dos meses. Su página no menciona WhatsApp. Las empresas deben consultar la lista antes de hacer publicidad en esos canales. Confirme con su asesoría si WhatsApp entra en su caso.

Si contacta a personas en Brasil, el equivalente es Não Me Perturbe (naomeperturbe.com.br), donde la persona pide a las empresas participantes dejar de recibir llamadas de telemarketing, con hasta 30 días para que el bloqueo surta efecto. En el sector financiero, forma parte de la autorregulación de préstamos con descuento de Febraban y ABBC, desde el 02/01/2020, con adhesión voluntaria. Las llamadas no deseadas tras el bloqueo pasan a reclamación ante las ouvidorias de los bancos, y según Febraban no se remuneran las propuestas de corresponsales en nombre de consumidores registrados.

¿Y WhatsApp? El sitio brasileño solo habla de llamadas, y no encontramos una regla general que extienda el bloqueo a mensajes en otros productos. Para préstamos a pensionistas, la respuesta cambia. La IN 138/2022 describe el servicio como bloqueo de llamadas y mensajes de oferta (art. 34, III, a) y prohíbe cualquier oferta 30 días después del registro, salvo las situaciones previstas en la plataforma (art. 35, I). En nuestra lectura, eso incluye WhatsApp en ese producto.

En la práctica, la lista de exclusión y el opt-in de WhatsApp son dos comprobaciones, y una no sustituye a la otra. Si alguien aceptó mensajes y también se registró, lleve la duda a su asesoría antes de ofrecer nada. CCX no consulta estas listas: ese cruce tiene que hacerse en su base de datos, antes de importar contactos o enviar. Y estar en una lista no garantiza que los estafadores dejen de llamar.

Secreto bancario y nube: qué piden la Ley 10/2014, DORA y el RGPD

En España, el art. 83 de la Ley 10/2014 obliga a las entidades de crédito a guardar reserva sobre los saldos, posiciones y operaciones de sus clientes, y a no comunicarlos a terceros salvo en los casos que la ley prevé. Otros países tienen reglas propias, que no revisamos. Si su entidad no es de crédito, por ejemplo una entidad de pago, pregunte a su asesoría qué norma de secreto le aplica. La ley no habla de WhatsApp.

El punto práctico es que el mensaje pasa por la infraestructura global de Meta, queda en la plataforma contratada y aparece en la pantalla del móvil. Si un saldo, un importe o el nombre de un producto en un mensaje exigen un consentimiento específico es una pregunta para su asesoría. Mientras tanto, la prudencia pide escribir lo mínimo y dejar el detalle dentro de la app, aunque Meta acepte el texto como utilidad.

En la UE, DORA (Reglamento 2022/2554) se aplica desde el 17/01/2025 a bancos, aseguradoras, empresas de inversión y otras entidades financieras. El art. 30 pide que el contrato describa los servicios y la subcontratación, indique las regiones donde se presta el servicio y se tratan los datos, cubra disponibilidad y confidencialidad, y permita acceder a los datos y recuperarlos. Para funciones críticas o importantes, añade derechos de auditoría. En nuestra lectura, una plataforma de mensajería cuenta como proveedor TIC, y usted decide cuán crítica es.

Cuando evalúe el servicio, tenga presente que la responsabilidad sigue siendo de la entidad. Pida la información y súmela a su registro de proveedores. Las respuestas por parte de CCX están en la Central de Confianza, incluido lo que no tenemos. Si es una entidad brasileña, la versión en portugués de esta guía recoge las normas del Banco Central (CMN 4.893/2021 y BCB 85/2021, ambas modificadas en 2025).

CCX no tiene certificación ISO 27001 ni informe SOC 2. Si su política de proveedores exige alguno, CCX no cumple ese requisito hoy. Lleve la lista de DORA al contrato, punto por punto, y no dé por hecho que un acuerdo estándar la cubre: países, subcontratación, acceso a los datos, auditoría y salida.

La base de datos de producción de CCX está en São Paulo, Brasil. Las excepciones declaradas son Meta, el procesamiento de IA en EE. UU., solo cuando la empresa usa esas funciones, los proveedores de push y Cloudflare. Para una entidad europea, los datos salen de la UE. El RGPD pide cumplir el capítulo V en toda transferencia (art. 44), y su DPD debe confirmar el mecanismo. El art. 28 pide contrato de encargado, garantías suficientes, autorización de subencargados y apoyo en auditorías. El acuerdo de tratamiento forma parte del contrato de CCX.

La PSD2 (Directiva 2015/2366) pide autenticación reforzada cuando el ordenante accede a su cuenta en línea, inicia un pago electrónico o hace una acción remota que puede implicar riesgo de fraude (art. 97). Un chat de WhatsApp no sustituye eso, otra razón para verificar dentro de la app. Viene un cambio: los textos finales de PSR y PSD3 se publicaron el 23/04/2026 como compromiso, y no pudimos confirmar su publicación en el Diario Oficial.

Atención bancaria: agentes, reclamaciones y derecho a hablar con una persona

En España, la Ley 10/2025 entró en vigor el 28/12/2025 y da doce meses para adaptarse, es decir, hasta el 28/12/2026. Exige atención personalizada por una persona a petición del cliente, y que los sistemas automáticos ofrezcan esa opción en cualquier momento (art. 8). En servicios financieros se aplica de forma supletoria, con artículos excluidos (art. 2.5), y además modifica la Ley 44/2002, cuyo detalle no leímos. Pida a su asesoría que confirme qué le toca.

Si trabaja con agentes o corredores, la sección 1 de la política ya prohíbe hacerse pasar por otra empresa. En Brasil, la Resolución CMN 4.935/2021 hace a la entidad plenamente responsable de sus corresponsales (art. 3), y el contrato debe vetar logotipos parecidos a los de la entidad, incluidas las plataformas de comunicación en red, y exigir que el corresponsal se presente como prestador (art. 14). En nuestra lectura, una buena regla en cualquier país es un perfil de WhatsApp con el nombre del agente, sin el logotipo del banco.

Las reclamaciones también se diseñan desde el principio. En Brasil, la ouvidoria de la Resolución CMN 4.860/2020, modificada en 2024, atiende en última instancia lo que el canal primario no resolvió, con protocolo, respuesta en hasta diez días hábiles y registro durante al menos cinco años. No puede depender de ventas, riesgos, auditoría ni cumplimiento (arts. 3, 4, 6 y 7). En WhatsApp, el agente indica ese canal. Compruebe las reglas de reclamación de su país antes de empezar.

El Decreto 13.135 de Brasil, del 09/10/2026, publicado el 13/10/2026, derogó el Decreto 11.034/2022 y entra en vigor 20 días después de su publicación, es decir, el 02/11/2026 según nuestra cuenta. Alcanza a proveedores regulados por el Ejecutivo federal según los criterios del regulador, y a servicios financieros, de pago o de crédito por plataformas o medios digitales bajo regulación o supervisión del Banco Central (art. 1). La mensajería instantánea cuenta como canal electrónico si permite interacción en tiempo real con una persona (art. 3, § 2).

En la rutina, ese decreto significa canales electrónicos activos 24 horas, persona en tiempo real de 8 a 20 horas todos los días (art. 12), hasta cinco niveles para terminar la demanda (art. 13), sin publicidad en ninguna etapa de la atención (art. 6, I) y sin pedir que el consumidor repita la demanda (art. 6, II). El agente debe ver el historial (art. 18, § 1), la respuesta tiene hasta siete días corridos (art. 21) y los mensajes se guardan al menos 90 días (art. 19).

La oferta y la contratación quedan fuera del concepto de atención de ese decreto (art. 3, § 4). En nuestra lectura, esto favorece separar las colas: atención a un lado, venta al otro, sin oferta en medio de una reclamación. Es un diseño sensato en cualquier país. Revise también la conservación. CCX permite configurarla de 30 días a 5 años, con 180 días por defecto, y el borrado automático es opcional. Treinta días se quedarían por debajo del decreto, y los registros de reclamación pueden exigir mucho más.

CRM para corredurías de seguros: renovación, embudo y supervisores

Una correduría de seguros vive de cartera y de fechas: vigencia, renovación, siniestro, suplemento. Un CRM para seguros tiene que mostrar a cada cliente con lo que tiene, lo que está por vencer y quién debe responder. En CCX, esto se puede montar con campos personalizados y etiquetas en la ficha, un embudo por ramo y la conversación ligada a la oportunidad. La plataforma no emite pólizas ni calcula seguros, y el sistema de la correduría sigue siendo la fuente.

La política de WhatsApp no menciona seguros. En nuestra lectura, los avisos de vigencia y de siniestro caben en utilidad si son informativos. Meta dice que un mensaje de cuenta no debe promover, hacer venta cruzada ni intentar asegurar una renovación, así que “renueve aquí” va como marketing, a quien aceptó ese tipo de mensaje. La sección 3 veta pedir información de salud cuando la regla aplicable lo prohíbe, y por eso la declaración de salud de un seguro de vida debe quedar fuera del chat, en su formulario.

DORA incluye a las aseguradoras, y los mediadores deben comprobar si les alcanza. En España, la distribución de seguros tiene su propia norma, que no revisamos aquí. En Brasil, la Resolución CNSP 382/2020 trata de principios de conducta de aseguradoras e intermediarios. Leímos resúmenes de despachos y prensa del sector, y no el texto oficial, así que no pudimos confirmar la redacción vigente. Confírmelo con la Susep, el supervisor brasileño.

La Resolución CNSP 493 de Brasil, del 17/07/2026, publicada el 21/07/2026, reúne reglas de corredores y entidades de autorregulación, deroga 13 resoluciones y entra en vigor 180 días después de su publicación, en enero de 2027 según nuestra cuenta. En el texto que leímos no hay regla sobre mensajes ni canales digitales del corredor, y no cita la 382. En cualquier país, si la correduría también ofrece crédito o actúa como agente de un banco, las reglas bancarias se suman a las de seguros.

Cómo puede ayudar la plataforma: atención en un solo lugar, ficha y embudo

Es habitual ver WhatsApp con un equipo, Instagram con otro y la ficha del cliente en un tercer sitio. Quien busca una plataforma de atención o un sistema de atención multicanal quiere resolver eso. La bandeja de entrada de CCX pone WhatsApp e Instagram en la misma cola, en directo. En el sector financiero, lo que se gana es control: un solo lugar para saber quién respondió, qué se dijo y dónde está el historial. La diferencia entre los términos está en la guía de omnicanal.

La distribución puede usar turnos por carga, reglas por etiqueta, prefijo y prioridad, y equipos con horario propio, lo que ayuda a cubrir su franja de atención. Hay SLA por turno, notas internas, respuestas guardadas que cumplimiento puede aprobar antes y encuesta de satisfacción al resolver. Fraude y crédito pueden ser colas con personas distintas, y los agentes no tienen coste por persona. La guía de multiagente muestra cómo montar colas y transferencias.

La ficha del contacto trae línea de tiempo, conversaciones, notas y tareas, con campos personalizados y etiquetas. Es lo que resuelve, en la práctica, el problema de pedir al cliente que repita. Use la ficha para lo que la conversación necesita: producto, fase de la atención, marca de identidad comprobada. El saldo, el número de cuenta y el documento se quedan en el core. Cuantos menos datos sensibles copie, menor será el problema si hay un incidente.

El embudo del CRM sirve para crédito y seguros de quien ya pidió contacto: solicitud recibida, condiciones enviadas, en análisis en su sistema, decisión, firmado o perdido con motivo. Cada etapa tiene probabilidad y tiempo máximo, hay valor total y ponderado, y cualquier conversación se convierte en oportunidad. El análisis de crédito, la formalización y el envío de documentos ocurren en su sistema. La guía de CRM para WhatsApp explica el montaje.

Los flujos se ocupan de los avisos: disparador por evento de su sistema o API, esperas, condiciones por entrega, lectura, clic o respuesta. El SMS de respaldo solo existe para móviles de Brasil, así que fuera de Brasil planifique otro camino, como correo electrónico o el push de su app, con el mismo consentimiento. Deje el texto de respaldo aún más corto, porque queda en la pantalla del móvil. Para pocos mensajes a una hora fija, la pantalla de Programación comprueba plantilla aprobada, variables, baja y hora futura.

Un punto para cumplimiento. En CCX, quien responde SAIR, PARAR, PARE, STOP o CANCELAR queda dado de baja, y las campañas se detienen en todos los canales. El bloqueo automático no alcanza las plantillas de utilidad y de autenticación enviadas por la API, porque bloquear un código de acceso dejaría al cliente fuera de su cuenta. Como la sección 1 de la política manda respetar toda petición de parar, defina en su sistema qué pasa con recordatorios y avisos: la plataforma informa la petición por webhook, y la regla de parar queda de su lado.

Roles, enmascarado del teléfono y registro de auditoría

El panel tiene nueve roles. La empresa asigna siete a quien invita, el de propietario queda con quien creó la cuenta y el de soporte es del equipo de CCX. La verificación en dos pasos por aplicación se puede exigir a todos, la sesión dura 15 minutos y se renueva con el uso, y salir o ser eliminado corta el acceso al momento. Las claves de API tienen alcance, y los webhooks llevan firma HMAC-SHA256.

El teléfono y el correo aparecen enmascarados para quien no tiene el permiso de dato personal completo, que de fábrica queda con propietario y administrador. Lo comprobamos en Contactos, resultados de campaña, mensajes y Programación. En la cola de programación, por ejemplo, el operador encuentra a la persona sin ver el número entero. Antes de empezar, pruebe con un usuario de cada rol, también en la conversación abierta de la bandeja, donde el agente necesita leer lo que el cliente escribió.

El registro de auditoría está en el panel y anota, con autor y hora, invitaciones, cambios de rol, exportaciones, claves de API, integraciones, reglas de enrutamiento, conservación y visualización de mensajes sensibles. La entrada del soporte de CCX exige motivo y también aparece ahí. Cubre acciones de administración, así que no lo trate como registro de cada lectura de cada conversación. El plazo de guarda del registro no está en la Central de Confianza: pídalo por escrito y compárelo con lo que exigen sus normas.

La base está en São Paulo, con tres réplicas. La copia de seguridad es diaria, cifrada y bloqueada contra borrado hasta el fin del plazo de guarda (8 días la diaria, 36 la semanal y 370 la mensual), con la última restauración completa ensayada el 05/10/2026. HTTPS, disco cifrado y contraseñas con Argon2id completan lo básico. Los mensajes se exportan en CSV para quien tiene permiso. No hay cifrado de extremo a extremo: la plataforma lee el contenido para entregarlo, guardarlo y mostrarlo en la bandeja.

Chatbot para bancos: qué puede hacer la IA y dónde se detiene

Un chatbot para bancos suele responder comisiones, horarios, adónde ir y cómo abrir una incidencia. El agente de IA de CCX Messages responde con la base de conocimiento de la empresa, avisa de que es IA en el primer contacto y pasa a una persona cuando hace falta. Los asuntos que la empresa liste van directos al equipo. Empiece con una lista amplia: disputas, fraude, bloqueos, reclamaciones, mora y cualquier duda sobre un contrato.

Las reglas externas coinciden con esto. La política de WhatsApp exige un camino claro hacia una persona cuando hay automatización, y la Ley 10/2025 española pide que los sistemas automáticos ofrezcan la opción humana. El decreto brasileño acepta procedimientos automatizados, incluida la IA, en la clasificación, siempre que la opción de persona en tiempo real esté garantizada. La guía de agente de IA trata el resto. En nuestra opinión, la primera versión no debe consultar saldo, extracto o contrato, ni en modo lectura, sin un análisis de riesgo.

La IA de CCX Messages se procesa en EE. UU. por subencargados listados en la Central de Confianza, solo cuando la empresa usa esas funciones. CCX no entrena modelos con las conversaciones, y el uso y la conservación por parte de los subencargados están en la Política de Privacidad. Esto entra en su análisis de transferencias y de terceros. Si su análisis no lo acepta, deje la IA desactivada: bandeja, CRM y flujos funcionan sin ella.

Plantillas de mensaje para avisos, recordatorios y atención

Son puntos de partida para que su asesoría los revise. Meta decide la categoría final. Ninguna plantilla pide datos ni trae una oferta, y las variables vienen de su sistema. Evite los acortadores de enlaces y evite el saldo en el mensaje.

Aviso de transacción: “Compra de {{1}} aprobada con la tarjeta terminada en {{2}}, en {{3}}. ¿No fue usted? Abra la app de {{4}} y bloquee la tarjeta. Nunca pedimos contraseña, código ni número de tarjeta por aquí.”

Recordatorio antes del vencimiento: “Hola, {{1}}. Su recibo de {{2}} vence el {{3}}. El importe y las formas de pago están en la app. Si ya pagó, ignore este mensaje. Para dejar de recibir este recordatorio, responda STOP.” Si usa esa frase, asegúrese de que su sistema deja de enviar de verdad.

Confirmación en la oficina: “Hola, {{1}}. Su cita en la oficina {{2}} es el {{3}} a las {{4}}. Lleve un documento con foto y no envíe documentos por este chat.” Botones: Confirmar y Cambiar cita. La respuesta llega a su sistema por el webhook firmado.

Aviso de seguridad: “Aviso de {{1}}: hubo un nuevo acceso a su cuenta el {{2}}. Si fue usted, no tiene que hacer nada. Si no, abra la app o llame al número de su tarjeta. Nunca pedimos contraseña, código ni token.”

Cuando piden o envían datos sensibles: “Por seguridad, no envíe número de tarjeta, de cuenta, documento, contraseña ni código por aquí. Para confirmar que es usted, abra la app de {{1}} y toque Confirmar atención. Yo sigo con su caso, sin que tenga que repetir nada.”

Seguro, aviso de vigencia: “Hola, {{1}}. Su seguro de {{2}} termina el {{3}}. Si quiere hablar de ello, responda aquí o contacte con {{4}}, de {{5}}.” Derivar a reclamaciones: “Entiendo que la atención no lo resolvió. El servicio de reclamaciones de {{1}} atiende en {{2}}. Guarde el protocolo {{3}}.”

Qué no hace CCX, y cuándo no es la elección correcta

CCX no es un core bancario. No guarda cuentas, no mueve dinero de los clientes de la entidad ni presta mensajería del sistema financiero. No hace análisis de crédito, verificación de identidad ni prevención de fraude. No es un sistema de gestión de reclamaciones. No tiene agenda propia de oficinas. No hace recobro de deudas. En estos puntos, se comunica con su sistema por API y webhook, o se queda fuera.

No es la elección correcta si su política exige ISO 27001 o SOC 2, que CCX no tiene. Tampoco si necesita cifrado de extremo a extremo entre cliente y agente. Tampoco si el uso previsto es recobro, anticipo de salario, préstamo entre particulares, cambio de divisas o criptoactivos. Tampoco si su contrato necesita cláusulas regulatorias sin negociar, o si sus datos deben quedarse en su país. CCX tampoco publica historial de disponibilidad ni de incidentes, lo que puede pesar en su análisis de continuidad.

No decimos aquí que algún banco use CCX ni prometemos resultados. La plataforma puede servir a una operación que supere este análisis y quiera relación, atención y avisos en un solo lugar. Si es su caso, empiece por un uso de bajo riesgo, como dudas generales y confirmación de citas, y envíe el cuestionario de seguridad de su empresa por el canal indicado en la Central de Confianza.

Lista de comprobación para cumplimiento antes de activar WhatsApp

Productos: liste cada producto y cada mensaje, y crúcelos con la sección 4. Préstamos con descuento, anticipos, cambio de divisas y criptoactivos van a dictamen antes que nada. Aceptación: registre dónde aceptó la persona, para qué categorías y cómo se da de baja. Listas: cruce las listas de exclusión en su base cuando haya oferta. Contenido: quite saldo y detalle del texto siempre que pueda, y no ponga ofertas en los avisos.

Verificación: elija entre plantilla, deep link y sesión iniciada, y prohíba por escrito pedir tarjeta, cuenta, documento, contraseña o token. Atención: compruebe el horario de las colas, el camino hacia una persona y los plazos según las reglas de su país. Reclamaciones: defina cómo deriva el agente, sin mezclar con ventas. Agentes y corredores: revise nombre, logotipo y canales del perfil.

Contratación: clasifique cuán crítico es el servicio, pida lo que su norma manda verificar, lleve la lista al contrato y decida sobre las excepciones fuera de su país, la IA entre ellas. Acceso: pruebe cada rol, el enmascarado y el registro, y pida el plazo de guarda del registro. Conservación: ajuste el plazo a lo que exige su norma. Por último, entregue este material a su asesoría: no sustituye a su dictamen.