La due diligence de privacidad, el punto ciego de casi todos los compradores
Todas las checklists de adquisición revisan las finanzas, el tráfico y la calidad del código. Casi ninguna revisa qué pasa con los datos de clientes que hay en la base que estás a punto de comprar. Y eso es un problema, porque en cuanto firmas, heredas cada email, cada registro de pago y cada log de consentimiento de cookies que el vendedor recopiló alguna vez — junto con las obligaciones legales que vienen con ellos.
La visión de Flippy: una base de clientes es como una carga que subes al barco sin haberla inspeccionado antes. Nadie se salta revisar el casco antes de zarpar, pero muchos compradores nunca abren la bodega para ver qué hay realmente en las cajas — y se enteran cuando ya están en alta mar.
No hace falta convertirte en experto legal de la noche a la mañana. Se trata de saber qué cinco preguntas hacer antes de transferir el dinero, para no heredar un lío de cumplimiento disfrazado de bonita lista de emails.
Qué datos tiene realmente el negocio (un mapa de 30 minutos)
Antes que nada, consigue una respuesta clara a una sola pregunta: ¿qué datos personales recopila este negocio y dónde viven?
- Fichas de clientes y leads — nombres, emails, teléfonos, direcciones de envío, en el CMS, el CRM o la plataforma de e-commerce.
- Datos de pago — normalmente tokenizados por el procesador de pagos en lugar de almacenados directamente, pero confírmalo en vez de asumirlo.
- Listas de marketing — la plataforma de email (Klaviyo, Mailchimp, ConvertKit) y sus segmentos, etiquetas y registros de consentimiento.
- Datos de comportamiento y ad-tech — herramientas de analítica, píxeles de retargeting y scripts de terceros que recopilan datos de visitantes.
- Datos de categoría especial, si los hay — salud, finanzas u otra información sensible que exige un nivel de protección mayor.
Pide al vendedor una exportación simple o capturas de pantalla que muestren dónde vive cada categoría y aproximadamente cuántos registros hay. Si no puede responder en un día, eso ya es una señal: un dato sin documentar suele ser un dato mal gestionado.
¿Puedes realmente escribirle a la lista de clientes desde el primer día?
Es la pregunta que más importa a los compradores y la que menos se verifica. Comprar una lista de 20.000 suscriptores vale poco si no puedes enviarles nada de forma legal.
Una lista transferida no lleva automáticamente el consentimiento válido para que *tu* negocio les envíe marketing. La pregunta correcta no es "¿se suscribieron?", sino "¿consintieron recibir comunicaciones de quien sea que ahora es dueño de la marca, bajo una política de privacidad clara?". Algunas comprobaciones prácticas:
- Busca registros de double opt-in — un historial de consentimiento con fecha y hora vale mucho más que un número grande de suscriptores sin trazabilidad.
- Revisa si la política de privacidad vigente en el momento del registro ya avisaba de que la lista podía transferirse en una venta o adquisición del negocio — la mayoría de las políticas bien redactadas ya lo contemplan.
- Separa los contactos transaccionales (clientes que compraron algo, menor riesgo al escribirles sobre su pedido) de los contactos de marketing frío (mayor riesgo si el consentimiento es débil).
- Prepara una campaña de re-permiso para cualquier segmento con consentimiento dudoso, en lugar de enviar a ciegas desde el primer día.
Contratos con proveedores y encargados del tratamiento
Cada herramienta que toca datos de clientes — plataforma de email, soporte, analítica, procesador de pagos, hosting — es técnicamente un encargado del tratamiento que actúa en nombre del negocio. Cada una de esas relaciones debería estar respaldada por un contrato de encargo de tratamiento (DPA).
Al revisar el negocio, pide la lista de proveedores activos con acceso a datos de clientes y comprueba si existen DPA y si se transfieren al nuevo propietario, o si tendrás que volver a firmarlos bajo tu propia entidad. Suele ser un trámite administrativo, no un obstáculo — pero es el tipo de detalle que se olvida fácilmente en la euforia del cierre, y que sale caro seis meses después cuando un proveedor lo señala en una auditoría de seguridad.
Cookies, ad-tech y banners de consentimiento
Si el sitio usa analítica, píxeles de retargeting o un widget de chat, ya está recopilando datos de visitantes antes de que nadie se convierta en cliente. Una auditoría rápida, sin necesidad de ser desarrollador, antes de comprar:
- ¿El sitio muestra un banner de consentimiento de cookies, y realmente bloquea los trackers no esenciales hasta que se da el consentimiento — o solo muestra un aviso mientras rastrea a todo el mundo igual?
- ¿Cuántos scripts de terceros se cargan (plataformas de anuncios, mapas de calor, herramientas de chat), y sigue teniendo cada uno un propósito activo?
- ¿Existe un mecanismo de exclusión (opt-out) funcional para visitantes en jurisdicciones más estrictas?
Nada de esto necesita estar perfecto antes de comprar. Necesita estar *conocido*, para que puedas presupuestar la limpieza en tus primeros 90 días en lugar de descubrirlo cuando una plataforma te lo señale.
Tu audiencia es global, tus herramientas no siempre
La mayoría de los pequeños negocios online funcionan con herramientas SaaS estadounidenses — plataforma de email, soporte, analítica — mientras atienden a clientes en la UE, España o cualquier otro lugar. Ese desajuste es normal y generalmente no supone un problema, pero merece una comprobación ligera en vez de una suposición:
- Confirma que el stack de proveedores (Klaviyo, Shopify, Stripe, Google Analytics, etc.) publica sus garantías estándar de transferencia de datos para clientes europeos — la mayoría de las plataformas serias ya lo hacen, y suele ser una comprobación de cinco minutos en su página legal o de confianza.
- Si el negocio vende mucho hacia un mercado especialmente regulado, pregunta si hubo solicitudes pasadas (eliminación de datos, acceso a datos) y cómo se gestionaron.
No estás auditando una multinacional: estás confirmando que las herramientas son las habituales del mercado y que se respetaron lo básico, que suele ser el caso en un negocio online legítimo.
Dónde colocar esto en la negociación del deal
Un hallazgo de privacidad de datos no tiene por qué tumbar el deal — tiene que presupuestarse y documentarse como cualquier otro punto de due diligence.
- Declaraciones y garantías: pide al vendedor que declare que el negocio ha cumplido con las leyes de privacidad aplicables y que no ha sufrido una brecha de datos no divulgada.
- Anexo de divulgación: cualquier hueco conocido (consentimiento débil, DPA faltantes, ausencia de banner de cookies) debería listarse explícitamente en lugar de pasarse por alto.
- Presupuesto de remediación: incluye el coste de corregir los huecos reales — una herramienta de gestión de consentimiento decente, una campaña de re-permiso — en tu presupuesto post-cierre, no solo en la negociación del precio de compra.
- Escrow o retención: para cualquier punto material, una retención modesta ligada a la remediación da un resultado más limpio que intentar renegociar el precio después de haber descubierto ya el problema.
Trampas específicas por plataforma
- Tiendas Shopify — revisa las apps instaladas con acceso a datos de clientes; las apps abandonadas o sin uso a menudo mantienen acceso silenciosamente mucho después de que nadie las use.
- Productos SaaS — los datos de usuario suelen vivir en la base de datos de la app, una herramienta de soporte y un proveedor de facturación; mapea las tres, no solo la base principal.
- Sitios de contenido y newsletters — la lista de suscriptores suele ser el activo más valioso del deal, lo que convierte la calidad de su consentimiento en lo más importante a verificar antes de cerrar.
- Cualquier negocio con clientes en la UE o el Reino Unido — asume que aplican obligaciones tipo RGPD aunque el vendedor esté ubicado en otro lugar; la norma sigue la ubicación del titular de los datos, no la del vendedor.
Los primeros 30 días tras el cierre
- Actualiza la política de privacidad y los avisos de consentimiento para reflejar al nuevo propietario y responsable del tratamiento.
- Confirma que las solicitudes de baja y de eliminación de datos ya recibidas se hayan trasladado y se sigan respetando en tus sistemas.
- Vuelve a firmar o actualiza los DPA con los proveedores bajo tu propia entidad.
- Lanza la campaña de re-permiso para cualquier segmento con consentimiento débil antes de enviar algo más que emails transaccionales.
Errores frecuentes de los compradores
- Juzgar solo el tamaño de la lista — una lista de 50.000 suscriptores con un consentimiento pobre vale menos que una de 5.000 con un historial de opt-in limpio.
- Asumir que las herramientas del vendedor equivalen a cumplimiento — usar Klaviyo o Shopify no hace que un negocio sea cumplidor automáticamente; las herramientas permiten el cumplimiento, no lo garantizan.
- Saltarse el papeleo porque el producto se ve limpio — una app bien construida o una tienda cuidada no dice nada sobre si el consentimiento se documentó correctamente entre bambalinas.
- Descubrir el hueco después del cierre — el momento más barato para presupuestar un problema de datos es antes de firmar, no después de una queja de cliente o un aviso de una plataforma.
FAQ
¿Necesito un abogado especializado en privacidad para comprar un pequeño negocio online?
Normalmente no para una adquisición sencilla de una tienda Shopify, un sitio de contenido o un SaaS pequeño. Las comprobaciones anteriores las puede hacer un comprador cuidadoso en una tarde. Busca un abogado si el negocio maneja datos sensibles (salud, finanzas), tiene una clientela grande en la UE, o si tu propio mapeo de datos revela algo que parece una brecha no divulgada.
¿Puedo seguir escribiéndole a la lista de clientes justo después de comprar el negocio?
Por lo general sí para mensajes transaccionales ligados a una compra existente. Para marketing más amplio, revisa antes el historial de consentimiento — si es débil o no está documentado, planea una campaña de re-permiso antes de enviar un envío masivo de marketing a toda la lista.
¿Cuál es el punto de mayor riesgo de esta checklist?
Un consentimiento débil o no documentado en la lista de email, porque suele ser el activo que más valoran los compradores y menos verifican. Muy cerca está la existencia de proveedores externos olvidados que conservan acceso persistente a los datos de clientes.
¿Esto aplica si compro un negocio que solo opera fuera de la UE?
Los buenos hábitos — mapear los datos, revisar la calidad del consentimiento, comprobar el acceso de proveedores — valen la pena sin importar dónde estén los clientes. Las obligaciones tipo RGPD aplican en cuanto el negocio tiene clientes en la UE o el Reino Unido, pero otras normativas locales crean expectativas similares en otros mercados.
La due diligence de privacidad de datos es una de las pocas comprobaciones que casi no cuesta nada hacer y que puede ahorrarte una factura de remediación real más adelante. Intégrala en tu proceso igual que ya haces con las finanzas y el tráfico — ver deals en Flipagora con esta checklist en la mano, compara prácticas de datos entre las ofertas en Flippa y otras marketplaces, y crea una alerta de deals para ser el primero en enterarte cuando aparezca un negocio bien documentado.