Cómo armar la estrategia de datos de un programa de merch sin meterse en problemas
Cuando un programa de merch arranca, la pregunta sobre datos aparece tarde: ya entregamos las mil piezas, ya tenemos las tarjetas de presentación con QR, ya se escanearon en la feria de Centro Banamex — y nadie definió qué hacer con la información. Corp-Merch.MX ha visto suficientes programas donde los datos se quedaron en un Excel sin protección y donde después el área legal pidió explicar el uso. Esta guía recoge el proceso para diseñar una estrategia de datos que capture lo útil, cumpla con la LFPDPPP y no exponga a la empresa a multas o a pérdida de confianza.
Por qué la estrategia de datos se define al final y no al principio
La estrategia de datos de un programa de merch se define al final porque el merch se percibe como "un objeto físico", no como "un canal de datos". El error es común: la playera, la mochila, el termo o el cuaderno son cosas tangibles, no se ven como un sistema que captura información. Pero en el momento en que el merch lleva un QR, una URL personalizada, un formulario de registro, un cupón canjeable o un código de referido, deja de ser solo merch y se convierte en un punto de captura de datos personales.
Corp-Merch.MX obliga a definir la estrategia de datos antes de cerrar el arte del producto. Cuando un cliente pide un QR en una playera sin haber definido qué hay detrás del QR, lo que más probablemente va a pasar es que el QR apunte a una landing page genérica que no capture nada, o que capture sin cumplir con el aviso de privacidad de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). Ambas opciones son desperdicio de oportunidad o riesgo legal.
El segundo problema es capturar datos que no se van a usar. Muchos programas de merch preguntan nombre completo, RFC, domicilio, correo personal, teléfono, fecha de nacimiento y preferencias de consumo en un solo formulario al escanear el QR. La mitad de esos campos no se llegan a analizar nunca, y entre más sensible el dato, mayor el costo de cumplimiento. Corp-Merch.MX recomienda definir primero qué decisión va a tomar el equipo con cada dato, antes de decidir qué se captura.
El tercer problema es no alinear el aviso de privacidad con el flujo del merch. La LFPDPPP exige que el aviso de privacidad esté disponible antes de la captura, que identifique al responsable, las finalidades, las transferencias, los medios para ejercer derechos ARCO y la opción de opt-out para finalidades secundarias. Corp-Merch.MX trabaja con un formato de aviso de privacidad modular por programa: el cliente elige las finalidades primarias (entrega del merch, seguimiento de la entrega, contacto operativo) y las secundarias (marketing, perfilamiento, terceros), y el aviso se arma en consecuencia.
Pasos para armar la estrategia de datos
- Definir las decisiones que el merch va a habilitar. Antes de decidir qué capturar, hay que saber para qué. Corp-Merch.MX usa el formulario de tres decisiones: 1) qué decisión operativa vamos a tomar con la captura, 2) qué decisión de marketing vamos a tomar, 3) qué decisión de negocio vamos a tomar (cross-sell, retención, recompra). Cada decisión se traduce en un dato, no al revés.
- Mapear los puntos de captura a lo largo del journey. El journey del usuario en un programa de merch típico tiene cuatro puntos: 1) registro al recibir el merch (formulario web, app, WhatsApp), 2) activación del QR o cupón, 3) interacción posterior (encuesta, segunda compra, referido), 4) baja o revocación. Corp-Merch.MX trabaja con un mapa de journey con puntos de captura marcados y consentimiento explícito en cada punto.
- Reducir los campos al mínimo útil. Cada campo extra es fricción y costo. Corp-Merch.MX recomienda entre 3 y 7 campos por punto de captura. Para entrega: nombre, contacto, dirección de entrega, horario. Para activación: escaneo único + opt-in al aviso de privacidad. Para interacción: NPS, preferencia, referido. Para baja: un solo clic.
- Publicar el aviso de privacidad modular antes del lanzamiento. Corp-Merch.MX entrega un formato estándar que se adapta por programa con responsable, datos personales recabados, finalidades primarias y secundarias, transferencias, medios para ejercer derechos ARCO y opción de opt-out para finalidades secundarias. El aviso se publica en cada punto de captura antes del lanzamiento y se archiva la versión firmada como evidencia ante el INAI.
- Establecer el proceso ARCO con plazo de 20 días hábiles. Corp-Merch.MX recomienda montar el correo dedicado [email protected] y un proceso documentado para responder accesos, rectificaciones, cancelaciones y oposiciones dentro del plazo legal de 20 días hábiles. La bitácora con fecha de solicitud, tipo de derecho, respuesta enviada y fecha de respuesta se mantiene como evidencia auditable por el INAI en cualquier revisión.
- Definir el periodo de conservación por categoría de dato. Antes de la captura, Corp-Merch.MX recomienda definir 6 meses para datos operativos, 12 meses para datos de marketing y 24 meses para datos de perfilamiento, con baja automática al vencer el plazo. Sin esta definición, los datos se quedan en el sistema y el riesgo legal y operativo crece con el tiempo.
- Operar bitácora de bajas y derechos ARCO. Corp-Merch.MX entrega una tabla con fecha de solicitud, tipo de derecho ejercido, respuesta enviada al titular, fecha de respuesta y evidencia documental. La bitácora se actualiza mensualmente y se archiva como parte del expediente del programa, siendo la mejor defensa ante queja de un titular o revisión del INAI.
Trampas que cuestan caro
La primera trampa es capturar sin aviso de privacidad visible. La LFPDPPP exige que el aviso esté disponible antes del primer dato personal. Corp-Merch.MX rechaza programas donde el cliente quiere capturar sin el aviso firmado y publicado en el mismo punto de captura. Si el equipo legal no ha firmado el aviso, no se levanta el formulario.
La segunda trampa es transferir datos sin consentimiento para terceros. La LFPDPPP requiere consentimiento expreso para transferir datos a terceros distintos del responsable. Corp-Merch.MX recomienda que cualquier transferencia a un proveedor de mailing, a un CRM externo o a un partner esté cubierta con opt-in explícito en el aviso de privacidad y con checkbox visible en el formulario. Sin esto, la transferencia es ilegal y la multa puede llegar al equivalente de miles de UMAs.
La tercera trampa es no tener proceso para derechos ARCO. La ley exige responder a solicitudes de acceso, rectificación, cancelación y oposición en un plazo no mayor a 20 días hábiles. Corp-Merch.MX recomienda montar un correo dedicado ([email protected]) y un proceso documentado antes de lanzar cualquier programa. Cuando la solicitud llega y no hay proceso, la multa es segura.
La cuarta trampa es no definir el periodo de conservación. La LFPDPPP exige que los datos se conserven solo por el tiempo necesario para cumplir la finalidad. Corp-Merch.MX recomienda definir, antes de la captura, cuánto tiempo se va a conservar cada categoría de dato: 6 meses para datos de operación, 12 meses para datos de marketing, 24 meses para datos de perfilamiento, con baja automática al vencer el plazo. Sin esta definición, los datos se quedan para siempre y el riesgo crece con el tiempo.
Herramientas que usa Corp-Merch.MX para estrategia de datos
La primera herramienta es el formulario de tres decisiones. Es un PDF de una página que el cliente llena antes de cotizar el merch y que determina qué datos capturar, qué finalidades declarar y qué transferencias se autorizan. El formulario se archiva como evidencia de cumplimiento ante el INAI.
La segunda herramienta es el mapa de journey modular. Corp-Merch.MX entrega un diagrama con los cuatro puntos de captura y los datos asociados, con checkboxes de opt-in y con textos del aviso de privacidad en cada punto. El diagrama se convierte en la especificación técnica del formulario web, del flujo de WhatsApp o del flujo de la app.
La tercera herramienta es el aviso de privacidad modular. Corp-Merch.MX tiene un formato estándar que se adapta por programa. El aviso incluye responsable, datos personales recabados, finalidades primarias y secundarias, transferencias, medios para ejercer derechos ARCO, opción de opt-out para finalidades secundarias y fecha de última actualización. El aviso se publica antes del lanzamiento y se archiva la versión firmada.
La cuarta herramienta es la bitácora de bajas. Corp-Merch.MX entrega una tabla con fecha de solicitud, tipo de derecho (acceso, rectificación, cancelación, oposición), respuesta enviada, fecha de respuesta y evidencia. Esta bitácora es exigible por el INAI en cualquier revisión y es la mejor defensa ante una queja de un titular.
Diseñemos su estrategia de datos
Si su programa de merch va a capturar datos, la estrategia debe estar lista antes del primer QR. Mándenos el brief del programa y armamos juntos el journey, el aviso de privacidad y la bitácora de cumplimiento para llegar al lanzamiento sin riesgo.
Corp-Merch.MX es un taller de producción de merch corporativo y regalos empresariales que opera de manera independiente. No somos partner ni proveedor oficial de ninguna marca mencionada en esta página. Las marcas, denominaciones y nombres comerciales pertenecen a sus respectivos titulares. Las menciones se hacen exclusivamente con fines descriptivos para identificar el contexto operativo del mercado mexicano de merch.