WhatsApp Business API para agencias: lo que nadie te cuenta sobre cumplimiento

Pasaron tres años de hype de WhatsApp Business API. La narrativa fue: "es el canal del futuro, abrí tu cuenta, conectá una BSP, y a vender". Todo cierto, hasta que un cliente te reporta el mensaje como spam, Meta te baja la calificación del número, y de un día para el otro tus templates dejan de salir.

Acá empieza el problema del que nadie habla cuando vende "automatización WhatsApp para agencias": el cumplimiento. Y no es paranoia legal — es saber qué reglas existen para que no te bajen el número en el peor momento del trimestre.

Voy a contarte lo que vimos en los últimos 24 meses operando con agencias en Argentina, México, Brasil, Colombia y Chile. Qué reglas se aplican, dónde se equivocan los founders, y qué cumplimiento real necesitás tener — no "alguna vez", sino antes de empezar a mandar mensajes en escala.

#Tres marcos legales (no uno)

El primer error es pensar "WhatsApp es de Meta, las reglas las pone Meta". Falso. Sobre tu operación con WhatsApp Business API aplican tres marcos al mismo tiempo:

Las políticas de Meta (commerce policy + WhatsApp Business policy).
La legislación de protección de datos de cada país donde operás.
Los términos del BSP que usás (Twilio, 360dialog, Wati, etc.).

Si fallás en cualquiera de los tres, tenés un problema. Y la mayoría falla en los dos primeros sin saberlo.

#Lo que dice Meta (y se cumple)

Las políticas de WhatsApp Business son largas pero se reducen a unas pocas reglas duras:

Opt-in explícito antes del primer mensaje saliente. Esto no es "el cliente nos dejó su número en un form". Es "el cliente aceptó explícitamente recibir comunicaciones por WhatsApp, en un canal verificable, con timestamp y registro". Si no podés mostrar ese registro cuando Meta te lo pide (lo pide), perdiste.
Templates aprobados para todo mensaje proactivo en ventana >24h. Después de 24h sin respuesta del usuario, sólo podés mandar templates pre-aprobados. Si mandás mensajes libres, te penalizan.
No spam, no contenido prohibido. Sin promesas falsas, sin contenido para adultos sin consentimiento, sin venta de medicamentos sin licencia, etc.
Tasa de "block + report" bajo umbral. Si tu número tiene >0.5% de reportes, Meta te baja la calificación. <0.1% es "high quality" y te deja mandar más. Importa.

Lo que casi nadie sabe: Meta ahora corre auditorías sample-based. Pueden pedirte logs de los últimos 6 meses para verificar que cada destinatario tenía opt-in. Si no tenés los logs, te suspenden la cuenta — no avisan dos semanas antes.

Qué constituye opt-in válido

Esta es la parte donde la mayoría de las agencias se equivocan. Un opt-in válido tiene:

Un consentimiento explícito (no pre-tildado, no implícito por "completar el form").
Un canal verificable (formulario web con server-side log, mensaje de WhatsApp del usuario hacia vos, voicemail, etc.).
Un timestamp preservado.
Un proceso claro de opt-out comunicado al usuario.

Si tu agencia tiene un cliente que te dice "tomá esta lista de 5000 números y empezá a contactarlos", ese cliente no tiene opt-in y vos tampoco. Mandar ahí es spam, te bajan el número, y si el cliente te denuncia, las multas las pagás vos como controlador legítimo del envío.

#Las leyes locales que NO te puede ignorar

Acá viene lo que casi nunca te cuentan los blogs gringos. En LATAM, las leyes de protección de datos vienen aplicándose con dientes desde 2023-2024:

Argentina — Ley 25.326 (Habeas Data) + AAIP

La AAIP (Agencia de Acceso a la Información Pública) tiene poder sancionatorio real. Las multas van de ARS 1.000 a ARS 100.000 (~UF según ajuste), y se acumulan por cada titular afectado.

Reglas duras:

Consentimiento informado para tratamiento de datos.
Registro de bases de datos (sí, todavía exige inscripción para algunas categorías).
Derecho de acceso, rectificación y supresión (el usuario te puede pedir borrar todo lo que tenés sobre él — vos tenés 10 días hábiles).
Notificación de incidentes de seguridad (si se filtra una base, hay que reportarlo).

Brasil — LGPD + ANPD

La LGPD (Lei Geral de Proteção de Dados) es la más estricta de la región. Multas hasta 2% de la facturación anual con tope de ~50M BRL. La ANPD ya emitió varias sanciones contra empresas de marketing por mensajería sin opt-in.

México — LFPDPPP + INAI

La Ley Federal de Protección de Datos Personales en Posesión de Particulares. Multas hasta 320 millones MXN. Particularmente estricta con el "aviso de privacidad" que debe estar visible y aceptado.

Colombia — Ley 1581 + SIC

La Superintendencia de Industria y Comercio (SIC) ha sido especialmente activa multando empresas por marketing sin consentimiento. Multas hasta 2.000 SMMLV.

Chile — Ley 19.628 (en reforma) + Agencia de Protección de Datos

Chile está renovando su marco legal hacia 2026 con un esquema más cercano al GDPR. Vale la pena mirarlo si operás allá: las reglas se están endureciendo.

El denominador común: si guardás un número de teléfono y le mandás un mensaje sin consentimiento explícito documentado, en cualquiera de estos cinco países, técnicamente cometés una infracción que puede costar plata seria.

#Lo que tu agencia tiene que tener antes de mandar el primer mensaje

OK, te asusté. Ahora la parte constructiva. Antes de operar con WhatsApp Business API en escala, tu agencia debería tener:

Registro de opt-in auditable

Cada número en tu base tiene que tener asociado:

Origen del consentimiento (URL del form, conversación previa, etc.).
Timestamp ISO 8601.
IP del usuario (si vino por web).
Texto exacto que aceptó.
Estado actual (active, opted_out, expired).

Esto vive en tu CRM o base de datos. Tiene que ser exportable en menos de 5 minutos cuando alguien lo pida (Meta, AAIP, ANPD, un usuario haciendo derecho de acceso).

Proceso documentado de opt-out

Tu agente IA y tus operadores tienen que reconocer palabras de opt-out: "baja", "no me escriban más", "STOP", "remover", "unsubscribe". Cuando aparece una de estas, el sistema debe:

Marcar el contacto como opted_out en la base.
Confirmar al usuario por el mismo canal.
No volver a contactar salvo que el usuario re-opt-in explícitamente.

Esto suena obvio. La cantidad de agencias que vimos donde un operador re-contacta a un opt-out porque "lo subió manualmente de nuevo" es preocupante. Si no está sistematizado, no funciona.

Política de retención

¿Cuánto tiempo guardás conversaciones, datos personales, transcripciones? Si la respuesta es "para siempre", tenés un problema. Los marcos de LATAM exigen que sólo conserves lo necesario para el propósito declarado.

Lo razonable para una agencia de marketing:

Datos del lead: mientras esté en pipeline activo + 12 meses.
Conversaciones de soporte: 24 meses.
Logs técnicos: 12 meses.

Pasado eso, anonimizá o borrá. Tener una política escrita y aplicarla es la mitad del cumplimiento.

Aviso de privacidad accesible

Tu landing tiene que tener un link visible al "Aviso de privacidad" o "Política de privacidad" que explique en lenguaje claro:

Qué datos recolectás.
Para qué los usás.
Con quién los compartís (Meta, BSP, tu cliente final).
Cómo se pueden ejercer los derechos ARCO (acceso, rectificación, cancelación, oposición).

Si tu política dice "compartimos datos con socios estratégicos" sin nombrarlos, no cumple. Si menciona "Meta Platforms Inc. para WhatsApp Business" + "<tu BSP> para procesamiento de mensajes", sí.

DPO o responsable de cumplimiento

En LATAM, no todos los países exigen un DPO formal, pero todos exigen un punto de contacto para temas de privacidad. Aunque sea el founder o el COO, alguien tiene que ser responsable. Y esa dirección de email tiene que figurar en el aviso de privacidad.

#Los tres errores que más vimos en agencias LATAM

1. "Subimos una lista de leads que nos pasó un cliente." Esto es una bomba. Si esa lista no tiene opt-in trazable a vos, no podés mandar mensajes. Decirle al cliente que se haga cargo no te salva — vos sos quien manda los mensajes. Si Meta te baja, ¿quién te repone? Nadie.

2. "Usamos la cuenta personal de WhatsApp del equipo y mandamos masivo desde 5 celulares." Esto es violación directa de los términos de WhatsApp (cuentas personales no se pueden usar comercialmente en escala) y termina con todas las cuentas baneadas, pérdida de datos, y posibles multas. Da vergüenza ajena la cantidad de veces que lo vimos.

3. "No tenemos un proceso de baja porque nunca se quejaron." El día que se queje uno, va a ser con la AAIP/ANPD/INAI, no con vos. Y ahí el "nunca se quejaron antes" no es defensa.

#Cómo se ve una operación bien armada

Para cerrar, así se ve una agencia LATAM cumpliendo bien en 2026:

Cuenta WhatsApp Business API verificada (badge verde, BSP confiable).
Base de contactos con campo consent_source, consent_timestamp, consent_text, opt_out_at.
Templates aprobados para cada tipo de comunicación proactiva.
Aviso de privacidad publicado, accesible desde cada landing.
Política de retención documentada, ejecutada con automation (cron que borra registros vencidos).
Proceso de opt-out automatizado: una palabra clave → estado en base + confirmación.
Log de auditoría exportable: cada mensaje enviado tiene asociado el opt-in del receptor.
Persona responsable con email público para ejercer derechos.

Nada de esto es ciencia de cohetes. Es 2-3 semanas de trabajo serio una vez. Pero te tiene que estar antes de mandar el primer mensaje en escala, no después de que Meta te baje el número o te llegue la primera carta.

#Cerrando

WhatsApp Business API es probablemente el mejor canal para una agencia LATAM en 2026 — alta conversión, costos bajos, penetración total. Pero viene con obligaciones legales reales en cinco países distintos, con marcos que se están endureciendo, y con un Meta que cada vez audita más.

La buena noticia: si armás el cumplimiento bien una vez, después escalás sin riesgo. Es trabajo de armado, no de operación continua. Inviertir 2-3 semanas en hacerlo bien te ahorra meses de pánico cuando algo aparezca — porque tarde o temprano, algo aparece.

Si tu agencia hoy está enviando mensajes en escala sin saber si tu opt-in es válido, mi consejo es simple: parar el lunes, auditar, ajustar, y volver el viernes. Es menos doloroso que el lunes que Meta o la AAIP te toque la puerta.