Cumplimiento A2P por regiones: opt-in, sender ID y registro

El cumplimiento normativo es la única parte del negocio de la mensajería que resulta invisible hasta que es lo único que importa. El tráfico fluye durante meses, nadie pregunta nada, y entonces ocurre una de estas tres cosas: un operador filtra su ruta sin avisar, un regulador le escribe una carta, o el competidor de un cliente presenta una reclamación y el papeleo aterriza en su mesa y no en la de él. Esta guía es el mapa que la mayoría de los operadores acaba dibujando por las malas. Cubre las reglas que se cumplen en todas partes, los regímenes regionales que de verdad pillan a la gente, y las funciones poco glamurosas de plataforma que convierten una política en algo demostrable. Es información, no asesoramiento jurídico, y las reglas se mueven: confirme los detalles de cada país al que envíe, con su proveedor mayorista y, cuando el dinero sea serio, con un abogado local.

Las tres reglas que valen en todas partes

Quite las siglas y los trámites regionales y casi todos los regímenes A2P del mundo defienden las mismas tres ideas. Apréndalas y el papeleo pasa a ser detalle, no doctrina.

Consentimiento. El destinatario aceptó recibir mensajes de este remitente, sobre este tipo de asunto. El listón sube con el contenido: un mensaje transaccional (un OTP, un aviso de entrega, una alerta de saldo) suele considerarse implícito en la propia transacción, mientras que la publicidad casi siempre exige un acto afirmativo, explícito y separado. El fallo casi nunca es “no teníamos ningún consentimiento”, sino “teníamos consentimiento para otra cosa”. Un cliente que marcó una casilla para recibir avisos de entrega no consintió un envío masivo del Black Friday, y en los mercados donde esto importa, esa distinción es todo el caso.

Identificación. El destinatario puede saber quién le escribe con solo mirar el mensaje, sin trabajo detectivesco. Para eso sirve el sender ID, y por eso los remitentes sin marca, rotatorios o prestados son la vía más rápida al filtrado. En algunos mercados la identificación es un registro formal; en otros basta con que el nombre de la marca aparezca en el cuerpo. En cualquier caso, un mensaje A2P anónimo es un mensaje A2P sospechoso.

Opt-out. Darse de baja es fácil, evidente, gratuito e inmediato. STOP es la palabra clave casi universal, con equivalentes locales (BAJA en buena parte del mercado hispanohablante), e “inmediato” significa que la plataforma deja de enviar, no que se abra un ticket de soporte. Es también la regla que más se incumple sin querer, porque el opt-out se implementa en una herramienta de marketing y no en la pasarela, y la siguiente campaña, cargada desde un CSV viejo, vuelve a escribir a quien se marchó.

Todo lo que viene por debajo de esta línea es regional. Nada de lo que viene por debajo de esta línea le rescata si falta una de estas tres.

El sender ID y por qué existe el registro

El sender ID es lo que aparece en la línea “de”: una cadena alfanumérica (un nombre de marca, hasta 11 caracteres en SMS estándar), un número largo o un número corto. Parece una trivialidad. Es el objeto más disputado del sector, porque es a la vez el mecanismo de identificación y lo que más ansían falsificar los defraudadores.

Los regímenes de registro existen por el spoofing. Los sender IDs alfanuméricos son, a nivel de protocolo, un campo que uno rellena. Nada dentro del propio SMS impide que un actor malicioso escriba ahí el nombre de un banco y envíe un mensaje de phishing que aterriza en el mismo hilo que los OTP legítimos de ese banco. Los reguladores respondieron de la única forma que podían: convertir el sender ID en un objeto registrado, con dueño y comprobable, y rechazar el tráfico que use uno sin registrar.

De ahí salen tres consecuencias prácticas para su diseño. El registro lleva tiempo, de días a semanas según el mercado, así que va en el calendario de alta del cliente, no en la lista de tareas del día del lanzamiento. El sender ID pertenece a la marca, no a usted, lo que significa que se registra por cliente, con la documentación del cliente, y que compartir o reciclar un sender ID entre clientes es a la vez un problema de cumplimiento y una pesadilla de soporte. Las capacidades cambian según el tipo de remitente: en la mayoría de los mercados un sender ID alfanumérico no puede recibir respuestas, lo que rompe en silencio cualquier flujo bidireccional, incluida la gestión del STOP en la que se apoya para la regla número tres. Si necesita entrada, necesita un número, y eso cambia la vía de registro.

Región por región: los detalles que pillan a la gente

No existe un régimen mundial, solo un mosaico, y el mosaico es el trabajo. Estas son las cuatro formas que se encontrará con más frecuencia.

India: DLT, el régimen más estricto del mundo. El registro DLT (Distributed Ledger Technology) es un modelo genuinamente distinto. Antes de enviar un solo mensaje, se registra la entidad, se registra y aprueba la cabecera (el sender ID), y cada plantilla de contenido se registra como un patrón con campos variables. En el momento del envío el operador coteja el mensaje contra el registro: plantilla incorrecta, cabecera no registrada o contenido que no encaja con el patrón aprobado, y el mensaje se rechaza en lugar de entregarse. El consentimiento también se registra. Los operadores que llegan nuevos a India subestiman sistemáticamente el paso de las plantillas, porque impone una disciplina para la que casi ninguna plataforma está construida: el contenido de su mensaje es una forma preaprobada con huecos, no texto libre. Si atiende tráfico indio, la gestión de plantillas es una función de producto, no una tarea de administración.

Estados Unidos: 10DLC, y lo caro no es la tasa. Enviar tráfico A2P desde un número local estándar exige registrar una marca y después registrar las campañas (los casos de uso) que corren bajo ella. Los costes directos son pequeños: registro único de marca en torno a 4 USD, verificación de campaña alrededor de 15 USD, y tarifas recurrentes de operador por campaña que suelen moverse entre 2 y 10 USD al mes, cifras todas ellas que van cambiando, así que tómelas como orden de magnitud y no como presupuesto. Lo caro es lo que pasa sin ese registro: el tráfico no registrado se estrangula hasta el goteo o se filtra directamente, y la capacidad real que le conceden depende de su puntuación de confianza. Por encima se superpone la TCPA, que no es una política de operador sino una ley con acción privada y daños legales que se citan habitualmente entre 500 y 1,500 USD por mensaje. Por mensaje. Esa es la cifra que convierte una lista descuidada en un número existencial, y es la razón por la que el mercado estadounidense premia la paranoia documental más que ningún otro.

Unión Europea y Reino Unido: nada que registrar, todo que demostrar. Por lo general no hay registro central de sender IDs ni de plantillas. En su lugar, el consentimiento se rige por el RGPD y las normas de privacidad electrónica, y la publicidad exige normalmente un opt-in libre, específico, informado e inequívoco, con un margen estrecho de opt-in blando para clientes existentes y productos similares. De ahí salen dos consecuencias. Primera, la carga de la prueba es suya: si no puede aportar el registro, no tenía consentimiento, y “el cliente dijo que lo tenía” no es una defensa, algo que la AEPD y sus homólogas europeas llevan años dejando claro. Segunda, lo regulado son los datos y no solo el envío, y por eso las preguntas sobre residencia del dato, conservación y subencargados llegan durante la compra y no después. Las sanciones se calculan como porcentaje de la facturación, así que el techo escala con el negocio, no con la infracción. Este es el mercado donde una plataforma autoalojada en sus propios servidores responde a medio cuestionario antes de que usted lo rellene.

Golfo y MENA: aprobación del operador, mercado a mercado, remitente a remitente. En buena parte del Golfo el patrón es la aprobación del sender ID por parte de cada operador o del regulador nacional, normalmente con documentación mercantil, a veces con exigencia de entidad local, y con frecuencia con una aprobación que es por operador y no nacional. Las restricciones de contenido son más estrictas y más específicas culturalmente de lo que espera la mayoría de operadores occidentales, y el tráfico promocional suele encontrarse con ventanas horarias. El consejo práctico es presupuestar semanas de alta y apoyarse en un agregador que ya tenga las relaciones.

El resto del mundo: pregunte, país por país, antes de dar precio. El error es tratar “África”, “América Latina” o “el Sudeste Asiático” como si fueran una política. No lo son. En América Latina conviven mercados con registro de remitente y listas oficiales de exclusión publicitaria con otros donde la regla la fija cada operador dentro de un mismo país, y la única fuente fiable es el agregador que termina su tráfico. Incorpore la pregunta al alta de cada ruta, junto al precio y a la prueba de calidad del manual de reventa.

WhatsApp y RCS: cuando la plataforma es el regulador

Los canales que no son SMS no escapan al cumplimiento: le añaden un segundo regulador encima del primero, y este además aplica las reglas de forma automática.

En WhatsApp, el opt-in es un requisito de política antes de cualquier mensaje iniciado por la empresa, las plantillas se envían y se aprueban antes de usarse, y la calidad se puntúa de forma continua. Si falla, las consecuencias son mecánicas y no jurídicas: le rechazan la plantilla, le baja la puntuación de calidad, cae su nivel de límite de mensajes y al final el número queda restringido. No hay carta, no hay negociación, y la vía de recurso es un formulario. Lo bueno es que las reglas son legibles y las mismas en todas partes, lo que resulta bastante más llevadero que el mosaico del SMS. La guía de WhatsApp sin intermediario SaaS explica cómo funciona esa propiedad en la práctica.

RCS repite la forma: remitentes verificados, verificación de marca y controles del lado del operador. El patrón que hay que interiorizar es que en estos canales el cumplimiento lo aplica el código de la plataforma, y el código no acepta un “estamos en ello”. Sea cual sea su proceso de consentimiento y de baja, tiene que ser el mismo proceso en todos los canales que opere, porque sus destinatarios no piensan por canales y la reclamación tampoco.

Cómo se ve el cumplimiento cuando es una función de plataforma

Una política que vive en un PDF no es cumplimiento, es intención. Lo que sobrevive a una auditoría es un sistema donde el camino conforme es el camino por defecto. Estas son las funciones que hacen el trabajo, y merece la pena buscarlas por su nombre en cualquier plataforma que compre o construya.

Un registro de consentimiento con forma. No un campo booleano en un contacto. Quién consintió, qué número, el texto exacto que se le mostró, el origen (formulario web, TPV, importación, API), la marca de tiempo y la IP o referencia cuando exista. Guarde el texto, no un enlace a una página que cambiará el trimestre que viene. Es el campo más valioso de su base de datos el día que hace falta, y el más barato de añadir antes de ese día.

Opt-out en la pasarela, no en la herramienta de campañas. La lista de exclusión se aplica en el momento del envío, por cliente, en todos los canales, y gana sobre cualquier lista que un usuario suba. La gestión del STOP está cableada a la entrada y es instantánea. Si un usuario puede saltarse la lista de bajas importando un CSV, usted no tiene una lista de bajas, tiene una sugerencia.

Gestión de sender IDs y plantillas por cliente. Sender IDs registrados a nombre de cada cliente y propiedad suya, plantillas guardadas como patrones aprobados con variables donde el mercado lo exija, y un rechazo duro en el envío cuando el contenido no encaja. Esto es lo que hace India soportable y lo que evita que un parque multicliente se contamine entre inquilinos.

Un registro de auditoría por mensaje. Cada mensaje, en un sistema de registro, con el sender ID usado, el cliente, la ruta, la referencia de plantilla, la marca de tiempo y el acuse de entrega, conservado y consultable. Cuando llegue la reclamación por un mensaje de hace seis meses, esto es la diferencia entre una tarde y una crisis. Es la misma disciplina de libro mayor que hace defendible la facturación, y no es casualidad: ambas responden a la pregunta “demuestre qué pasó”.

Detección de spam y de contenido que marca en vez de bloquear. Un clasificador automático en la ruta caliente caza los problemas evidentes antes que su operador. Debe marcar y avisar, no descartar en silencio, porque un falso positivo que tumba los OTP de un banco es un error muchísimo más caro que un mensaje marcado al que una persona echa un vistazo.

Aislamiento por cliente e interruptor de suspensión. Tarifas por cliente, sender IDs por cliente, tráfico por cliente, y la capacidad de parar a uno al instante sin tocar a los demás. Su política de uso aceptable solo es tan real como el botón que la aplica.

Fíjese en lo que es todo esto: llevar registros, poner los valores por defecto correctos y tener un interruptor. Nada exótico. Es simplemente trabajo fácil de aplazar y doloroso de retrofitear, y por eso las plataformas que lo traen de serie valen más de lo que parecen. Ser dueño del servidor donde viven los registros, con una licencia de pago único en lugar de un alquiler, es la última pieza: el registro de auditoría solo sirve si de verdad puede aportarlo, y esa conversación es otra cuando la base de datos es suya.

El ritmo operativo: seguir cumpliendo después del lanzamiento

El cumplimiento no es un proyecto con fecha de fin, es un plan de mantenimiento, y los fallos casi siempre son deriva, no ignorancia.

Los registros caducan, y caducan en silencio. Las aprobaciones de sender ID vencen, las campañas 10DLC hay que mantenerlas al día, las plantillas DLT hay que actualizarlas cada vez que marketing cambia una palabra, y el aviso, si es que llega, va a un buzón que nadie lee. Ponga cada registro en un calendario con responsable y fecha de renovación, por cliente, y revíselo cada mes. Vigile las tasas de reclamación y de baja por cliente como sistema de alerta temprana: un pico repentino es un problema de lista, y llegará a su operador antes que a usted. Vuelva a verificar el consentimiento en las listas importadas, porque una lista comprada, raspada o heredada del antiguo proveedor de un cliente es la causa más común de una ruta suspendida. Y cuando un cliente le pida enviar algo con lo que usted no está cómodo, la respuesta barata hoy es una conversación; la respuesta cara mañana es su ruta.

La verdad incómoda para los revendedores es la de la pregunta frecuente de arriba: su operador ve su tráfico, no el de sus clientes. El cumplimiento no se puede delegar del todo hacia abajo, porque las consecuencias no bajan. Aterrizan en usted. Lo cual significa que la estrategia sensata es hacer que el camino conforme sea el camino fácil dentro de su propia plataforma, para que sus clientes cumplan por defecto y no por diligencia, y para que cuando llegue la carta pueda contestarla en una tarde con una consulta en lugar de con una disculpa.