Permisos en el CRM: matriz de acceso para 8 funciones

Los permisos en el CRM son las reglas que definen quién ve, edita, exporta y elimina cada registro de la base, y el diseño seguro parte del mínimo privilegio: cada persona recibe el acceso que su función exige, durante el tiempo que lo exige. El mayor riesgo está en las personas y en los accesos que acumulan. El informe 2026 de Verizon, que analizó más de 22.000 brechas de datos confirmadas en 145 países, encontró el elemento humano, como error, ingeniería social o uso indebido de credenciales, en el 62% de ellas (Verizon, 2026). En el CRM, ese número aparece como el vendedor con perfil de administrador que exporta la base la víspera de renunciar, el login del exempleado que sigue activo y la integración que corre con la contraseña de alguien que ya se fue. La matriz de perfiles por función es la medida más barata que la dirección puede aprobar contra los tres casos.

En los diagnósticos que conduzco, la lista de administradores suele ser más larga de lo que la dirección imagina, porque en la implementación alguien liberó acceso total para que el equipo no se trabara y nadie volvió a ajustarlo. Escribí este texto para la dirección, operaciones de ingresos, TI y el encargado de datos, el DPO (la persona que responde por la protección de datos personales), como orientación de gestión y sin pretensión de dictamen jurídico.

¿Por qué los permisos del CRM son una decisión de la dirección?

El CRM guarda la cartera de clientes, el pipeline con valores y descuentos y los datos personales de compradores y decisores. Un usuario con acceso total se lleva en una exportación de minutos el activo comercial que la empresa tardó años en construir, y por eso la decisión sobre quién ve qué pertenece a quien responde por el riesgo, aunque la configuración quede con el administrador.

En la ley brasileña de protección de datos, la LGPD, Ley 13.709/2018, el art. 46 obliga a los agentes de tratamiento a adoptar medidas de seguridad, técnicas y administrativas, capaces de proteger los datos personales de accesos no autorizados, y el art. 49 pide sistemas estructurados para cumplir los requisitos de seguridad y los estándares de buenas prácticas y de gobernanza. El art. 6, inciso X, exige que la empresa demuestre esas medidas, y la prueba sale de la matriz aprobada, del registro de auditoría y del acta de la revisión de accesos.

Entre los incidentes de seguridad comunicados a la ANPD, la autoridad brasileña de protección de datos, de 2021 a 2025, 98 fueron de acceso no autorizado a sistemas de información y 52 de envío de datos a un destinatario incorrecto, y en el ciclo de julio de 2023 a junio de 2025 el robo de credenciales y la ingeniería social pasaron al primer lugar (ANPD, 2025). Las demás cifras están en LGPD en números.

¿Qué es el principio del mínimo privilegio en el CRM?

El mínimo privilegio es la regla de dar a cada usuario el acceso mínimo que su función exige. En el CRM, se traduce en cuatro decisiones por perfil: qué registros ve la persona, qué modifica, qué saca del sistema y qué borra. El perfil de acceso es el paquete de esas decisiones, armado para una función, como SDR o analista de CS, y asignado a todas las personas que la ejercen.

Liberar todo y restringir después casi nunca termina, porque quien pierde un permiso reclama al día siguiente y quien tiene un permiso de sobra se queda callado. Yo empiezo por el perfil cerrado y lo abro por pedido aprobado por el gestor. El socio que migra datos durante dos meses recibe un acceso con fecha de vencimiento.

Quién ve qué: cartera propia, equipo o base entera

La mayoría de los CRM organiza la visibilidad en tres alcances ligados al dueño del registro, el usuario que aparece como responsable de cada empresa, contacto o negocio. Si el dueño está mal, el permiso también, y por eso el diseño depende de la regla de gestión de cartera.

Alcance	Qué ve la persona	Para quién sirve	Riesgo cuando sobra
Cartera propia	Registros de los que es dueña o participante	Vendedor, socio externo, SDR con cola nominal	Bajo; el problema aparece cuando falta, con dos vendedores abriendo negocio en la misma cuenta
Equipo	Registros del propio equipo o unidad	Gestor de ventas, coordinador de CS, SDR con cola compartida	Medio; un equipo ve valores y descuentos de otro
Base entera	Todos los registros del objeto	Administrador, operaciones de ingresos, marketing, dirección	Alto; una exportación se lleva la cartera completa

La visibilidad puede variar por objeto. El vendedor suele ver todas las empresas, para comprobar si la cuenta existe antes de crear otra, y solo los negocios de su cartera. La combinación reduce duplicados y protege valores y condiciones comerciales.

¿Quién edita, exporta y elimina en el CRM?

La edición define quién cambia el registro y qué campos, y el cambio de dueño genera más disputas que cualquier otra acción. El vendedor que puede pasar una cuenta a su nombre resuelve solo un conflicto de cartera, y la regla reserva esa acción al gestor.

La exportación saca el dato del sistema donde la empresa controla quién accede, e incluye el botón de descargar la hoja de cálculo, el informe programado que llega por correo cada lunes y la sincronización de contactos con el celular personal. Yo reservo la exportación masiva a pocos perfiles, con registro de cada una, y ofrezco al resto del equipo los informes dentro del CRM.

La eliminación destruye el historial: el vendedor que borra el negocio perdido elimina lo que el análisis de pérdidas usaría el trimestre siguiente. La eliminación queda con el administrador, mediante pedido documentado, incluso cuando el titular pide la supresión bajo la LGPD. Importar y actualizar en masa también tienen permiso propio, porque una carga errónea deshace meses de cuidado, como mostré en calidad de datos en el CRM.

Matriz de perfiles de acceso por función

La matriz de abajo es el punto de partida que llevo a la dirección. Cada empresa la ajusta a los objetos de su CRM, y la lógica de las filas suele mantenerse.

Perfil	Ve	Edita	Exporta	Elimina	Campos sensibles
SDR	Todas las empresas y contactos; negocios de su cola	Contactos, actividades y calificación de sus leads	No	No	Sin valores de contrato ni datos financieros
Vendedor	Todas las empresas; negocios de su cartera	Sus negocios y contactos, sin cambiar el dueño	No	No; marca como perdido	Valor y descuento de sus negocios
Gestor de ventas	Registros del equipo	Registros del equipo, incluido el cambio de dueño	Informes del equipo, con registro	No	Valores y descuentos del equipo
Customer Success	Clientes activos de la cartera y tickets	Contactos, salud de la cuenta y renovación	No	No	Contrato y consumo, sin margen
Marketing	Contactos y empresas de la base; sin detalle de negocios	Origen, segmentación y consentimiento	Listas de campaña, con aprobación y registro	No	Sin valores de negocio ni datos financieros
Finanzas	Clientes, contratos y facturación	Campos de cobro y estado financiero	Informes financieros, con registro	No	Datos bancarios y de cobro
Administrador	Base entera y configuraciones	Estructura, perfiles, campos e integraciones	Sí, con registro	Sí, mediante pedido documentado	Acceso total, con auditoría de sus propias acciones
Socio externo	Registros del proyecto o de la cartera asignada	Los registros asignados	No	No	Sin acceso; login nominal con fecha de vencimiento

Dos reglas acompañan la tabla. El administrador es un perfil de función, ocupado por pocas personas, y el director comercial trabaja a diario con perfil de gestor, porque seguir la operación no exige tocar la configuración. Y cada persona tiene login nominal, sin cuenta compartida entre pasantes o socios, porque sin login individual la auditoría no dice quién hizo qué.

Campos sensibles y protección de datos: qué restringir dentro del registro

Algunos campos piden protección más allá de la visibilidad del registro, lo que los CRM llaman permiso por campo: número de identificación fiscal, datos bancarios, condiciones de pago, margen, descuento aprobado y anotaciones sobre la vida personal del contacto. En salud, educación y servicios financieros, el CRM a veces guarda datos personales sensibles, que el art. 5, inciso II, de la LGPD define y que incluyen información de salud y biometría, y esos datos piden una regla propia escrita con el encargado.

La protección más segura para un campo sensible es no guardarlo. El vendedor que anota en las observaciones que el decisor está de baja por enfermedad crea un dato sensible sin finalidad comercial, y la política de registro necesita decir qué no entra en el CRM. El art. 47 añade que quien interviene en cualquier fase del tratamiento garantiza la seguridad de los datos incluso después de su término, y por eso el contrato con socios y proveedores trata del acceso, la exportación y la devolución de los datos al final del proyecto.

Exportación de datos: el vendedor que se va con la base

La filtración más común en un CRM no necesita hacker: el vendedor acepta la oferta de un competidor, pasa la última semana exportando contactos y negocios y llega al nuevo empleo con la lista preparada. En los equipos que acompaño, la pregunta sobre exportación casi siempre llega después de la salida de alguien, cuando ya no hay nada que bloquear. La prevención tiene capas: el perfil restringe quién exporta, el registro de auditoría muestra quién exportó qué y cuándo, y una alerta avisa al administrador sobre volúmenes fuera de lo normal, en especial en las semanas previas a una baja. El contrato de trabajo y el código de conducta dicen que la base pertenece a la empresa y que exportar sin autorización es una falta, y RR. HH. presenta la regla en la contratación.

La sincronización con los contactos del celular personal y el informe programado hacia un correo externo copian la cartera cada semana, sin pasar por el botón de exportar. El costo comercial de estas salidas está en rotación de vendedores.

Baja de usuarios: qué hacer el día de la salida

El acceso al CRM termina el mismo día que la relación laboral, y RR. HH. avisa al administrador antes de la conversación con el colaborador. En salidas conflictivas, el acceso se suspende antes de la reunión. La acción correcta es desactivar al usuario en lugar de eliminarlo: el usuario desactivado pierde el login y conserva el historial, las actividades y la autoría de los registros, que la empresa usa para atender al cliente y responder a una auditoría. La transferencia de cuentas sigue la regla de cartera, con el gestor como dueño interino hasta la redistribución.

Revisión periódica de accesos: la rutina trimestral

La persona cambia de área y se lleva el perfil antiguo, el acceso temporal se queda y el socio termina el proyecto con el login activo. En la revisión de accesos, también llamada recertificación, cada gestor confirma, persona por persona, que el acceso de su equipo sigue siendo necesario, sobre la lista que el administrador cruza con la nómina de RR. HH. y los contratos de terceros. En un ejemplo hipotético, la revisión encuentra 52 usuarios activos para 45 personas con acceso previsto: 4 exempleados con login, 2 integraciones que corren con credenciales de exempleados y 1 socio con contrato terminado. Los siete casos salen el mismo día, y el acta, enviada al encargado, registra quién decidió. La lista de administradores tiene una revisión propia con la dirección, con una justificación escrita para cada nombre.

Registro de auditoría: qué necesita guardar el CRM

El registro de auditoría es el historial de las acciones de los usuarios: logins, exportaciones, eliminaciones, cambios de permiso y modificaciones en campos críticos, con fecha, hora y autor. Responde a las preguntas que llegan después de un incidente y sirve de prueba para la demostración que pide la LGPD.

El administrador confirma con TI qué acciones registra el plan contratado y durante cuánto tiempo el proveedor guarda el historial, porque una investigación que empieza meses después puede encontrar el registro vacío. La lectura mensual se concentra en las excepciones: exportaciones por encima del volumen acordado, eliminaciones masivas, cambios de perfil y logins en horarios inusuales.

Integraciones y claves de API: los usuarios que nadie ve

Una clave de API es la credencial que un sistema usa para hablar con otro sin login humano, y quien la tiene lee y modifica lo que su alcance permite, en general sin pasar por la visibilidad de los perfiles. El formulario del sitio, la automatización de marketing, el ERP, la herramienta de firma y los agentes de IA están en esta lista, casi siempre con un acceso más amplio que el de cualquier persona.

Verizon muestra por qué esto pesa. Las brechas con participación de terceros llegaron al 48% del total, un 60% más que el año anterior, y en las exposiciones de terceros en la nube la mitad de los hallazgos de contraseñas débiles y permisos mal configurados tardó casi ocho meses en resolverse (Verizon, 2026). En la operación comercial, el tercero es el proveedor que conectó su herramienta a tu CRM con acceso total y nunca fue revisado.

Cada integración corre con un usuario de servicio creado solo para ella, y la clave cubre solo los objetos y acciones que la integración usa, con dueño y fecha de rotación. Los agentes de IA leen solo los campos que la tarea pide, como detallé en agentes de IA.

Roles y responsabilidades: quién decide, quién configura y quién aprueba

La matriz funciona cuando cada decisión tiene dueño. Los roles de abajo encajan en la estructura de patrocinador, dueños de dominio y curador descrita en gobernanza de datos.

Rol	Responsabilidad	Aprueba	Ejecuta
Dirección	Patrocina la matriz y arbitra excepciones	La matriz de perfiles y la lista de administradores	Nada en el sistema
Operaciones de ingresos o administrador del CRM	Diseña y mantiene los perfiles	Pedidos de rutina dentro de la matriz	Configuración, bajas y revisión trimestral
Gestores de área	Responden por el acceso de su equipo	Pedidos de acceso y recertificación del equipo	Revisan la lista del equipo en la revisión
TI y seguridad	Acceso con la cuenta corporativa, segundo factor de autenticación e integraciones	Nuevas integraciones y alcances de claves	Rotación de claves y custodia del registro de auditoría
Encargado de datos (DPO)	Vincula la matriz al inventario de datos personales	Reglas de campos sensibles y acceso de terceros	Recibe el acta de la revisión y trata incidentes
RR. HH.	Avisa ingresos, cambios de área y salidas	Nada en el sistema	Incluye el aviso al administrador en la baja

Errores comunes en la gestión de permisos del CRM

Todos son administradores

El acceso total liberado en la implementación nunca vuelve a su lugar, y mucha gente pasa años con la capacidad de borrar campos y exportar todo. El arreglo empieza por una lista de administradores aprobada por la dirección.

Perfil copiado de otro usuario

El gestor pide para el nuevo el acceso “igual al de fulano”, y fulano acumuló permisos de tres funciones. El pedido apunta a un perfil de la matriz, y lo que se salga de él entra como excepción con plazo.

Login compartido

La cuenta única de los pasantes o del socio borra la autoría de cada acción. En la auditoría, la empresa sabe que alguien exportó la base y no sabe quién.

Exempleado con acceso activo

El exempleado sigue entrando por la aplicación del celular porque la sesión quedó abierta, y la licencia se sigue pagando meses después. El aviso de RR. HH. el día de la salida cierra la puerta.

Integración con la contraseña de una persona

La automatización del analista usa su login, y cuando se va la empresa elige entre mantener viva la credencial de un exempleado o detener el proceso. El usuario de servicio desde el primer día evita la elección.

Capacitación del equipo: quién necesita aprender qué

El administrador aprende a configurar perfiles, leer el registro de auditoría y conducir la revisión trimestral. Los gestores aprenden a pedir acceso por la matriz, recertificar a su equipo y usar los informes del CRM en lugar de la exportación. El equipo comercial aprende qué puede salir del sistema y qué no se registra en texto libre, y RR. HH. aprende a avisar al administrador en el momento correcto.

Hoja de ruta de 30 días para el liderazgo

1. Semana 1: levanta el estado actual. Extrae los usuarios activos con perfil y último acceso y crúzalos con la nómina de RR. HH.
2. Semana 1: corta lo que ya está mal. Desactiva a los exempleados, cierra los logins compartidos y reduce los administradores al mínimo justificado.
3. Semana 2: escribe y aprueba la matriz. Parte de la tabla de perfiles, ajústala a los objetos de tu CRM y llévala a la dirección, con el encargado y TI en la revisión.
4. Semana 2: marca los campos sensibles. Define con el encargado quién ve y quién edita cada campo con datos personales, financieros o estratégicos.
5. Semana 3: cierra exportación y eliminación. Restringe las dos acciones a los perfiles de la matriz, activa el registro de auditoría y configura la alerta de exportación.
6. Semana 3: inventaría las integraciones. Cambia las que corren con el login de una persona por usuarios de servicio y nombra un dueño para cada clave.
7. Semana 4: ata la baja a RR. HH. Incluye el aviso al administrador y el checklist del CRM en la salida de empleados y en el fin de contratos con socios.
8. Semana 4: capacita y agenda la revisión. Presenta la matriz a gestores y equipo y agenda la primera revisión trimestral, con acta para el encargado.

La matriz protege la cartera cuando los gestores piden acceso según la regla y el equipo entiende por qué no todo sale del sistema. Ese es el trabajo del formación in company de adopción de CRM, hecho sobre el CRM y los perfiles que tu empresa ya tiene. La empresa sale con la guía de buenas prácticas de CRM, que incluye la matriz de perfiles y las reglas de exportación, y con el manual de gestión de cartera y base, con el checklist de baja y la rutina de revisión de accesos.

Preguntas frecuentes

¿Qué son los permisos en el CRM?

Son las reglas que definen, para cada perfil de usuario, qué registros ve y qué puede editar, exportar y eliminar. Se agrupan en perfiles por función, como SDR, vendedor, gestor y administrador, y cada persona recibe el perfil de la función que ejerce.

¿El vendedor debe ver toda la base de clientes?

En la mayoría de las operaciones B2B, el vendedor ve todas las empresas, para comprobar si la cuenta ya existe antes de crear otra, y solo los negocios de su cartera. Valores, descuentos y condiciones de otras carteras quedan fuera de su perfil.

¿Cómo impedir que un vendedor exporte la base antes de irse?

Restringe la exportación a pocos perfiles, activa el registro de auditoría y configura una alerta para volúmenes fuera de lo normal. El contrato y el código de conducta dicen que la base pertenece a la empresa, y RR. HH. avisa al administrador el día de la salida para que el acceso termine junto con la relación laboral.

¿Con qué frecuencia revisar los accesos del CRM?

Cada trimestre, con cada gestor confirmando el acceso de su equipo y la dirección revisando la lista de administradores. Los cambios de área y las salidas se tratan el día en que ocurren, sin esperar la revisión.

¿Qué exige la ley de protección de datos sobre el acceso a los datos del CRM?

En la LGPD brasileña, el art. 46 pide medidas de seguridad, técnicas y administrativas, contra accesos no autorizados, y el art. 49 pide sistemas estructurados para cumplir los requisitos de seguridad y de gobernanza. La empresa necesita demostrar esas medidas, y la matriz aprobada, el registro de auditoría y las actas de revisión sirven de prueba, validadas con jurídico y con el encargado.

¿Cómo preparar al equipo para trabajar con permisos más restrictivos?

Explica antes de cambiar, mostrando a cada rol lo que sigue haciendo y qué informe reemplaza la hoja de cálculo exportada. Capacita primero a los gestores, porque son ellos quienes piden acceso y recertifican al equipo, y acuerda con RR. HH. la presentación de las reglas de exportación en la contratación.