Privacidad B2B en prospección: California y Connecticut

Para los equipos de crecimiento B2B que se dirigen a cuentas en Estados Unidos, la estrategia de obtención de datos ha chocado con regímenes estatales de privacidad divergentes. La distinción jurídica entre contactos profesionales y consumidores particulares ya no es uniforme entre los distintos estados. Mientras que Connecticut prevé una exclusión explícita para las comunicaciones comerciales, California ha ampliado las obligaciones de supresión de datos de los consumidores para abarcar los datos obtenidos de intermediarios de datos (data brokers), proveedores de enriquecimiento y socios externos.

Gestionar listas de prospección saliente exige comprender en qué difieren los marcos estatales en su definición de información personal, cómo afectan las obligaciones de supresión a los registros enriquecidos de prospectos y qué controles operativos evitan fricciones de cumplimiento.

La divergencia central: roles comerciales frente a condición universal de consumidor

El contraste operativo más importante entre la Connecticut Data Privacy Act (CTPA) y la California Consumer Privacy Act (CCPA) reside en cómo cada ley clasifica a las personas contactadas en un entorno profesional.

Connecticut trazó un límite claro en torno a la actividad comercial cuando estableció su marco de privacidad mediante la Public Act 22-15 en 2022. Según la ley de Connecticut, el término consumidor excluye expresamente a toda persona que actúe en un contexto comercial o laboral, o como empleado, propietario, director, directivo o contratista de una empresa, cuando sus comunicaciones o transacciones se producen únicamente en el ámbito de ese rol. Con la Connecticut Public Act 25-113, que modificó la ley y cuyas secciones clave entran en vigor el 1 de julio de 2026, el estado amplió la cobertura al reducir el umbral general de aplicabilidad de cien mil consumidores a 35,000 consumidores. No obstante, la exclusión fundamental para las personas que actúan estrictamente en su capacidad profesional se mantiene sin cambios.

California sigue un camino muy distinto. La CCPA protege de forma amplia a los residentes de California como consumidores, sin conceder una exclusión permanente general para las comunicaciones B2B. Cuando una empresa trata información sobre un profesional de California, ese profesional conserva sus derechos de consumidor conforme a la ley estatal una vez alcanzados los umbrales legales de ingresos o de registros.

Para los equipos de operaciones de ingresos, esta diferencia estructural significa que la prospección dirigida a un director de ventas con sede en Hartford no activa los derechos estándar de datos del consumidor de la CTPA siempre que las comunicaciones permanezcan estrictamente vinculadas a su rol corporativo. Contactar a un directivo idéntico en San Francisco exige respetar las salvaguardas de privacidad de California, incluido el seguimiento obligatorio de las exclusiones voluntarias (opt-out) y la atención de las solicitudes de supresión de los consumidores.

SB 923 de California: extender los derechos de supresión a los datos de terceros

El 27 de septiembre de 2026, el gobernador de California, Gavin Newsom, firmó el Senate Bill 923 (SB 923), conocido como Expanding Privacy Rights Act. La ley modifica las secciones 1798.105 y 1798.130 del Código Civil de California, con fecha de entrada en vigor el 1 de enero de 2027.

Históricamente, la sección 1798.105 de la CCPA exigía a las empresas obligadas atender las solicitudes de supresión principalmente respecto de la información personal recopilada directamente del consumidor. Los equipos de prospección saliente solían adquirir listas de terceros, verificar correos laborales mediante agregadores de datos o enriquecer los registros del CRM con números móviles añadidos, y consideraban esos campos de terceros fuera del alcance de las solicitudes de supresión de los consumidores.

Según el análisis de Nixon Peabody, la SB 923 elimina esa distinción al ampliar la obligación de supresión a la información recopilada del consumidor o sobre él. Con este criterio, toda empresa obligada que reciba una solicitud de supresión verificable debe eliminar no solo los formularios enviados directamente o los registros de cuenta, sino también los datos adquiridos de intermediarios, añadidos durante el enriquecimiento del pipeline o inferidos mediante el cruce de datos.

El análisis de cumplimiento de TrustArc señala que este cambio obliga a los equipos de ingresos a mapear los flujos de datos aguas abajo. Cuando un prospecto ejerce sus derechos de supresión, la empresa ya no puede limitarse a eliminar el registro del contacto de una cadencia de marketing activa mientras conserva en almacenamiento en frío los datos de enriquecimiento de terceros. Los repositorios de datos de origen y los atributos añadidos deben eliminarse en todos los sistemas conectados.

Salvaguardas operativas: arquitectura de exclusión y obligaciones sobre formularios web

Para atender la realidad práctica de la prospección continua, la SB 923 introduce una salvaguarda legal específica. Como señala el anuncio oficial de CalPrivacy, las empresas pueden conservar un registro confidencial de la solicitud de supresión y los datos mínimos necesarios para mantener una lista de exclusión.

Sin esta salvaguarda, una organización podría eliminar un registro enriquecido, comprar una base de datos nueva a un proveedor tres meses después y reimportar por accidente al prospecto eliminado en una cadencia de prospección saliente. Conservar un hash de exclusión mínimo garantiza que los contactos eliminados sigan excluidos aunque se incorporen nuevos conjuntos de datos externos.

Paralelamente, la SB 923 modifica la forma en que las empresas deben aceptar las solicitudes de los consumidores. A partir del 1 de enero de 2027, las empresas obligadas que operan exclusivamente en línea y mantienen una relación directa con los consumidores ya no podrán depender únicamente de un buzón de correo dedicado. Deberán ofrecer tanto una dirección de correo electrónico como un medio en línea, como un formulario web interactivo o un portal de privacidad específico, para tramitar las solicitudes de acceso, rectificación y supresión de datos personales.

Comparación de los marcos estatales para la prospección saliente

Las diferencias prácticas entre estos dos enfoques regulatorios determinan cómo construyen las operaciones de ventas sus listas de leads y ejecutan la generación de pipeline en los distintos territorios de EE. UU.

El contraste arquitectónico descrito arriba ilustra por qué los procedimientos de prospección saliente indiscriminados conllevan un riesgo latente. En Connecticut, los equipos pueden aprovechar con tranquilidad los datos de contacto corporativos siempre que el asunto sea estrictamente empresarial. En California, cada registro de contacto de terceros conlleva posibles obligaciones posteriores de supresión y de recepción de solicitudes.

Estructurar una inteligencia B2B conforme a la normativa

Gestionar estas discrepancias estado por estado exige que los equipos abandonen la compra indiscriminada de listas y pasen a una investigación deliberada de cuentas. Cuando la prospección depende de bases de datos obsoletas compradas en bloque, las organizaciones asumen una elevada carga de higiene de datos, obligaciones complejas de exclusión y tasas de rebote elevadas que degradan la entregabilidad del dominio.

Los equipos que planifican campañas de prospección saliente en EE. UU. deberían establecer tres capas operativas claras:

1. Segmentación según la jurisdicción: Separe los registros procedentes de estados con definiciones estrictas de consumidor de los regidos por exclusiones comerciales explícitas. Aplicar controles de supresión del nivel de California a todos los leads de EE. UU. garantiza la defendibilidad sin crear flujos de trabajo fragmentados.
2. Gobernanza sólida de las exclusiones: Implemente un hash irreversible o tablas de exclusión mínimas para asegurar que ningún contacto que solicite su eliminación conforme a la SB 923 vuelva a incorporarse en futuras actualizaciones de listas.
3. Prospección guiada por la intención en lugar de extracción masiva: La eficacia de la prospección saliente depende cada vez más de la relevancia del mensaje y de los desencadenantes corporativos que del volumen. En lugar de acumular registros sin verificar, los equipos líderes se apoyan en información específica de las empresas y en desencadenantes oportunos para iniciar conversaciones.

Para conocer más buenas prácticas de prospección conforme a la normativa y estándares técnicos de entrega, los equipos de ingresos pueden consultar Google Bulk Sender Rules: Personal Gmail vs Workspace para proteger la reputación del dominio, o What the LinkedIn ProAPIs Ruling Means for B2B Sales? para entender cómo las condiciones de las plataformas regulan la extracción de datos de terceros. Hay más guías sobre la estructura del pipeline en las guías de Knowledge para ventas.

La prospección saliente moderna exige precisión en el punto de contacto. Plataformas como Ember Lead Intelligence se centran en ayudar a los equipos a identificar a quién contactar, por qué el momento es oportuno y qué ángulo comercial resulta más eficaz, obteniendo datos de contacto empresariales verificados bajo demanda y sin envíos masivos automatizados de mensajes. Al combinar la relevancia contextual con una higiene de exclusión precisa, los equipos de ingresos construyen un pipeline escalable sin perder la delantera frente a los requisitos estatales de privacidad en constante evolución.