En corto: en Colombia, prospecta solo por canales que la persona autorizó y nunca por WhatsApp, SMS o llamada en frío. En México, el correo laboral tiene más margen, pero cada correo necesita baja en un clic y tu sitio, aviso de privacidad. En los dos países, una baja se respeta el mismo día. HubSpot puede hacer casi todo esto solo.
En octubre de 2025 la Superintendencia de Industria y Comercio de Colombia (SIC) multó a Movistar con 670 millones de pesos colombianos por contactar con fines comerciales, por SMS, WhatsApp y llamada, a personas que no habían dado autorización previa, expresa e informada. No fue una empresa chica sin abogados. Fue una telefónica.
Nosotros hicimos nuestra propia revisión el 27 de septiembre de 2026. Teníamos 27 contactos de Colombia en secuencias de correo frío. El resultado del ciclo: cero respuestas positivas y dos bajas, una de ellas citando habeas data. Ese mismo día sacamos a los 27 de toda secuencia y cambiamos la regla: en Colombia, primero el permiso. Este artículo explica por qué y qué sí puedes hacer. No es asesoría legal; antes de escalar en un país, una hora con un abogado local de protección de datos vale la pena.
Colombia: el canal lo autoriza la persona
Dos normas se cruzan. La Ley 1581 de 2012 (habeas data) exige autorización previa, expresa e informada para tratar datos personales. La SIC ha dicho en un concepto de 2024 que los datos corporativos, como el correo institucional, quedan fuera de esa ley, pero no distingue entre ventas@empresa.com y nombre.apellido@empresa.com, y ahí está la zona gris.
La segunda es la Ley 2300 de 2023, conocida como "Dejen de fregar". Su artículo 2 dice que solo se puede contactar a los consumidores "mediante los canales que estos autoricen", y el artículo 5 extiende a los mensajes comerciales, correo incluido, los horarios del artículo 3: lunes a viernes de 7:00 a 19:00, sábados de 8:00 a 15:00 y nunca domingos ni festivos. La ley no aclara si aplica a la venta entre empresas, y no hay un pronunciamiento de la SIC que lo cierre. Nuestra lectura prudente: no vale la pena pelear esa zona gris por unos cuantos contactos.
México: más margen con el correo laboral, no con todo
La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares entró en vigor el 21 de marzo de 2025. El INAI desapareció y la autoridad para particulares pasó a la Secretaría Anticorrupción y Buen Gobierno. Dos cambios importan para prospectar: el consentimiento tácito sigue siendo la regla general cuando la persona recibió el aviso de privacidad, y si usas los datos para una finalidad nueva tienes que volver a pedir consentimiento.
El reglamento de 2011, en su artículo 5, deja fuera los datos de contacto laborales (nombre, puesto, correo de trabajo) cuando se usan en ese contexto. Es lo que da margen al correo B2B en frío. Antes de apoyarte en ese artículo, confirma con tu abogado si ya se publicó un reglamento nuevo. Lo que no cambia: tu sitio necesita aviso de privacidad, cada correo necesita una forma clara de darse de baja, y WhatsApp no es canal de primer contacto.
Tu dominio tiene sus propias reglas
Aunque la ley te deje escribir, Gmail decide si tu correo llega. Sus reglas para remitentes piden mantener la tasa de spam reportado debajo de 0.1 % y nunca llegar a 0.3 %, atender las bajas en un máximo de 48 horas y, en correos de marketing, ofrecer baja en un clic con el encabezado List-Unsubscribe. Un dominio que pasa del 0.3 % pierde el apoyo de Google para recuperarse hasta que pasa siete días seguidos por debajo.
Por eso la regla no es solo legal. Si alguien pide que no le escribas y le llega otro correo de la secuencia, ese correo es el que termina marcado como spam. Una baja que tarda una semana en procesarse quema el dominio que usa todo tu equipo.
| Canal | Colombia | México |
|---|---|---|
| Correo a persona con nombre | Solo con autorización del canal | Sí, con baja en cada correo y aviso de privacidad |
| Correo genérico (ventas@, contacto@) | Un correo para pedir a quién dirigirse, en horario de la Ley 2300 | Sí |
| WhatsApp o SMS | Solo con número dado por la persona y opt-in | Solo con número dado por la persona y opt-in |
| Llamada en frío | No | No como primer contacto; después de un primer intercambio, sí |
| LinkedIn, contenido, referidos, eventos | Sí, y es la mejor vía | Sí |
Cómo se configura en HubSpot para que pase solo
HubSpot ya trae las piezas. En Configuración, General, pestaña Correo, la casilla "Include unsubscribe link" (incluir link de baja) agrega la baja a los correos uno a uno y a los de secuencia. Ojo: los correos enviados desde Gmail u Outlook con la extensión de ventas no la llevan. Cuando el contacto usa ese link, HubSpot lo saca de la secuencia automáticamente, igual que si responde, agenda una reunión o el correo rebota.
Lo que HubSpot no hace solo es decidir quién puede entrar a una secuencia. Esa regla la defines tú: una propiedad que guarde la autorización (fecha, canal y fuente), un filtro que impida inscribir contactos con país Colombia sin esa autorización, y formularios que pidan el consentimiento y el canal preferido. Con eso, la baja se ejecuta el mismo día sin que nadie se acuerde de hacerla.
Qué puedes hacer esta semana
- Filtra tus contactos inscritos en secuencias por país. Si hay de Colombia sin autorización registrada, sácalos hoy.
- Revisa en Configuración, General, Correo que el link de baja esté activo para todos los usuarios y manda un correo de prueba a tu propia cuenta para verlo.
- Abre Google Postmaster Tools para tu dominio y anota tu tasa de spam de los últimos 30 días. Si pasa de 0.1 %, para los envíos fríos antes de que llegue a 0.3 %.
¿Cuándo sí hace falta ayuda?
Si tu equipo prospecta en varios países, con varias secuencias y sin una propiedad que diga quién autorizó qué, el riesgo no está en un correo, está en la arquitectura. Ordenar consentimiento, filtros de inscripción y bajas en un portal con historia toma un par de semanas bien hechas. Si quieres que lo revisemos dentro de tu portal, ese es el trabajo del diagnóstico de HubSpot.
Si quieres saber dónde está tu HubSpot hoy, el autodiagnóstico gratis toma 3 minutos.
Preguntas frecuentes
¿Puedo mandar correo en frío a una empresa en Colombia?
Al correo genérico de la empresa (ventas@, contacto@) sí, porque la SIC considera los datos corporativos fuera de la Ley 1581, y dentro del horario de la Ley 2300. A una persona con nombre, la norma no es clara desde 2023. Lo prudente es pedir primero el permiso por otra vía, como LinkedIn, un referido o un formulario.
¿Puedo escribirle por WhatsApp a un prospecto que no me ha dado su número?
No. En Colombia es justo la conducta por la que multaron a Movistar, y en cualquier país la política de WhatsApp Business exige que la persona te haya dado el número y aceptado recibir mensajes. WhatsApp funciona muy bien como segundo canal, una vez que la conversación ya existe.
¿Qué pasa si alguien se da de baja y sigue inscrito en otra secuencia?
Si usa el link de baja de HubSpot, sale de la secuencia y queda dado de baja del tipo de suscripción. Si la pide respondiendo el correo, alguien tiene que registrarla. Por eso conviene un workflow que, al marcar la baja, quite al contacto de toda secuencia y lo excluya de futuras inscripciones ese mismo día.