Concursos y referidos: crear una mecánica viral conforme sin convertir a tus participantes en spammers

Una mecánica de referidos viral puede funcionar sin riesgos legales

Los concursos con referidos («invita a 3 amigos, aumenta tus posibilidades de ganar») generan tasas de participación 2 o 3 veces superiores a los concursos simples, pero plantean riesgos importantes: consentimiento de las personas invitadas, trazabilidad de las invitaciones, gestión de las recompensas intermedias y conformidad con el RGPD. Construir una mecánica conforme exige aclarar cuatro puntos antes del lanzamiento: quién puede ser invitado y cómo, qué consentimientos recabar, cómo rastrear cada invitación sin generar spam y cómo estructurar las recompensas para mantener la legalidad.

Por qué las mecánicas de referidos generan riesgos legales

Una mecánica de referidos simple —«comparte este enlace con tus amigos, obtén 1 participación adicional por cada amigo que se inscriba»— empuja a los participantes a enviar mensajes no solicitados a sus contactos. Surgen tres riesgos:

El spam involuntario: si tu interfaz facilita demasiado el envío masivo de mensajes (botón «invitar a todos mis contactos»), los participantes hacen spam, incluso a personas que nunca han solicitado comunicación comercial. Esto puede comprometer tu responsabilidad legal y la del participante como emisor.

La ausencia de consentimiento de los referidos: las personas invitadas no han elegido recibir tu comunicación de marketing. El RGPD impone un consentimiento previo para toda comunicación comercial por email o SMS. Si el invitado no valida claramente que acepta participar, infringes el artículo 6 del RGPD (falta de base legal) y la Ley de Informática y Libertades.

Las recompensas intermedias no declaradas: si un participante gana una recompensa (descuento, producto, crédito) en cuanto un amigo se inscribe, sin haber ganado el juego principal, esa recompensa es un premio que debe declararse a la Autoridad de Regulación Publicitaria (ARPP) o a su equivalente nacional. Muchos anunciantes olvidan esta declaración.

Las cláusulas de exclusión implícitas: si la mecánica no precisa claramente que los participantes referidos siguen siendo elegibles para el juego (o si se excluyen de él), te arriesgas a una discriminación involuntaria o a una reclamación contenciosa.

Cómo estructurar la etapa del consentimiento de los referidos

El primer paso es asegurarte de que cada persona invitada consiente explícitamente antes de registrarla como participante. Así es como se hace:

Separar la invitación de la inscripción: no registres automáticamente a los invitados en tu base de datos. Envíales un mensaje (email o SMS, según tu canal) que diga explícitamente: «[Nombre del padrino] te invita a participar en nuestro concurso. Al hacer clic a continuación, aceptas las condiciones de uso y nuestras condiciones de tratamiento de datos». Hacer clic en el enlace = consentimiento explícito y registro en la base.

Mostrar al padrino, no de forma oculta: si el mensaje de invitación incluye el nombre del padrino («Alice te invita a jugar»), el invitado sabe de dónde viene la invitación. Es más transparente y legalmente legítimo. También reduce el efecto «email anónimo raro» que genera spam percibido.

Imponer un límite de invitaciones por participante: no permitas que un solo participante invite a 500 personas en 5 minutos. Fijar un tope (5, 10, 20 invitaciones máx. según tu mecánica) reduce el spam voluntario e involuntario y frena los comportamientos de bots o de abuso.

Prever una baja fácil (opt-out): en cada mensaje de invitación, incluye un enlace «No deseo participar» o «No deseo seguir recibiendo mensajes relacionados con este juego». Es una obligación legal y reduce las reclamaciones ante la CNIL.

Trazabilidad: cómo registrar las invitaciones sin crear un riesgo RGPD

Debes poder demostrar quién invitó a quién y que el consentimiento se otorgó. Estos son los pasos:

Registros de invitaciones con marca temporal: por cada invitación enviada, registra: el ID del padrino, la dirección de email o el número de teléfono del invitado, la hora de envío y el estado (enviado, no entregable, clicado, inscrito). Estos registros son tu prueba legal si la CNIL solicita una justificación.

Consentimientos separados: guarda un registro de cuándo el invitado aceptó las condiciones (clic en el enlace de invitación = consentimiento con marca temporal). Esto diferencia «mensaje enviado» de «consentimiento obtenido». Un invitado puede recibir el mensaje pero no consentir: es normal.

Sin datos sensibles en las invitaciones: no almacenes las listas de contactos completas del padrino (todos sus emails y números de teléfono). Registra solo las invitaciones que se enviaron efectivamente y su resultado. Esto limita tu exposición al RGPD.

Duración de conservación limitada: fija una política de retención: por ejemplo, eliminar las invitaciones rechazadas tras 3 meses y los datos de los no participantes tras el fin del concurso. Comunica esta duración en tu cláusula informativa del RGPD.

Recompensas intermedias y declaración reglamentaria

Si la mecánica ofrece una recompensa en cuanto el amigo se inscribe (ej.: «cada amigo invitado te da 1 boleto ganador inmediato»), hay que declarar esa recompensa.

Distinguir invitaciones exitosas y participaciones en el sorteo: una invitación exitosa = el amigo hizo clic y aceptó. Esto puede generar una recompensa intermedia (ej.: un descuento de 5 € inmediato). Pero no confundas esta recompensa con los boletos del sorteo principal. Dos lógicas distintas = dos conformidades distintas.

Declarar las recompensas intermedias: si ofreces descuentos, créditos o regalos de bajo precio (menos de 50 €) en cuanto una invitación tiene éxito, contacta con la ARPP o tu regulador local para verificar si es necesaria una declaración. Generalmente, las recompensas de pequeño valor no necesitan declaración, pero depende de tu país y de tu sector. Documentar esta verificación te protege.

Mostrar el coste real de la mecánica: si un participante que invita a 10 amigos recibe 10 descuentos de 5 €, es un coste de 50 € para ti. Tu declaración debe indicar este coste total y su reparto (recompensa inmediata + recompensa del sorteo). Es transparencia legal.

Cláusulas de exclusión: cómo tratar a los referidos

Un punto crítico es definir si los participantes referidos pueden ganar el premio principal.

Opción 1: los referidos siguen siendo elegibles: si un amigo acepta la invitación y se inscribe, puede ganar el premio principal. Es la opción más transparente y equitativa. Notifícalo claramente: «Puedes ser elegido ganador, aunque te haya invitado un amigo». Esto elimina la frustración legal.

Opción 2: los referidos ganan menos: puedes prever dos premios (ej.: premio de 1.000 € para los inscritos directamente, 500 € para los referidos). Esto debe indicarse claramente antes de la inscripción. Atención: este enfoque genera fricción. A la gente le parece injusto ganar menos porque hizo clic en un enlace.

Opción 3: exclusión completa: los referidos no pueden ganar el premio principal, solo las recompensas intermedias (el descuento en la inscripción). Es legal, pero indícalo muy claramente desde el mensaje de invitación: «Te invitamos a participar. Al inscribirte, recibes un descuento de 5 € pero no serás elegible para el sorteo principal». De lo contrario, es una vulneración del derecho a la información.

Sea cual sea la opción, muéstrala en las condiciones legales Y en el mensaje de invitación. Sin sorpresas legales a posteriori.

Mecánicas anti-spam y anti-abuso

Para evitar que tu juego se convierta en una máquina de spam, establece salvaguardas.

Límite de velocidad (rate limiting): bloquea a un participante que envía 20 invitaciones en 10 minutos. Espera 1 hora antes de autorizar 20 nuevas invitaciones. Esto disuade a los abusadores sin bloquear a los usuarios legítimos.

Validación de email/SMS: verifica que las direcciones invitadas son válidas (formato correcto) antes de enviar. Esto reduce los mensajes no entregables y el spam involuntario a cuentas eliminadas.

Bloqueo de listas comunes: si alguien intenta invitar a miles de emails de una lista pública (ej.: todos los emails publicados en un sitio), detéctalo y bloquéalo. Utiliza herramientas de detección de anomalías (pattern matching, reputación de IP).

Transparencia ante los padrinos: muestra al participante cuántos amigos han recibido la invitación, cuántos han aceptado y cuántos siguen siendo elegibles. Esto genera confianza y evita sensaciones de estafa.

Consentimiento iterativo para los canales múltiples

Si ofreces varios canales de invitación (email, SMS, redes sociales), el consentimiento debe ser iterativo.

Invitar por email = requiere consentimiento de email: el invitado debe aceptar recibir emails de marketing. Es el artículo 82 de la Ley de Informática y Libertades en Francia.

Invitar por SMS = requiere consentimiento de SMS: el invitado debe consentir específicamente el SMS. El consentimiento de email no se traslada al SMS.

Invitar a través de redes sociales: si el participante comparte en Facebook o LinkedIn, las personas que ven la publicación no han recibido una comunicación directa tuya. No se necesita consentimiento RGPD como tal, pero verifica la política de la plataforma (spam, visibilidad, etc.).

Aloja una página que haga todo esto legible: «Cómo invitar a tus amigos», con las tres opciones y los criterios de consentimiento asociados.

Cláusula informativa del RGPD y condiciones generales

Antes del lanzamiento, finaliza tus documentos legales.

Cláusula informativa conforme: crea una cláusula RGPD que cubra:

• Quién trata los datos (tu empresa).
• Qué datos (direcciones de email/SMS, nombres, puntos en la mecánica).
• Para qué (ejecución del contrato del juego, marketing según consentimiento).
• Duración de conservación.
• Derechos de los invitados (acceso, rectificación, oposición).
• Dirección del Delegado de Protección de Datos (DPD) si procede.

Condiciones generales del juego: incluye:

• Modalidades de la mecánica de referidos (límite de invitaciones, recompensas, proceso).
• Cláusulas de exclusión o elegibilidad (¿pueden ganar los referidos?).
• Reglas anti-abuso (bloqueo de los participantes que hacen spam).
• Duración del juego y fecha límite de inscripción.
• Confidencialidad de los datos de los referidos.

Haz que un jurista especializado en concursos o en datos personales valide estos documentos. Es un coste, pero es tu seguro legal.

Ejemplo de arquitectura conforme

Así es como se ensambla todo esto en un flujo de usuario:

Paso 1 – Inscripción del padrino: el usuario se inscribe en el juego de forma clásica (email, nombre, condiciones aceptadas). En este punto, recibe 1 boleto para el sorteo.

Paso 2 – Acceso a la mecánica de referidos: una pantalla dice «Invita a 3 amigos, gana 3 boletos extra». Visualización de las condiciones: «Cada amigo que acepte tu invitación recibe un descuento de 5 €. Tú ganarás 1 boleto extra. Puedes invitar hasta 10 amigos. Los amigos invitados siguen siendo elegibles para el sorteo principal».

Paso 3 – Invitación: el padrino introduce un email (validación de formato). Hace clic en «Enviar». Tú registras la invitación en los logs.

Paso 4 – Mensaje recibido: el invitado recibe un email: «[Padrino] te invita a participar en nuestro concurso. Ganarás un descuento de 5 € si te inscribes y podrás ganar nuestro premio principal. Al hacer clic aquí, aceptas nuestras condiciones». Enlace a la página de inscripción + condiciones legales.

Paso 5 – Inscripción del invitado: el invitado hace clic, lee las condiciones y se inscribe. Consentimiento con marca temporal registrado. Recibe su código de descuento y 1 boleto para el sorteo.

Paso 6 – Confirmación del padrino: el padrino ve «1 amigo invitado ha aceptado. Tienes 1 boleto extra. (Te quedan 2 amigos para llegar a 3.)».

Paso 7 – Sorteo: al final del juego, todos los participantes (padrinos y referidos) son elegibles para el sorteo, con su número total de boletos visible. Transmisión de los logs y consentimientos al organismo del juego.

Esta arquitectura es simple, transparente y conforme.

Puntos críticos que verificar antes del lanzamiento

Antes de validar tu plataforma:

• Verifica que cada invitación envíe un mensaje claro (padrino nombrado, recompensa especificada, condiciones de elegibilidad del invitado indicadas).
• Prueba el flujo completo: invitar a un amigo, recibir el email, inscribirse, verificar que los datos se registran en logs y los consentimientos se guardan.
• Comprueba que las invitaciones masivas (1.000 direcciones en 1 segundo) se bloquean.
• Verifica que tu página de condiciones legales es legible, con las duraciones de conservación y los derechos RGPD visibles.
• Pide a un jurista que valide las condiciones antes del lanzamiento (inversión de 500-2.000 € según tu región y complejidad).
• Planifica un monitoreo posterior al lanzamiento: cuántas invitaciones rechazadas, cuántas quejas por spam, cuántos clics en opt-out. Ajusta la mecánica en tiempo real si surge un problema.

Una mecánica de referidos viral y conforme es posible. Exige rigor administrativo, pero se traduce en tasas de participación más altas, menos riesgos legales y una mejor percepción de tu marca entre los participantes.