El documento que delata tu tratamiento
El aviso de privacidad es la promesa pública de tu tratamiento, y la ley fija sus elementos mínimos: identidad y domicilio del responsable; los datos que se recaban y, en su caso, los sensibles; las finalidades primarias (las necesarias para tu relación con el cliente: vender, entregar, facturar, dar garantía) y las no primarias (mercadotecnia, perfilado, cesiones) con el mecanismo para negarlas; las transferencias (qué datos se envían a quién y para qué); Los mecanismos ARCO (dónde y cómo el titular ejerce sus derechos, con nombre y contacto del área o persona responsable); y los plazos de conservación.
De la estructura del aviso derivan los tres momentos de entrega: el integral (la versión completa, visible antes o al momento de recabar, por vía física o digital); el simplificado es la tarjeta breve del punto de recolección —mostrador, formulario corto, llamada— que dice lo esencial y remite al integral; y el actualizado aplica cuando cambias finalidades o transferencias: publicas la versión nueva con fecha y la notificas por el medio que el titular te dio (correo, banner). El detalle más incómodo: si no le mostraste aviso al cliente al recabar, no puedes usar sus datos para fines secundarios «porque la ley me deja»: la ausencia de aviso se presume en contra del responsable.
Tres errores de PyME que este bloque desactiva. Primero, el aviso que no está: tienes sitio y formulario de contacto pero ni una línea de privacidad —la excusa de «mi primo el programador» no es defensa. Segundo, el aviso Frankenstein: copiado de otra empresa de otro país, que promete «no compartiremos datos con nadie» mientras tu operación vive de transferencias legítimas (el courier que necesita tu dirección, la pasarela de pago que procesa tu tarjeta, el contador con tus nóminas). Un aviso que no describe tus transferencias reales es peor que ninguno: documenta tu incumplimiento. Tercero, el aviso que no se actualiza: cambiaste de plataforma de CRM, abriste canal de WhatsApp Business y ahora «el proveedor en la nube está en Virginia» — tres hechos nuevos sin anuncio.
La parte sana: un aviso honesto y corto te protege a ti. Delimita lo que hiciste con el consentimiento, desactiva denuncias por fines que sí anunciaste y, bien redactado, es tu mejor documento ante un cliente enterprise que te audite.
| Formato | Cuándo aplica | Cómo se entrega |
|---|---|---|
| Integral | Toda recolección donde quepa el documento completo | Sitio web visible antes/durante la captura; físico en el local |
| Simplificado | Puntos de recolección con espacio limitado (mostrador, formulario corto, llamada) | A la vista del titular, con enlace o medio para consultar el integral |
| Actualizado | Cambios de finalidades, transferencias o datos tratados | Publicación con fecha + notificación por el medio dado por el titular |
Una tienda recabó nombre y correo solo para entregas y facturas (primarios). Un año después quiere usar esa base para una campaña con su aliado financiero. Según la lógica del aviso:
«Si el aviso de privacidad está en el footer del sitio, aunque nadie lo abra, ya cumplí con la obligación de ponerlo a disposición.»
El aviso de privacidad no se redacta para el día tranquilo: se redacta para el día en que alguien te pregunte, con tu propio documento en la mano, qué prometiste.
— Lumbre · Empresa
Audita tu aviso actual contra los elementos mínimos: identidad y domicilio, datos recabados, sensibles en su caso, fines primarios, no primarios con opción de negación, transferencias nombradas, mecanismo ARCO con contacto real, y plazos de conservación. Si no tienes aviso, redacta el borrador con esa lista: dos columnas, «qué hago con tus datos» a la izquierda, «palabras que entiende un cliente» a la derecha. Donde la columna izquierda diga algo que el cliente no esperara (¿vendes listas?, ¿usas reconocimiento facial en la entrada?), ahí tienes una decisión de negocio que tomar, no solo una frase que escribir.
Prueba de fuego: pídele a alguien de tu equipo que lo lea y te diga, sin ayuda, qué harás con sus datos. Si se confunde, el aviso falla.
Tu texto se guarda sólo en este dispositivo.
Para dominar este tema
Lo esencial que debes saber
- El aviso integral es obligatorio y trae 7 elementos mínimos definidos por la ley.
- Fines primarios: consentimiento tácito; no primarios: opción clara de negación.
- El simplificado sirve en puntos de recolección y remite al integral.
- Cambiar finalidades o transferencias exige aviso actualizado notificado.
- Transferencias reales (courier, pasarela, nube) deben decirse: el aviso Frankenstein documenta tu incumplimiento.
Preguntas clave del tema
- ¿Qué elementos mínimos no pueden faltar en un aviso integral?
- ¿Cómo se separan y consienten los fines primarios de los secundarios?
- ¿Cuándo se usa cada uno: integral, simplificado, actualizado?
- ¿Qué son transferencias y por qué deben nombrarse?
- ¿Por qué un aviso incompleto es peor que no tener aviso?
Lo que debes poder hacer
- Redactar el aviso integral de tu empresa con los siete elementos mínimos verificables.
- Diseñar la casilla de negación de fines secundarios sin castigar al que se opone.
- Detectar en tu operación las transferencias reales y escribirles nombre y finalidad en el aviso.
Chequeo: aviso de privacidad
Aquí se mira lo que ya fuiste acertando. Pulsa «Comprobar» para saber si puedes seguir.
Siguiente: Derechos ARCO: te van a llegar y hay que saber responder — el aviso promete; ahora verás cómo se cobra esa promesa: consentimientos reforzados, datos sensibles y el procedimiento para responder una solicitud de Acceso, Rectificación, Cancelación u Oposición sin morir en el intento.
Comentarios
Inicia sesión para comentar.
Todavía no hay comentarios. Sé la primera persona en opinar.