El documento que delata tu tratamiento

Documento con el rótulo Aviso de Privacidad sobre un mostrador de tienda y una pantalla — Un aviso bien hecho se lee en 20 segundos y resiste una auditoría de dos horas.

El aviso de privacidad es la promesa pública de tu tratamiento, y la ley fija sus elementos mínimos: identidad y domicilio del responsable; los datos que se recaban y, en su caso, los sensibles; las finalidades primarias (las necesarias para tu relación con el cliente: vender, entregar, facturar, dar garantía) y las no primarias (mercadotecnia, perfilado, cesiones) con el mecanismo para negarlas; las transferencias (qué datos se envían a quién y para qué); Los mecanismos ARCO (dónde y cómo el titular ejerce sus derechos, con nombre y contacto del área o persona responsable); y los plazos de conservación.\n\nDe la estructura del aviso derivan los tres momentos de entrega: el integral (la versión completa, visible antes o al momento de recabar, por vía física o digital); el simplificado es la tarjeta breve del punto de recolección —mostrador, formulario corto, llamada— que dice lo esencial y remite al integral; y el actualizado aplica cuando cambias finalidades o transferencias: publicas la versión nueva con fecha y la notificas por el medio que el titular te dio (correo, banner). El detalle más incómodo: si no le mostraste aviso al cliente al recabar, no puedes usar sus datos para fines secundarios «porque la ley me deja»: la ausencia de aviso se presume en contra del responsable.

Fines secundarios: la casilla que ya no puedes poner marcada El «consentimiento tácito» solo cubre finalidades primarias. Para las no primarias —publicar tu foto en casos de éxito, regalarte puntos con tu teléfono, compartir tu correo con el aliado— la ley exige darte opción de negarse de forma clara y gratuita, y si el aviso no incluyó esos fines cuando te recabaron, hay que notificarte el cambio y respetar tu negativa sobre lo que ya tienen. La casilla premarcada con el texto gris en la última línea es precisamente el patrón que la autoridad sancionó en su guía de supervisión: ponlo desmarcado, con palabras legibles y sin castigar al que dice no (salvo que el fin secundario sea indispensable por naturaleza, cosa rara).

Tres errores de PyME que este bloque desactiva. Primero, el aviso que no está: tienes sitio y formulario de contacto pero ni una línea de privacidad —la excusa de «mi primo el programador» no es defensa. Segundo, el aviso Frankenstein: copiado de otra empresa de otro país, que promete «no compartiremos datos con nadie» mientras tu operación vive de transferencias legítimas (el courier que necesita tu dirección, la pasarela de pago que procesa tu tarjeta, el contador con tus nóminas). Un aviso que no describe tus transferencias reales es peor que ninguno: documenta tu incumplimiento. Tercero, el aviso que no se actualiza: cambiaste de plataforma de CRM, abriste canal de WhatsApp Business y ahora «el proveedor en la nube está en Virginia» — tres hechos nuevos sin anuncio.\n\nLa parte sana: un aviso honesto y corto te protege a ti. Delimita lo que hiciste con el consentimiento, desactiva denuncias por fines que sí anunciaste y, bien redactado, es tu mejor documento ante un cliente enterprise que te audite.

Los tres formatos y cuándo se usan
Formato	Cuándo aplica	Cómo se entrega
Integral	Toda recolección donde quepa el documento completo	Sitio web visible antes/durante la captura; físico en el local
Simplificado	Puntos de recolección con espacio limitado (mostrador, formulario corto, llamada)	A la vista del titular, con enlace o medio para consultar el integral
Actualizado	Cambios de finalidades, transferencias o datos tratados	Publicación con fecha + notificación por el medio dado por el titular

Una tienda recabó nombre y correo solo para entregas y facturas (primarios). Un año después quiere usar esa base para una campaña con su aliado financiero. Según la lógica del aviso:

«Si el aviso de privacidad está en el footer del sitio, aunque nadie lo abra, ya cumplí con la obligación de ponerlo a disposición.»

El aviso de privacidad no se redacta para el día tranquilo: se redacta para el día en que alguien te pregunte, con tu propio documento en la mano, qué prometiste.
— Lumbre · Empresa

Audita tu aviso actual contra los elementos mínimos: identidad y domicilio, datos recabados, sensibles en su caso, fines primarios, no primarios con opción de negación, transferencias nombradas, mecanismo ARCO con contacto real, y plazos de conservación. Si no tienes aviso, redacta el borrador con esa lista: dos columnas, «qué hago con tus datos» a la izquierda, «palabras que entiende un cliente» a la derecha. Donde la columna izquierda diga algo que el cliente no esperara (¿vendes listas?, ¿usas reconocimiento facial en la entrada?), ahí tienes una decisión de negocio que tomar, no solo una frase que escribir.

Pista

Prueba de fuego: pídele a alguien de tu equipo que lo lea y te diga, sin ayuda, qué harás con sus datos. Si se confunde, el aviso falla.

Para dominar este tema

Lo esencial que debes saber

El aviso integral es obligatorio y trae 7 elementos mínimos definidos por la ley.
Fines primarios: consentimiento tácito; no primarios: opción clara de negación.
El simplificado sirve en puntos de recolección y remite al integral.
Cambiar finalidades o transferencias exige aviso actualizado notificado.
Transferencias reales (courier, pasarela, nube) deben decirse: el aviso Frankenstein documenta tu incumplimiento.

Preguntas clave del tema

¿Qué elementos mínimos no pueden faltar en un aviso integral?
¿Cómo se separan y consienten los fines primarios de los secundarios?
¿Cuándo se usa cada uno: integral, simplificado, actualizado?
¿Qué son transferencias y por qué deben nombrarse?
¿Por qué un aviso incompleto es peor que no tener aviso?

Lo que debes poder hacer

Redactar el aviso integral de tu empresa con los siete elementos mínimos verificables.
Diseñar la casilla de negación de fines secundarios sin castigar al que se opone.
Detectar en tu operación las transferencias reales y escribirles nombre y finalidad en el aviso.

Chequeo: aviso de privacidad

Se requiere 60% de aciertos para avanzar.

Siguiente: Derechos ARCO: te van a llegar y hay que saber responder — el aviso promete; ahora verás cómo se cobra esa promesa: consentimientos reforzados, datos sensibles y el procedimiento para responder una solicitud de Acceso, Rectificación, Cancelación u Oposición sin morir en el intento.