Aviso de Privacidad

Sí. Llénalo, personalízalo y descárgalo en PDF sin costo.

Sí. Cambia cualquier campo o texto tú mismo, o pídeselo al copiloto de IA en lenguaje natural.

Sí. Genera un PDF listo para publicar o imprimir en cualquier momento.

Es el documento que el responsable pone a disposición de cada persona desde el momento en que recaba sus datos personales, para informarle qué datos trata y con qué propósitos (arts. 2, fr. I, y 14 de la Ley). Están obligados los «sujetos regulados»: cualquier persona física o moral de carácter privado que trate datos personales — una clínica, una tienda en línea, un despacho, un restaurante con programa de lealtad, un patrón que recibe solicitudes de empleo. La nueva ley amplió esta definición: ya no exige «decidir» sobre el tratamiento, basta llevarlo a cabo.

El artículo 15 exige, como mínimo: (I) la identidad y domicilio del responsable; (II) los datos personales que serán tratados, identificando los sensibles; (III) las finalidades, distinguiendo las que requieren consentimiento; (IV) las opciones y medios para limitar el uso o divulgación; (V) los mecanismos, medios y procedimientos para ejercer los derechos ARCO; y (VI) el procedimiento para comunicar cambios al aviso. Si además transfieres datos a terceros, el artículo 35 exige la cláusula «acepta o no la transferencia». Este formato cubre los seis elementos y la cláusula.

La ley vigente distingue dos modalidades (art. 16): cuando recabas datos personalmente con formatos impresos, el aviso se da a conocer completo en ese momento; cuando los recabas por medios electrónicos (tu página web, un formulario en línea), basta la modalidad SIMPLIFICADA — al menos los elementos de las fracciones I a IV del artículo 15 más el sitio donde se puede consultar el aviso integral. El «aviso corto» era la tercera categoría de los Lineamientos de 2013, dictados bajo la ley abrogada, pensada para espacios mínimos (un ticket, un letrero); la ley actual sólo nombra la simplificada. Este formato genera la integral y la simplificada.

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada el 20 de marzo de 2025 (en vigor desde el 21 de marzo, reformada el 14 de noviembre de 2025) abrogó la ley de 2010. Los cambios que tocan al aviso: la definición de responsable se amplió a cualquier particular que trate datos (art. 2, fr. XVI); las transferencias salieron de la lista de contenido mínimo y ahora viven en el artículo 35, que exige la cláusula «acepta o no»; la modalidad simplificada quedó en la propia ley (art. 16); y desapareció el INAI — la autoridad es la Secretaría Anticorrupción y Buen Gobierno. Si tu aviso actual cita la ley de 2010 o al INAI, está desactualizado.

El INAI fue suprimido por la reforma constitucional de diciembre de 2024 y el decreto del 20 de marzo de 2025: sus funciones en materia de datos personales de particulares pasaron a la Secretaría Anticorrupción y Buen Gobierno, y las menciones al INAI en otras normas se entienden hechas a quien asumió sus atribuciones (transitorio Cuarto). Las guías y el generador de avisos del INAI que siguen circulando se elaboraron bajo la ley abrogada de 2010 — úsalos con cautela: la estructura general sirve, pero las citas legales y la autoridad ya no son las vigentes.

Desde el momento en que recabas los datos (art. 2, fr. I). Si los recabas personalmente con formatos impresos, el aviso se da a conocer en ese momento — imprímelo, tenlo a la vista en tu establecimiento o inclúyelo en tus formatos. Si los recabas por tu página web, una app o un formulario electrónico, muestra la modalidad simplificada en el punto de captura y publica el aviso integral en tu sitio (art. 16). Buena práctica: enlaza el aviso en el pie de tu página y en cada formulario donde pidas datos.

Los que afectan la esfera más íntima de la persona o cuyo uso indebido puede dar origen a discriminación o un riesgo grave: origen racial o étnico, estado de salud presente o futuro, información genética, creencias religiosas, filosóficas y morales, opiniones políticas y preferencia sexual (art. 2, fr. VIII). Si los tratas, el aviso debe identificarlos expresamente (art. 15, fr. II) y necesitas consentimiento expreso Y por escrito — firma autógrafa, firma electrónica o un mecanismo de autenticación (art. 8). Además, la ley prohíbe crear bases de datos sensibles sin finalidades legítimas y concretas que lo justifiquen.

Depende de los datos. La regla general es el consentimiento tácito: pones el aviso a disposición y, si la persona no manifiesta lo contrario, se entiende que consiente (art. 7). Los datos financieros o patrimoniales requieren consentimiento expreso — verbal, escrito, electrónico o por signos inequívocos. Sólo los datos sensibles exigen consentimiento expreso y por escrito con firma (art. 8). Este formato ajusta el texto y añade el apartado de firma únicamente cuando activas datos sensibles.

El artículo 36 lista los supuestos: cuando la transferencia está prevista en una ley o tratado; cuando es necesaria para la prevención o el diagnóstico médico o la prestación de asistencia sanitaria; entre sociedades del mismo grupo que operan bajo procesos y políticas internas comunes; cuando es necesaria por un contrato celebrado o por celebrar en interés de la persona titular; para salvaguardar un interés público o la procuración de justicia; para reconocer, ejercer o defender un derecho en juicio; y para mantener o cumplir una relación jurídica entre responsable y titular. Fuera de esos casos, aplica la cláusula «acepto / no acepto» del artículo 35 que este aviso incluye.

Acceso, Rectificación, Cancelación y Oposición: los derechos de cada persona sobre sus datos (arts. 21 a 27). Como responsable debes designar a una persona o departamento de datos personales que dé trámite a las solicitudes (art. 29), responder en un plazo máximo de veinte días y, si procede, hacer efectiva tu determinación dentro de los quince días siguientes — plazos ampliables una sola vez por un periodo igual (art. 31). El ejercicio de los derechos ARCO es gratuito; sólo pueden cobrarse los costos justificados de envío o reproducción (art. 34).

Sí. La ley tipifica como infracción, entre otras, incumplir las obligaciones del aviso de privacidad y omitir sus elementos, y la Secretaría Anticorrupción y Buen Gobierno puede imponer sanciones económicas que la propia ley gradúa según la gravedad, la capacidad económica y la reincidencia — con agravantes tratándose de datos sensibles. Los montos concretos dependen de cada caso; lo relevante para un negocio es que el aviso es la obligación de cumplimiento más visible y la más fácil de auditar.

No. Este formato es para particulares — negocios, profesionistas, asociaciones. Los entes públicos (dependencias, ayuntamientos, organismos) se rigen por la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados, también renovada por el decreto del 20 de marzo de 2025, con sus propios avisos y órganos garantes. Si trabajas en el sector público, usa el formato de tu institución.

Genera el PDF y úsalo según tu canal: publica el aviso integral en tu página web (la ruta típica es /aviso-de-privacidad), coloca la modalidad simplificada en tus formularios web o de papel con el enlace a la integral, imprime un ejemplar visible en tu establecimiento y anexa el aviso a los formatos donde recabes datos (solicitudes, expedientes de clientes, contratos). Si tratas datos sensibles, conserva firmado el apartado de consentimiento que este formato añade.

Sí — y es su razón de ser. Cita la ley publicada el 20 de marzo de 2025 (arts. 2, 7, 8, 14, 15, 16, 29, 31, 34, 35 y 36, verificados contra el texto de la Cámara de Diputados), nombra a la Secretaría Anticorrupción y Buen Gobierno como autoridad y nunca al INAI, e incluye la cláusula de transferencias del artículo 35 que los machotes elaborados con la ley de 2010 no tienen. Aun así, revisa el resultado con tu asesor si tu giro tiene regulación especial (salud, financiero, telecomunicaciones).