Aviso de privacidad: ¿qué debe conocer una empresa antes de redactarlo?

Antes de redactar un aviso de privacidad, la empresa debe identificar qué datos personales obtiene, para qué los utiliza, dónde los conserva y quién puede acceder a ellos. Ese mapa permite que el texto refleje procesos reales. Copiar el aviso de otra organización puede dejar fuera herramientas, proveedores o finalidades que sí forman parte de la operación propia.

Revisar el recorrido de los datos

Un formulario de contacto es solo un punto de entrada. También pueden existir solicitudes de empleo, bases de clientes, registros de acceso y plataformas administradas por terceros. Conviene seguir cada flujo desde la captura hasta su eliminación o conservación justificada.

La legislación federal vigente para datos en posesión de particulares contempla el aviso de privacidad, los derechos de las personas y medidas de protección. Identifica a la Secretaría Anticorrupción y Buen Gobierno como autoridad en este ámbito. Los materiales antiguos que remiten al INAI deben revisarse antes de reutilizarse.

La primera reunión debería incluir a quienes administran ventas, recursos humanos y tecnología. Cada equipo suele conocer una parte del recorrido, pero no necesariamente lo que ocurre cuando la información pasa a otro sistema.

Lista para levantar el inventario

• Registra cada formulario, documento o canal que solicita datos y la persona responsable de su operación.
• Distingue los datos necesarios para atender una solicitud de los que se piden por costumbre.
• Explica la finalidad de cada uso con una acción concreta, como responder consultas o gestionar una candidatura.
• Identifica sistemas, proveedores y personas que reciben o consultan la información, incluyendo servicios en la nube.
• Describe cómo se atienden solicitudes de las personas y quién verifica su identidad de manera proporcional.
• Revisa permisos de acceso, conservación y eliminación, señalando prácticas pendientes de definición.

El inventario puede revelar duplicados o cuentas compartidas. Registrar estas situaciones permite asignar acciones operativas, además de corregir el texto del aviso. La documentación debe actualizarse cuando cambia un proveedor o se incorpora una nueva finalidad.

Alinear el aviso con la experiencia digital

Imagina que el sitio ofrece responder una consulta, pero después incorpora ese correo a campañas comerciales. La revisión debe identificar ambos usos y analizar cómo se informan y atienden sus requisitos. Un mensaje visible junto al formulario no resuelve por sí mismo todo el tratamiento posterior.

También conviene comprobar que los enlaces funcionan, que el canal de derechos recibe solicitudes y que alguien puede darles seguimiento. El aviso debe convivir con controles de acceso, acuerdos con proveedores y procedimientos internos; no los reemplaza.

Antes de activar una herramienta nueva, realiza una revisión breve: qué información recibe, qué funciones tendrá y qué cambios exige en los procesos existentes. Esta práctica reduce diferencias entre lo que la empresa comunica y lo que sus sistemas hacen.

Preguntas frecuentes

¿Basta con publicar un aviso en el pie del sitio?

Su ubicación es una parte de la revisión. Debe analizarse cómo se informa a las personas en cada canal, qué tratamiento existe y cuáles son los requisitos aplicables. Un enlace aislado no demuestra cumplimiento integral.

¿Contratar una plataforma externa transfiere toda la responsabilidad?

No debe asumirse. Es necesario revisar las funciones de cada participante, los acuerdos y el tratamiento real. La empresa necesita conocer qué ocurre con los datos que incorpora a sus herramientas.

Siguiente paso: prepara una conversación de privacidad e información con un inventario de formularios y sistemas. Esta guía organiza preguntas; el aviso definitivo debe adaptarse al tratamiento concreto.