Casi cualquier página web recaba datos personales: un formulario de contacto, un botón de cotización, un registro a newsletter o una tienda en línea. Por eso el aviso de privacidad para tu página web no es un trámite opcional, sino la forma en que la ley mexicana te pide informar a las personas qué datos recabas, para qué los usas y cómo pueden ejercer sus derechos.
En 2025 cambió el marco legal: se publicó una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y cambió la autoridad encargada de vigilarla. En esta guía te explicamos qué es el aviso, cuándo es obligatorio, qué elementos debe incluir, cómo tratar las cookies y los formularios, y los errores más comunes. Es contenido orientativo: tu aviso final debe revisarlo un especialista.
Qué es el aviso de privacidad
Es el documento mediante el cual el responsable (la persona física o moral que decide sobre el tratamiento de los datos, es decir, tu negocio) informa al titular (la persona a quien pertenecen los datos) sobre la existencia y características principales del tratamiento. Debe ponerse a disposición del titular antes o en el momento de recabar sus datos, en un lenguaje claro y comprensible.
Su función es doble: cumplir el principio de información de la ley y darte una base ordenada para tratar datos con transparencia. Un aviso bien hecho también genera confianza en tus clientes, especialmente cuando te compran en línea.
Qué cambió con la LFPDPPP 2025
El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación la nueva LFPDPPP, que sustituyó a la ley de 2010. El cambio institucional más visible es que el INAI fue extinguido y sus atribuciones en materia de protección de datos personales en posesión de particulares pasaron a la Secretaría Anticorrupción y Buen Gobierno.
Para efectos prácticos de tu sitio web, lo importante es:
- La obligación de contar con aviso de privacidad se mantiene, y la ley contempla sus modalidades integral y simplificada.
- Los principios de licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad siguen siendo la base.
- Los derechos ARCO (acceso, rectificación, cancelación y oposición) siguen vigentes, y tu aviso debe explicar cómo ejercerlos.
- Si tu aviso menciona al INAI o cita la ley anterior, es momento de actualizarlo.
Algunos detalles operativos dependen de reglamentos y lineamientos que pueden emitirse o actualizarse; por eso recomendamos una revisión legal periódica en lugar de un texto “definitivo”.
Aviso de privacidad integral y simplificado
En la práctica, un sitio web suele usar ambas modalidades: el aviso integral publicado en una página propia y una versión simplificada visible junto a los formularios, con un enlace al integral.
| Modalidad | Qué es | Dónde se usa en tu sitio |
|---|---|---|
| Integral | Documento completo con todos los elementos que exige la ley | Página dedicada, enlazada desde el pie de página y desde cada formulario |
| Simplificado | Versión breve con la identidad del responsable, las finalidades y cómo consultar el integral | Junto al botón de envío de formularios, en registros o en el checkout |
Bajo la regulación anterior también se hablaba de un aviso “corto” para espacios mínimos. Si un proveedor te ofrece esa modalidad, pide que te confirme su fundamento bajo la ley vigente.
Qué debe incluir tu aviso de privacidad
Estos son los elementos que un aviso integral para página web normalmente debe contemplar:
- Identidad y domicilio del responsable: nombre o razón social y domicilio completo.
- Datos personales que tratas: por categoría (identificación, contacto, facturación, pago, navegación) y, en su caso, si tratas datos sensibles, señalándolo expresamente.
- Finalidades: distingue las necesarias para la relación (atender una cotización, enviar un pedido, facturar) de las que no lo son (publicidad, encuestas), y ofrece un mecanismo para negarte a estas últimas.
- Mecanismos para ejercer derechos ARCO y para revocar el consentimiento: medio de contacto, requisitos de la solicitud y plazos de respuesta.
- Opciones para limitar el uso o divulgación de los datos.
- Transferencias: a quién compartes datos y con qué finalidad, y si requieren consentimiento. Distingue las remisiones a encargados (por ejemplo, tu proveedor de hosting o de correo) de las transferencias a terceros.
- Cookies, web beacons y tecnologías de rastreo: cuáles usas, qué datos obtienen y cómo deshabilitarlas.
- Procedimiento para comunicar cambios al aviso y fecha de última actualización.
Tip NUVIL: antes de redactar, haz un inventario de cada punto de tu sitio donde entra un dato: formularios, chat, WhatsApp, newsletter, checkout, analítica y píxeles. Para cada uno anota qué datos entran, para qué, dónde se guardan y quién más los recibe. Ese inventario es la materia prima de un aviso exacto.
Formularios, cookies y herramientas de terceros
Formularios
- Pide solo los datos necesarios para la finalidad. Si para cotizar basta nombre y teléfono, no pidas fecha de nacimiento.
- Coloca junto al botón de envío un texto simplificado con enlace al aviso integral.
- Si vas a usar los datos para enviar promociones, separa ese consentimiento con una casilla que no venga marcada por defecto.
Cookies y tecnologías de rastreo
Google Analytics, el píxel de Meta, la etiqueta de Google Ads, mapas incrustados o videos de terceros pueden instalar cookies o recopilar datos de navegación. Tu aviso debe mencionarlo y es buena práctica contar con una política de cookies separada y un banner que permita aceptar, rechazar o configurar las cookies no esenciales antes de activarlas.
Proveedores y transferencias
Si tus formularios envían datos a un CRM, a una hoja de cálculo en la nube o a una plataforma de correo masivo, esos proveedores tratan datos por tu cuenta. Revisa sus términos y refléjalo en tu aviso. Esto es especialmente relevante si conectas tu sitio con herramientas de automatización e inteligencia artificial o con un sistema a medida.
Si tienes tienda en línea
Una tienda recaba más datos: dirección de envío, datos fiscales para CFDI y, en algunos casos, información de pago. Lo recomendable es que los datos de tarjeta los procese directamente la pasarela y no se almacenen en tu sitio. Además del aviso de privacidad, la Ley Federal de Protección al Consumidor exige, en compras por medios electrónicos, identificar al proveedor y usar mecanismos de seguridad para la información del consumidor. Lo explicamos en cómo crear una tienda en línea en México.
Errores comunes
- Usar una plantilla genérica que menciona datos y finalidades que no aplican a tu negocio.
- No identificar al responsable o poner solo un nombre comercial sin domicilio.
- Citar al INAI o a la ley de 2010 como si siguieran vigentes.
- Olvidar mencionar cookies, píxeles o herramientas de analítica.
- Formularios sin enlace visible al aviso.
- No tener un procedimiento real para responder solicitudes ARCO: el correo indicado nadie lo revisa.
- No actualizar la fecha ni el contenido cuando cambian las herramientas del sitio.
Mantener estos detalles al día es parte del mantenimiento web, y vale la pena incluirlo en las preguntas del checklist para contratar una agencia web. Como ejemplo de estructura puedes consultar nuestro propio aviso de privacidad.
Siguientes pasos
Un aviso de privacidad exacto empieza por conocer bien cómo fluyen los datos en tu sitio. En NUVIL todos los paquetes de páginas web y tiendas en línea incluyen la implementación técnica del aviso de privacidad, el banner de cookies con consentimiento y los enlaces en cada formulario; desde la landing Presencia Start (detalle en precios). El contenido jurídico final debe validarlo tu asesor legal. Si no sabes por dónde empezar, solicita un diagnóstico sin costo o escríbenos.
Preguntas frecuentes
¿Mi página web necesita aviso de privacidad aunque solo tenga un formulario de contacto?
Sí. Si el formulario recaba datos como nombre, teléfono o correo, estás tratando datos personales y la LFPDPPP te obliga a informar al titular mediante un aviso de privacidad. Lo mismo aplica si usas herramientas que recaban datos automáticamente, como cookies de analítica o píxeles publicitarios.
¿Puedo copiar el aviso de privacidad de otra empresa?
No es recomendable. Cada aviso debe describir los datos que tú tratas, tus finalidades, tus transferencias y tus mecanismos para ejercer derechos. Un aviso copiado suele describir tratamientos que no haces y omitir los que sí haces, lo que lo vuelve inexacto y no te protege.
¿Quién supervisa ahora la protección de datos personales en el sector privado?
Con la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en el DOF el 20 de marzo de 2025 y la extinción del INAI, las funciones de autoridad en esta materia para particulares quedaron a cargo de la Secretaría Anticorrupción y Buen Gobierno. Conviene consultar sus lineamientos vigentes.
¿Cada cuánto debo actualizar mi aviso de privacidad?
Cada vez que cambie algo relevante: nuevos datos recabados, nuevas finalidades, nuevas herramientas de rastreo, nuevos proveedores que reciben datos o cambios en tu identidad o domicilio. Además, es buena práctica revisarlo al menos una vez al año y cuando cambie la regulación.