Una ferretería en Querétaro pone un formulario de cotización en su página. Pide nombre, teléfono y correo. Con eso ya está recabando datos personales, y la ley mexicana le pide explicar qué hará con ellos. Ese texto es el aviso de privacidad.
No es un trámite solo para empresas grandes. Aplica a cualquier negocio que reciba datos de personas en su sitio, sea un consultorio dental en Puebla o una tienda en WooCommerce que vende café de Chiapas. Aquí va lo que debe decir y, sobre todo, dónde debe aparecer para que sirva.
Cuándo tu sitio necesita aviso de privacidad
Si tu página solo muestra información y no pide nada, el caso es distinto. Pero casi ningún sitio de negocio está en ese caso. Revisa si tienes alguno de estos:
- Formulario de contacto o de cotización.
- Suscripción a boletín por correo.
- Tienda en línea con registro de clientes o pago.
- Bolsa de trabajo con CV adjunto.
- Agenda de citas en línea.
- Herramientas que rastrean visitas, como Google Analytics o el píxel de Meta.
Con uno basta. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares obliga a quien recaba datos a informar a la persona antes o en el momento de hacerlo. En 2025 se publicó una nueva versión de esa ley y la vigilancia pasó del INAI a la Secretaría Anticorrupción y Buen Gobierno. Si tu aviso es de hace años, conviene que lo revise alguien que conozca la versión vigente.
Qué debe decir, en palabras simples
El texto legal lo debe revisar un abogado. Lo que sí te toca a ti es darle la información correcta, porque nadie más sabe qué hace tu negocio con los datos. Un aviso completo responde esto:
- Quién eres. Razón social o nombre del responsable y un domicilio.
- Qué datos pides. Nombre, teléfono, correo, RFC, dirección de entrega. Si pides datos sensibles, como información de salud en un consultorio, el aviso debe decirlo y pedir consentimiento expreso.
- Para qué los usas. Separa lo necesario (enviar la cotización, entregar el pedido, facturar) de lo adicional (mandar promociones). El cliente debe poder negarse a lo adicional sin perder el servicio.
- Con quién los compartes. Paquetería, plataforma de pagos, el despacho contable que timbra tus facturas.
- Cómo ejerce el cliente sus derechos. Acceder, rectificar, cancelar u oponerse al uso de sus datos (los derechos ARCO), y cómo revocar su consentimiento.
- Cómo avisas de cambios. Normalmente, publicando la versión nueva en la misma página con fecha de actualización.
Un error común es copiar el aviso de otro sitio. Si el aviso de una agencia de viajes dice que compartes datos con aerolíneas y tú vendes refacciones, el texto no te protege y además se nota.
Dónde debe ir en tu sitio
Tener el aviso en una página escondida no alcanza. Tiene que estar a la vista en el momento en que la persona entrega sus datos.
Una página propia con dirección fácil
Crea una página dedicada, por ejemplo tudominio.mx/aviso-de-privacidad. Que se lea bien en celular sin hacer zoom. Evita subirlo solo como PDF: en un teléfono es incómodo y mucha gente no lo abre.
En el pie de página de todo el sitio
Un enlace con el texto "Aviso de privacidad" en el footer, visible en todas las páginas. Es donde la gente lo busca.
Junto a cada formulario
Aquí fallan la mayoría de los sitios. Debajo del botón de enviar, agrega una línea breve: quién recibe los datos, para qué, y el enlace al aviso completo. Si vas a mandar promociones, usa una casilla aparte que no venga marcada. Revisa todos los formularios: contacto, cotización, boletín, bolsa de trabajo. Los que se agregaron con otro plugin suelen quedarse sin la leyenda.
En el pago de tu tienda
WooCommerce permite elegir la página de privacidad en sus ajustes y muestra un texto en el checkout. Confirma que apunta a tu aviso actual y no a la página de ejemplo que trae WordPress al instalarse.
En el aviso de cookies, si usas rastreo
Si tienes Google Analytics, el píxel de Meta o etiquetas de Google Ads, el aviso debe mencionar esas tecnologías y cómo desactivarlas. El banner de cookies puede enlazar directo a esa sección.
El correo para solicitudes ARCO
El aviso tiene que indicar un medio para que el cliente haga solicitudes sobre sus datos. Casi siempre es un correo. Dos recomendaciones:
- Usa un buzón con tu dominio, como
privacidad@tudominio.mx, no una cuenta personal de Gmail. Si quien la abrió deja la empresa, pierdes las solicitudes. En correo con tu dominio vs Gmail explicamos qué nota tu cliente en cada caso. - Asigna a una persona que lo revise. La ley fija plazos para responder, y un buzón que nadie lee es lo mismo que no tenerlo.
Revisión rápida desde tu celular
Haz esta prueba en cinco minutos, como si fueras cliente:
- Abre tu sitio en el teléfono y baja hasta el pie de página. ¿Ves el enlace?
- Abre cada formulario. ¿Hay una leyenda con enlace antes del botón de enviar?
- Entra al aviso. ¿Dice tu razón social real y un correo que funciona?
- Lee la lista de datos. ¿Coincide con lo que tus formularios piden hoy?
- Busca la fecha de última actualización.
Si agregaste un formulario de citas o un chat después de redactar el aviso, probablemente el texto ya no está completo. Cada vez que cambies lo que pides, actualiza el aviso.
Los datos que guardas también cuentan
El aviso promete cosas y tu sitio tiene que cumplirlas. Los mensajes del formulario se quedan en la base de datos de WordPress y en tu bandeja de correo. Los pedidos guardan direcciones y teléfonos. Borra lo que ya no necesitas, limita quién entra al administrador y mantén el certificado SSL vigente para que los datos viajen cifrados. Si alguien con acceso al panel ya no trabaja contigo, cambia esas contraseñas el mismo día.
Si vas a armar o mudar el sitio de tu negocio, en koode.mx puedes contratar hosting para el sitio de tu negocio en México con soporte en español. El texto del aviso, eso sí, que lo revise tu abogado.