Si el aviso de privacidad de tu tienda menciona al INAI o cita el "artículo 16" para su contenido, está escrito para una ley que ya no existe. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares de 2010 quedó abrogada cuando entró en vigor la nueva, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 y vigente desde el día siguiente. La autoridad para empresas privadas ahora es la Secretaría Anticorrupción y Buen Gobierno (SABG), que absorbió las funciones del INAI en datos personales.
Para una tienda el cambio más práctico está en el aviso simplificado de cada formulario, que ahora debe decir más cosas, y en la numeración de todos los artículos. El plazo para contestar una solicitud ARCO y la regla de que el consentimiento tácito vale por defecto se quedaron igual.
Atémpora es una agencia Shopify, por eso los pasos concretos son de Shopify; la parte legal aplica igual en Tiendanube, WooCommerce o Wix. Esta guía explica la ley y no sustituye la revisión de un abogado, sobre todo si tratas datos de salud.
Qué cambió con la ley de 2025 para una tienda en línea
Tema | Ley de 2010 (abrogada) | Ley de 2025 (vigente) |
|---|---|---|
Autoridad | INAI | Secretaría Anticorrupción y Buen Gobierno (art. 2, fr. XV) |
Contenido del aviso | Artículo 16 | Artículo 15: agrega listar los datos que tratas y separar las finalidades que requieren consentimiento |
Aviso en formularios en línea | Identidad y finalidades | Identidad, datos, finalidades y opciones para limitar su uso, más dónde leer el aviso completo (art. 16, fr. II) |
Multas | Días de salario mínimo | Veces la UMA (art. 59) |
El Reglamento que la Cámara de Diputados sigue listando como vigente es el de diciembre de 2011, escrito para la ley anterior; al 10 de octubre de 2026 no hay uno nuevo, y sigue siendo la referencia para lo que la ley no detalla, como las cookies. En enero de 2026 la SABG abrió además foros para preparar otra ley; si se aprueba, tocará revisar el aviso otra vez.
Qué debe decir el aviso de privacidad integral
El aviso integral es el documento completo que enlazas desde el pie de tu tienda. El artículo 15 fija lo mínimo y omitir cualquiera de sus elementos es una infracción por sí sola (art. 58, fr. V). Las últimas tres filas vienen de otras reglas.
Elemento obligatorio | Artículo | Ejemplo para una tienda en línea |
|---|---|---|
Identidad y domicilio del responsable | Art. 15, fr. I | "[Razón social], con domicilio en [dirección], es responsable de tus datos." |
Datos que tratas, señalando los sensibles | Art. 15, fr. II | "Nombre, correo, teléfono, dirección de envío, RFC si pides factura e historial de compras. No tratamos datos sensibles." |
Finalidades, separando las que requieren consentimiento | Art. 15, fr. III | "Necesarias: procesar, enviar y facturar tu pedido. Adicionales: enviarte promociones y medir anuncios." |
Opciones para limitar uso o divulgación | Art. 15, fr. IV | "Date de baja con el enlace de cada correo o escribiendo a [correo]." |
Cómo ejercer los derechos ARCO | Art. 15, fr. V | "Escribe a [correo] con tu nombre, identificación y el derecho que ejerces. Respondemos en máximo 20 días hábiles." |
Cómo avisas de cambios | Art. 15, fr. VI | "Publicaremos los cambios en esta página con su fecha." |
Cómo revocar el consentimiento | Art. 7 | "Puedes revocar tu consentimiento escribiendo a [correo]." |
Si aceptas o no las transferencias | Art. 35 | "Compartimos datos de navegación con Meta para anuncios. Si no estás de acuerdo, escríbenos." |
Uso de cookies y píxeles | Reglamento de 2011, art. 14 | "Usamos cookies y el píxel de Meta para medir visitas y anuncios. Puedes deshabilitarlas en tu navegador." |
Para redactar el texto con los datos de tu negocio, usa el generador de aviso de privacidad: pregunta qué datos recopilas, para qué y con qué herramientas, y entrega el aviso integral con su versión simplificada. Antes de llenarlo, toma las decisiones de las secciones siguientes, porque el generador escribe lo que le digas.
El aviso simplificado y dónde va cada uno
Cuando recabas datos por medios electrónicos, el artículo 16, fracción II, te obliga a dar en ese momento el aviso simplificado: las fracciones I a IV del artículo 15 (quién eres, qué datos pides, para qué y cómo limitar su uso) y dónde consultar el integral. Un texto corto hecho con las reglas de 2010 traía solo identidad y finalidades, y ya no alcanza.
Lo necesitas en el formulario de newsletter y las ventanas emergentes con descuento, en el registro de cuenta, en el checkout, en los formularios de contacto o mayoreo y en los anuncios de redes que capturan prospectos. Una línea basta: "[Tu tienda], con domicilio en [ciudad], usará tu correo para enviarte promociones; puedes darte de baja en cualquier correo. Aviso de privacidad: [enlace]".
Consentimiento: compra, marketing y datos sensibles
Para vender no necesitas pedir permiso. El artículo 9, fracción IV, exceptúa los datos que se requieren para cumplir la relación con tu cliente: dirección para entregar, datos de pago para cobrar, RFC para facturar. Para lo demás, el consentimiento tácito es la regla (art. 7): si el aviso estuvo a la vista y la persona no se opuso, consintió.
Correos, SMS y WhatsApp de marketing
Las promociones son una finalidad adicional. El Reglamento de 2011 pide incluirlas en el aviso (art. 30) con un mecanismo para negarse (art. 14). La Ley Federal de Protección al Consumidor agrega que debes respetar la decisión de no recibir avisos comerciales (art. 76 BIS, fr. VI), identificar a tu negocio y a la Profeco en cada publicidad (art. 17) y no enviarla a quien lo pidió ni a quien está en el registro de la Profeco (art. 18 BIS).
Una casilla preseleccionada puede defenderse como consentimiento tácito, pero nuestra recomendación es dejarla sin marcar. El Reglamento pone en ti la carga de probar el consentimiento (art. 20), y una casilla que el cliente marcó es la prueba más fácil de sostener. Para SMS, Shopify ni siquiera permite preseleccionarla. Cómo construir esa lista lo explicamos en email marketing para ecommerce.
Datos sensibles
Si vendes suplementos o skincare y tu cuestionario pregunta por padecimientos, alergias o embarazo, estás tratando datos de salud, que la ley clasifica como sensibles (art. 2, fr. VI). Necesitas consentimiento expreso y por escrito, con firma o un mecanismo de autenticación (art. 8), y el aviso debe identificarlos. Si la recomendación funciona sin esas preguntas, quítalas.
Cookies y píxeles: qué pide la regulación mexicana
La ley de 2025 no menciona cookies ni tecnologías de rastreo. La regla expresa está en el artículo 14 del Reglamento de 2011: si usas tecnologías que recaban datos de forma automática, debes informar en ese momento que las usas, que obtienen datos personales y cómo deshabilitarlas. Pide informar; no exige una casilla de aceptación previa como en Europa. Aparte, las condiciones de Meta para su píxel piden un aviso visible en cada página donde está instalado.
En Shopify, el banner se configura en Configuración > Privacidad del cliente > Banner de cookies. Con la configuración automática solo aparece en el Reino Unido y el Espacio Económico Europeo, si vendes ahí; puedes agregar México, siempre que antes publiques tu política de privacidad. Cubre las cookies de Shopify y los Shopify Pixels; los píxeles instalados a mano requieren un banner externo integrado con la API de privacidad de Shopify. Donde el banner pide consentimiento, Shopify recaba los datos no esenciales solo después de que el visitante acepta, y verás menos sesiones en tus reportes.
Con quién compartes datos: remisión o transferencia
La ley distingue dos casos. La persona encargada trata datos por tu cuenta y con tus instrucciones (art. 2, fr. XII); el Reglamento llama remisión a esa comunicación y no exige informarla ni pedir consentimiento (art. 53), aunque sí un contrato (art. 51). Cualquier otro destinatario recibe una transferencia (art. 2, fr. XX): tu aviso debe decir si el cliente la acepta (art. 35) y solo puedes hacerla sin consentimiento en los supuestos del artículo 36, como cuando es necesaria para cumplir la compra.
El contrato de cada proveedor define el caso:
Tercero | Qué datos recibe | Para qué | Remisión o transferencia |
|---|---|---|---|
Shopify | Clientes, pedidos y navegación | Operar la tienda | Remisión según su acuerdo de datos; transferencia si activas Shopify Network Intelligence |
Pasarela (por ejemplo Stripe) | Nombre, correo, tarjeta, dirección de facturación, IP | Cobrar y prevenir fraude | Mixta: Stripe es encargado al cobrar y responsable para fraude y cumplimiento; esa parte es transferencia ligada al contrato de compra (art. 36, fr. IV) |
Paquetería | Nombre, dirección, teléfono | Entregar | Remisión si solo entrega por tu cuenta; transferencia si su aviso declara usos propios |
Email marketing (por ejemplo Klaviyo) | Correo, nombre, compras, actividad | Campañas y flujos | Remisión: Klaviyo se declara encargado |
Píxel de anuncios (Meta) | Eventos de navegación y compra, IP, correo y teléfono cifrados | Medir y optimizar anuncios | Mixta: Meta usa los eventos también para entregar anuncios y personalizar contenido; esa parte es transferencia no necesaria para la compra y requiere un mecanismo para negarse |
App de reseñas | Nombre, correo, producto, reseña | Pedir y publicar reseñas | Remisión si actúa por tu cuenta; confírmalo en su acuerdo |
En una tienda Shopify típica, el aviso debe declarar al menos dos transferencias: la pasarela, que no requiere consentimiento por estar ligada a la compra, y el píxel de anuncios, que sí lo requiere.
Derechos ARCO: cómo se piden y cuánto tiempo tienes
Tu cliente puede pedirte acceso, rectificación, cancelación u oposición en cualquier momento (art. 27). La solicitud trae su nombre, un medio de contacto, una identificación, los datos de que se trata y el derecho que ejerce (art. 28). Debes designar a una persona o área que las atienda (art. 29); en una tienda pequeña basta el dueño con un correo dedicado.
Tienes 20 días hábiles para responder y 15 días hábiles más para aplicar la respuesta si procede, ampliables una vez por un periodo igual si lo justificas (art. 31). Es gratuito, salvo copias o envío (art. 34). Si no contestas, el cliente puede acudir a la SABG (art. 40). No tienes que borrar lo que necesitas para cumplir un contrato o lo que una ley te obliga a conservar (art. 25).
En Shopify, abre el perfil en Clientes y usa Más acciones > Solicitar datos del cliente o Más acciones > Suprimir datos personales. La supresión borra nombre y dirección, pero lo vendido y la fecha siguen visibles; tienes 10 días para cancelarla, cancela suscripciones y preventas con pagos pendientes, y no toca lo que Shopify guarda por Shop o Shop Pay.
Cómo cumplir en Shopify, paso a paso
Si estás armando la tienda, hazlo junto con pagos y envíos, como en la guía para crear tu tienda en línea en México:
Redacta el aviso con el generador, con la lista real de apps y píxeles instalados.
En Configuración > Privacidad del cliente > Política de privacidad, decide si usas la política automatizada. Es una plantilla general de Shopify que se actualiza sola; si le faltan elementos del artículo 15, desactiva la automatización y pega tu texto.
Enlaza el aviso en el menú del pie de página. Shopify lo enlaza solo en el pie del checkout.
En Configuración > Pago > Suscripción a marketing, deja todas las regiones sin casilla preseleccionada y usa Personalizar etiquetas para decir qué vas a enviar.
En Privacidad del cliente, decide si activas el banner de cookies para México y si mantienes Shopify Network Intelligence, y refléjalo en el aviso.
Agrega el texto simplificado al bloque de newsletter de tu tema.
Publica el mismo día tus términos y condiciones. Para el resto de la configuración, la guía de Shopify en México cubre planes, pagos y envíos.
Lo que arriesgas si no cumples
El artículo 59 fija multas de 100 a 160,000 veces la UMA por omitir elementos del aviso o desatender solicitudes ARCO con negligencia, y de 200 a 320,000 veces la UMA por transferir sin comunicar el aviso o recabar datos sin el consentimiento expreso cuando se exige. Si la infracción se repite hay multa adicional, y con datos sensibles pueden duplicarse. La SABG gradúa el monto según la intención y tu capacidad económica, entre otros criterios (art. 60).
Nuestra recomendación
Antes de redactar, haz la lista de lo que tienes instalado: pasarela, paquetería, correo, píxeles y reseñas. Esa lista te dice qué transferencias declarar y cuál necesita consentimiento. Deja sin marcar la casilla de promociones, porque a ti te toca probar el consentimiento. Y si tu aviso menciona al INAI o al artículo 16 de la ley de 2010, reemplázalo esta semana y exporta la versión anterior desde Configuración > Políticas para conservarla.
Preguntas frecuentes
¿El INAI sigue atendiendo quejas de datos personales?
No. Desde el 21 de marzo de 2025 la autoridad para datos en posesión de particulares es la Secretaría Anticorrupción y Buen Gobierno, y los procedimientos abiertos ante el INAI pasaron a ella.
¿Puedo usar la política de privacidad automática de Shopify como aviso?
Como base sí, pero es una plantilla general. Revisa que tenga los seis elementos del artículo 15, la cláusula de transferencias del artículo 35 y el mecanismo de revocación del artículo 7; si falta alguno, pega tu propio texto.
¿Necesito banner de cookies si solo vendo en México?
La ley de 2025 no lo exige. El Reglamento de 2011 pide informar al momento de la visita que usas esas tecnologías y cómo deshabilitarlas, y Meta pide un aviso en cada página con su píxel.
¿Una persona física con una tienda pequeña también necesita aviso de privacidad?
Sí. La ley aplica a personas físicas y morales privadas que tratan datos personales y exceptúa a quien los recaba para uso exclusivamente personal, sin fines comerciales.
¿Vas a abrir tu tienda y quieres que salga con sus páginas legales publicadas?
Con Tienda Shopify Lanzamiento tu tienda queda lista en 2 semanas por $16,000 MXN con IVA, hasta en 6 meses sin intereses, con hasta 50 productos y con aviso de privacidad, términos y política de devoluciones publicados con los datos de tu negocio (no incluye migración). Si ya vendes y prefieres que alguien opere la tienda cada mes, la gestión de tu tienda empieza en $14,000 MXN al mes.
