Aviso por giro · Servicios

Aviso de privacidad para una agencia digital o desarrolladora de software

Cuando prestas servicios administrados —hosting, mantenimiento, una app que corre datos de terceros— actúas como encargado respecto de los datos del cliente de tu cliente, y como responsable respecto de los tuyos propios. Y casi toda tu infraestructura vive fuera de México: eso también hay que declararlo.

Generar el aviso de mi agencia

Dos poblaciones

El aviso tiene que hablarle a dos públicos distintos

Respecto de sus propios clientes, prospectos y colaboradores, una agencia digital es responsable. Pero cuando desarrolla o da soporte a un sistema que corre sobre datos del cliente final de su cliente, actúa como encargada: no decide para qué se usan esos datos. Esa distinción va en el contrato de servicios, no sólo en el aviso, y mezclarla es el error más caro del giro.

La infraestructura

Tus servidores casi nunca están en México

Y eso no es un problema, siempre que se declare por lo que es.

1
Nube y correo son remisión internacional

Amazon Web Services, Google Cloud o un correo corporativo alojan y procesan por instrucción tuya: son encargados. Se declara, no se pide consentimiento por eso.
2
La plataforma publicitaria es transferencia

Si el proveedor usa esos datos con fines propios, como construir audiencias con tu tráfico, cae en el artículo 36 y exige otro tratamiento.
3
La diferencia se decide por el fin, no por el país

Que el servidor esté fuera no convierte nada en transferencia. Lo que la define es quién decide para qué se usan los datos.

Qué datos recabas de tus propios clientes y colaboradores

Dirección IP
Información de navegador, sistema operativo y tipo de dispositivo
Cookies y registros de acceso
Datos de geolocalización
Información de proyectos
Aptitudes, habilidades e intereses laborales

Sensibles: casi siempre de colaboradores, nunca de clientes

Sensibles del giro (art. 8: consentimiento expreso y por escrito):

Datos de salud: Únicamente respecto de colaboradores y candidatos (aptitud médica, incapacidades), no de clientes. Intelisis lo acota correctamente.
Datos biométricos: Aplica en controles de acceso a instalaciones y centros de datos, y solo respecto de personal. Requiere consentimiento expreso y por escrito y una alternativa no biométrica.
Datos migratorios: Para colaboradores extranjeros; no integran el catálogo legal de sensibles pero exigen medidas reforzadas y finalidad acotada al cumplimiento migratorio y laboral.
Datos sensibles alojados en los sistemas del cliente: Cuando la empresa presta servicios administrados accede a bases de datos del cliente que pueden contener datos sensibles. En ese supuesto actúa como ENCARGADO, no como responsable: no debe declararlos como datos que recaba, sino regularlos en el contrato de encargo.

Para qué usas los datos

Finalidades primarias (dan origen a la relación; sin casilla de negativa):

Prestar los servicios contratados y gestionar su ejecución
Identificar al titular como cliente, proveedor o prospecto
Emitir facturas y cumplir las obligaciones fiscales correspondientes
Proporcionar soporte técnico y atender incidencias
Elaborar propuestas comerciales y cotizaciones
Celebrar y gestionar los contratos de servicios
Atender solicitudes de información
Mantener los controles de acceso y gestionar los incidentes de seguridad de la información
Cumplir los niveles de servicio acordados
Registrar y documentar los proyectos
Difundir ofertas laborales y atender postulaciones
Realizar la formación del personal y el análisis de estadísticas operativas
Administrar la nómina y el personal

Tus encargados (nube, correo, analítica)

Encargados (tratan datos por tu cuenta; no son transferencias):

Proveedor de hosting e infraestructura en la nube — Alojamiento de aplicaciones y bases de datos
Proveedor de correo corporativo — Comunicaciones y colaboración
Proveedor de almacenamiento en la nube, respaldo y monitoreo — Continuidad operativa y recuperación ante desastres
Google Analytics — Analítica del sitio web
Meta Ads / Meta Pixel — Medición y difusión de campañas
Piwik / Matomo — Analítica web autoalojada
Herramientas de gestión de proyectos y tickets — Seguimiento de requerimientos y soporte
Pasarela de pago y terminal punto de venta — Procesamiento de pagos con tarjeta de crédito o débito
PayPal — Procesamiento de pagos en línea
Stripe — Procesamiento de pagos con tarjeta
Shopify Payments — Procesamiento de pagos con tarjeta
Mercado Pago — Procesamiento de pagos en línea
Clip — Procesamiento de pagos con tarjeta en punto de venta
Conekta — Procesamiento de pagos y referencias en efectivo
Openpay — Procesamiento de pagos en línea

Dónde empieza la transferencia internacional

Transferencias (a terceros que usan los datos para fines propios; excepciones, art. 36):

Servicio de Administración Tributaria (SAT) — Cumplimiento de obligaciones fiscales (art. 36 fr. I LFPDPPP (transferencia prevista en una ley))
Procuraduría Federal del Consumidor (PROFECO) — Atención de quejas y procedimientos de consumo (art. 36 fr. I LFPDPPP (transferencia prevista en una ley))
Asesores contables, fiscales y legales externos — Asesoría profesional a la empresa y defensa de sus intereses (requiere consentimiento del titular)
Sociedades controladoras, subsidiarias y afiliadas del mismo grupo — Administración corporativa y operación conforme a políticas internas comunes (art. 36 fr. III LFPDPPP (sociedades controladoras, subsidiarias o afiliadas bajo el control común del responsable, o sociedad del mismo grupo que opera bajo los mismos procesos y políticas internas))

Normativa sectorial que también te aplica

Normas del sector que concurren con la LFPDPPP:

Ley Federal de Protección al Consumidor (comercio electrónico, art. 76 bis)
Ley Federal de Telecomunicaciones y Radiodifusión
Código de Comercio (mensajes de datos y conservación)

Revisado contra la LFPDPPP vigente el 16 de octubre de 2026.

Lo que firma el cliente

El contrato es donde vive el encargo

El aviso declara que existen los dos papeles; el contrato de servicios fija qué datos toca la agencia, con qué finalidad y qué ocurre con ellos al terminar. Sin esa pieza, el aviso promete un orden que nada sostiene. Si registras la marca de tu agencia, aquí va su clase de Niza.

Empecemos

Genera el aviso de tu agencia digital

El generador separa lo que tratas como responsable de lo que tratas por cuenta de tus clientes, y distingue la remisión internacional de la transferencia del artículo 36.

Generar mi aviso gratis