Respuesta directa
En pocas palabras
Para atender una solicitud ARCO, registra la petición en un canal publicado, verifica identidad y representación de forma proporcional, clasifica el derecho solicitado, controla el plazo, localiza datos y derivados en todos los sistemas, decide con fundamento, ejecuta la respuesta y conserva evidencia mínima. En México, el procedimiento debe validarse contra la LFPDPPP vigente, su Reglamento y las obligaciones específicas de la organización.
Define el alcance antes de convertir una solicitud en un ticket técnico
Una solicitud ARCO permite a una persona ejercer derechos de acceso, rectificación, cancelación u oposición respecto de sus datos personales. El equipo no debe reducirla a borrar un contacto ni tratarla como una petición de soporte común. Primero identifica quién es el responsable del tratamiento, qué relación existe con la persona, qué derecho solicita y qué sistemas, proveedores o documentos podrían contener información que le concierne.
Esta guía se concentra en empresas privadas que operan un CRM o un AI Sales Copilot en México. No determina si una petición concreta procede, qué excepción aplica ni cómo debe responder una organización regulada. La LFPDPPP vigente, su Reglamento, contratos y disposiciones sectoriales requieren interpretación competente. El objetivo es construir un flujo que permita aplicar esa decisión de manera consistente y demostrable.
Separa acceso, rectificación, cancelación y oposición
Acceso busca conocer los datos personales y las condiciones de su tratamiento. Rectificación corrige información inexacta o incompleta y normalmente necesita identificar el cambio solicitado y su sustento. Cancelación puede conducir al bloqueo y posterior supresión cuando resulte procedente. Oposición busca detener un tratamiento determinado bajo las condiciones aplicables. Una misma petición puede incluir más de un derecho, pero cada resultado necesita una decisión propia.
No conviertas una frase ambigua en la opción más irreversible. Si alguien escribe no quiero recibir mensajes, puede estar pidiendo dejar una finalidad comercial, no eliminar toda evidencia de la relación. Si pide mi información, confirma si busca una copia de datos personales, documentos específicos o una explicación del tratamiento. Aclarar el resultado esperado reduce divulgaciones excesivas y ejecuciones que después no pueden revertirse.
| Criterio | Pregunta principal | Resultado a validar |
|---|---|---|
| Acceso | ¿Qué datos y tratamiento deben mostrarse? | Paquete comprensible y entrega segura |
| Rectificación | ¿Qué dato es inexacto o incompleto? | Corrección y propagación comprobadas |
| Cancelación | ¿Qué tratamiento debe terminar? | Bloqueo, supresión o límite documentado |
| Oposición | ¿A qué uso se opone la persona? | Cese o restricción del tratamiento aplicable |
Publica un canal sencillo y conserva el texto original
El aviso de privacidad y los puntos de contacto deben explicar cómo presentar la solicitud, qué información mínima se necesita, cómo acreditar identidad o representación y por qué medio se comunicará la respuesta. Acepta la petición por los canales que la organización haya definido y evita exigir que la persona conozca nombres internos de tablas, modelos o proveedores para poder ejercer un derecho.
Asigna un identificador y conserva el texto original, la fecha de recepción, el canal, la organización, el medio de respuesta y los adjuntos recibidos. No copies documentos de identidad o contenido personal en chats, tableros abiertos o comentarios del CRM. El expediente debe tener acceso restringido, historial y reglas propias de conservación. Una solicitud de privacidad no debe crear una nueva exposición difícil de controlar.
Verifica identidad y representación sin recolectar de más
Entregar un paquete de acceso o modificar un registro para la persona equivocada puede causar un incidente. Define métodos proporcionales al riesgo y al canal: sesión autenticada, confirmación sobre un contacto ya registrado, documento revisado por personal autorizado o mecanismo equivalente aprobado. La verificación debe demostrar lo necesario sin conservar una copia completa cuando basta una constancia del método, resultado, fecha y revisor.
Cuando actúe un representante, separa la identidad de la persona titular, la identidad del representante y la facultad para actuar. No asumas que un administrador de una cuenta corporativa puede ejercer derechos personales por todos los contactos. Trata casos de personas fallecidas, menores, disputas de representación o imposibilidad de verificar mediante el procedimiento jurídico aplicable y evita improvisar una excepción dentro del equipo técnico.
Controla el reloj legal y el reloj técnico por separado
La LFPDPPP vigente establece un plazo máximo de veinte días desde la recepción para comunicar la determinación y, si procede, quince días adicionales para hacerla efectiva; la propia ley contempla ampliaciones justificadas bajo sus condiciones. La organización debe confirmar cómo se computan y aplican esos plazos en cada caso. El tablero operativo necesita fecha de recepción, vencimiento, pausas o aclaraciones válidas, aprobación y fecha de ejecución.
No uses el plazo máximo como fecha objetivo. Reserva tiempo para identidad, búsqueda, revisión, decisión, ejecución, control de calidad y entrega. Configura alertas antes del vencimiento y suplencia cuando la persona responsable esté ausente. Un proveedor que promete responder en treinta días puede no dejar margen para resolver; negocia ventanas internas más cortas y rutas de escalamiento. La urgencia nunca autoriza saltar verificación o enviar un archivo sin revisar.
Busca por persona, relación y recorrido de datos
Construye un mapa que conecte identificadores: correo, teléfono, cuenta, contacto, usuario, oportunidad, actividad, documento, enlace, ticket y claves de proveedores. Distingue coincidencia exacta, posible homónimo y relación corporativa. Una búsqueda por correo puede omitir registros importados con otro dominio, notas con el nombre, archivos adjuntos o una identidad fusionada. Cada coincidencia debe registrar fuente, criterio y confianza antes de entrar al paquete o a una acción.
Incluye CRM, catálogo, propuestas, PDF, DOCX, Buyer Rooms, correo autorizado, almacenamiento, soporte, analítica, logs, ambientes de prueba, respaldos, índices, cachés y terceros. El inventario debe decir qué sistema es fuente, cuál es copia y cuál es derivado. Si una ubicación no puede consultarse, documenta la limitación, el riesgo y la acción correctiva; no declares que no existen datos solo porque la primera pantalla no los muestra.
Incluye prompts, contexto recuperado, salidas y evaluaciones de IA
Un AI Sales Copilot puede procesar datos personales dentro de instrucciones, fragmentos recuperados, llamadas a herramientas, borradores, resúmenes, evaluaciones, feedback y telemetría. Clasifica cada capa y comprueba si puede vincularse razonablemente con la persona. Una salida que repite información de una nota no deja de ser personal por haber sido generada; un embedding o identificador seudónimo tampoco se vuelve anónimo automáticamente.
No entregues instrucciones del sistema, secretos, datos de otras personas o información protegida por el solo hecho de que aparezcan en la misma traza. Construye una vista separada para revisión, aplica redacción y conserva la relación con la fuente. Si una rectificación cambia un dato que alimentaba resúmenes o búsqueda, define si se reconstruyen derivados, se marcan históricos o se limita su uso futuro. La decisión debe preservar contexto sin presentar información corregida como vigente.
Prepara un paquete de acceso comprensible y seguro
El paquete debe responder a la solicitud sin convertirse en un volcado técnico. Organiza por categoría, finalidad, fuente, fecha, destinatario y estado cuando corresponda. Explica términos internos y conserva los valores originales relevantes. Revisa archivos, notas y salidas para evitar información de terceras personas, secretos, credenciales, razonamientos internos protegidos o contenido fuera del alcance. Documenta cada redacción y su motivo.
Entrega por el medio autorizado y vuelve a verificar identidad cuando el riesgo lo justifique. Protege el archivo durante transporte, limita vigencia de enlaces y registra disponibilidad o recepción sin conservar la contraseña junto al paquete. Prueba que el formato se abre, que las fechas y caracteres son legibles y que la exportación no pierde relaciones necesarias. Acceso no significa dar permisos directos a bases de producción ni compartir el expediente interno.
Rectifica la fuente y controla la propagación
Confirma el valor actual, el valor solicitado, la evidencia y el sistema que tiene autoridad para cambiarlo. Corrige primero la fuente y después sincroniza copias, índices, integraciones y proveedores. Evita editar solo un PDF o un resumen mientras el CRM sigue propagando el dato anterior. Registra el valor corregido, la fecha de vigencia, la persona que aprobó y los sistemas alcanzados, sin conservar versiones antiguas más tiempo del justificado.
Distingue un dato objetivo de una opinión, una nota histórica o una inferencia. Puede ser correcto conservar que cierta información fue comunicada en una fecha y, a la vez, marcar que después fue rectificada. No reescribas retrospectivamente una decisión de negocio para ocultar su contexto. Define cómo aparecen las correcciones en búsqueda, resúmenes y futuras salidas del Copilot, y prueba que el valor antiguo no vuelve por una importación o restauración.
Aplica cancelación con bloqueo, supresión y límites explícitos
Cuando la cancelación resulte procedente, el flujo debe identificar qué uso termina, qué información entra en bloqueo, qué se suprime, cuándo y bajo qué evidencia. Ocultar un contacto, cerrar una oportunidad o retirar un acceso público no prueba la cancelación completa. Coordina documentos, actividad, índices, exportaciones, proveedores, respaldos y derivados, conservando solo lo que tenga una finalidad y autoridad vigentes.
Si existe un impedimento, una obligación aplicable, derechos de terceras personas o datos que no están en posesión del responsable, la decisión debe revisarse y comunicarse con el motivo correspondiente. La LFPDPPP permite negativas totales o parciales bajo las causas que establece. El sistema debe ejecutar la parte procedente y conservar separada cualquier información bloqueada, sin reutilizarla para campañas, recomendaciones o evaluación incompatible.
Convierte la oposición en una restricción que los sistemas puedan hacer cumplir
Registra la finalidad o tratamiento al que se opone la persona y evita traducirlo en una etiqueta genérica. Puede requerir excluir un contacto de una campaña, impedir cierto análisis o detener una comunicación, sin eliminar registros que permanecen necesarios para otra finalidad autorizada. La decisión debe indicar alcance, inicio, sistemas, excepciones y cómo se resolverá un conflicto con otra instrucción.
Propaga la restricción a listas, automatizaciones, conectores y proveedores. Prueba escenarios de reimportación, fusión de contactos y creación de una nueva oportunidad. Una marca que se pierde al cambiar el correo no protege a la persona. Utiliza identificadores y reglas que reduzcan falsos negativos sin bloquear datos de homónimos. Si el tratamiento cambia, revisa si la oposición sigue cubriéndolo en lugar de asumir una equivalencia.
Coordina proveedores sin delegar la decisión
Mantén un directorio de encargados, subencargados, sistemas, categorías, región, contacto, mecanismo de solicitud y tiempo de respuesta. El responsable conserva la relación con la persona y necesita controlar qué instrucción envió, cuándo, qué confirmó el proveedor y qué copia queda pendiente. Un portal que muestra solicitud completada no basta si no identifica alcance, errores y comportamiento de respaldos o logs.
Incluye obligaciones de asistencia, búsqueda, rectificación, restricción, devolución, supresión y evidencia en los documentos aplicables. Prueba el recorrido antes de recibir un caso real. Si un proveedor no puede localizar un derivado o responder dentro de la ventana necesaria, registra el riesgo y limita datos, uso o dependencia. No envíes al proveedor documentos de identidad completos si un identificador de caso y los datos necesarios son suficientes.
Cierra con control de calidad, entrega y evidencia mínima
Una segunda persona debe revisar alcance, identidad, decisión, paquete, redacciones, ejecución y medio de entrega según el riesgo. Concilia tareas por sistema y conserva un resultado explícito: completado, parcial, no localizado, exceptuado o fallido. La respuesta debe ser clara sobre lo realizado y los límites aplicables, sin revelar arquitectura sensible ni usar afirmaciones absolutas que la evidencia no sostiene.
Conserva el expediente durante el periodo aprobado: solicitud, verificación, búsqueda, decisión, aprobaciones, ejecución, confirmaciones y entrega. Minimiza contenido y separa evidencia de los datos solicitados. Mide casos por derecho, etapa, edad, vencimiento, sistemas sin respuesta, reaperturas y fallas de propagación. No uses una tasa de aprobación como métrica de éxito; evalúa oportunidad, consistencia, seguridad y capacidad de demostrar el resultado.
Prueba el recorrido completo y conserva los límites de Cerravi
Ejecuta casos sintéticos de acceso, rectificación, cancelación y oposición. Incluye homónimos, representante, dato en un PDF, valor dentro de un prompt, proveedor lento, respaldo restaurado y restricción que debe sobrevivir una reimportación. Comprueba tiempos, decisiones, redacción, entrega, propagación y no reaparición. Repite después de cambios en esquema, identidad, exportaciones, modelo, proveedor o política.
Cerravi organiza cuentas, contactos, oportunidades, actividades, propuestas y Buyer Rooms; Copilot prepara contexto y sugerencias para revisión humana. No debe asumirse que el producto determina la procedencia jurídica de una solicitud, descubre automáticamente cada copia externa o ejecuta derechos en todos los proveedores. La empresa define el responsable, el canal, los plazos, las decisiones y las obligaciones aplicables. Esta guía no constituye asesoría legal ni garantía de cumplimiento.
Preguntas frecuentes
Dudas comunes sobre este proceso
¿Qué significan los derechos ARCO en México?
Son los derechos de acceso, rectificación, cancelación y oposición respecto del tratamiento de datos personales. Cada uno persigue un resultado distinto y puede ejercerse de forma independiente. Para una empresa privada, el procedimiento debe diseñarse con la LFPDPPP vigente, su Reglamento, el aviso de privacidad y las demás obligaciones aplicables.
¿Cuánto tiempo tiene una empresa para responder una solicitud ARCO?
La LFPDPPP vigente establece hasta veinte días para comunicar la determinación y, cuando resulte procedente, hasta quince días adicionales para hacerla efectiva; la ley contempla ampliaciones justificadas bajo sus condiciones. La organización debe validar el cómputo y cualquier excepción con asesoría competente y fijar plazos internos más cortos para revisar y ejecutar de forma segura.
¿Una solicitud de cancelación obliga a borrar todo de inmediato?
No debe asumirse. Primero se verifica identidad, alcance, procedencia, datos en posesión del responsable, obligaciones y derechos de terceros. Puede existir bloqueo antes de supresión o una respuesta parcial conforme al caso. El equipo debe ejecutar lo procedente en todas las copias y explicar con precisión lo que conserva, restringe o elimina.
¿Deben incluirse prompts y respuestas de IA en una solicitud ARCO?
Deben revisarse cuando puedan contener o vincularse con datos personales dentro del alcance solicitado. También pueden existir fragmentos recuperados, evaluaciones, feedback, embeddings y logs. La respuesta debe separar información de la persona de secretos, datos de terceros y contenido fuera del alcance, y aplicar redacción y entrega segura.
¿Cómo se demuestra que una solicitud ARCO fue atendida?
Con un expediente restringido que conecte recepción, identidad, derecho, plazo, búsquedas, sistemas, decisión, aprobaciones, ejecución, proveedores, control de calidad y entrega. La evidencia debe permitir reconstruir el resultado sin duplicar innecesariamente documentos personales ni conservar el paquete entregado más tiempo del aprobado.