Respuesta directa
En pocas palabras
Crea un mandato aprobado, inventario de tratamientos, dueños por proceso, políticas exigibles, procedimientos operativos, capacitación por función, revisión de nuevos usos, gestión de proveedores, atención de derechos e incidentes, supervisión, métricas, recursos y evidencia. En México, la LFPDPPP incluye responsabilidad entre sus principios y los artículos 47 y 48 de su Reglamento desarrollan medidas para garantizar el debido tratamiento. El programa debe demostrar cómo esas medidas funcionan en el CRM y sus capas de IA, no solo que existen documentos.
Define el resultado que debe producir el programa
Un programa de privacidad debe permitir decidir antes de recopilar o reutilizar datos, ejecutar preferencias y derechos, controlar accesos y proveedores, responder a incidentes y demostrar qué ocurrió. No es una política general ni una colección de avisos. Es el conjunto de funciones, reglas, procesos, controles, registros y revisiones que mantiene el tratamiento dentro de lo aprobado durante todo su ciclo de vida.
Escribe un mandato de una página con alcance, entidades, productos, países, personas cubiertas, autoridad, patrocinador, responsable operativo, foros de decisión y resultados. Conecta cada resultado con una salida: inventario vigente, cambio revisado, contrato aprobado, derecho atendido, incidente cerrado o control probado. Si el programa no puede detener, limitar o corregir un tratamiento, su autoridad es decorativa.
Separa la obligación mexicana del método operativo
La LFPDPPP vigente incluye responsabilidad entre los principios que debe observar quien decide el tratamiento. El artículo 47 del Reglamento indica que el responsable debe velar y responder por los datos bajo su custodia o comunicados a una persona encargada, incluso fuera de México. El artículo 48 dispone adoptar medidas para garantizar el debido tratamiento y enumera, entre otras, políticas y programas internos, capacitación, supervisión, recursos, evaluación de nuevos productos, revisión, atención de dudas y quejas, mecanismos de cumplimiento, aseguramiento y trazabilidad.
No conviertas esa lista en una certificación automática ni afirmes que una plantilla cumple todas las obligaciones. Sector, tipo de datos, relación con las personas, contratos y operación real pueden añadir requisitos. NIST Privacy Framework es una referencia voluntaria para conectar dirección, procesos y controles; ayuda a organizar el trabajo, pero no sustituye la ley mexicana ni determina por sí sola la suficiencia de una medida.
| Criterio | Qué contiene | Cómo se demuestra |
|---|---|---|
| Obligación aplicable | Principio, deber, derecho, contrato o regla sectorial | Fuente vigente, alcance y decisión jurídica documentada |
| Programa operativo | Dueños, procesos, recursos, controles y escalamiento | Casos, registros, pruebas, métricas y revisiones |
| Referencia voluntaria | Lenguaje común y resultados de privacidad | Perfil adaptado, brechas y plan sin presentarlo como ley |
Aprueba alcance, tolerancias y derechos de decisión
Define qué entidades y tratamientos cubre el programa, quién acepta riesgo residual, quién aprueba una nueva finalidad, quién puede pausar una integración y quién responde a una persona titular. Establece tolerancias para datos sensibles, decisiones de alto impacto, texto libre, exportaciones, entrenamiento, enriquecimiento, regiones, proveedores y acceso privilegiado. Una frase como cumplir la ley no resuelve conflictos entre velocidad comercial y protección de datos.
Crea una ruta de escalamiento con tiempos internos, sustitutos y criterio de urgencia. La dirección asigna patrocinio y recursos; privacidad interpreta y coordina; negocio responde por finalidad y necesidad; seguridad protege; TI implementa; compras y legal controlan terceros; cada persona usuaria cumple reglas. Evita concentrar toda la responsabilidad en una sola función sin autoridad técnica ni presupuesto.
Asigna una función responsable a cada actividad
Construye una matriz de actividades, no una lista de cargos. Incluye inventario, aviso, consentimiento, derechos, retención, cambios, proveedores, transferencias, seguridad, incidentes, capacitación, auditoría y mejora. Cada actividad necesita una sola función accountable, ejecutores identificados, consultas obligatorias y personas informadas. Registra sustituto y escalamiento para vacaciones, salida de personal o conflicto de interés.
Desciende la responsabilidad hasta los sistemas. El dueño de una actividad comercial confirma finalidad y datos; el propietario técnico responde por configuración y registros; privacidad revisa el criterio; seguridad prueba controles; un administrador ejecuta el cambio. No uses RACI para ocultar que nadie puede modificar el CRM o verificar un job. Autoridad, acceso y capacidad deben coincidir con el papel asignado.
Diseña una arquitectura de políticas que pueda ejecutarse
Mantén una política marco breve y separa estándares y procedimientos versionados. La política define principios, alcance, autoridad y consecuencias. Los estándares fijan requisitos comprobables para acceso, minimización, texto libre, exportación, modelos, memoria, proveedores, conservación y eliminación. Los procedimientos explican quién hace qué, con qué entrada, en qué sistema, dentro de qué tiempo, con qué excepción y qué evidencia queda.
Enlaza cada requisito con un control técnico o actividad humana y con un dueño. Publica solo versiones vigentes, registra aprobación, entrada en vigor y próxima revisión, y retira instrucciones obsoletas de los canales operativos. Una regla contradictoria entre manual, onboarding y configuración crea incumplimiento predecible. Prueba el procedimiento con una persona que no participó en su redacción.
Usa el inventario como columna vertebral del programa
Cada actividad debe conectar personas, categorías de datos, fuentes, finalidad, acciones, sistemas, capas de IA, accesos, proveedores, regiones, transferencias, conservación, derechos, riesgos, controles y evidencia. El inventario alimenta avisos, permisos, contratos, evaluaciones, respuesta a incidentes y eliminación. Si cada documento mantiene su propia lista, aparecerán contradicciones que nadie detectará a tiempo.
Integra el identificador de actividad en compras, arquitectura, tickets de cambio y retiro. Dispara revisión cuando cambien propósito, dato, proveedor, región, modelo, herramienta, memoria, autonomía, permiso o plazo. Conserva historial y responsable de la actualización. El programa no debe esperar a una revisión anual para registrar un flujo que ya existe.
Instala una puerta de revisión para productos, tecnología e IA
Define preguntas de entrada que cualquier equipo pueda responder: finalidad, personas, datos, fuente, necesidad, alternativa menos intrusiva, sistema, IA, terceros, región, conservación, efecto y mecanismo de corrección. Clasifica el cambio por riesgo y dirige solo los casos necesarios a una evaluación más profunda. La puerta debe iniciar antes de comprar, importar, entrenar o activar, no durante el lanzamiento.
La resolución puede aprobar, aprobar con condiciones, pilotar, limitar, rediseñar, pausar o rechazar. Conserva versión, hechos, incertidumbres, controles, riesgo residual, autoridad y vencimiento de condiciones. Prueba rutas negativas: permisos insuficientes, preferencia opuesta, dato sensible, prompt malicioso, proveedor no aprobado y eliminación pendiente. Un checklist firmado sin prueba no controla el comportamiento.
Capacita por decisiones y accesos, no con un curso genérico
Crea una base común y módulos por función. Ventas necesita reconocer finalidad, preferencias, texto libre y exportaciones; administradores, permisos y registros; producto, revisión de cambios y minimización; desarrollo, datos de prueba y observabilidad; compras, proveedores y transferencias; soporte, identidad y derechos; dirección, tolerancia, recursos y escalamiento. Incluye escenarios reales del CRM sin exponer datos de clientes.
Mide capacidad para actuar, no solo asistencia. Usa ejercicios de decisión, simulaciones y pruebas de tareas; registra versión, audiencia, resultado, refuerzo y excepciones. Activa capacitación al ingresar, cambiar de función o modificar un procedimiento, y refuerza después de incidentes o hallazgos. Si una persona falla, revisa también interfaz, permisos y presión operativa antes de atribuir todo a conducta individual.
Extiende el programa a proveedores y transferencias
Clasifica el papel de cada entidad por flujo y documenta servicio, instrucciones, categorías, acceso, subencargados, uso propio, regiones, soporte, retención, devolución, supresión, incidentes y ayuda para derechos. Evalúa antes de contratar y durante la relación. Una certificación o cuestionario ayuda, pero no sustituye revisar el servicio concreto ni verificar que la configuración elegida respeta las condiciones acordadas.
Integra privacidad con compras, seguridad, legal, finanzas y propietarios técnicos. Define eventos que disparan revisión: nuevo subencargado, región, producto, modelo, finalidad, incidente, cambio contractual o fin del servicio. Mantén plan de salida y prueba recuperación y eliminación. El responsable sigue necesitando visibilidad sobre datos comunicados a una persona encargada; tercerizar infraestructura no terceriza la decisión.
Conecta derechos, dudas, quejas e incidentes con la operación
Crea entradas reconocibles, verificación de identidad proporcional, reloj, dueño, búsqueda por sistemas, coordinación con proveedores, revisión, respuesta, ejecución y cierre para derechos ARCO. Separa dudas y quejas de incidentes, pero permite escalar una señal cuando revele tratamiento no informado, preferencia ignorada o acceso indebido. Conserva evidencia suficiente sin duplicar indefinidamente todos los datos de la persona.
Para incidentes, define autoridad, severidad, preservación, contención, investigación, evaluación, comunicación y reanudación. Usa el inventario para identificar categorías, personas, sistemas y destinatarios. Prueba que correcciones, bloqueos y eliminaciones alcanzan capas de IA, índices, exportaciones y proveedores. Una respuesta cerrada en el ticket no demuestra que el tratamiento cambió.
Supervisa controles y conserva evidencia reconstruible
Crea un plan de supervisión basado en riesgo con controles, población, frecuencia, método, muestra, dueño y criterio. Combina revisión interna, pruebas técnicas, auditoría independiente cuando corresponda y señales continuas. Verifica diseño y operación: una política puede existir mientras permisos, exports o jobs hacen otra cosa. Prueba casos negativos y confirma que una persona sin autoridad no pueda completar la acción.
Mantén una matriz que conecte obligación, requisito, control, sistema, evidencia, prueba, resultado, hallazgo y remediación. Registra procedencia, versión, periodo, integridad, acceso y retención de evidencia. No guardes capturas eternas sin contexto ni exportes datos personales para demostrar cumplimiento. Prefiere registros mínimos, reproducibles y protegidos.
Mide exposición, ejecución y eficacia para asignar recursos
Separa volumen de trabajo, exposición, desempeño y eficacia. Cuenta actividades sin dueño, cambios sin revisión, accesos excesivos, proveedores vencidos, derechos fuera de reloj, eliminaciones sin prueba, capacitación pendiente, controles fallidos y hallazgos reabiertos. Usa denominadores y segmenta por riesgo. Cien por ciento de cursos completados no compensa permisos que siguen abiertos.
Conecta umbrales con una respuesta: reforzar, corregir, limitar, investigar, escalar o pausar. Asigna presupuesto, tiempo y capacidad técnica a las brechas prioritarias. Evita un dashboard lleno de verdes por ausencia de datos; muestra cobertura, vigencia e incertidumbre. La dirección debe ver decisiones pendientes, riesgo residual, bloqueos y recursos requeridos, no una garantía genérica de cumplimiento.
Opera un ciclo de revisión y mejora continua
Revisa el programa por riesgo y también ante cambios sustanciales, incidentes, quejas, auditorías, nuevas obligaciones o fallas repetidas. Compara perfil actual y objetivo, prioriza brechas y asigna acciones con responsable, fecha, dependencia, control temporal, criterio de cierre y retest. No cierres una acción por publicar un documento si el comportamiento que originó la brecha continúa.
Conserva un registro de decisiones y excepciones con alcance, justificación, riesgo incremental, control compensatorio, aprobador y vencimiento. Reabre cuando una prueba falla o cambia el supuesto. Usa retrospectivas sin culpa para descubrir presión, ambigüedad y diseño deficiente, pero mantén consecuencias claras para incumplimientos deliberados. La mejora debe cambiar sistema, proceso o capacidad, no solo recordar la política.
Mantén claros los límites de Cerravi y de esta guía
Cerravi organiza contactos, cuentas, oportunidades, propuestas, Buyer Rooms y actividades, y ofrece asistencia de Copilot para revisión humana. Puede aportar registros y contexto para algunos procedimientos, pero no designa por sí solo al responsable, no descubre todas las copias, no redacta la política corporativa ni ejecuta el programa completo de una organización.
Esta guía es un método operativo basado en fuentes públicas, no asesoría legal ni certificación. La empresa debe validar ley vigente, sector, contratos, autoridad competente y tratamiento real. El objetivo es que cada afirmación sobre privacidad tenga dueño, mecanismo, evidencia y revisión, y que el programa pueda limitar o corregir el uso de datos antes de que una solicitud, queja o incidente revele la brecha.
Preguntas frecuentes
Dudas comunes sobre este proceso
¿Qué es un programa de privacidad para una empresa en México?
Es el sistema de gobierno y operación que conecta obligaciones con dueños, políticas, procedimientos, recursos, capacitación, controles, evidencia y revisión. Debe cubrir el ciclo de vida real de los datos, incluidos CRM, integraciones, proveedores y capas de IA, y permitir aprobar, limitar, corregir y demostrar decisiones.
¿La LFPDPPP contempla el principio de responsabilidad?
Sí. La ley vigente incluye responsabilidad entre los principios del tratamiento. Los artículos 47 y 48 de su Reglamento desarrollan el deber de velar y responder por el tratamiento y medidas como políticas, capacitación, supervisión, recursos, evaluación de cambios, atención de quejas, aseguramiento y trazabilidad.
¿Una política de privacidad basta para demostrar responsabilidad?
No por sí sola. La organización necesita mostrar que la política se traduce en procedimientos, configuraciones, decisiones, capacitación, pruebas, métricas, correcciones y evidencia vigente. También debe poder explicar excepciones y demostrar que los sistemas y proveedores ejecutan el resultado esperado.
¿Cómo se integra la inteligencia artificial al programa?
Incluye modelos, proveedores, fuentes recuperadas, prompts, herramientas, memoria, embeddings, salidas, telemetría, entrenamiento, autonomía y revisión humana en inventario, evaluación de cambios, permisos, retención, incidentes y pruebas. Un cambio de modelo o herramienta debe activar revisión cuando altere datos, finalidad, efecto o riesgo.
¿Cada cuánto se revisa el programa de privacidad?
Define una revisión periódica según riesgo y revisiones extraordinarias ante cambios sustanciales, nuevas obligaciones, incidentes, quejas, proveedores, hallazgos o fallas de controles. No esperes al calendario si el tratamiento ya cambió. Toda revisión debe generar decisiones, acciones, responsables y retest.