Respuesta directa
En pocas palabras
Ante una posible vulneración de datos personales en un CRM con IA, abre un expediente único, contiene el alcance sin destruir evidencia, confirma qué datos y personas resultaron afectados y evalúa si existe una afectación significativa a derechos patrimoniales o morales. Si se confirma ese supuesto, el responsable debe informar de forma inmediata a las personas titulares afectadas para que puedan defender sus derechos. La comunicación necesita describir el incidente, los datos comprometidos, medidas recomendadas, acciones correctivas inmediatas y un medio para obtener más información. La decisión concreta requiere revisión jurídica y sectorial.
Distingue una vulneración de datos de cualquier incidente de IA
La LFPDPPP vigente exige medidas administrativas, técnicas y físicas contra daño, pérdida, alteración, destrucción y uso, acceso o tratamiento no autorizado. El Reglamento describe como vulneraciones la pérdida o destrucción no autorizada; el robo, extravío o copia no autorizada; el uso, acceso o tratamiento no autorizado; y el daño, alteración o modificación no autorizada. Un correo enviado al destinatario equivocado, una exportación accesible, un permiso excesivo o una restauración que reintroduce datos eliminados pueden entrar en el análisis aunque no exista malware.
No todo error del copiloto es una vulneración de datos. Una sugerencia incorrecta detectada dentro del flujo de revisión puede ser un incidente de calidad. El caso cambia si revela información de otra cuenta, recupera datos fuera del permiso, propaga un contacto excluido, altera un registro sin autorización o expone contenido personal en logs, soporte, archivos o una Buyer Room. Clasifica seguridad, privacidad, calidad y operación por separado, pero con un identificador común cuando comparten el mismo evento.
| Criterio | Pregunta inicial | Evidencia para confirmar |
|---|---|---|
| Confidencialidad | ¿Alguien pudo ver o copiar sin autorización? | Identidad, objeto, acceso y alcance |
| Integridad | ¿El dato fue alterado sin autoridad? | Versión, cambio, autor y efecto |
| Disponibilidad | ¿Se perdió o destruyó sin autorización? | Copia afectada, recuperación y personas |
| Tratamiento | ¿Se usó para una finalidad o acción no autorizada? | Flujo, instrucción, salida y destinatario |
Activa un expediente único y una autoridad de decisión
Registra hora de detección, fuente, sistema, entorno, cuenta, versión, dato potencialmente implicado, acción observada y persona que recibe el reporte. Separa confirmado, probable, posible, descartado y desconocido. Asigna una persona coordinadora con suplencia y conecta seguridad, privacidad, producto, operación, soporte, proveedor y asesoría competente según el caso. La coordinación no transfiere la responsabilidad jurídica ni autoriza a cada participante a comunicar por su cuenta.
Define un reloj de decisiones, no solo un cronómetro técnico. Conserva cuándo apareció la señal, cuándo se contuvo, cuándo se confirmó la vulneración, cuándo comenzó la revisión de magnitud, cuándo se evaluó la afectación significativa y cuándo se decidió comunicar. La LFPDPPP habla de información inmediata; el Reglamento añade confirmación, inicio de revisión y ausencia de dilación. No inventes un plazo universal de setenta y dos horas para el sector privado mexicano ni uses la falta de un número como permiso para esperar.
Contén la exposición sin borrar la historia
La primera decisión busca limitar daño y propagación. Puede revocar una sesión o clave, cerrar un enlace, retirar una exportación, detener una integración, limitar una herramienta, aislar una cuenta, bloquear un índice, desactivar una ruta de recuperación o pasar a modo manual. Elige la medida más acotada que controle el riesgo conocido; amplíala cuando el alcance sea incierto. Registra quién autorizó, qué cambió, cuándo y cómo se comprobará el resultado.
Preserva logs, versiones, permisos, consultas, fuentes, salidas, destinatarios, cambios y trazas necesarias. No copies conversaciones completas ni secretos a un ticket abierto. Trabaja sobre copias controladas, limita acceso, registra cadena de custodia cuando corresponda y coordina retención legal o contractual. Eliminar un archivo visible puede detener una exposición y al mismo tiempo destruir la evidencia; separa retirada pública, preservación restringida y disposición final.
Confirma datos, personas, copias y acciones afectadas
Reconstruye el recorrido desde la fuente hasta cada destino: captura, CRM, catálogo, Copilot, modelo, índice, archivo, propuesta, Buyer Room, correo, analítica, soporte, respaldo y exportación. Para cada salto identifica dato, persona titular, finalidad, permiso, entidad, proveedor, país, hora, estado y evidencia. Distingue posibilidad de acceso, acceso registrado, copia, descarga, modificación, comunicación y uso posterior; no presentes una posibilidad como exposición comprobada ni una ausencia de log como prueba de que nada ocurrió.
Deduplica personas y registros sin perder las relaciones. Una persona puede aparecer como contacto, participante, destinataria y usuaria; una oportunidad puede contener notas de varias personas. Marca datos sensibles, financieros, patrimoniales, credenciales, identificadores, comunicaciones y metadatos relevantes. Incluye datos derivados o resúmenes cuando permitan identificar o afectar a alguien. Documenta límites de búsqueda, ventanas sin telemetría y sistemas todavía pendientes.
Coordina responsable, encargado y subencargados sin confundir funciones
El responsable conserva decisiones sobre el tratamiento y la comunicación a titulares. Un encargado debe actuar bajo instrucciones y necesita informar con rapidez suficiente para que el responsable pueda investigar y decidir. Define por contrato y runbook qué evento reporta, a qué canal, con qué campos, en qué ventana interna, qué evidencia preserva, qué cooperación ofrece y cómo coordina subencargados. Un aviso genérico de seguridad sin datos afectados, cuentas, regiones o acciones no permite evaluar magnitud.
Abre una línea por proveedor y componente. Confirma entidad, servicio, versión, región, subencargado, datos, inicio, contención, acceso de soporte, evidencia, contacto y próximo corte. Si varias empresas usan una misma plataforma, evita mezclar incidentes. La obligación frente a cada persona y las comunicaciones entre partes dependen del rol y del tratamiento real. Cerravi no asigna automáticamente esos roles ni sustituye la revisión de contratos y flujo efectivo.
Evalúa la afectación significativa con un criterio documentado
La LFPDPPP vigente conecta la comunicación con vulneraciones que afecten de forma significativa derechos patrimoniales o morales. No existe una puntuación universal en la propia norma. Construye una evaluación basada en naturaleza y sensibilidad de los datos, cantidad y combinación, facilidad de identificación, personas, exposición, destinatarios, uso posible, permanencia, reversibilidad, consecuencias financieras, identidad, reputación, discriminación, seguridad personal y capacidad real de mitigación.
Registra evidencia a favor y en contra, incertidumbres, población, escenarios razonables, controles ya efectivos y persona que decide. No reduzcas la conclusión solo porque el número de registros es pequeño: una credencial, un dato sensible o un documento puede afectar materialmente a una persona. Tampoco declares impacto significativo por reflejo ante cualquier anomalía. Si la información disponible no permite descartar una consecuencia relevante, aplica una restricción provisional y acelera la revisión competente.
| Criterio | Puede reducir la exposición | Puede elevar la exposición |
|---|---|---|
| Acceso | Bloqueado antes de abrir | Descarga o destinatario desconocido |
| Dato | Minimizado y poco identificable | Sensible, patrimonial o combinado |
| Tiempo | Ventana breve y controlada | Persistencia, reenvío o copia |
| Defensa | Acción concreta todavía útil | Daño difícil de revertir |
Decide la comunicación sin esperar una certeza imposible
Cuando se confirma una vulneración que afecta significativamente los derechos patrimoniales o morales, la ley vigente exige informar de forma inmediata a las personas titulares afectadas para que puedan defender sus derechos. El Reglamento señala que la comunicación ocurre una vez confirmada la vulneración, iniciadas las acciones que detonan la revisión exhaustiva y sin dilación. No es necesario terminar cada hipótesis forense para compartir hechos confirmados y medidas útiles.
Documenta la decisión de comunicar, no comunicar todavía, ampliar población o corregir un mensaje. Incluye criterio, evidencia, autoridad, fecha y próximo corte. La LFPDPPP federal para particulares no debe resumirse como una regla general de setenta y dos horas ni como una obligación idéntica de avisar a toda autoridad en todo caso. Regulaciones sectoriales, contratos, órdenes, otras jurisdicciones o características del incidente pueden añadir destinatarios y plazos; valida el conjunto aplicable antes de concluir.
Escribe una comunicación que permita actuar
El Reglamento enumera al menos naturaleza del incidente, datos personales comprometidos, recomendaciones para proteger intereses, acciones correctivas inmediatas y medios para obtener más información. Añade identidad clara del responsable, fecha o periodo conocido, población a la que se dirige, canal de soporte y próxima actualización cuando ayude. Usa lenguaje accesible, directo y específico. No escondas la acción principal bajo una cronología técnica ni prometas que no existe riesgo residual si todavía se investiga.
Separa hechos, límites y medidas. Explica qué sabe la organización, qué no ha confirmado, qué hizo, qué puede hacer la persona y cómo reconocer comunicaciones auténticas. Nunca pidas contraseñas, claves de un solo uso ni documentos completos por un enlace improvisado. Si recomiendas cambiar credenciales, indica exactamente cuáles y desde qué canal oficial. Prueba enlaces, teléfono, correo, accesibilidad, idioma y capacidad de soporte antes del envío.
Entrega, reconcilia y actualiza sin duplicar el daño
Selecciona canales con cobertura, seguridad y posibilidad de acreditar la entrega. No publiques una lista de personas ni datos comprometidos. Relaciona cada destinatario con versión, idioma, canal, estado, rebote, reintento y atención posterior. Una página pública puede complementar, pero no necesariamente sustituye una comunicación dirigida cuando las personas pueden identificarse. La decisión de canal y alcance necesita revisión competente.
Prepara actualizaciones cuando cambien naturaleza, población, datos, recomendación o soporte. Corrige con claridad: qué parte del mensaje anterior cambia y por qué. Conserva todas las versiones y evita reiniciar la cronología. Coordina soporte para que respuestas, solicitudes ARCO, objeciones y quejas lleguen al expediente correcto sin circular datos personales por chats no autorizados.
Conecta la respuesta con defensa, derechos ARCO y prevención de fraude
La finalidad de informar es permitir que las personas tomen medidas para defender sus derechos. Ofrece acciones proporcionales al dato: revisar movimientos, cambiar una credencial específica, desconfiar de mensajes que usen el contexto expuesto, contactar a una institución o ejercer derechos ARCO cuando corresponda. No traslades toda la carga a la persona. La organización debe contener, corregir, apoyar y conservar un canal operativo.
Anticipa campañas de phishing que imiten el aviso. Publica cómo reconocer tus comunicaciones y qué nunca solicitarás. Configura dominio, remitente, enlaces y atención coherentes. Si recibes una solicitud ARCO, verifica identidad de forma proporcional y sepárala de la suscripción a novedades o del consentimiento comercial. La persona no debe aceptar marketing ni renunciar a derechos para recibir información sobre el incidente.
Corrige la causa, el control y la condición que permitió el impacto
El Reglamento pide analizar causas e implementar acciones correctivas, preventivas y de mejora para evitar repetición. Separa disparador, causa técnica, condición organizacional, falla de detección, falla de contención y limitación de recuperación. Un enlace público puede originarse en una configuración incorrecta, permiso heredado, revisión ausente, interfaz ambigua y falta de expiración al mismo tiempo. Corregir solo el enlace no repara el sistema.
Cada acción necesita dueño, fecha, resultado esperado, dependencia, control temporal, evidencia y retest. Actualiza inventario, mapa, relación de medidas, contratos, instrucciones, retención, alertas, capacitación y pruebas cuando corresponda. Conserva el riesgo residual y la autoridad que lo acepta. Un ticket cerrado, un parche desplegado o una capacitación completada demuestran actividad; el cierre requiere comprobar el comportamiento en escenarios normales, negativos y de recuperación.
Investiga capas de IA sin asumir que el modelo fue la causa
Traza prompt, contexto recuperado, fuente, índice, permisos, modelo, proveedor, herramientas, filtros, salida, registro y acción humana. Un modelo puede mostrar datos porque la recuperación entregó un objeto de otra cuenta; la recuperación puede ser correcta y el log exponer el contenido; la salida puede ser privada y una herramienta compartirla fuera de alcance. Prueba cada límite por separado y después el recorrido completo. No atribuyas causalidad a IA solo porque aparece en la interfaz.
Incluye entrenamiento, evaluación, moderación, soporte, telemetría, feedback y respaldos cuando existan. Confirma si el contenido fue enviado, retenido, revisado o usado para otra finalidad y bajo qué configuración. Usa datos sintéticos para reproducir cuando sea suficiente. Si la prueba necesita datos reales, limita alcance, acceso y entorno con autorización expresa. Una redacción prudente del modelo no sustituye permisos, aislamiento, minimización y controles sobre herramientas.
Prueba el cierre desde el dato hasta la persona y el proveedor
Repite el caso original contra la versión corregida y añade variantes: otra cuenta, rol, dispositivo, sesión antigua, enlace reenviado, exportación, API, soporte, recuperación, subencargado y respaldo. Confirma que el acceso indebido se bloquea, la actividad legítima sigue funcionando, la señal se detecta, la alerta llega, la contención opera y la evidencia se conserva. Después observa durante un periodo proporcional; una prueba puntual no demuestra que el control siga activo.
Concilia población investigada, personas notificadas, entregas, rebotes, consultas, derechos, proveedores, copias, acciones y pendientes. Define estados explícitos: contenido, comunicado, corregido, retestado, monitoreado, residual aceptado o reabierto. Cierra solo con autoridad y paquete de evidencia. El expediente debe permitir reconstruir qué se sabía, cuándo se confirmó, cómo se evaluó la significancia, qué se comunicó y qué cambió para evitar repetición.
Mantén límites verificables al usar Cerravi durante la respuesta
Cerravi organiza cuentas, contactos, oportunidades, actividades, propuestas y Buyer Rooms. Copilot prepara contexto y siguientes pasos para revisión humana; no envía mensajes ni cambia etapas automáticamente. Las propuestas usan productos y precios del catálogo cargado; un importe ausente requiere confirmación y las monedas permanecen separadas. Una apertura de Buyer Room aporta actividad, pero no demuestra identidad, aceptación, contrato, pago o intención.
La empresa define sus roles, medidas, proveedores, canales, evaluación de significancia, destinatarios, tiempos y obligaciones. Cerravi puede ayudar a conservar contexto comercial y acciones, pero no confirma una vulneración, no determina si debe notificarse, no redacta una comunicación jurídicamente suficiente y no garantiza cumplimiento. Esta guía no es asesoría legal ni dictamen. Su objetivo es que seguridad, privacidad, negocio y proveedores trabajen sobre el mismo hecho, decisión y evidencia.
Preguntas frecuentes
Dudas comunes sobre este proceso
¿Qué es una vulneración de seguridad de datos personales en México?
El Reglamento contempla pérdida o destrucción no autorizada; robo, extravío o copia no autorizada; uso, acceso o tratamiento no autorizado; y daño, alteración o modificación no autorizada. La evaluación debe vincular el evento con datos personales y su tratamiento real. No todo error de IA es una vulneración de datos.
¿Cuándo debe informarse una vulneración a las personas titulares?
La LFPDPPP vigente exige informar de forma inmediata las vulneraciones que afecten significativamente derechos patrimoniales o morales. El Reglamento indica hacerlo al confirmar la vulneración, iniciar la revisión de magnitud y sin dilación, para que las personas afectadas puedan tomar medidas de defensa. La aplicación concreta requiere revisión jurídica y sectorial.
¿Existe un plazo universal de 72 horas para empresas privadas en México?
La LFPDPPP federal vigente para particulares no formula en su artículo 19 un plazo universal de setenta y dos horas. Utiliza el estándar de información inmediata para el supuesto aplicable. Otras leyes, sectores, contratos, órdenes o jurisdicciones pueden añadir plazos y destinatarios, por lo que deben revisarse para cada incidente.
¿Qué debe contener la comunicación sobre una vulneración?
El Reglamento enumera al menos la naturaleza del incidente, los datos personales comprometidos, recomendaciones para que la persona proteja sus intereses, las acciones correctivas inmediatas y los medios donde puede obtener más información. El mensaje debe ser accesible, accionable y no volver a exponer los datos.
¿Un proveedor de CRM o IA puede comunicar directamente a las personas afectadas?
Depende del rol, las instrucciones y el marco aplicable. El responsable conserva la decisión y debe coordinar al encargado y subencargados. Un proveedor puede apoyar investigación, evidencia, entrega o soporte según el instrumento acordado, pero no debe improvisar finalidades, destinatarios ni mensajes fuera de su autoridad.