LFPDPPP para clientes de merch: cómo proteger los datos que personalizan sus productos
Cuando ustedes personalizan merch con el nombre grabado de un colaborador, la talla de uniforme, el RFC para facturar, el domicilio de envío o el correo electrónico de un cliente, están tratando datos personales que la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) regula. Esta guía les explica qué dice la ley, qué obligaciones tienen como responsables del tratamiento, qué deben firmar con sus proveedores, y qué pasa cuando algo sale mal. Está escrita para gerentes de recursos humanos, marketing, operaciones y cumplimiento.
Cuándo aplica la LFPDPPP en un programa de merch
La LFPDPPP aplica siempre que ustedes traten datos personales de personas físicas con fines de producción, personalización, entrega o facturación de merch. Los datos que típicamente activan la ley son: nombre grabado en libreta o termo, número de empleado en playera, talla y complexión en uniforme, RFC y datos fiscales para facturación, dirección de envío a domicilio, correo electrónico para confirmación, teléfono paraconfirmación de entrega.
Lo que la ley considera dato personal es más amplio de lo que mucha gente cree. Un nombre sin apellido, un número de colaborador, una dirección sin nombre, una firma escaneada, una foto del destinatario en el kit — todos son datos personales. Si ustedes los recaban y los transfieren a un proveedor para que los use en producción, son responsables del tratamiento.
Responsable vs encargado: la diferencia clave
La LFPDPPP distingue dos roles. El responsable decide qué datos se recaban, para qué se usan, con quién se comparten y durante cuánto tiempo se conservan. El encargado trata los datos por cuenta del responsable, sin decidir fines. Cuando ustedes entregan datos de sus colaboradores a Corp-Merch.MX para grabar nombres en libretas, ustedes son responsables y nosotros somos encargados.
Esa distinción importa porque las obligaciones son distintas. El responsable debe tener aviso de privacidad, recabar consentimiento cuando los datos son financieros, patrimonial o sensible, atender derechos ARCO y notificar incidentes. El encargado debe seguir las instrucciones del responsable, firmar convenio de encargo, mantener medidas de seguridad y no transferir los datos a terceros sin autorización.
El convenio de encargo de tratamiento
Cada proveedor que trate datos personales por cuenta de ustedes debe firmar un convenio de encargo de tratamiento. El convenio es un contrato que delimita alcances, plazos, medidas de seguridad, subcontratación y aviso en caso de incidente. Sin convenio, no hay tratamiento válido y ustedes quedan expuestos si hay una auditoría del INAI.
Corp-Merch.MX firma el convenio con cada cliente que nos transfiere datos personales para producción. El convenio incluye cláusulas sobre: tipo de datos transferidos, finalidad del tratamiento, plazo de retención, medidas de seguridad técnicas y físicas, prohibición de subcontratación sin autorización escrita, procedimiento de aviso en caso de incidente, derecho de auditoría por parte del responsable, y devolución o destrucción de los datos al término del servicio.
El aviso de privacidad en su sitio y en sus piezas
Si ustedes recaban datos personales a través de un sitio web, de un correo electrónico o de una landing page para coordinar un programa de merch, deben tener un aviso de privacidad publicado antes de la primera recolección. El aviso debe explicar qué datos recaban, para qué los usan, con quién los comparten, cómo el titular puede ejercer derechos ARCO y cómo puede revocar el consentimiento.
Si ustedes entregan merch con datos del destinatario grabados (por ejemplo, una libreta con el nombre del colaborador), el aviso de privacidad interno debe cubrir ese uso. Los datos grabados físicamente en una pieza se consideran tratamiento de datos personales — el aviso debe informar al titular que su nombre será grabado en una pieza y para qué se usará.
Derechos ARCO y cómo atenderlos
Los derechos ARCO (Acceso, Rectificación, Cancelación, Oposición) son derechos del titular de los datos. Si un colaborador les pide que cancelen sus datos porque ya no quiere que su nombre esté grabado en la libreta, ustedes deben atender la solicitud. Cuando los datos están grabados físicamente, la cancelación puede implicar destruir la pieza o reemplazar el grabado — pero no pueden negarse sin causa legal.
El plazo para atender una solicitud ARCO es de veinte días hábiles desde la recepción, con posibilidad de ampliar quince días hábiles más. La respuesta debe ir al medio que el titular indique. Si ustedes transfirieron los datos a un proveedor, deben coordinar la atención con el proveedor para asegurar que los datos también se cancelen en sus sistemas.
Incidentes de seguridad: qué hacer
Un incidente de seguridad es cualquier evento que comprometa la confidencialidad, integridad o disponibilidad de los datos personales. Ejemplos en un programa de merch: una laptop con la base de datos de colaboradores robada, una hoja de cálculo con nombres y direcciones enviada por error, un proveedor que filtra la base de datos.
Cuando ocurre un incidente, ustedes deben: contener el incidente de inmediato, evaluar el alcance y los datos afectados, notificar al INAI cuando el incidente sea significativo, y notificar a los titulares afectados cuando el riesgo sea alto. El convenio de encargo que firmen con el proveedor debe especificar plazos y medios de aviso para incidentes originados en el proveedor.
Buenas prácticas operativas
Cinco prácticas que ayudan a cumplir con la ley sin volver el proceso burocrático. Primero, minimizar los datos — sólo pasar al proveedor lo estrictamente necesario para producción y entrega. Si el proveedor no necesita la fecha de nacimiento para grabar un termo, no la incluyan en la base. Segundo, cifrar las transferencias — usar archivos cifrados con contraseña que se envía por canal separado.
Tercero, limitar el acceso — sólo el personal autorizado del proveedor ve los datos, y el acceso está registrado. Cuarto, plazos cortos — los datos se transfieren al proveedor, se usan y se devuelven o destruyen en un plazo definido (típicamente treinta días naturales). Quinto, auditoría — al menos una vez al año, ustedes revisan que el proveedor cumple con las medidas de seguridad acordadas.
¿Cotizamos su cumplimiento de LFPDPPP?
Si ustedes están por arrancar un programa de merch con datos personalizados, platiquemos su caso. Les ayudamos a redactar el convenio de encargo, a definir los datos estrictamente necesarios y a establecer las medidas de seguridad operativas. Firmamos convenio con cada cliente y auditamos internamente una vez al año.
Corp-Merch.MX es un taller mexicano de producción de merch. La información sobre la LFPDPPP es con fines informativos y refleja las disposiciones vigentes al momento de la publicación. Recomendamos validar las obligaciones específicas con su área jurídica y con el INAI. Corp-Merch.MX no es despacho de abogados ni autoridad certificadora.