Cómo hacer
Cómo manejar privacidad de datos en programas de merch corporativo
Una guía operativa para equipos de marca y procurement en CDMX, Monterrey y Guadalajara que recolectan nombres, direcciones y RFCs de destinatarios para enviar kits corporativos sin infringir la LFPDPPP, sin exponer a tu empresa a sanciones y sin perder a tu proveedor por incumplimiento.
Qué datos personales se cruzan en un programa de merch
El error más común es pensar que un kit corporativo es "sólo logística". No lo es. Desde el momento en que recolectas el nombre de un empleado para bordar una chamarra o la dirección de un cliente para enviarle un regalo de fin de año, estás tratando datos personales bajo la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). El bordar un nombre implica almacenamiento; el enviar a un domicilio implica transferencia; el compartir el listado con tu proveedor implica un encargo de tratamiento. Cada paso toca la ley.
Un programa típico de merch corporativo en México involucra al menos tres bases de datos: la del cliente que solicita el envío (nombre fiscal, RFC, contacto), la del destinatario final (nombre, dirección, a veces talla o preferencia) y la del operador logístico que entrega el paquete. Las tres son responsables distintos bajo la ley y cada uno necesita su propio AVISO DE PRIVACIDAD. Compartir un solo documento entre los tres es el primer error.
La buena noticia: el cumplimiento no requiere un departamento legal gigante. Con tres documentos base (aviso para el cliente, aviso para el destinatario, contrato de encargo con el proveedor) y un registro de tratamientos actualizado una vez al año, tu programa de merch queda cubierto. Lo que sí requiere es disciplina operativa: el nombre bordado en una playera no se queda sólo en la playera, también queda en una base de datos que tienes que proteger.
Si tu marca envía kits a Europa además de México, aplica también el RGPD (Reglamento General de Protección de Datos) y, en algunos casos, la legislación estatal de California (CCPA) para destinatarios en ese estado. La estrategia más segura es operar bajo el estándar más estricto que aplique a tu base de destinatarios, no al revés.
Plan operativo en 7 pasos
- Mapear los datos que recolectas. Antes de cualquier campaña, levanta un inventario: nombre del destinatario, RFC cuando aplique, dirección de entrega, talla, preferencia de color, correo de confirmación. Lo que no recolectas no lo proteges.
- Definir la base jurídica de cada tratamiento. Para empleados de tu propio cliente, basta el consentimiento en el contrato marco. Para destinatarios externos, necesitas consentimiento expreso por escrito (artículo 8 de la LFPDPPP).
- Emitir AVISO DE PRIVACIDAD para cada flujo. Uno para el cliente, otro para el destinatario final, otro para el operador logístico. Cada uno debe indicar qué datos se tratan, con qué finalidad y ante quién puede acudir para ejercer derechos ARCO.
- Firmar contrato de encargo con cada proveedor. El fabricante del kit, el bordador, el almacenista y el transportista deben firmar un contrato que establezca tratamiento conforme a tus instrucciones, confidencialidad y aviso en caso de incidente.
- Limitar acceso por necesidad. El bordador no necesita la dirección; el transportista no necesita la talla. Entrega a cada eslabón sólo los datos que requiere para su función, cifrados cuando sean datos sensibles.
- Establecer plazos de retención y supresión. Define cuánto tiempo conservas el listado de destinatarios (sugerido: 12 meses para campañas y 5 años para evidencia contable). Pasado el plazo, suprime de manera definitiva.
- Documentar canal ARCO y respuesta a incidentes. Asigna un responsable (puede ser externo) para atender solicitudes de acceso, rectificación, cancelación u oposición dentro de los 20 días hábiles que marca la ley. Lleva bitácora.
Errores comunes que cuestan caro
El primer error es confundir AVISO con consentimiento. El AVISO DE PRIVACIDAD informa; el consentimiento es la firma del titular que acepta que uses sus datos. Sin consentimiento expreso para el envío del kit, el tratamiento no tiene base legal y el INAI puede sancionar.
El segundo error es enviar el listado completo a un proveedor. Cuando mandas "todos los nombres y direcciones en un Excel" a tu fabricante para que él mismo gestione el envío, estás transfiriendo datos sin control. La ley permite transferencia, pero sólo con contrato de encargo y bajo tus instrucciones.
El tercer error es no cifrar el archivo de destinatarios. Un Excel con 500 nombres y direcciones que viaja por correo electrónico es una fuga esperando suceder. Usa cifrado AES-256 o al menos archivo protegido con contraseña enviado por canal separado.
El cuarto error es olvidar a los destinatarios europeos. Si tu cliente te pasa datos de empleados en Berlín o París, además de la LFPDPPP aplica el RGPD y necesitas demostrar base legal, registro de tratamiento y, si el monitoreo es sistemático, un DPO (Data Protection Officer) o su equivalente.
El quinto error es no tener respuesta para un incidente. Cuando se filtra una base, las primeras 72 horas son críticas: notificación al INAI, a los titulares y, en Europa, a la autoridad de control. Sin un protocolo redactado de antemano, la respuesta se vuelve caótica y la sanción se agrava.
Herramientas, plantillas y referencias
AVISO DE PRIVACIDAD modelo: redactado en lenguaje claro, con secciones de responsable, datos personales recabados, finalidades primarias y secundarias, transferencias, medios para limitar uso y medio para ejercer derechos ARCO. Disponible en el sitio del INAI como guía.
Contrato de encargo de tratamiento: cláusulas mínimas: objeto, duración, naturaleza del tratamiento, tipo de datos, obligaciones del encargado, confidencialidad, medidas de seguridad, subcontratación, notificación de incidentes y devolución o supresión al término.
Cláusulas contractuales para proveedor europeo: si transfieres datos fuera del EEE, anexa las Cláusulas Contractuales Tipo (SCC) adoptadas por la Comisión Europea en su Decisión 2021/914, así como evaluación de impacto cuando aplique.
Referencias técnicas y legales: LFPDPPP publicada en DOF el 5 de julio de 2010; Reglamento de la LFPDPPP; Lineamientos del Aviso de Privacidad publicados por el INAI; RGPD (Reglamento UE 2016/679); CCPA/CPRA para California; NOM-035 para igualdad laboral y no discriminación cuando los datos incluyen información sensible.
Tiempos sugeridos: emitir AVISO antes de cualquier recolección; firmar contrato de encargo antes del primer envío; actualizar aviso anualmente; conservar evidencia deconsentimientos por 5 años; revisar protocolos de incidente cada 6 meses.