Páginas legales en México: aviso de privacidad y términos
Estructura canónica del aviso de privacidad LFPDPPP (con derechos ARCO) y de los términos de servicio para un sitio de negocio mexicano en Astro.
El formulario de contacto llevaba dos años recogiendo nombres, correos y teléfonos. El sitio no tenía aviso de privacidad. Nadie lo había notado porque las páginas legales son las que nadie quiere escribir y casi nadie lee —hasta el día en que importan—. En México, cualquier sitio que recaba datos personales por un formulario, y eso incluye al noventa y nueve por ciento de los sitios de negocio, necesita un aviso de privacidad conforme a la LFPDPPP. No es un trámite decorativo: es una obligación legal real cuando tratas datos personales, con una autoridad detrás —el INAI— y un procedimiento que el titular de los datos puede ejercer contra ti si no lo cumples. Y junto al aviso, le conviene unos términos de servicio que delimiten qué ofreces y bajo qué condiciones, que es lo que te protege cuando un trato se tuerce.
Esta guía da la estructura canónica de ambas páginas, pensada para vivir como HTML limpio en Astro y no como un PDF colgado que nadie indexa. El enfoque es estructural: qué secciones lleva cada página, qué schema emite, en qué layout vive. La redacción exacta de las cláusulas, ajustada a tu caso, la valida un abogado —lo que el sistema aporta es el andamiaje correcto para llegar a esa validación con el esqueleto ya resuelto—.
Aviso. Esto es orientación de estructura, no asesoría jurídica. Valida el texto final con un profesional legal antes de publicarlo. Las leyes y sus interpretaciones cambian; tu caso puede tener particularidades que una guía general no cubre.
Contexto: por qué estas páginas no son opcionales
El aviso de privacidad y los términos resuelven dos riesgos distintos. El aviso protege al usuario: le dice qué datos recoges, para qué, con quién los compartes y cómo puede controlarlos. Es la materialización de un derecho, y su ausencia es el incumplimiento más común y más fácil de detectar —basta abrir el formulario y ver que no hay enlace al aviso—. Los términos te protegen a ti: fijan las reglas del intercambio (alcance, pagos, entrega, propiedad del trabajo) y son tu defensa cuando un cliente afirma que prometiste algo que no prometiste. Una página mira hacia afuera, la otra hacia adentro; un sitio serio tiene las dos.
El aviso de privacidad LFPDPPP, sección por sección
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares pide que informes, en lenguaje claro y accesible, qué haces con los datos que recoges. Un aviso completo para un sitio de negocio cubre siete bloques:
- Identidad y domicilio del responsable: quién recaba los datos —tu razón social y un domicilio real—.
- Datos que se recaban: qué pide el formulario (nombre, correo, teléfono, mensaje) y, si aplica, datos sensibles (que tienen reglas más estrictas).
- Finalidades: para qué usas los datos, separando las primarias (necesarias para el servicio, como responder el contacto) de las secundarias (mercadotecnia, novedades), que el titular puede rechazar sin perder el servicio.
- Transferencias: si compartes datos con terceros —un proveedor de correo, una herramienta de CRM, una pasarela de pago— y con qué fin.
- Medios para ejercer los derechos ARCO: cómo el titular Accede, Rectifica, Cancela u Opone el tratamiento de sus datos, a qué correo escribir y qué procedimiento sigue.
- Uso de cookies y tecnologías de rastreo: qué cookies usa el sitio y cómo desactivarlas.
- Cambios al aviso: cómo comunicarás actualizaciones y desde cuándo rigen.
Los derechos ARCO son el corazón del aviso, y el punto que más se omite. No basta nombrarlos: hay que dar el medio concreto para ejercerlos —un correo y un procedimiento—. Un derecho sin procedimiento para ejercerlo es papel mojado, y es exactamente lo que una queja ante el INAI señala primero.
Los términos de servicio: delimitar el trato
Donde el aviso protege al usuario, los términos te protegen a ti y fijan las reglas del intercambio. Para un negocio de servicios, las cláusulas habituales cubren: quién eres, el uso permitido del sitio, cómo funcionan las cotizaciones, condiciones de pago, plazos y forma de entrega, propiedad intelectual del trabajo entregado, hosting y soporte, cancelaciones, límite de responsabilidad, confidencialidad, jurisdicción aplicable y un contacto. No todas aplican a todo negocio —un sitio que solo informa necesita menos que uno que cotiza y entrega proyectos—, pero la lista es el menú del que eliges.
La clave de unos buenos términos es que sean honestos y específicos: si entregas en un plazo, dilo; si el soporte tiene un límite, acláralo. Términos vagos no protegen a nadie; términos claros previenen el conflicto antes de que ocurra, porque dejan por escrito lo que cada parte esperaba.
El layout legal canónico
Ambas páginas comparten forma, así que comparten layout. En vez de hornear el head y el marco en cada HTML —el anti-patrón que hace que actualizar el footer obligue a tocar veinte archivos—, las páginas legales heredan de un PageLayout común: mismo header, mismo footer, un ancho de lectura cómodo y una tipografía sobria. El contenido legal vive como prosa estructurada con un encabezado por sección, de modo que el índice de la página se arme solo y el usuario salte directo a «derechos ARCO» sin recorrer todo.
---
import PageLayout from '@layouts/PageLayout.astro';
const title = 'Aviso de privacidad';
const description = 'Cómo tratamos los datos personales conforme a la LFPDPPP.';
---
<PageLayout title={title} description={description} schema="WebPage">
<!-- secciones legales como prose: una <h2> por bloque -->
</PageLayout>Schema e indexación: qué sí y qué no
Las páginas legales emiten un WebPage con su BreadcrumbList, y nada más: ni FAQPage, ni Service, ni reseñas. Sobre la indexación hay un matiz que se confunde seguido: el aviso de privacidad y los términos sí se indexan —son señales de confianza que Google espera en un sitio formal—, pero no compiten por palabras clave; su title y su description son descriptivos y honestos, sin relleno de SEO. La página que sí lleva noindex es la de gracias posterior a enviar un formulario, que no aporta nada en buscadores y solo diluiría el rastreo. Confundir esas dos —ocultar el aviso o indexar la página de gracias— es invertir la regla.
Patrones avanzados
Un solo punto de verdad para el contacto legal. El correo ARCO, el domicilio y la razón social aparecen en el aviso, en los términos y en el footer. Si los escribes a mano en cada lugar, el día que cambie el correo dejas tres versiones. Decláralos una vez en config/site.ts y consúmelos desde ahí: el contrato de datos único evita el aviso que apunta a un correo muerto.
La fecha de última actualización, visible. Un aviso legal sin fecha de vigencia se ve abandonado y, peor, no permite al usuario saber qué versión aceptó. Pon una línea de «última actualización» y muévela cuando cambie el texto de verdad, no en cada deploy.
Cookies: el aviso y el banner son dos cosas. El bloque de cookies del aviso describe qué cookies usas; el banner de consentimiento las gobierna en runtime. Si tu sitio es estático y solo usa cookies estrictamente necesarias, el bloque informativo puede bastar; en cuanto metes analítica o rastreo, el consentimiento deja de ser opcional. No confundas describir con pedir permiso.
Edge cases
El sitio que no recoge datos «pero». «No tengo formulario, no necesito aviso» —hasta que recuerdas el chat de WhatsApp embebido, el píxel de Meta o el formulario de newsletter del footer—. Cualquiera de esos trata datos personales. La pregunta correcta no es «¿tengo formulario?», es «¿algún elemento de mi sitio recoge o transmite datos de una persona?».
Datos sensibles. Si recoges datos de salud, creencias, origen étnico u otros considerados sensibles, las reglas se endurecen (suele requerirse consentimiento expreso). La mayoría de los sitios de negocio no los tocan; si el tuyo sí, ese es el momento de un abogado, no de una plantilla.
Menores de edad. Si tu servicio se dirige a o puede recoger datos de menores, hay obligaciones adicionales. Decláralo y trátalo con cuidado; un aviso genérico no cubre ese caso.
Tabla: las dos páginas legales
| Aspecto | Aviso de privacidad | Términos de servicio |
|---|---|---|
| Marco | LFPDPPP (datos personales) | Contractual / comercial |
| Núcleo | Derechos ARCO + finalidades | Alcance, pagos, entrega, IP |
| Cuándo es obligatorio | Si recoges datos personales | Recomendado al cotizar / vender |
| Schema | WebPage + BreadcrumbList | WebPage + BreadcrumbList |
| Indexación | Sí (señal de confianza) | Sí |
Checklist
- Aviso de privacidad con las siete secciones, incluido el medio concreto para ejercer derechos ARCO.
- Finalidades primarias y secundarias separadas; el usuario puede rechazar las secundarias.
- Términos con las cláusulas que apliquen a tu giro, honestas y específicas.
- Ambas páginas en un
PageLayoutlegal común (no head horneado por archivo). - Contacto legal (correo ARCO, domicilio, razón social) desde
config/site.ts, no repetido a mano. - Schema
WebPage+BreadcrumbList; indexables; fecha de última actualización visible. - Texto final validado por un profesional legal;
astro checken cero y build verde.
Preguntas frecuentes
¿De verdad necesito aviso de privacidad para un sitio pequeño?
Si recoges datos personales —y un formulario de contacto con nombre y correo ya lo hace—, la LFPDPPP aplica sin importar el tamaño del sitio. Es de las obligaciones más sencillas de cumplir y de las más visibles cuando falta: cualquiera puede abrir tu formulario y notar que no hay aviso enlazado.
¿Qué son exactamente los derechos ARCO?
Acceso, Rectificación, Cancelación y Oposición: las cuatro acciones que una persona puede ejercer sobre sus datos. Tu aviso debe explicarlas y, sobre todo, dar el correo y el procedimiento para solicitarlas. Mencionarlas sin dar el medio es el error más común.
¿Las páginas legales deben llevar noindex?
No. El aviso y los términos se indexan como señal de confianza. La que sí lleva noindex es la página de gracias posterior a un envío de formulario, que no aporta valor en buscadores. Ocultar el aviso e indexar la de gracias es invertir la regla.
¿Puedo copiar el aviso de otra empresa?
Como referencia de estructura, sí; como texto final, no. El aviso debe reflejar tus datos reales, tus finalidades y tu correo ARCO. Un aviso ajeno declara finalidades que no son las tuyas y te compromete a lo que dice, no a lo que haces.
¿Por qué no subir el documento legal como PDF?
Porque un PDF colgado no se indexa bien, no es accesible, no hereda el marco del sitio y obliga a descargar para leer. El contenido legal en HTML semántico, dentro del PageLayout, es más accesible para el usuario y más legible para el buscador.
¿Necesito un abogado?
Para validar el texto final, sí es lo recomendable, sobre todo si recoges datos sensibles, de menores, o tienes un modelo de negocio particular. Esta guía te lleva a esa validación con la estructura resuelta, pero la redacción ajustada a tu caso la confirma un profesional.
Sigue leyendo
- Auditar y migrar un sitio existente al estándar — dónde encajan las páginas legales en el método página por página.
- El footer activo: SEO global, NAP y Organization — el footer que enlaza al aviso y a los términos.
- Fuente externa: INAI — derechos ARCO y protección de datos y Schema.org — WebPage.