Aviso de privacidad para tu negocio con citas: qué debe decir

Importante: esta guía es informativa y no es asesoría legal. Resume el texto de la ley tal como lo publica la Cámara de Diputados (última reforma del 14 de noviembre de 2025, consultado el 19 de octubre de 2026). Para redactar el aviso de tu negocio o resolver un caso concreto, consulta a un abogado.

¿Mi negocio tiene que tener aviso de privacidad?

Casi seguro que sí. La ley aplica en todo el país (artículo 1) a las personas físicas o morales de carácter privado que tratan datos personales (artículo 2, fracción XVI). No importa si tu negocio es una sociedad o si trabajas por tu cuenta.

La ley solo deja fuera a dos casos (artículo 1): las sociedades de información crediticia y quien guarda datos para uso exclusivamente personal, sin fines de divulgación ni uso comercial. La libreta de citas de un negocio no es uso personal: es parte de tu actividad comercial.

En la ley, tú eres el responsable de los datos de tus clientes y ellos son las personas titulares (artículo 2, fracciones XIV y XVIII).

Qué datos guarda un negocio con citas

Para agendar casi siempre guardas nombre, teléfono, correo, la fecha y el servicio de cada cita y, a veces, notas. Todo eso son datos personales.

Hay un grupo especial: los datos sensibles. La ley pone como ejemplo, entre otros, el origen racial o étnico, el estado de salud presente o futuro y la información genética (artículo 2, fracción VI). Si en tus notas escribes padecimientos, alergias o tratamientos, estás guardando datos sensibles y las reglas son más estrictas (lo vemos más abajo).

Los 6 puntos que debe tener tu aviso

El artículo 15 pide que el aviso de privacidad tenga, al menos:

1. Quién eres y tu domicilio. El nombre del responsable (tu nombre o el de tu empresa) y su domicilio.
2. Qué datos guardas, señalando cuáles son sensibles. Por ejemplo: nombre, teléfono, correo e historial de citas.
3. Para qué los usas, distinguiendo las finalidades que necesitan el consentimiento de tu cliente. Por ejemplo: agendar y recordar sus citas (necesaria) o mandarle promociones (adicional).
4. Cómo puede limitar el uso o la divulgación de sus datos. Por ejemplo: pedir por correo que ya no le mandes promociones.
5. Cómo ejercer sus derechos ARCO (acceso, rectificación, cancelación y oposición): a quién escribir y qué mandar.
6. Cómo le avisarás si cambias el aviso. Por ejemplo: publicando la versión nueva en tu página y en el mostrador.

Además, el aviso debe decir cómo revocar el consentimiento (artículo 7). Y si vas a pasar los datos a otras personas distintas de tus proveedores, debe incluir una cláusula en la que tu cliente diga si acepta o no esa transferencia (artículo 35).

Dejar fuera alguno de los elementos del artículo 15 es una infracción (artículo 58, fracción V).

Aviso completo y aviso corto

La ley contempla dos formas (artículo 16):

• Si recabas los datos en persona con un formato impreso (por ejemplo, una hoja de registro en el mostrador), el aviso se da a conocer en ese momento, salvo que ya lo hayas dado antes.
• Si los recabas por un medio electrónico (una página de reservas, un formulario o un mensaje), puedes dar un aviso simplificado que tenga al menos los puntos 1 a 4 de la lista anterior y diga dónde consultar el aviso completo, también llamado integral.

En la práctica, muchos negocios tienen el aviso integral en su página web y una versión corta junto a cada formulario.

El consentimiento de tus clientes

Por regla general, el consentimiento tácito es válido: si pusiste el aviso a disposición de tu cliente y no se opuso, se entiende que acepta (artículo 7).

Hay excepciones que conviene conocer:

• Datos financieros o patrimoniales: piden consentimiento expreso (artículo 7).
• Datos sensibles, como los de salud: piden consentimiento expreso y por escrito, con firma autógrafa, firma electrónica o algún mecanismo de autenticación (artículo 8).
• Sin consentimiento: la ley no lo pide, entre otros casos, cuando los datos se requieren para cumplir las obligaciones de una relación jurídica entre tu cliente y tú (artículo 9, fracción IV). Aun así, tienes que informarle con el aviso (artículo 14).

Tu cliente puede revocar su consentimiento en cualquier momento, sin efectos hacia atrás, y tu aviso debe decir cómo hacerlo (artículo 7). Si después quieres usar los datos para algo distinto de lo que dice tu aviso, necesitas pedir el consentimiento otra vez (artículo 11).

Si atiendes temas de salud

Si eres dentista, psicólogo, nutriólogo, fisioterapeuta o atiendes cualquier servicio donde surgen datos de salud, toma en cuenta lo que dice la ley sobre los datos sensibles:

• Necesitas consentimiento expreso y por escrito (artículo 8).
• No se pueden crear bases de datos con datos sensibles sin una finalidad legítima, concreta y acorde con tu actividad (artículo 8).
• Debes hacer esfuerzos razonables para guardarlos el menor tiempo indispensable (artículo 12).
• Las multas por infracciones con datos sensibles pueden subir hasta el doble (artículo 59).

Tu profesión puede tener además sus propias normas sobre expedientes. Revísalas con tu asesor.

En AgendaMaestra, los Términos y Condiciones prohíben capturar datos sensibles en las notas y en cualquier campo de texto libre, y la página de reservas le pide a tu cliente que no escriba información médica o de salud. La agenda es para las citas; el expediente clínico va aparte.

Tus proveedores no son una transferencia

Si usas un sistema para tu agenda, ese proveedor trata los datos por encargo tuyo. La ley lo llama persona encargada (artículo 2, fracción XII), y pasarle los datos no cuenta como transferencia (artículo 2, fracción XX).

En AgendaMaestra, tú eres el responsable de los datos de tu personal y de tus clientes, y AgendaMaestra actúa como encargado, como se explica en la cláusula 10 de los Términos y Condiciones y en el aviso de privacidad de AgendaMaestra.

Los derechos ARCO de tus clientes

Tus clientes pueden pedirte en cualquier momento (artículos 21 a 27):

• Acceso: saber qué datos suyos tienes y cómo los usas.
• Rectificación: corregir los que estén mal o incompletos.
• Cancelación: que borres sus datos. Primero pasan por un periodo de bloqueo y luego se suprimen (artículo 24).
• Oposición: que dejes de usarlos cuando haya una causa legítima (artículo 26).

La ley también enumera casos en los que no estás obligado a cancelar, por ejemplo cuando los datos deben tratarse por disposición legal (artículo 25).

Lo que te pide la ley para atenderlos:

• Designa a una persona o un departamento que reciba y atienda estas solicitudes (artículo 29). En un negocio chico puede ser el dueño.
• Responde en máximo 20 días desde que recibes la solicitud y, si procede, cúmplela dentro de los 15 días siguientes. Los dos plazos se pueden ampliar una sola vez por un periodo igual, si se justifica (artículo 31). Para esta ley, «días» son días hábiles (artículo 2, fracción VIII).
• Es gratis. Solo puedes cobrar los costos de reproducción, copias o envío (artículo 34).

La solicitud debe traer el nombre de la persona y un medio para responderle, sus documentos de identidad, la descripción de los datos y del derecho que quiere ejercer (artículo 28).

Cuida los datos: seguridad y confidencialidad

• Mantén medidas de seguridad administrativas, técnicas y físicas contra daño, pérdida, alteración o acceso no autorizado (artículo 18). Por ejemplo: que cada persona de tu equipo entre con su propio usuario.
• Si hay una vulneración de seguridad que afecte de forma significativa a tus clientes, avísales de inmediato (artículo 19).
• Todas las personas que manejan los datos deben guardar confidencialidad, incluso después de dejar de trabajar contigo (artículo 20).
• Cuando los datos ya no sean necesarios para lo que dice tu aviso, deben suprimirse, previo bloqueo y al terminar su plazo de conservación (artículo 10).

Quién vigila y qué pasa si no cumples

La autoridad es la Secretaría Anticorrupción y Buen Gobierno (artículo 2, fracción XV, y artículo 39). Si tu cliente no queda conforme con tu respuesta a una solicitud ARCO, puede presentar una solicitud de protección de datos ante la Secretaría dentro de los 15 días siguientes a tu respuesta (artículo 40).

Las multas se miden en Unidades de Medida y Actualización (UMA) (artículo 59):

• De 100 a 160,000 UMA por infracciones como omitir elementos del aviso de privacidad.
• De 200 a 320,000 UMA por infracciones como incumplir la confidencialidad o recabar o transferir datos sin el consentimiento expreso cuando la ley lo exige.
• Una multa adicional si las infracciones se repiten y hasta el doble cuando hay datos sensibles.

Lista rápida para revisar tu aviso

• Dice tu nombre o razón social y tu domicilio.
• Enumera los datos que guardas y señala si alguno es sensible.
• Separa las finalidades necesarias de las adicionales.
• Explica cómo limitar el uso de los datos.
• Explica cómo pedir acceso, rectificación, cancelación u oposición, y a quién.
• Explica cómo revocar el consentimiento.
• Dice cómo vas a avisar de cambios.
• Si compartes datos con alguien que no es tu proveedor, incluye la cláusula de transferencias.
• Está a la vista donde recabas los datos: en el mostrador y junto a tus formularios.

Fuente

Ley Federal de Protección de Datos Personales en Posesión de los Particulares, texto vigente publicado por la Cámara de Diputados del H. Congreso de la Unión: descargar el PDF oficial. Consultado el 19 de octubre de 2026.

Para organizar a tus clientes en un solo lugar, revisa la ficha de clientes de AgendaMaestra y cómo funciona la ficha del cliente. Si hoy agendas por mensajes, empieza por dejar de perder citas que llegan por WhatsApp.