Revisamos 40 sitios de negocios digitales mexicanos: a más de la mitad le faltan términos y condiciones

Entre el 10 y el 12 de octubre de 2026 revisamos en Ortlex los sitios web de 40 negocios digitales mexicanos: agencias de marketing y diseño, estudios de software, agencias de ecommerce y startups. Son negocios que venden en línea o que le hacen sitios web a otros negocios. Justo por eso esperábamos encontrar lo legal en orden.

No fue así. 21 de los 40 no tienen términos y condiciones publicados, y uno de cada cuatro no tiene aviso de privacidad.

Aquí van los números, qué significa cada hallazgo y qué dice la ley vigente. No publicamos nombres: los datos son agregados y anónimos.

Los números

Un mismo sitio puede aparecer en varias filas. La revisión fue de lo que cualquier visitante ve en el sitio (páginas legales, formularios, pie de página y las herramientas que cargan al entrar), no una auditoría interna.

1. Más de la mitad no tiene términos y condiciones

Fue el hallazgo más común. En una agencia o un estudio de software, los términos del sitio son el lugar natural para dejar claro qué se vende, cómo se paga y qué pasa con lo que el cliente sube o descarga.

Si además vendes en línea, la Ley Federal de Protección al Consumidor, en su artículo 76 BIS, pide que el consumidor pueda conocer todos los términos, condiciones, costos, cargos adicionales y formas de pago, y que tenga a la mano tu domicilio físico, teléfonos y otros medios para reclamar.

Y hay un cambio reciente que casi nadie ha leído: desde el 13 de diciembre de 2025, si cobras suscripciones o cargos automáticos, tienes que informar con claridad que el cobro es recurrente (cuánto, cada cuándo y en qué fecha), obtener el consentimiento expreso de tu cliente, avisarle al menos cinco días naturales antes de una renovación automática y darle una forma de cancelar de inmediato. Si eres una startup con un modelo SaaS, esto te toca directo.

2. Uno de cada tres usa píxeles sin decirlo

13 sitios cargan herramientas como Meta Pixel, Google Analytics, TikTok o Hotjar y no tienen ningún aviso sobre ellas. Esas herramientas recaban datos de quien visita la página: desde qué dispositivo entra, qué páginas ve, de dónde viene.

La ley de datos personales de 2025 no usa la palabra "cookies", pero sí aplica a datos obtenidos por medios electrónicos y pide que el aviso de privacidad diga qué datos tratas y para qué. Si tu sitio manda información de tus visitantes a una plataforma de anuncios y tu aviso no lo menciona, el aviso no está describiendo lo que de verdad hace tu sitio.

3. Uno de cada cuatro no tiene aviso de privacidad

10 sitios piden datos (un formulario de contacto, un botón de WhatsApp, una suscripción a newsletter) y no tienen aviso de privacidad a la vista. La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, vigente desde el 21 de marzo de 2025, pide que el aviso esté disponible desde el momento en que recabas los datos, no después.

Según el artículo 15 de esa ley, el aviso integral debe incluir, por lo menos:

1. Quién eres y tu domicilio.
2. Qué datos tratas, señalando si alguno es sensible.
3. Para qué los usas, distinguiendo las finalidades que necesitan consentimiento de las que no.
4. Cómo limitar el uso o la divulgación de los datos.
5. Cómo ejercer los derechos ARCO.
6. Cómo vas a avisar si el aviso cambia.

Cuando los datos se recaban por medios electrónicos, como un formulario web, la ley permite dar primero un aviso simplificado que diga dónde consultar el completo.

4. Los avisos que siguen mandando al INAI

3 sitios tienen un aviso de privacidad que todavía remite al INAI y otros 2 tienen un aviso fechado antes de 2025. El INAI desapareció con la reforma: la autoridad en datos personales ahora es la Secretaría Anticorrupción y Buen Gobierno.

Puede parecer un detalle, pero es la señal más clara de que el aviso se copió o se redactó antes de la ley nueva y no se ha revisado desde entonces. Si eso está desactualizado, lo más probable es que el resto también.

5. Sin un camino para los derechos ARCO

10 sitios no explican cómo pedir acceso, corrección, cancelación u oposición al uso de los datos. La ley da 20 días para responder una solicitud ARCO (ampliables una vez por un periodo igual) y 15 días para hacerla efectiva si procede. Si el aviso no dice a qué correo o por qué medio se pide, nadie en tu equipo va a saber qué hacer cuando llegue la primera solicitud.

¿Y si no lo arreglo?

La ley de datos personales considera infracción omitir en el aviso de privacidad alguno o todos los elementos del artículo 15. Para ese supuesto, el artículo 59 prevé multas de 100 a 160,000 veces la UMA. Con la UMA vigente en 2026 (117.31 pesos diarios), eso va de unos 11,700 pesos a cerca de 18.8 millones. La autoridad decide el monto según cada caso.

Más allá de la multa, hay un costo que se ve antes: un cliente corporativo, un inversionista o un socio que revisa tu sitio nota cuando lo legal está descuidado. Y si tu negocio es hacerle sitios a otros, tu propio sitio es tu carta de presentación.

Qué revisar esta semana

• Abre tu sitio en una ventana de incógnito y busca el enlace a tu aviso de privacidad y a tus términos. Si no los encuentras en 10 segundos, tus clientes tampoco.
• Busca la palabra "INAI" en tu aviso. Si aparece, se redactó antes de la ley de 2025.
• Haz una lista de las herramientas que cargan en tu sitio (píxeles, analítica, chat, mapas de calor) y confirma que tu aviso las mencione.
• Si cobras suscripciones, revisa que tu checkout diga monto, periodicidad y fecha del cargo, y que tengas cómo avisar 5 días antes de renovar y un botón para cancelar.
• Revisa que tus términos digan cómo se paga, qué pasa si se cancela y cómo se pide una aclaración.

Si quieres que lo revisemos por ti, mándanos la liga de tu sitio. Te respondemos en menos de 24 horas con lo que falta y lo que está desactualizado, sin costo.

Fuentes

• Cámara de Diputados. Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF 20-03-2025, última reforma DOF 14-11-2025): artículos 15, 16, 31, 58 y 59.
• EY México. Nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares: fechas de publicación y entrada en vigor, y transferencia de funciones del INAI.
• Hogan Lovells. La nueva Ley Federal de Protección de Datos de México: qué significa para las empresas.
• IDC Online. Ajustes en el aviso de privacidad con la Ley de Protección de Datos.
• Cámara de Diputados. Ley Federal de Protección al Consumidor (última reforma DOF 12-12-2025): artículo 76 BIS.
• Greenberg Traurig. Reformas a la Ley Federal de Protección al Consumidor (cobros recurrentes, renovación automática y cancelación).
• El Imparcial. Nuevas reglas sobre cobros automáticos en suscripciones.
• TaxToday México. Valores de la UMA vigentes a partir de febrero de 2026 y Alegra. Valor de la UMA 2026.
• Datos propios de Ortlex: revisión de 40 sitios de negocios digitales mexicanos entre el 10 y el 12 de octubre de 2026. Muestra no aleatoria; resultados agregados y anónimos.