Guía · Cumplimiento en México

Aviso de privacidad para WordPress: qué debe decir y dónde ponerlo

Templates Rocket · Actualizada en octubre de 2026 · 7 min de lectura

Si tu sitio en WordPress recaba datos de personas en México, aunque sea un nombre y un correo en un formulario de contacto, la ley te pide un aviso de privacidad. Y no basta con una página en el pie: la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, vigente desde marzo de 2025, pide dos versiones y dice exactamente qué lleva cada una.

Esta guía explica qué debe decir cada versión, dónde ponerla dentro de WordPress y los errores más comunes. Incluye un modelo de aviso simplificado para tus formularios.

Dos avisos, no uno

El aviso integral

Es el documento completo, normalmente una página como «/aviso-de-privacidad/». Debe contener, al menos (artículo 15):

  1. La identidad y el domicilio del responsable.
  2. Los datos personales que tratas, señalando cuáles son sensibles.
  3. Las finalidades del tratamiento, distinguiendo las que requieren tu consentimiento.
  4. Las opciones y medios para limitar el uso o la divulgación de los datos.
  5. Los mecanismos y procedimientos para ejercer los derechos ARCO (acceso, rectificación, cancelación y oposición).
  6. Cómo vas a comunicar los cambios al aviso.

El aviso simplificado

Cuando los datos se obtienen por un medio electrónico, como cualquier formulario web, la ley pide darlo en su modalidad simplificada: los puntos 1 a 4 de la lista anterior, más el enlace al aviso integral (artículo 16, fracción II). En la práctica es un párrafo corto junto a cada formulario, antes de que la persona envíe sus datos.

Modelo de aviso simplificado para un formulario de contacto

[Nombre o razón social], con domicilio en [domicilio], es responsable de los datos personales que nos das en este formulario: nombre, correo electrónico y teléfono. Los usamos para responder tu solicitud y, sólo si lo aceptas abajo, para enviarte información comercial. Si no quieres recibirla, puedes pedirlo en cualquier momento escribiendo a [correo]. Consulta nuestro aviso de privacidad integral en [enlace].

Ajusta los datos a lo que de verdad pide tu formulario. Si agregas una finalidad que requiere consentimiento, como las promociones, ponle su propia casilla, sin marcar.

Esto no es asesoría legal. El modelo es un punto de partida para un formulario de contacto común. Si tratas datos sensibles (salud, por ejemplo) o financieros, las reglas de consentimiento cambian (artículos 7 y 8) y conviene que un abogado revise tu aviso.

Dónde ponerlo dentro de WordPress

  • Una página para el aviso integral, enlazada desde el pie de todas las páginas. En Ajustes → Privacidad puedes marcarla como la página de privacidad del sitio. Ojo: la plantilla que ofrece WordPress está pensada para el reglamento europeo y no cubre los seis puntos de la ley mexicana.
  • El aviso simplificado junto a cada formulario: Contact Form 7, Gravity Forms, WPForms o el widget de formulario de Elementor permiten agregar un bloque de texto antes del botón de envío.
  • En el checkout de WooCommerce, que recaba nombre, domicilio, teléfono y correo. WooCommerce trae un campo de texto de privacidad en WooCommerce → Ajustes → Cuentas y privacidad; úsalo para el aviso simplificado.
  • En el aviso de cookies, con un enlace al aviso integral. Si tus cookies tratan datos personales, el aviso debe estar a disposición antes de que se carguen (artículo 7).
  • En los boletines y registros de cuenta, igual que en cualquier otro formulario.

Los errores más comunes

  1. Copiar el aviso de otro sitio. Cada aviso describe datos y finalidades concretas. Uno copiado casi siempre lista datos que no recabas y omite los que sí.
  2. Seguir nombrando al INAI. Desde marzo de 2025 la autoridad es la Secretaría Anticorrupción y Buen Gobierno (artículo 2, fracción XV).
  3. No separar las finalidades. Responder una cotización y mandar promociones no son lo mismo: la segunda requiere consentimiento y el aviso debe distinguirla (artículo 15, fracción III).
  4. Tener sólo el aviso integral. Sin el simplificado junto al formulario, la persona envía sus datos sin haber visto quién los trata ni para qué.
  5. No explicar cómo ejercer los derechos ARCO. El aviso debe decir el medio, por ejemplo un correo o un formulario, y alguien debe responder en un máximo de 20 días hábiles (artículos 15, 29 y 31).
  6. Olvidar los servicios de terceros. Google Analytics, el pixel de Meta, el chat o el CRM también tratan datos de tus visitantes. Inclúyelos.

Generarlo desde tu WordPress

Cookie Rocket Pro genera el aviso de privacidad conforme a la LFPDPPP en sus dos versiones, integral y simplificada, con la Secretaría Anticorrupción y Buen Gobierno como autoridad. Además abre un canal ARCO en tu propio sitio y bloquea las cookies de rastreo hasta que el visitante decide. El aviso de cookies que ves en esta página es Cookie Rocket Pro funcionando.

Para el panorama completo de lo que cambió en la ley, lee La nueva LFPDPPP en WordPress: qué cambió y cómo cumplir.

Fuente

Ver Cookie Rocket Pro