El artículo 48 de la Ley para Regular las Instituciones de Tecnología Financiera (DOF, 9 de marzo de 2018) faculta a la CNBV a emitir disposiciones sobre seguridad de la información, confidencialidad y continuidad operativa. Si tu correo con datos de clientes vive en la nube de un proveedor extranjero, tu siguiente visita de inspección ya tiene un hallazgo.
Última actualización: octubre 2026 · Fuente: LRITF, texto vigente
Regula a crowdfunding, wallets y otras ITF. Su artículo 48 habilita a la CNBV a emitir disposiciones de carácter general en seguridad de la información, confidencialidad y continuidad operativa — que ya existen y se actualizan.
La CNBV supervisa y visita; Banxico regula lo que toca el sistema de pagos. Si eres sofipo o banca tradicional, tu equivalente son las disposiciones de la CUB — la lógica es la misma.
Prevención de lavado: identificación de clientes, monitoreo y reportes. No lo cubre tu correo — pero la evidencia y las comunicaciones del cumplimiento PLD sí circulan por correo.
CONDUSEF vela por los usuarios de servicios financieros; la LFPDPPP es el piso de datos personales — y los datos financieros pueden calificar como sensibles, con consentimiento expreso.
| Lo que exigen las disposiciones | Cómo lo cubre la arquitectura de Arca |
|---|---|
| Seguridad de la información: cifrado y control de acceso | Correos y archivos cifrados en reposo con AES-256-GCM y llave única por organización; TLS en tránsito con SPF, DKIM, DMARC y MTA-STS. Passkeys WebAuthn, MFA y revocación de sesión inmediata. |
| Confidencialidad: nadie fuera de la institución lee la información | El correo es self-hosted: no hay proveedor de correo extranjero de por medio, sujeto al CLOUD Act. Para lo más sensible, Modo Bóveda: cifrado con llave que solo existe en el dispositivo del usuario. |
| Trazabilidad y evidencia para auditoría | Bitácora encadenada con SHA-256 por organización: quién accedió a qué, cuándo y desde dónde, a prueba de manipulación y exportable — el formato exacto que un auditor pide. |
| Continuidad operativa | Respaldo write-ahead, redundancia geográfica entre dos centros de datos y pruebas periódicas de restauración con failover automático. Estado del servicio público en /status. |
| Gestión de terceros y proveedores de servicios | Un proveedor identificable y mexicano: Deployalo S.A. de C.V. Datos en servidores self-hosted en Europa, sin subencargados de correo. Salida sin penalización: export estándar el día que quieras. |
| Uso controlado de IA sobre información de clientes | El asistente corre en infraestructura propia — no en OpenAI ni Google — no entrena modelos de terceros, es gated por usuario y toda acción la autoriza una persona. |
Esto es información general, no asesoría legal ni regulatoria. Tu perímetro exacto depende de tu figura (ITF, sofipo, banca) — revísalo con tu oficial de cumplimiento.
Preguntas frecuentes
Sí. Las disposiciones de seguridad de la información no se limitan a tu core transaccional: cualquier sistema por donde circule información de clientes — incluido el correo — es parte de tu superficie regulada. Un buzón en la nube de un proveedor extranjero sujeto al CLOUD Act es exactamente el tipo de hallazgo que aparece en visitas de inspección.
No. Tus políticas, tu oficial de seguridad y tus evaluaciones de riesgo son tuyos y la CNBV te los pide a ti. Arca te da evidencia técnica concreta para documentar el control del correo: cifrado por organización, bitácora encadenada, control de acceso y continuidad operativa.
Como a cualquier proveedor en tu expediente: quién es (Deployalo S.A. de C.V., empresa mexicana), dónde están los datos (servidores self-hosted en Europa, sin subencargados de correo), cómo se protegen (cifrado AES-256 por organización, bitácora SHA-256) y cómo sales (export estándar sin penalización). Te entregamos la información que tu expediente de terceros necesita.
Sí, y no compiten: la LFPDPPP es el piso de datos personales para cualquier particular en México. Si te regula la CNBV, tus obligaciones sectoriales van encima de ese piso. Los datos financieros además pueden calificar como sensibles bajo la LFPDPPP, con consentimiento expreso del cliente.
El asistente de Arca corre en infraestructura que controlamos — no en OpenAI ni Google — y nada entrena modelos de terceros. Es gated por el usuario y propone en vez de actuar: toda acción la autoriza una persona, lo que además te alinea con la revisión humana de decisiones automatizadas que exige la LFPDPPP de 2025.
Migración sin downtime desde Google Workspace u O365, soporte en horario CDMX y CFDI directo: Arca para fintech y sofipos.
Cifrado por organización, bitácora auditable y continuidad operativa real — por $120 MXN por usuario al mes.