La LFPDPPP vigente se publicó en el Diario Oficial el 20 de marzo de 2025 y abrogó por completo la de 2010. El INAI desapareció: hoy la autoridad es la Secretaría Anticorrupción y Buen Gobierno. La ley exige aviso de privacidad, derechos ARCO, medidas de seguridad y aviso de vulneraciones — y Arca cubre la parte técnica por arquitectura, no por add-on.
Última actualización: octubre 2026 · Fuente: Cámara de Diputados, texto vigente
El 20 de marzo de 2025 se publicó en el DOF una LFPDPPP completamente nueva, que sustituyó —no reformó— la ley de 2010 y entró en vigor al día siguiente. Cuatro cosas que tu oficial de privacidad debe tener claras:
La reforma constitucional de simplificación orgánica de diciembre de 2024 lo eliminó. La autoridad en datos personales hoy es la Secretaría Anticorrupción y Buen Gobierno. Si tu aviso de privacidad o tus contratos aún dicen "INAI", están desactualizados.
Acceso, rectificación, cancelación y oposición se mantienen, y tu organización sigue obligada a tener un canal para atenderlos y responderlos en tiempo.
La ley de 2025 reconoce el derecho a que ninguna decisión basada en datos personales sea exclusivamente automatizada: la persona puede pedir revisión humana. Directamente relevante si usas IA sobre correo o expedientes.
Si ocurre una vulneración de seguridad que afecte derechos patrimoniales o morales de los titulares, el responsable debe notificarles. Para avisar a tiempo primero hay que saber qué pasó — ahí entra la bitácora.
La ley fue reformada una vez más el 14 de noviembre de 2025 (homologación con el Código Nacional de Procedimientos Civiles y Familiares) y a octubre de 2026 su reglamento sigue pendiente — pero la ley opera por sí misma desde el día uno. No esperes al reglamento para ordenar tu casa.
| Lo que exige la LFPDPPP | Cómo lo cubre la arquitectura de Arca |
|---|---|
| Medidas de seguridad técnicas y administrativas para proteger los datos | Correos y archivos cifrados en reposo con AES-256-GCM bajo una llave única por organización — no un bucket compartido. TLS en cada salto, con SPF, DKIM, DMARC y MTA-STS publicados. Aislamiento total entre organizaciones. |
| Control de acceso: solo quien debe, entra | Passkeys WebAuthn anti-clonación, MFA, contraseñas con hashing PBKDF2-SHA256 y revocación de sesión inmediata — si suspendes a alguien, su acceso muere en el momento. |
| Saber qué pasó cuando algo pasa (vulneraciones) | Bitácora de acciones sensibles encadenada con SHA-256, por organización: quién leyó qué, cuándo y desde dónde. Cualquier alteración es detectable recalculando la cadena, y se exporta para tu investigación interna. |
| Derechos ARCO: acceso, rectificación, cancelación, oposición | Acceso y rectificación: búsqueda y edición normal del buzón. Acceso portátil: export en mbox estándar, sin consultoría. Cancelación: borrado real, sin copias ocultas del contenido. |
| Decisiones no exclusivamente automatizadas | La IA de Arca ordena, resume y propone — nunca actúa sola: toda acción la autoriza una persona. Corre en infraestructura que controlamos (no en OpenAI ni Google), no entrena modelos de terceros y se puede apagar por usuario. |
| Saber quién es el encargado y dónde están los datos | Un solo encargado, identificable: Deployalo S.A. de C.V., empresa mexicana. El correo es self-hosted en servidores en Europa; no hay subencargados de correo ni tu buzón vive en la nube de un tercero sujeto al CLOUD Act. |
| Protección reforzada para datos sensibles | Modo Bóveda: buzón opt-in cifrado con una llave que solo existe en el dispositivo del usuario. Ni Arca, ni el proveedor de nube, ni una orden judicial pueden leer lo que guardas ahí. |
El detalle de cada capa está en cómo protegemos tu información, incluyendo lo que honestamente no prometemos.
Esto es información general, no asesoría legal. Para tu caso concreto, habla con tu abogado o tu oficial de privacidad.
Preguntas frecuentes
No. Tras la reforma constitucional de simplificación orgánica de diciembre de 2024, el INAI desapareció y sus funciones en datos personales pasaron a la Secretaría Anticorrupción y Buen Gobierno. Si tus políticas internas todavía mencionan al INAI, hay que actualizarlas.
No, y desconfía de cualquier proveedor que te lo prometa. El cumplimiento es de tu organización: aviso de privacidad, procesos ARCO, políticas internas y capacitación. Arca te da la capa técnica que la ley exige — cifrado, aislamiento, bitácora y control de acceso — para que esa parte no sea un hallazgo.
La LFPDPPP de 2025 reconoce el derecho de las personas a que las decisiones basadas en datos personales no sean exclusivamente automatizadas y a pedir revisión humana. La IA de Arca no decide por ti: ordena, resume y propone, y toda acción la autoriza una persona. Además corre en infraestructura que controlamos y puedes apagarla por usuario.
Acceso y rectificación los cubre la búsqueda y edición normal del buzón. Para acceso portátil, cada buzón se exporta en formato mbox estándar, sin consultoría. Para cancelación, el borrado es real: no conservamos copias ocultas del contenido eliminado.
A octubre de 2026, no. La ley de 2025 está vigente y opera por sí misma; el reglamento sigue pendiente. Esta guía se actualiza cuando haya cambios relevantes.
Si tu sector tiene capa extra
Suma el secreto profesional del CNPP y la protección constitucional de las comunicaciones abogado-cliente.
Ver guía →Los datos de salud son sensibles por definición, y el expediente clínico tiene NOM-004 y NOM-024 encima.
Ver guía →Si te regula la CNBV, la LFPDPPP es solo el arranque: la Ley Fintech pide seguridad de información y continuidad operativa.
Ver guía →Tu marco es esta misma ley más tus obligaciones fiscales y de retención documental.
Arca para contadores →Cifrado por organización, bitácora auditable y una empresa mexicana respondiendo — por $120 MXN por usuario al mes.