Inventario de tratamiento de datos para universidades privadas en México: guía LFPDPPP

Por qué las universidades privadas en México necesitan un inventario de tratamiento de datos

La LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de los Particulares) no impone a las instituciones privadas una obligación formal equivalente al "Registro de Actividades de Tratamiento" del RGPD europeo (artículo 30). En México, la autoridad competente es el INAI (Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales), y el instrumento central de cumplimiento es el aviso de privacidad — no un registro público de actividades de tratamiento.

Sin embargo, el INAI ha dejado clara su postura en sus lineamientos y criterios de buenas prácticas: mantener un inventario interno de tratamiento de datos es la base para poder demostrar responsabilidad proactiva (principio de accountability), responder debidamente a los derechos ARCO en 20 días hábiles, gestionar con coherencia los contratos de remisión con proveedores SaaS, y articular los plazos de conservación con las obligaciones de la SEP y del Código Fiscal de la Federación.

Para el Tecnológico de Monterrey, la Universidad Iberoamericana, la UP, la Universidad Anáhuac o cualquier institución acreditada por COPAES o evaluada por los CIEES, el inventario de tratamiento es también evidencia documental directamente utilizable en los procesos de acreditación institucional. Un expediente de protección de datos ordenado no es solo un requisito de cumplimiento — es un activo institucional.

Para el marco regulatorio completo de la LFPDPPP aplicado a la educación superior, consulte nuestra guía sobre protección de datos estudiantiles en México.

LFPDPPP vs. RGPD: lo que aplica a su universidad y lo que no

La confusión entre marcos regulatorios es frecuente en las universidades mexicanas que forman parte de redes internacionales o que operan plataformas con proveedores europeos. La distinción es relevante:

La LFPDPPP aplica a toda universidad privada en México que trate datos personales de candidatos, estudiantes o egresados mexicanos, con independencia del origen de los datos o de dónde estén alojados los servidores. La autoridad de supervisión es el INAI. No existe obligación formal de llevar un registro de actividades de tratamiento equiparable al artículo 30 del RGPD, pero sí existe la obligación de implementar medidas de seguridad documentadas, aviso de privacidad integral y procedimientos ARCO operativos.

El RGPD europeo aplica cuando la universidad trata datos personales de personas físicas ubicadas en la Unión Europea — por ejemplo, estudiantes de intercambio provenientes de España, Francia o Alemania, o candidatos extranjeros durante una campaña de captación internacional. En ese caso, la universidad actúa como responsable del tratamiento bajo el RGPD y sí estaría obligada a mantener un registro formal de actividades.

Para la gran mayoría de las operaciones cotidianas de una universidad privada mexicana — admisiones nacionales, marketing en redes sociales dirigido a México, EXANI-II, colegiaturas y expedientes académicos —, el marco aplicable es exclusivamente la LFPDPPP. El inventario de tratamiento que se describe en este artículo está diseñado específicamente para ese marco.

Las categorías de datos que su universidad trata y por qué deben estar documentadas

Una universidad privada mexicana genera y acumula datos personales en cada etapa del ciclo de vida del estudiante. El inventario de tratamiento comienza por mapear estas categorías con precisión:

Prospectos y candidatos (pre-inscripción)

Esta es la etapa de mayor volumen de captación y, a menudo, la más expuesta en términos de cumplimiento. Los datos recopilados incluyen:

• Datos de contacto y seguimiento: nombre, correo electrónico, número de celular, obtenidos a través de formularios web, ferias educativas, orientadores vocacionales, salones de orientación vocacional en preparatorias, y chatbots de admisión
• Datos conversacionales: historial de interacciones con el chatbot, preguntas formuladas sobre licenciaturas, maestrías, colegiaturas o becas
• Datos de solicitud formal: CURP, acta de nacimiento, certificado de preparatoria, resultados del EXANI-II (CENEVAL), carta de motivos
• Datos de navegación y origen: fuente de captación (Google Ads, Instagram, Facebook, referido), páginas visitadas, dispositivo utilizado

El 72% de las preguntas de los prospectos son FAQs simples automatizables por un chatbot de IA; el 7% requieren intervención humana (Fuente: clasificación automática sobre 12,000 conversaciones Skolbot, 2025). Cada una de estas interacciones constituye un tratamiento de datos personales que debe estar respaldado por una base legal, un aviso de privacidad y una política de conservación documentada.

Estudiantes inscritos

• Datos académicos: calificaciones, kardex, asistencia, trayectoria por programa de licenciatura o maestría
• Datos financieros: historial de pagos de colegiatura (entre MXN $20,000 y $200,000 por semestre según institución), becas institucionales, convenios con CONACYT o el programa Benito Juárez
• Datos sensibles (artículo 3, fracción VI de la LFPDPPP): condición de salud, discapacidad, origen étnico, situación socioeconómica para la asignación de becas — estos datos requieren consentimiento expreso y por escrito

Comunicación institucional y marketing

Correos electrónicos de nurturing, mensajes SMS, datos de apertura de emails, segmentación por programa de interés, historial de asistencia a open house o eventos de orientación.

Sistemas de inteligencia artificial

Datos procesados por el chatbot de admisiones, datos de entrada a sistemas de perfilado de candidatos, logs de conversación almacenados en los servidores del proveedor SaaS.

Plantilla de inventario de tratamiento de datos: los tratamientos clave de una universidad privada mexicana

La siguiente tabla recoge los tratamientos más relevantes para una universidad privada mexicana, con los campos recomendados por el INAI para el inventario interno. No es un formato oficial obligatorio — es una herramienta de gestión interna que facilita el cumplimiento de la LFPDPPP y la actualización del aviso de privacidad.

El aviso de privacidad y el inventario interno: cómo se complementan

El inventario de tratamiento no es el aviso de privacidad — pero es la fuente que alimenta y mantiene actualizado el aviso. Esta distinción es fundamental:

El aviso de privacidad es el documento público dirigido al titular de los datos (el candidato, el estudiante, el padre de familia). La LFPDPPP exige que sea claro, suficiente y previo al tratamiento. Una universidad debe tener al menos un aviso integral publicado en su sitio web y un aviso simplificado en cada punto de recopilación: formularios, chatbot, open house, portales de inscripción.

El inventario interno de tratamiento es el documento de gestión interna que permite a la institución conocer en todo momento qué datos trata, con qué finalidad, quién los maneja y durante cuánto tiempo. Es la herramienta operativa que hace posible:

1. Responder a una solicitud ARCO en los 20 días hábiles que establece la LFPDPPP, porque se sabe exactamente en qué sistemas están los datos del solicitante
2. Actualizar el aviso de privacidad cuando se introduce un nuevo proveedor o herramienta (por ejemplo, un nuevo chatbot IA o una plataforma de analítica)
3. Ejecutar una cancelación en cascada coherente: eliminar los datos del prospecto del CRM, del chatbot, de la herramienta de email, de la analítica nominativa y de los respaldos
4. Preparar la respuesta ante una inspección o requerimiento del INAI con documentación ordenada

Para profundizar en la gestión del responsable de datos en su institución, consulte nuestra guía sobre el DPO externalizado para escuelas privadas.

El chatbot de IA como encargado del tratamiento: obligaciones específicas bajo la LFPDPPP

Los chatbots de admisiones son actualmente los puntos de mayor volumen de recopilación de datos personales en la fase de prospección — y también los que más frecuentemente quedan fuera del inventario de tratamiento por tratarse de herramientas nuevas o contratadas recientemente.

Bajo la LFPDPPP, el proveedor del chatbot actúa como encargado del tratamiento (no como responsable). Esto significa que:

• La universidad sigue siendo la responsable ante el INAI y ante los titulares de los datos
• Debe existir un contrato de remisión firmado con el proveedor antes del despliegue, que establezca las obligaciones de confidencialidad, las medidas de seguridad exigidas y la prohibición de usar los datos para finalidades distintas
• El proveedor no puede transferir los datos a terceros sin autorización expresa de la universidad
• El chatbot debe aparecer en el inventario interno de tratamiento y en el aviso de privacidad integral

El impacto de implementar correctamente un chatbot de IA en admisiones es significativo: +62% de leads cualificados y -38% de coste por lead tras implementar un chatbot de IA (Fuente: resultados medios sobre 18 instituciones, incluidas optimizaciones de funnel concomitantes, período 2024–2025). Este retorno justifica la inversión en cumplimiento desde el diseño — un chatbot mal configurado desde la perspectiva de privacidad puede generar sanciones del INAI que superan con creces cualquier ahorro operativo.

Antes de desplegar o renovar el contrato con el proveedor del chatbot, el responsable de datos debe verificar:

• ¿El proveedor aloja los datos en México o en el extranjero? Si es en el extranjero (por ejemplo, EE.UU. o Europa), ¿existen cláusulas contractuales de protección equivalente?
• ¿Se usan las conversaciones para entrenar el modelo de IA? Si es así, se requiere consentimiento expreso adicional
• ¿El chatbot informa al candidato que interactúa con una inteligencia artificial antes de la primera recopilación de datos? ¿Muestra el aviso de privacidad simplificado?
• ¿Existe un mecanismo para que el candidato ejerza sus derechos ARCO sobre los datos de la conversación?

Cómo mantener el inventario actualizado: ciclo de revisión recomendado

Un inventario de tratamiento que se crea una sola vez y no se actualiza pierde su valor de cumplimiento. Para las universidades privadas mexicanas, el INAI considera desfavorable que la institución no pueda demostrar que sus registros internos reflejan la realidad operativa.

El ciclo de revisión recomendado es el siguiente:

Revisión continua (ante cada nuevo servicio o proveedor): Cada vez que la universidad contrate una nueva herramienta que trate datos personales — un nuevo CRM, una plataforma de videoconferencia, un sistema de control de acceso biométrico, un chatbot —, debe añadirse al inventario antes del despliegue y verificarse si el aviso de privacidad debe actualizarse.

Revisión semestral (antes de cada ciclo de admisiones): Antes de abrir el proceso de admisión para el siguiente ciclo escolar, revisar que todos los tratamientos relacionados con la captación de prospectos estén actualizados: formularios, chatbot, campaña de email, presencia en ferias educativas y salones de orientación vocacional.

Revisión anual (auditoría completa): Contrastar el inventario con los contratos de remisión vigentes, los avisos de privacidad publicados y los registros de solicitudes ARCO recibidas y atendidas. Identificar tratamientos que ya no tienen finalidad vigente y deben suprimirse.

La ANUIES (Asociación Nacional de Universidades e Instituciones de Educación Superior) y las propias guías del INAI recomiendan que el inventario sea propiedad del responsable de datos designado por la institución, con acceso restringido al personal autorizado y copias de seguridad cifradas.

Preguntas frecuentes — Inventario de tratamiento de datos para universidades mexicanas

¿La LFPDPPP obliga formalmente a mantener un inventario de tratamiento de datos?

No en los mismos términos que el RGPD europeo, que en su artículo 30 impone la obligación de llevar un "Registro de Actividades de Tratamiento". La LFPDPPP no establece un registro formal equivalente para las entidades privadas. Sin embargo, el principio de responsabilidad (accountability) de la LFPDPPP y los criterios del INAI hacen que mantener un inventario interno sea la forma más efectiva de demostrar que la institución tiene control sobre sus tratamientos de datos. Ante una inspección del INAI, la ausencia de documentación interna es interpretada como falta de diligencia.

¿En qué se diferencia el inventario de tratamiento del aviso de privacidad?

El aviso de privacidad es el documento público que informa al titular (candidato, estudiante) sobre el tratamiento de sus datos — es obligatorio por ley y debe publicarse en el sitio web. El inventario de tratamiento es un documento interno de gestión que permite a la universidad conocer con detalle qué datos trata, en qué sistemas, con qué contratos, durante cuánto tiempo y con qué base legal. El inventario alimenta y mantiene actualizado el aviso: cada vez que se añade un nuevo proveedor o tratamiento al inventario, debe evaluarse si el aviso de privacidad necesita actualización.

¿El chatbot de admisiones debe aparecer en el inventario de tratamiento?

Sí, sin excepción. El chatbot recoge datos personales (nombre, celular, correo electrónico, historial de conversación) y los transmite al proveedor SaaS, que actúa como encargado del tratamiento. Esto implica que el chatbot debe aparecer en el inventario con su finalidad, los datos que recopila, el nombre del proveedor, la ubicación de los servidores, los plazos de conservación y la referencia al contrato de remisión firmado. Si el proveedor aloja los datos fuera de México, debe documentarse el mecanismo de protección equivalente.

¿Cuánto tiempo deben conservarse los datos de los candidatos que no se inscribieron?

Los datos de prospectos que no completaron el proceso de inscripción son datos de prospección comercial. El INAI no ha fijado un plazo máximo específico, pero la práctica recomendada es no superar los 3 años desde el último contacto activo. Transcurrido ese plazo sin que el prospecto renueve su consentimiento o interés, los datos deben bloquearse y posteriormente suprimirse de todos los sistemas. Para los plazos detallados por tipo de dato y situación del prospecto, consulte nuestra guía sobre plazos de retención de datos de prospectos.

¿Qué ocurre si el INAI inspecciona mi universidad y no tenemos el inventario documentado?

El INAI puede iniciar un procedimiento de verificación de oficio o a solicitud de un titular. Durante la inspección, se solicita documentación sobre los tratamientos de datos, el aviso de privacidad, los contratos de remisión con proveedores y los registros de atención a solicitudes ARCO. La incapacidad para presentar esta documentación — aunque no exista una norma que obligue exactamente a tener un "inventario" — puede interpretarse como incumplimiento del principio de responsabilidad de la LFPDPPP y derivar en sanciones. Las multas de la LFPDPPP pueden alcanzar hasta 320,000 veces la UMA, equivalentes a más de $32 millones MXN en 2026.

Este artículo tiene carácter informativo y no constituye asesoramiento jurídico. Para cuestiones de cumplimiento específicas bajo la LFPDPPP, consulte a un abogado o consultor especializado en protección de datos en México.

Lea también: Guía completa LFPDPPP para datos estudiantiles · Plazos de retención de datos de prospectos · DPO externalizado para escuelas privadas