Política de Protección de Datos Personales
VLH HERNÁNDEZ WEBER, S.C.
(última fecha de actualización – diciembre 2025)
1. OBJETO
Establecer los principios, obligaciones, responsabilidades y procedimientos que rigen el tratamiento de datos personales en VLH Hernández Weber, S.C. (“VLH”), a fin de dar cumplimiento a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares en vigor desde el 21 de marzo de 2025 (la “Ley”) y a la normativa que de ella derive.
2. ALCANCE
Esta política es obligatoria para socios, personal en todos sus niveles, practicantes, prestadores de servicio social y terceros que, con motivo de su relación con VLH, accedan a datos personales de los que VLH sea responsable o encargado. Aplica a todo tratamiento, con independencia del soporte —físico, electrónico o de cualquier otra naturaleza— y del lugar donde se realice.
3. MARCO NORMATIVO
– Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025.
– Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares de 2011, aplicable de forma supletoria en todo lo que no contradiga la Ley vigente, en tanto no se publique el reglamento correspondiente.
– Código Fiscal de la Federación, artículo 30, en materia de conservación de contabilidad y documentación.
– Normas profesionales aplicables a los servicios de auditoría y aseguramiento en materia de conservación de papeles de trabajo y confidencialidad.
4. DEFINICIONES
5. PRINCIPIOS Y DEBERES
Todo tratamiento en VLH se sujeta a los principios de licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad, así como a los deberes de seguridad y confidencialidad.
• Minimización. No se recabarán datos que no sean necesarios para la finalidad declarada. Ante la duda, se recaba menos.
• Finalidad. Los datos se tratarán únicamente para las finalidades informadas en el aviso de privacidad correspondiente. Cualquier finalidad nueva exige actualizar el aviso y, en su caso, recabar consentimiento.
• Calidad. VLH mantendrá los datos exactos y actualizados, y suprimirá los que dejen de ser necesarios.
• Confidencialidad. La obligación de confidencialidad subsiste aun después de concluida la relación laboral, contractual o de cualquier otra naturaleza con VLH.
• Responsabilidad demostrada. VLH debe estar en posibilidad de acreditar el cumplimiento de estos principios ante la autoridad. Todo procedimiento previsto en esta política genera evidencia documental.
6. GOBIERNO Y RESPONSABILIDADES
7. INVENTARIO DE BASES DE DATOS
VLH mantendrá un inventario actualizado de sus bases de datos personales, que para cada una registrará: denominación; área responsable; categorías de titulares; categorías de datos y, en su caso, identificación de datos sensibles; finalidades; fundamento del tratamiento; soporte y ubicación; encargados que intervienen; transferencias; plazo de conservación; y medidas de seguridad aplicables. El inventario se revisará al menos una vez al año y cada vez que se incorpore un nuevo tratamiento.
8. CICLO DE VIDA DEL DATO Y PLAZOS DE CONSERVACIÓN
VLH distingue tres etapas sucesivas que no deben confundirse:
• Bloqueo. Impide el tratamiento de los datos una vez cumplida la finalidad, conservándolos únicamente para determinar posibles responsabilidades. Los datos bloqueados sólo son accesibles para el Responsable de Protección de Datos Personales.
• Supresión. Eliminación definitiva del registro una vez transcurrido el plazo de bloqueo y el plazo legal de conservación.
• Destrucción. Inutilización física o lógica del soporte de manera que la información sea irrecuperable. Tratándose de documentación en papel y de equipos de cómputo dados de baja, se realizará mediante proveedor que emita certificado con identificación de lote o número de serie, método aplicado y fecha.
Los plazos de conservación se establecen por categoría en el inventario de bases de datos y deben ser consistentes con los declarados en los avisos de privacidad. Ninguna área puede conservar datos personales por plazo indefinido ni “por si acaso”.
9. MEDIDAS DE SEGURIDAD
VLH adopta medidas administrativas, técnicas y físicas para proteger los datos personales contra daño, pérdida, alteración, destrucción o tratamiento no autorizado, considerando el riesgo, las consecuencias de una vulneración, la sensibilidad de los datos y el desarrollo tecnológico.
El Responsable de Protección de Datos Personales, con apoyo del área de Tecnologías de la Información, realizará al menos una vez al año un análisis de riesgo que identifique las amenazas relevantes y verifique la suficiencia de las medidas implementadas, dejando constancia documental.
10. PROCEDIMIENTO PARA LA ATENCIÓN DE DERECHOS ARCO
1. La solicitud se recibe en el correo institucional de privacidad. Cualquier colaborador que reciba una solicitud por otro medio debe canalizarla el mismo día al Responsable de Protección de Datos Personales.
2. Se registra en la bitácora de solicitudes con folio, fecha de recepción, titular, derecho ejercido y fecha límite de respuesta.
3. Se verifica la identidad del titular o la personalidad del representante. Si la solicitud es incompleta, se requiere al titular dentro de los cinco días hábiles siguientes; el titular cuenta con diez días hábiles para desahogar el requerimiento y, de no hacerlo, la solicitud se tiene por no presentada.
4. Se localizan los datos en las bases identificadas en el inventario y se recaba la opinión del área a la que corresponden.
5. Se determina la procedencia. La negativa debe fundarse en alguno de los supuestos previstos en la Ley y motivarse por escrito.
6. Se comunica al titular la determinación adoptada dentro de los veinte días hábiles siguientes a la recepción de la solicitud, por el medio que él haya señalado.
7. De resultar procedente, se hace efectiva dentro de los quince días hábiles siguientes a la comunicación.
8. Ambos plazos pueden ampliarse por una sola vez y por un periodo igual cuando las circunstancias lo justifiquen; la ampliación debe notificarse y justificarse.
9. Se archiva el expediente con la solicitud, la acreditación de identidad, la respuesta y la constancia de notificación y de ejecución.
El ejercicio de los derechos ARCO es gratuito. Únicamente pueden cobrarse los gastos justificados de envío o el costo de reproducción. Si el titular reitera la solicitud en un periodo menor a doce meses, podrá cobrarse conforme a la Ley, salvo que existan modificaciones al aviso de privacidad que motiven nuevas consultas.
11. PROCEDIMIENTO PARA LA REVOCACIÓN DEL CONSENTIMIENTO
10. La solicitud se atiende conforme al procedimiento de la sección 10, con los mismos plazos.
11. Se identifica si la revocación es total o parcial. Si el tratamiento es necesario para cumplir una obligación legal o para el mantenimiento de la relación contractual, VLH informará al titular que no es posible atender la revocación respecto de esas finalidades, señalando el fundamento.
12. Atendida la revocación, los datos se bloquean y, cumplido el plazo de conservación, se suprimen.
13. Se actualizan los listados de exclusión para que el titular deje de recibir comunicaciones promocionales.
12. PROCEDIMIENTO DE GESTIÓN DE VULNERACIONES
14. Cualquier persona que detecte o sospeche una vulneración debe reportarla el mismo día al Responsable de Protección de Datos Personales y al área de Tecnologías de la Información, sin realizar acciones que puedan alterar la evidencia.