Mi call center atiende a un cliente de Estados Unidos: qué firmamos

La ley cambió y los formatos no

Antes de entrar al contrato conviene saber que el marco es nuevo. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares que rige hoy es una nueva ley publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, con última reforma del 14 de noviembre de 2025. No es una reforma a la de 2010: es otra ley, y cambió el vocabulario.

Dos cambios concretos que se pueden comprobar abriendo el texto. El "Encargado" de la ley anterior ahora se llama persona encargada, definida en el artículo 2, fracción XII como la persona física o jurídica que sola o conjuntamente con otras trate datos personales por cuenta del responsable. Y la palabra remisión —que era la que usaba el reglamento viejo para describir el envío de datos a un encargado— ya no aparece ni una vez en la nueva ley.

Eso importa de forma muy práctica: si el acuerdo de datos que te mandó tu cliente, o el que tienes guardado de hace tres años, habla de "el Encargado" y de "remisión de datos", está escrito contra un texto que ya no es el vigente. No necesariamente está mal de fondo, pero hay que revisarlo contra las palabras de ahora.

La pregunta que decide todo lo demás

El artículo 2, fracción XX define transferencia como "toda comunicación de datos personales dentro o fuera del territorio mexicano, realizada a persona distinta de la titular, del responsable o de la persona encargada del tratamiento". Lee la exclusión final despacio, porque es donde está todo: la persona encargada no cuenta como destinatario de una transferencia.

Esa es la pieza que la ley de 2010 resolvía con una palabra aparte y que ahora está metida en la propia definición. El resultado es el mismo y la consecuencia es grande: cuando tu cliente estadounidense te manda los datos de sus clientes para que tú los atiendas por cuenta de él, eso no es una transferencia internacional de datos. Es tratamiento por cuenta del responsable.

El artículo 35 lo dice desde el otro lado

El artículo 35 lo confirma desde el otro lado. Dice que cuando el responsable pretenda transferir los datos a terceros nacionales o extranjeros, "distintos de la persona encargada", deberá comunicarles el aviso de privacidad y las finalidades a las que la persona titular sujetó su tratamiento. El paréntesis "distintos de la persona encargada" sólo tiene sentido si la encargada está fuera de ese supuesto.

Lo que te cuesta quedar como tercero

El segundo párrafo del 35 trae la frase que debería decidir tu postura en la negociación: el tratamiento se hará conforme a lo convenido en el aviso de privacidad, el cual contendrá una cláusula que indique si la persona titular acepta o no la transferencia de sus datos, y el tercero receptor asumirá las mismas obligaciones que correspondan al responsable que transfirió los datos.

Las mismas obligaciones. No un subconjunto, no las que el contrato liste. Si tu call center queda escrito como tercero receptor, hereda el paquete completo que la ley pone sobre el responsable: principios de tratamiento, aviso de privacidad, atención de derechos de los titulares, medidas de seguridad, responsabilidad. Y los titulares son clientes de tu cliente, en otro país, a los que tú no les vendiste nada.

Por qué conviene quedar como persona encargada, y por qué no se elige

Por eso casi siempre lo que quieres es quedar como persona encargada: tratas por cuenta del responsable, con sus finalidades y sus instrucciones, y no asumes su posición frente a los titulares. Pero no es una etiqueta que se elige: "por cuenta del responsable" describe un hecho. Si tú decides para qué se usan los datos, qué se guarda, a quién más se le pasan o los explotas para tus propios fines, eres responsable aunque el contrato diga otra cosa.

Las cláusulas que hacen cierto lo que el contrato dice

• La declaración de papeles, con las palabras de la ley vigente: tu cliente es el responsable y tú la persona encargada, que trata los datos por cuenta de él.
• Finalidades cerradas: para qué puedes tratar los datos y la prohibición expresa de usarlos para fines propios, incluida la prospección de tus otros clientes.
• Instrucciones documentadas: que lo que tú haces sale de instrucciones de él, y cómo se documentan los cambios.
• Subcontratación: si puedes usar subencargados, con qué autorización y bajo qué mismas obligaciones. Un proveedor de grabación de llamadas o de nube es exactamente esto.
• Devolución o supresión al terminar, con plazo y evidencia. Es la cláusula que nadie cumple y la que se revisa cuando algo sale mal.
• Atención de derechos de los titulares: tú no los atiendes, los canalizas a él, y en cuánto tiempo.
• Aviso de brechas de seguridad: en cuántas horas le avisas y con qué información mínima.
• Grabación de llamadas: quién obtiene el consentimiento para grabar y qué se le dice al titular, porque la grabación de voz es un dato personal más.

Y si de verdad hay transferencia, los siete supuestos

Hay operaciones donde sí hay transferencia: cuando le pasas datos a un tercero que no es ni tu cliente ni un subencargado tuyo, o cuando el papel tuyo es de responsable. Para esos casos el artículo 36 lista siete supuestos en los que la transferencia, nacional o internacional, puede hacerse sin el consentimiento de la persona titular.

Dos de los siete son los que más se usan en este negocio. La fracción III cubre la transferencia efectuada a sociedades controladoras, subsidiarias o afiliadas bajo el control común del responsable, o a la matriz o a cualquier sociedad del mismo grupo que opere bajo los mismos procesos y políticas internas: es el caso del call center que es filial mexicana de la empresa estadounidense, y nota que la fracción pide el requisito extra de los mismos procesos y políticas, no sólo el parentesco corporativo.

Y la fracción VII cubre la transferencia precisa para el mantenimiento o cumplimiento de una relación jurídica entre el responsable y la persona titular. La relación jurídica es entre tu cliente y sus clientes, no entre tú y ellos: es otra razón para que el contrato deje claro de quién es esa relación.

Lo laboral no viaja con el contrato

Una confusión aparte que vale aclarar en el mismo documento: el cliente estadounidense no es el patrón de tus agentes. Tú los contratas, tú pagas el IMSS, tú respondes del salario y de la terminación, y el servicio que vendes es tu servicio. Dejarlo escrito te protege tanto como a él, y evita que una cláusula de "control y supervisión" del cliente se lea después como si él dirigiera a tu personal.

Si lo que te están proponiendo es justamente lo contrario —que ellos contraten gente en México a través tuyo— eso es otro arreglo y está en employer of record o tu propio contrato en México (en inglés). Y si lo que firmas es el servicio como tal, la base está en el contrato de prestación de servicios y en la confidencialidad con un cliente de fuera.

Cómo se firma con alguien que está en otro país

Son dos o tres documentos —el contrato de servicios, el acuerdo de datos y la confidencialidad— y del otro lado hay un equipo legal en otra zona horaria. Con SignSolú los mandas desde tu propio número de WhatsApp o por correo y ellos firman desde su computadora o su celular: no abren cuenta, no pagan y no instalan nada.

Y como la contraparte no habla español, tú eliges el idioma de cada firmante: al de allá le llegan en inglés el correo, el mensaje de WhatsApp y la página donde firma, mientras tu lado lo recibe en español. El acuse de auditoría guarda hora, IP, dispositivo y la huella SHA-256 del archivo, el certificado de auditoría sale bilingüe, y cualquiera comprueba el documento en /verificar sin crear cuenta. El plan gratis son 10 documentos, sin caducidad y sin tarjeta.

Para el resto del paquete de trabajar con una empresa de fuera: cómo firmar un contrato a distancia con alguien en México (en inglés) es lo que le puedes mandar a tu cliente para que entienda el proceso, y el NDA con un proveedor mexicano (en inglés) la versión de confidencialidad desde su lado. Lo demás está en el catálogo de plantillas, cómo funciona y las preguntas legales. Puedes abrir una cuenta en un par de minutos.

De dónde salen las citas

• Ley Federal de Protección de Datos Personales en Posesión de los Particulares, en el texto vigente que publica la Cámara de Diputados.