Una empresa en Texas decide mover parte de su operación a Guadalajara o Monterrey. Firma el contrato de nearshoring, celebra el ahorro en costos, y unos meses después llega la pregunta que puede detener todo el proyecto: ¿cómo garantiza tu empresa que los datos de nuestros clientes están protegidos conforme a la ley mexicana y a nuestros propios estándares de seguridad? Si tu respuesta es una promesa verbal o un párrafo genérico en el contrato, probablemente ya perdiste esa cuenta frente a un competidor que sí tenía la documentación lista.

El nearshoring le ha traído a México una ola de oportunidad, pero también una responsabilidad que muchas empresas todavía no dimensionan del todo: cuando una compañía estadounidense te confía el tratamiento de datos personales de sus clientes o empleados, tu empresa deja de ser solo un proveedor de servicios y se convierte en parte de la cadena de cumplimiento de esa compañía, sujeta tanto a la ley mexicana como a las expectativas de seguridad del mercado que te está contratando.

Lo que dice la LFPDPPP sobre transferencias de datos

La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, vigente desde marzo de 2025, regula de manera explícita las transferencias nacionales e internacionales de datos personales. El artículo 36 establece los supuestos en los que una transferencia puede realizarse sin el consentimiento del titular, y el artículo 37 detalla cómo pueden convenir entre sí las empresas u organizaciones que participan en ese intercambio de información.

Para una empresa mexicana que recibe datos de clientes o empleados de una compañía estadounidense como parte de un proyecto de nearshoring, esto significa que no basta con firmar un contrato de confidencialidad genérico. La reforma fortaleció los criterios para que las transferencias internacionales observen una equivalencia de protección entre el país que envía los datos y el que los recibe, y clarificó cómo deben integrarse las cláusulas contractuales en esas operaciones. En otras palabras, el contrato entre tu empresa y tu cliente estadounidense necesita reflejar, con precisión, cómo se protegen esos datos una vez que cruzan la frontera.

Esto aplica incluso cuando el intercambio de datos no es evidente a primera vista. Si tu empresa usa herramientas como Salesforce, AWS, Google Workspace o cualquier plataforma con infraestructura fuera de México para almacenar o procesar información de clientes, empleados o proveedores, ya estás dentro del régimen de transferencias internacionales de la ley, aunque tú no seas quien envía los datos directamente al extranjero.

El rol de tu empresa dentro de la cadena de cumplimiento del cliente

En el lenguaje de la ley, quien trata los datos personales sin tomar decisiones sobre su finalidad se conoce como encargado del tratamiento. En un modelo de nearshoring, tu empresa suele operar precisamente en ese rol frente al cliente estadounidense, que conserva la calidad de responsable. Esa distinción no es solo teórica, porque define quién responde ante una autoridad si algo sale mal, y qué debe quedar documentado en el contrato entre ambas partes.

Un cliente que subcontrata operaciones en México, especialmente en sectores como servicios financieros, salud o tecnología, va a querer evidencia de que tu empresa cumple con controles de seguridad reconocidos, no solo con una cláusula legal. Aquí es donde SOC 2 deja de ser un certificado más y se convierte en el lenguaje común entre ambos países. Un reporte SOC 2 le da a tu cliente en Estados Unidos una forma objetiva de verificar que tu empresa tiene controles reales sobre disponibilidad, confidencialidad e integridad de los datos que procesa, algo que complementa, y en la práctica muchas veces respalda, el cumplimiento que exige la LFPDPPP del lado mexicano.

Tres preguntas que tu cliente de nearshoring te va a hacer tarde o temprano

Primero, va a preguntar si tu empresa puede documentar exactamente qué datos personales procesa, con qué finalidad y bajo qué mecanismo legal se transfieren cuando cruzan la frontera. Segundo, va a querer saber si tus contratos con proveedores de nube o de software reflejan las obligaciones de protección de datos que exige la ley mexicana, o si simplemente aceptaste los términos estándar del proveedor sin revisarlos. Tercero, y cada vez con más frecuencia, va a pedir evidencia externa, como un reporte SOC 2 o una auditoría de seguridad, en lugar de conformarse con la palabra de tu equipo legal.

Las empresas que ya tienen estas respuestas preparadas antes de que se las pidan son las que cierran contratos de nearshoring más rápido y con menos fricción. Las que improvisan una respuesta cuando el cliente pregunta suelen perder semanas valiosas de negociación, o directamente la cuenta.

Cumplir no es una carga, es una ventaja competitiva

Para las empresas mexicanas que compiten por atraer operaciones de nearshoring, la protección de datos personales ya no es solo un tema de cumplimiento legal interno. Es una carta de presentación frente a un mercado que cada vez exige más evidencia y menos promesas. Una empresa que puede mostrar un aviso de privacidad alineado a la nueva LFPDPPP, contratos de transferencia internacional bien estructurados y un reporte SOC 2 vigente no solo evita sanciones, sino que se posiciona como un socio confiable en un mercado donde la confianza se ha vuelto la moneda más valiosa.

¿Tu empresa ya tiene lista esta documentación, o todavía dependen de que el cliente nunca pregunte?

Contacto