Si un proveedor toca datos personales (un correo electrónico, un número de empleado, una IP registrada en el log de un servidor), el contrato de encargo del tratamiento (DPA) no es papeleo opcional. Es una obligación del artículo 28 del RGPD, y firmar un contrato marco (MSA) sin él deja un agujero de cumplimiento normativo por el que las autoridades de control han impuesto multas millonarias. Esto es lo que activa la obligación, lo que el DPA tiene que cubrir y cómo debe convivir con tu contrato marco.
¿Qué es exactamente un DPA?
El contrato de encargo del tratamiento es el documento que regula cómo un proveedor, el «encargado del tratamiento», trata datos personales por cuenta de tu empresa, que actúa como «responsable del tratamiento». Es un instrumento jurídico distinto de las condiciones comerciales: no fija precio, ni duración, ni límites de responsabilidad. Fija las reglas sobre qué puede hacer el proveedor con los datos, quién más puede acceder a ellos y qué ocurre cuando algo sale mal. El artículo 28.3 del RGPD no lo plantea como una buena práctica: es un contrato obligatorio siempre que el tratamiento se realice siguiendo tus instrucciones.
¿Cuándo hace falta un DPA?
La prueba es sencilla: ¿el proveedor trata datos personales por tu cuenta? Eso abarca a muchos más proveedores de los que la mayoría de los equipos da por supuesto. No solo la plataforma de RR. HH. o el CRM, también:
- Cualquier herramienta SaaS con cuentas de usuario (nombres, correos, IP de acceso)
- Plataformas de soporte o de ticketing que registran conversaciones con clientes
- Herramientas de analítica o de logs que capturan direcciones IP o identificadores de dispositivo
- Proveedores de nóminas, retribución flexible o selección de personal
- Cualquier herramienta de IA que procese documentos con nombres de empleados o de clientes
- Infraestructura en la nube y proveedores de copias de seguridad que almacenen cualquiera de los anteriores
Regla práctica: si no puedes afirmar con certeza que «por este proveedor no pasará nunca ningún dato personal», da por supuesto que necesitas un DPA y pídelo ya en la fase de RFP (solicitud de propuesta), no después de la firma. Perseguir un DPA seis meses después de firmar, cuando el departamento jurídico del proveedor ya te ha despriorizado, lleva de forma habitual entre cuatro y ocho semanas y bloquea la homologación del proveedor.
DPA y contrato marco: dos documentos, una sola relación
El contrato marco regula la relación comercial: alcance, precio, duración, responsabilidad, propiedad intelectual y extinción. El DPA regula una porción concreta de esa relación: el tratamiento de datos personales. Se mantienen como documentos separados por una razón práctica: el DPA tiene que sobrevivir a los cambios en las condiciones comerciales y necesita un texto estándar que el equipo jurídico pueda reutilizar con cada proveedor sin volver a redactarlo desde cero.
En la práctica, la mayoría de los DPA se incorporan como anexo al contrato marco y se referencian en una sola cláusula: «El tratamiento de datos personales derivado del presente contrato se regirá por el contrato de encargo del tratamiento que se adjunta como Anexo B». Conviene comprobar siempre dos cosas:
- Que el DPA esté realmente adjunto y no solo enlazado por URL. Un enlace a una página web que el proveedor puede editar de forma unilateral no es una condición contractual vinculante, y es la carencia más frecuente que vemos en la documentación de proveedores.
- Que el DPA y el contrato marco no se contradigan. Si el contrato marco limita la responsabilidad a doce meses de facturación y el DPA no excluye de ese límite los costes derivados de una brecha de seguridad, puede que hayas limitado también lo que podrías recuperar por la remediación. Es justo el tipo de incoherencia entre documentos que se escapa cuando cada archivo se lee por separado; por eso marcar cambios (redlining) en el contrato marco y revisar el DPA deben hacerse en una sola pasada, no en dos.
Las cláusulas que no pueden faltar
El artículo 28.3 del RGPD enumera ocho compromisos concretos que el encargado del tratamiento debe asumir. Los DPA redactados por el proveedor suelen insinuarlos sin llegar a comprometerse con ellos. Revísalos línea a línea:
- Tratamiento únicamente conforme a instrucciones documentadas: el proveedor no puede usar tus datos para fines propios (entrenar modelos, analítica de producto, reventa) sin una base jurídica explícita e independiente.
- Compromiso de confidencialidad del personal con acceso a los datos: no vale un «nuestro personal es de confianza», hace falta una obligación contractual.
- Lista de subencargados y derecho de aprobación. Todo proveedor aguas abajo que toque los datos (alojamiento, envío de correo, herramientas de soporte) debe figurar identificado por su nombre, con consentimiento previo por escrito o, como mínimo, un preaviso de 30 días naturales antes de incorporar uno nuevo. «El proveedor podrá recurrir a subencargados según estime conveniente» no es conforme al RGPD.
- Medidas de seguridad proporcionadas al riesgo: cifrado en reposo y en tránsito, control de accesos y, a poder ser, un certificado SOC 2 Tipo II o ISO 27001 en vigor, no una simple promesa.
- SLA de notificación de brechas de seguridad. El RGPD obliga al responsable del tratamiento a notificar a la autoridad de control en un plazo de 72 horas desde que tiene conocimiento de la brecha, así que el acuerdo de nivel de servicio (SLA) firmado con el encargado tiene que fijar una ventana sensiblemente más corta, normalmente de 24 a 48 horas; con un plazo mayor es imposible cumplir el propio.
- Ubicación de los datos y transferencias internacionales. Si los datos salen de la UE o del EEE, el DPA necesita cláusulas contractuales tipo (CCT) u otro mecanismo de transferencia válido, no un «nos tomamos la privacidad muy en serio».
- Asistencia en el ejercicio de derechos (acceso, supresión, portabilidad) y también en las evaluaciones de impacto (EIPD) y ante los requerimientos de la autoridad de control.
- Supresión o devolución de los datos en un plazo definido al terminar la relación: 30 días naturales es lo estándar; más de 90 días es una señal de alerta.
Dónde suelen fallar los DPA que redacta el proveedor
Las mismas carencias se repiten con suficiente frecuencia en la documentación de proveedores como para revisarlas por defecto:
- Listas de subencargados desactualizadas, incompletas o directamente ausentes del documento firmado.
- Redacción de la notificación de brechas suavizada hasta un «sin dilación indebida» en lugar de un número de horas cerrado.
- Compromisos de residencia de los datos que cubren el almacenamiento principal pero dejan fuera logs, copias de seguridad y tickets de soporte: la huella de metadatos suele ser mayor que el conjunto de datos principal.
- Derechos de auditoría reducidos a «el proveedor facilitará su informe SOC 2 con carácter anual», sin derecho a una auditoría puntual tras un incidente.
- DPA que citan el RGPD pero están claramente plantillados para otra jurisdicción: comprueba que el mecanismo de transferencia menciona expresamente las cláusulas contractuales tipo y no unas genéricas «garantías aplicables».
Son la misma categoría de carencia que cubre nuestro checklist de cumplimiento del Reglamento DORA y la Directiva NIS2 para compradores de servicios financieros e infraestructuras críticas. Si trabajas en un sector regulado, el DPA es solo una pieza de un cuadro de cumplimiento normativo más amplio, que incluye también la cooperación en la notificación de incidentes y la evaluación del riesgo de concentración.
Checklist antes de firmar
- Confirma si el proveedor va a tratar datos personales; si no está claro, pregúntalo directamente en la RFP.
- Pide el DPA como anexo firmado, no como enlace a una página web.
- Comprueba que los ocho elementos del artículo 28.3 están presentes, no solo mencionados de pasada.
- Contrasta las cláusulas de responsabilidad y de brechas del DPA con las del contrato marco para detectar contradicciones.
- Verifica que la lista de subencargados está actualizada y que el plazo de preaviso por cambios te resulta aceptable.
- Confirma que el SLA de notificación te deja margen suficiente para cumplir tus 72 horas ante la autoridad de control.
- Registra el DPA junto al contrato marco en tu calendario de renovaciones para que una renovación automática no se lleve por delante, sin que nadie se dé cuenta, las condiciones de protección de datos.
Dónde ayuda de verdad la revisión con IA
Cruzar a mano un DPA con el artículo 28.3 y, después, con la cláusula de limitación de responsabilidad del contrato marco es exactamente el trabajo multidocumento y guiado por checklist que se come una tarde de jurídico por cada proveedor. La detección de señales de alerta de POCsheet marca automáticamente las carencias anteriores — cláusulas de subencargados que faltan, redacción blanda en la notificación de brechas, límites de responsabilidad que no excluyen los incidentes de datos — tanto en PDF escaneados y leídos con OCR en el navegador como en documentos con texto nativo. Combinado con el chat con IA sobre contratos, jurídico puede preguntar «¿este DPA fija una ventana de notificación de brechas inferior a 48 horas?» y obtener una respuesta con su cita de origen en segundos, en lugar de releer el anexo entero. No sustituye al criterio jurídico sobre dónde plantar cara, pero evita que algo se escape porque el revisor iba por su cuarto contrato del día.
Para el texto legal de fondo, el artículo 28 del RGPD es la fuente autorizada sobre lo que debe contener un contrato con el encargado del tratamiento y merece la pena guardarlo como referencia: artículo 28 del RGPD — Encargado del tratamiento.