Contrato de encargado del tratamiento: qué debe saber una pyme sobre su proveedor

Antes de dar acceso a datos de clientes a un proveedor, aclara qué hará con ellos y bajo qué instrucciones.

El artículo 28 del RGPD exige regular el tratamiento por cuenta del responsable mediante contrato u otro acto jurídico. Una cláusula genérica de confidencialidad no describe necesariamente todas las obligaciones de un encargado.

Dibuja el servicio real

Identifica qué datos recibirá el proveedor, de qué personas, para qué operaciones y durante cuánto tiempo. Incluye accesos de soporte, copias de seguridad y herramientas conectadas. Contratar una aplicación no significa que solo se trate la información que aparece en su pantalla principal.

Comprueba también si el proveedor actúa por tu cuenta o decide fines propios. La etiqueta del contrato debe corresponder al funcionamiento, no elegirse para simplificar la documentación.

Preguntas antes de contratar

Pide información sobre medidas de seguridad, subcontratación, ubicación del tratamiento y respuesta a incidentes. Si existen transferencias internacionales, deben valorarse sus garantías por separado. No presupongas que una empresa con oficina europea procesa todos los datos dentro de la UE.

Acordad cómo atender solicitudes de derechos, qué apoyo dará ante una brecha y cómo facilitará la información necesaria para comprobar sus compromisos. La documentación debe permitir actuar, no limitarse a declarar que «cumple la normativa».

Piensa en la salida del proveedor

Revisa cómo recuperarás la información, en qué formato y qué ocurrirá con las copias al terminar el servicio. Distingue devolución, supresión y conservación legalmente exigida. No prometas a tus clientes un borrado inmediato si tu contrato no permite conocer qué se conserva.

Antes de firmar, lleva a revisión la propuesta, el anexo de protección de datos y el mapa del servicio. Una plantilla puede ayudar a ordenar preguntas, pero no acredita por sí sola que el proveedor ofrezca garantías suficientes ni que la configuración utilizada sea adecuada.