Plantilla de acuerdo de tratamiento de datos (DPA)

¿Qué es acuerdo de tratamiento de datos?

Un acuerdo de tratamiento de datos, a menudo llamado DPA o anexo de tratamiento de datos, se firma cuando un proveedor de servicios trata datos personales en nombre de una empresa. Algunos ejemplos habituales son una gestoría de nóminas, un proveedor de alojamiento en la nube, una plataforma de correo electrónico o una empresa de soporte informático. La empresa decide para qué se utilizan los datos. El proveedor solo puede utilizarlos para prestar el servicio. Las leyes de privacidad, como el Reglamento General de Protección de Datos de la UE (EU GDPR) y el Reglamento General de Protección de Datos del Reino Unido (UK GDPR), exigen un contrato escrito de este tipo con un encargado del tratamiento, y varias leyes estatales de privacidad de EE. UU. exigen condiciones similares con los proveedores de servicios.

Esta plantilla se utiliza junto con tu contrato principal de servicios. Regula al proveedor cuando actúa únicamente siguiendo tus instrucciones documentadas, sin vender, compartir ni utilizar los datos para sus propios fines. También cubre la confidencialidad del personal, un nivel básico de medidas de seguridad y las que añadas, los subencargados con derecho a notificación y oposición, las transferencias entre países, la ayuda con las solicitudes de las personas, la notificación de brechas en el plazo que elijas (de 24 a 72 horas), las auditorías y la devolución o eliminación de los datos al finalizar. Describes los servicios, de quién son los datos y qué tipos de datos se tratan, y puedes indicar los subencargados aprobados y las ubicaciones de almacenamiento acordadas.

Cuándo usar un acuerdo de tratamiento de datos

• Contratar un proveedor de nóminas o de software de RR. HH. que conserve los registros de empleados
• Trasladar tu base de datos de clientes a un proveedor de alojamiento o en la nube
• Utilizar una plataforma de email marketing, CRM o atención al cliente
• Dar a una agencia de soporte informático o desarrollo acceso a sistemas que contienen datos personales
• El cuestionario de seguridad de un proveedor o la auditoría de un cliente pregunta si tienes acuerdos de tratamiento de datos

Lo que debes completar

19 campos en blanco y, después, el nombre y el correo electrónico de cada firmante: empresa, proveedor de servicios.

Qué incluye el acuerdo de tratamiento de datos

1. Definiciones
2. Funciones y alcance
3. Instrucciones
4. Confidencialidad
5. Seguridad
6. Subencargados
7. Ubicación y transferencias
8. Asistencia a la Empresa
9. Incidentes de seguridad
10. Registros y auditorías
11. Devolución y eliminación
12. Disposiciones generales

Cómo usar el acuerdo de tratamiento de datos, paso a paso

1 Vincúlalo al contrato principal

Indica el contrato de servicios al que complementa el DPA, por ejemplo, «el Acuerdo de servicios de nóminas de fecha 1 March 2026», y describe qué hace el proveedor con los datos. Si los dos documentos entran en conflicto en materia de datos personales, prevalece el DPA.

2 Describe los datos

Indica de quién son los datos (clientes, empleados, usuarios del sitio web) y qué tipos son (nombres, datos de contacto, historial de pedidos). Añade cualquier dato sensible, como información sobre salud o cuentas financieras, para que el proveedor sepa que debe aplicar medidas de protección adicionales.

3 Establece la seguridad, los subencargados y las ubicaciones

El acuerdo ya incluye una lista de medidas de seguridad básicas. Añade cualquier medida específica que hayas acordado. Indica los subencargados que apruebas actualmente y establece el plazo de aviso para los nuevos. Si los datos deben permanecer en determinados países, indícalos.

4 Elige las condiciones sobre brechas, auditorías y finalización; después envíalo

Elige el plazo para notificar una brecha, el aviso previo a una auditoría y si los datos se devuelven y eliminan, o solo se eliminan, cuando terminan los servicios. Añade la persona que firmará por el proveedor y envíalo para su firma.

Consejos antes de enviarlo

• Algunas leyes dan a la propia empresa un plazo breve para notificar una brecha a los organismos reguladores o a las personas afectadas. Elige un plazo de aviso del proveedor que te deje tiempo para actuar.
• Si los datos personales van a trasladarse entre países (por ejemplo, fuera de la UE o del Reino Unido), es posible que también necesites cláusulas contractuales tipo u otra garantía. Esta plantilla las exige, pero no las incluye.
• Muchos proveedores grandes insisten en utilizar su propio DPA. Compáralo con este: las instrucciones, el aviso sobre subencargados, los plazos de notificación de brechas y la eliminación son los puntos clave.
• Mantén actualizada la lista de subencargados. A menudo es lo primero que pide un cliente o auditor.

Preguntas frecuentes sobre Acuerdo de tratamiento de datos

Más plantillas de acuerdos

Todas las plantillas de Negocios y contratos · Todas las plantillas de firma electrónica

Esta plantilla es un punto de partida general, no asesoramiento jurídico. Las leyes varían entre países y estados; pide a un abogado que revise el acuerdo según tu situación antes de utilizarlo. Última revisión de la página: 2026-09-29.