¿Qué es un Acuerdo de Procesamiento de Datos (DPA)?​​ 

Puntos clave​​ 

• ¿Qué son los DPA? Los acuerdos de tratamiento de datos (DPA) definen cómo los responsables responsables y procesadores gestionan los datos personales, incluyendo la seguridad, la confidencialidad y el papel de cada parte.​​ 
• Cuando se necesita un DPA: Las compañías necesitan un DPA cuando un proveedor externo procesa datos personales en su nombre.​​ 
• Por qué son importantes los DPA: Los DPA ayudan a las compañías a establecer expectativas para la relación de procesamiento de datos.​​ 
• Consideraciones de cumplimiento: Las compañías globales deben tener en cuenta las leyes de privacidad, incluidos los requisitos del Reglamento General de Protección de Datos, al gestionar relaciones con proveedores de servicios externos que procesan datos personales​​ 

A medida que tu compañía se expande a nuevos mercados, probablemente trabajarás con un número creciente de proveedores externos que apoyan tus operaciones. Estas relaciones implican acceso a datos personales, por lo que es importante entender:​​ 

• • Quién puede acceder a esa información​​ 
  • Cómo lo procesan terceros​​ 
  • qué protecciones existen para protegerlo​​ 

Un acuerdo de procesamiento de datos (DPA) ayuda a establecer expectativas entre los responsables de los tratamientos y los procesadores. Este contrato legal y vinculante detalla cómo las partes gestionan los datos personales, incluyendo el alcance del tratamiento, las medidas de seguridad y las obligaciones que cada parte debe cumplir.​​ 

Aunque muchos asocian las DPA con el Reglamento General de Protección de Datos de la UE, otras leyes de privacidad en todo el mundo pueden incluir requisitos similares para proteger y gestionar datos personales. Entender cuándo necesita un DPA puede ayudar a su compañía a construir estrategias más estables de protección de datos y a respaldar sus obligaciones de privacidad en las regiones donde opera. En esta guía aprenderás qué es un DPA, en qué consiste, cuándo lo necesitas y mucho más.​​ 

¿Qué es un acuerdo de procesamiento de datos?​​ 

Una DPA es un contrato legal entre responsables de tratamiento de datos y responsables de los procesadores de datos que establece cómo se gestionarán los datos personales. Explica las responsabilidades de cada parte, incluyendo:​​ 

• Los tipos de datos personales a los que puede acceder el procesador: un DPA identifica la información involucrada en la relación de procesamiento y especifica cómo puede emplearla el procesador.​​ 
• Las medidas de seguridad que debe seguir el procesador: Los acuerdos pueden detallar requisitos para la protección de los datos, como prácticas de confidencialidad, controles de acceso y otras salvaguardas.​​ 
• Las funciones de ambas partes: Una DPA establece expectativas claras para cada parte a lo largo de la relación de tramitación, incluyendo aquellas relacionadas con la seguridad, la confidencialidad y el cumplimiento.​​ 

Las compañías emplean DPAs cuando trabajan con proveedores externos que procesan datos personales en su nombre, apoyan diversas operaciones empresariales y necesitan acceso a información personal. Ejemplos incluyen:​​ 

• Tecnología de Recursos Humanos: Las plataformas de Recursos Humanos procesan información relacionada con afiliadas a equipos, candidatos y actividades de gestión de la fuerza de trabajo.​​ 
• Tercerización de gestión de email: Los proveedores de servicios de email pueden procesar la información de contacto y las comunicaciones.​​ 
• Contabilidad financiera: Las plataformas y proveedores contables pueden acceder a registros financieros, información de empleado y otros datos empresariales mientras apoyan las operaciones financieras.​​ 
• Recogida de datos o digitalización: Los proveedores externos pueden ayudar a recopilar, organizar o convertir datos en formatos digitales más accesibles.​​ 
• Espacio en la nube: Los proveedores de nube pueden almacenar datos personales y copias de seguridad empresariales en nombre de las compañías y deben cumplir con los requisitos de seguridad acordados para proteger esa información.​​ 
• Soporte a la nómina: Los proveedores de nóminas procesan información fiscal y de compensación sensible necesaria para apoyar las actividades relacionadas con pagos y empleado.​​ 
• Plataformas de gestión de la relación con el cliente (CRM): Los proveedores de CRM pueden procesar la información del cliente para apoyar ventas, servicio y comunicación.​​ 

Una DPA crea una comprensión compartida de cómo se realizarán las actividades de procesamiento. Puede identificar el alcance de la relación, establecer requisitos de seguridad y aclarar cómo cada organización debe abordar sus obligaciones de privacidad.​​ 

¿Por qué son importantes los DPA?​​ 

Una DPA ayuda a las compañías a comprender mejor cómo las partes comparten datos y a establecer la responsabilidad de protegerlos. Al establecer responsabilidades antes de que comience la relación entre responsable responsable y procesador, las compañías construyen una base más estable para gestionar los requisitos de privacidad y reducir la incertidumbre.​​  

Un DPA puede ayudar a las compañías a operar de forma más eficiente a medida que se expanden más allá de las fronteras, creando expectativas coherentes sobre cómo los terceros manejan los datos personales. En lugar de sustituir la política de privacidad más amplia y las obligaciones de cumplimiento de una compañía, una DPA es una parte de un enfoque más amplio para proteger los datos personales.​​ 

Cómo afecta el Reglamento General de Protección de Datos a los acuerdos de tratamiento de datos​​ 

El Reglamento General de Protección de Datos de la UE da mayor importancia a las DPA estableciendo requisitos específicos para los acuerdos entre responsables de tratamiento de datos y responsables de los procesadores de datos. Según el artículo 28 del Reglamento General de Protección de Datos, los responsables deben trabajar con responsables que ofrezcan garantías suficientes para la protección de los datos y deben establecer contratos que aborden las responsabilidades de ambas partes.​​ 

Estos requisitos se aplican cuando el Reglamento General de Protección de Datos cubre las actividades de trámite. Aunque el Reglamento General de Protección de Datos se originó en la UE, también puede aplicar a escenarios en los que compañías fuera de la UE procesan datos personales de personas dentro de la región.​​ 

Acuerdos de procesamiento de datos en el escenario global​​ 

El Reglamento General de Protección de Datos es uno de los marcos de privacidad de datos más reconocidos en el mundo. Las compañías pueden tener que considerar compromisos contractuales similares al trabajar con proveedores externos que procesan datos personales, incluso cuando no operan dentro de la UE. Las leyes de privacidad varían entre países, y las obligaciones de una organización dependen de:​​ 

• • Donde opera​​ 
  • cuyos datos procesa​​ 
  • Qué servicios ofrece​​ 

Saber cuándo tu compañía necesita un DPA puede ayudarte a crear procesos más claros para proteger tus datos personales y apoyar tus necesidades de privacidad sin importar dónde operes.​​ 

¿Cuándo se necesita un acuerdo de procesamiento de datos?​​ 

Las DPAs son necesarias siempre que una organización procesa datos personales en nombre de otra. Según el Reglamento General de Protección de Datos, las compañías necesitan una DPA cuando compartir datos personales crea una relación controlador-procesador. En estas situaciones, el acuerdo ayuda a definir:​​ 

• • Cómo puede un proveedor emplear la información​​ 
  • Qué protecciones se aplican​​ 
  • Cómo deberían abordar ambos los acuerdos.​​ 

Algunos ejemplos comunes de cuando las compañías necesitan un DPA incluyen el uso:​​ 

• • Un proveedor de nóminas​​ 
  • una plataforma Recursos Humanos​​ 
  • Espacio en la nube​​ 
  • Otro proveedor tecnológico que puede procesar datos de empleado, cliente o compañía​​ 

La DPA establece expectativas claras antes de que comience el procesamiento.​​ 

¿Cuándo no es necesario un acuerdo de procesamiento de datos​​  

No todas las relaciones que involucran datos personales requieren un acuerdo de interés por la información (DPA). Los escenarios más comunes incluyen:​​ 

• Controladores independientes: Terceros independientes pueden determinar cómo y por qué procesan datos personales. Esto significa que operan bajo sus propias responsabilidades de privacidad en lugar de actuar como procesadores.​​ 
• Proveedores profesionales: Ciertos proveedores, incluidos aquellos que ofrecen servicios legales, contables y de asesoramiento financiero, tienen responsabilidades separadas de confidencialidad y privacidad según la naturaleza de sus negocios.​​ 
• Relaciones de acceso limitado a los datos: Un proveedor puede acceder a datos de forma incidental sin procesarlos en nombre de otra organización.​​ 
• Autoridades públicas y organismos reguladores: Las compañías que procesan datos bajo su propia autoridad legal no pueden operar como procesadores y no necesitan un DPA.​​ 

Al determinar si necesitas un DPA, considera:​​ 

• • Quién determina el propósito del procesamiento​​ 
  • Quién accede a la información​​ 
  • Qué papel desempeña cada organización en la relación​​ 

Comprender los roles en un acuerdo de procesamiento de datos​​ 

En una DPA, dos partes desempeñan roles distintos: el controlador de datos y el procesador de datos. Comprender la diferencia entre ellas puede ayudarte a determinar las obligaciones de cada parte cuando los datos personales se mueven entre dos compañías.​​ 

¿Qué es un controlador de datos?​​ 

Un controlador de datos es una organización que determina por qué y cómo se procesan los datos. Es el partido el que decide:​​ 

• • qué información recopila​​ 
  • Por qué lo está coleccionando​​ 
  • Cómo el procesador puede emplear los datos en su propio favor​​ 

Supongamos que tu compañía actúa como responsable de los datos cuando recopila información personal de clientes, afiliados a equipos u otras partes para apoyar actividades empresariales. Si trabajas con un proveedor externo para procesar esa información, tu compañía determina por qué el proveedor la procesa.​​ 

¿Qué es un procesador de datos?​​ 

Un procesador es la organización que procesa los datos personales en nombre del responsable. No determina el propósito del tratamiento ni cómo se emplearán los datos más allá de las instrucciones del responsable. Debe seguir las instrucciones específicas del controlador para el procesamiento.​​ 

Un procesador de datos puede incluir:​​  

• • Proveedores de tecnología​​ 
  • Compañías de servicios en la nube​​ 
  • Plataformas de nóminas​​ 
  • Otros proveedores que procesan datos personales al prestar un servicio​​ 

Su trabajo consiste en seguir instrucciones explícitas de procesamiento manteniendo las salvaguardas adecuadas.​​ 

¿Qué incluye un acuerdo de procesamiento de datos?​​ 

Una DPA define claramente cómo las compañías manejan los datos personales cuando un controlador trabaja con un procesador. Los detalles exactos pueden variar según las leyes de privacidad aplicables. La mayoría de los DPA abordan áreas clave relacionadas con actividades de procesamiento de datos, medidas de seguridad y responsabilidades de las partes.​​ 

1. Detalles sobre actividades de procesamiento de datos​​ 

Los DPA ayudan a ambas partes a entender qué información forma parte del acuerdo y cómo pueden emplearla los procesadores. El acuerdo explica el alcance de la relación de procesamiento y especifica qué puede hacer el procesador con los datos implicados.​​ 

Los detalles incluyen:​​ 

• • Los tipos de datos personales sujetos a tratamiento​​ 
  • Las categorías de individuos cuya información se procesa​​ 
  • El propósito y la naturaleza de las actividades de procesamiento​​ 
  • La duración total de la relación de procesamiento​​ 
  • Instrucciones claras sobre cómo el procesador puede usar los datos​​ 
  • Requisitos para devolver o eliminar datos personales tras el final de la relación.​​ 

Documentar estos detalles ayuda a las compañías a establecer expectativas antes de comenzar cualquier procesamiento. Las partes pueden usar los detalles como punto de referencia a lo largo de la relación.​​ 

2. Derechos, responsabilidades e instrucciones de tramitación​​ 

Los acuerdos deben detallar lo que cada parte debe hacer al tratar datos personales. Los controladores proporcionan instrucciones que los procesadores deben seguir. Los procesadores deben llevar a cabo actividades de procesamiento acordadas. Una DPA debe especificar que el controlador, y no el procesador, mantiene el control sobre los datos y lo que ocurre con ellos.​​ 

Los DPA pueden abordar:​​  

• • Las instrucciones del controlador sobre cómo debe usar los datos el procesador​​ 
  • Las responsabilidades del procesador al realizar actividades de procesamiento​​ 
  • Derecho del controlador a obtener información sobre actividades​​ 
  • Las obligaciones de cada parte estaban relacionadas con la privacidad, la seguridad y el cumplimiento​​ 

Cuando se prepara correctamente, una DPA puede ayudar a ambas partes a entender sus respectivas obligaciones y evitar confusiones.​​ 

3. Confidencialidad y seguridad​​ 

Las disposiciones relativas a las medidas de confidencialidad y seguridad pueden establecer expectativas para la protección de los datos personales. Un DPA debe especificar qué medidas empleará un procesador.​​ 

Dependiendo de los servicios implicados, las medidas relevantes pueden incluir:​​ 

• • Implementación de acuerdos de confidencialidad para las personas que acceden a los datos​​ 
  • Controles de acceso estrictos que limitan quién puede acceder a la información​​ 
  • Prácticas de cifrado de datos y seudonimización​​ 
  • Procesos que apoyan la disponibilidad, resiliencia y recuperación de datos​​ 
  • Revisiones rutinarias y pruebas de seguridad​​ 

Las medidas específicas incluidas en una DPA deben reflejar el tipo de información involucrada y el riesgo asociado a las actividades de procesamiento.​​ 

4. Requisitos para subprocesadores​​ 

Algunos procesadores colaboran con otros proveedores para dar soporte a sus servicios. Conocidos como subprocesadores, estas compañías pueden necesitar cumplir requisitos adicionales. Una DPA debe incluir instrucciones para gestionar estas relaciones y cubrir cualquier norma adicional que se aplique cuando otra organización procesa datos personales.​​ 

Las disposiciones sobre subprocesadores incluyen:​​ 

• • Si los procesadores necesitan autorización antes de interactuar con los subprocesadores​​ 
  • Obligaciones que se aplican a los subprocesadores cuando procesan datos​​ 
  • Cómo los procesadores monitorizan el cumplimiento de los subprocesadores​​ 
  • Cómo comunican los procesadores los cambios que involucran a los subprocesadores​​ 

Requisitos claros para los subprocesadores dan a los responsables más visibilidad sobre cómo se mueven los datos personales a través de una red más amplia de proveedores de servicios.​​ 

Apoyo a la privacidad y obligaciones de cumplimiento​​ 

Por último, una DPA debe explicar cómo un procesador puede respaldar las responsabilidades de privacidad de un controlador. Las actividades de procesador que se centran en el soporte podrían incluir:​​ 

• • Asistencia en evaluaciones de impacto en la protección de datos​​  
  • Respuestas de apoyo a solicitudes de sujetos de datos​​ 
  • Proporcionar la información necesaria para revisiones y auditorías de cumplimiento​​ 
  • Asistencia en la respuesta a brechas​​ 
  • Llevar registros sobre las actividades de procesamiento siempre que sea aplicable​​ 

Definir estos detalles desde el principio puede ayudar a las compañías a responder más rápido y eficazmente si surgen preocupaciones sobre la privacidad o la seguridad.​​ 

¿Qué ocurre tras una brecha de datos bajo una DPA?​​ 

Si una brecha de datos personales supone un riesgo para los derechos y libertades de las personas afectadas, las compañías implicadas deben tomar medidas específicas e inmediatas. Las compañías deben notificar a la autoridad supervisora correspondiente en un plazo de 72 horas tras tomar conocimiento de la infracción.​​ 

Si la brecha supone un alto riesgo, las compañías deben notificar también a esas personas. Si la compañía ya dispone de protocolos efectivos de reducción de riesgos técnicos y organizacionales, no es necesario recibir una notificación.​​ 

Supongamos que una compañía emplea un proveedor externo para almacenar la información de los clientes. Si el proveedor (procesador) experimenta un incidente de seguridad que expone datos personales, debe notificar a la compañía (controlador) para que la organización pueda evaluar la brecha y determinar los siguientes pasos adecuados.​​  

Dependiendo de las circunstancias, la compañía debe notificar a los reguladores, a las personas afectadas o a ambos. La respuesta puede depender de factores como:​​ 

• • Información involucrada​​ 
  • Número de personas afectadas​​ 
  • Protecciones ya establecido​​ 

¿Cuáles son los riesgos de no cumplir con los requisitos de la DPA?​​ 

1. Cuando las leyes de privacidad exigen a las compañías que tengan un acuerdo de tratamiento de datos, no establecer uno puede crear riesgos de cumplimiento. Según el Reglamento General de Protección de Datos, los responsables responsables y responsables pueden enfrentar a sanciones si no cumplen con las obligaciones de protección de datos, incluidos los requisitos relacionados con los acuerdos entre responsable responsable y entidad procesadora.​​ 
2. Si se produce una brecha de datos y los reguladores determinan que una organización no cumple, pueden tomar medidas de aplicación. Las acciones potenciales pueden incluir:​​ 
   
   • • Una advertencia formal o reprimenda​​ 
     • Restricciones temporales o permanentes en las actividades de procesamiento de datos​​ 
     • Multas administrativas de hasta 20 millones de euros o del 4% de la facturación anual total de la compañía a nivel mundial, lo que sea mayor​​ 
3. Las consecuencias específicas dependen de la naturaleza de la infracción, el impacto en las personas afectadas y la respuesta de la organización. En cualquier caso, el incumplimiento puede crear desafíos operativos y reputacionales.​​ 

Gestionar DPAs entre múltiples proveedores, jurisdicciones y equipos internos puede crear desafíos administrativos adicionales para las compañías en crecimiento.​​ 

Sin una supervisión clara, muchos tienen dificultades para identificar lagunas en sus prácticas de protección de datos y responden rápidamente cuando surgen problemas de privacidad.​​ 

Establecer un enfoque estructurado para los acuerdos de procesamiento de datos puede ayudar a las compañías a mejorar su visibilidad, mantener coherentes y apoyar un crecimiento responsable a través de las fronteras.​​ 

Construir equipos globales con G-P​​ 

Cuando se construyen equipos internacionales, la privacidad de los datos es una consideración importante. Trabaja con G-P para apoyar tus necesidades laborales transfronterizas. Nuestra Plataforma Global de Empleo (plataforma de empleo global) ayuda a las compañías a™ contratar, integrar, gestionar y pagar a profesionales en todo el mundo mientras cumplen con los requisitos laborales.​​  

Contar con los procesos y la experiencia adecuados puede ayudar a tu organización a gestionar las consideraciones de privacidad de datos a medida que creces. Como Plataforma global de empleo (Empleador de Registro), G-P te ayuda a contratar y pagar a talentos en 180+ países sin crear entidades locales. Nos tomamos muy en serio la privacidad de los datos, ayudando a compañías como la suya a apoyar procesos internacionales de empleo y gestionar las necesidades laborales locales.​​ 

En G-P, te ayudamos a agilizar tus procesos de contratación combinando tecnología con experiencia humana. Empleando nuestra Plataforma™ Global de Empleo (plataforma de empleo global), puedes contratar e incorporar a tus nuevos afiliados a equipo de forma más eficiente, ahorrando tiempo y simplificando tu enfoque hacia el crecimiento.​​ 

Aplicar una propuesta hoy mismo, o contáctanos para saber cómo G-P puede apoyar tu estrategia global de contratación.​​ 

Preguntas frecuentes​​