Resumen: cuando un proveedor trata datos personales por encargo tuyo, necesitas un contrato de encargado del tratamiento. Es un requisito del RGPD, y se firma casi siempre antes de que el proveedor toque un solo dato.
Cuándo hace falta
Si un proveedor accede a datos de tus clientes para prestarte un servicio, es encargado. Ejemplos habituales: la gestoría con las nóminas, el programa de facturación con los datos de clientes, el hosting de tu web, la empresa de envíos o el proveedor de correo.
Qué debe contener el contrato
- Qué datos trata el proveedor y para qué finalidad.
- Que solo trata los datos siguiendo tus instrucciones.
- Las medidas de seguridad que aplica.
- Qué pasa con los datos al terminar el servicio: borrarlos o devolverlos.
- Qué hace si hay una brecha de seguridad, y en qué plazo te avisa.
- Si subcontrata a otros proveedores, y bajo qué condiciones.
Cómo revisarlo sin ser abogado
- Haz una lista de todos los proveedores que tocan datos de clientes o empleados.
- Para cada uno, busca su contrato de tratamiento de datos. Muchos proveedores grandes lo tienen en su web.
- Si no existe, pídelo por escrito antes de seguir usando el servicio.
Esta guía no sustituye el asesoramiento jurídico. Para una pyme con muchos proveedores, una revisión puntual con un abogado o consultor de protección de datos suele compensar.
Para el marco general, lee RGPD para pymes. Y si hay un incidente, qué hacer si hay una brecha de seguridad.