Qué es un DPA: el contrato que dice quién toca los datos de tus clientes
Cada proveedor que trata datos por ti tiene que firmar un DPA. Con inteligencia artificial de por medio, ese papel es la diferencia entre saber dónde están tus datos y suponerlo.
Descubre en 5 minutos cómo automatizar ese proceso que te está haciendo perder tiempo y dinero
Qué es, en corto
Un DPA es el acuerdo de tratamiento de datos que exige el artículo 28 del RGPD entre quien decide para qué se usan unos datos personales y quien los trata por encargo suyo. Fija qué datos se tocan, para qué, cuánto tiempo, con qué medidas de seguridad y qué pasa con ellos al terminar el contrato. Sin DPA, el tratamiento es irregular aunque todo funcione de maravilla.
Un lunes por la mañana, alguien de tu equipo encuentra una herramienta que resume documentos en diez segundos. Es cómoda, funciona y no pide casi nada. En dos semanas la usan tres personas y por ahí han pasado escrituras, nóminas y un par de historiales. Nadie ha firmado nada con esa empresa. Nadie sabe en qué país está su servidor.
El DPA es el papel que faltaba en esa historia.
Qué es un DPA y por qué existe
DPA son las siglas inglesas de data processing agreement. En España lo verás también como acuerdo o contrato de encargo de tratamiento, y viene del artículo 28 del RGPD. Lo que hace es sencillo: pone por escrito que un proveedor solo puede tocar los datos personales que le confías para lo que tú le digas, y con las condiciones que ahí se pactan.
Existe porque el RGPD reparte responsabilidades. Tú, que decides para qué se usan los datos de tus clientes, eres el responsable del tratamiento. El proveedor que los procesa por encargo tuyo es el encargado. El DPA es el contrato entre los dos, y sin él ese encargo no tiene cobertura legal, por muy bien que funcione el servicio.
Con quién hay que firmar un DPA
Con todo el que trate datos personales por cuenta tuya. La lista es más larga de lo que parece: el alojamiento de tu web, el correo corporativo, el CRM, el programa donde guardas los contactos de tus clientes, la herramienta de facturación, la gestoría, el proveedor de copias de seguridad, la plataforma de firma electrónica y, por supuesto, cualquier servicio de inteligencia artificial que procese textos, audios o documentos con datos dentro.
No hace falta un DPA con quien no toca datos personales, ni con quien es responsable por su cuenta, como un banco o la Agencia Tributaria. La duda habitual está en el medio, y se resuelve con una pregunta: ¿este proveedor decide algo sobre para qué se usan los datos, o solo hace lo que yo le pido? Si es lo segundo, toca DPA.
Qué tiene que llevar un DPA como mínimo
- Objeto, duración, naturaleza y finalidad del tratamiento, en concreto y no en genérico.
- Tipos de datos y categorías de personas afectadas: clientes, empleados, pacientes, menores.
- Obligación de tratar los datos únicamente siguiendo tus instrucciones documentadas.
- Confidencialidad de quien accede y medidas de seguridad descritas, no un párrafo de buenas intenciones.
- Régimen de subencargados: quién más toca los datos, con qué autorización y en qué país.
- Ayuda para atender derechos (acceso, supresión, portabilidad) y para notificar brechas de seguridad a tiempo.
- Devolución o borrado de los datos al terminar el contrato, y derecho a auditar o a recibir pruebas de las auditorías.
Si un DPA no contesta a esas siete cosas, no es un DPA: es una declaración de intenciones con membrete.
Qué cambia en el DPA cuando entra la inteligencia artificial
Aquí es donde un DPA genérico se queda corto. Con IA hay tres preguntas que tienen que estar contestadas por escrito:
- Dónde se procesan los datos. No dónde está la sede de la empresa: dónde corre el modelo. Si sale de la Unión Europea, hacen falta cláusulas contractuales tipo y una evaluación de esa transferencia.
- Si se usan para entrenar. Muchas condiciones estándar se reservan el derecho a usar el contenido para mejorar el servicio. Eso, con documentos de clientes dentro, es incompatible con el encargo.
- Cuánto se conservan. Los registros de conversaciones y los ficheros subidos suelen guardarse semanas por motivos de abuso o depuración. El DPA tiene que decir cuánto y quién los ve.
Muchas herramientas populares contestan mal a las tres. Y ahí es donde una gestoría, un despacho o una clínica se meten en un problema sin enterarse, con la mejor intención y con una herramienta que parecía inofensiva.
Subencargados: la parte que nadie lee
Casi ningún proveedor hace todo por sí mismo. Detrás del que te firma el DPA suele haber un proveedor de servidores, uno de modelos de lenguaje y a veces uno de transcripción. Todos ellos son subencargados y todos deben aparecer en una lista actualizada, con su país y su función. Un DPA serio te avisa antes de cambiar de subencargado y te deja oponerte. Un DPA de relleno ni los nombra.
Cómo se revisa el DPA de un proveedor sin ser abogado
Busca cuatro cosas y en ese orden. Primero, si existe un DPA firmable, no solo mencionado en una página de ayuda. Segundo, la lista de subencargados y sus países. Tercero, la cláusula de uso para entrenamiento de modelos. Cuarto, el plazo de conservación y el compromiso de borrado. Si alguna no aparece, ya sabes por dónde empezar la conversación con el comercial.
Lo que un DPA no resuelve
El DPA cubre la relación con tu proveedor y nada más. Sigues necesitando una base legal para tratar esos datos, informar a las personas afectadas, llevar tu registro de actividades y, si el tratamiento es de riesgo, hacer una evaluación de impacto. El AI Act, el reglamento europeo de inteligencia artificial, se suma a todo eso: obliga además a clasificar el sistema por riesgo, a formar a tu equipo y a avisar de que hay una IA. Firmar un DPA no te exime de nada de lo anterior; solo tapa el agujero más evidente.
Cómo lo resolvemos nosotros
Montamos en servidor propio dentro de la Unión Europea, tus datos no salen de ahí, firmamos el acuerdo de tratamiento antes de empezar a trabajar y las conversaciones no alimentan el entrenamiento de ningún modelo. Cuando hace falta un tercero, por ejemplo la telefonía de una recepcionista virtual con IA para llamadas, aparece en la lista de subencargados con su país y su función, y si algún dato sale de la Unión Europea se cubre con cláusulas contractuales tipo. El detalle está en IA privada en servidor propio y en nuestra política de privacidad.
Un ejemplo
Una asesoría quiere que una IA le resuma las escrituras que le mandan sus clientes. La herramienta que probó es cómoda y rápida, pero procesa fuera de la Unión Europea, no ofrece DPA firmable y en sus condiciones se reserva usar el contenido para mejorar el servicio. Traducido: las escrituras de sus clientes viajan a un sitio que no controla y pueden acabar entrenando un modelo. El mismo resumen, montado en su propio servidor y con el DPA firmado, hace exactamente el mismo trabajo y deja el expediente donde tiene que estar. La diferencia no se nota en la pantalla; se nota el día que un cliente pregunta dónde están sus papeles.
Con qué se confunde
No es la política de privacidad
La política de privacidad se dirige a las personas cuyos datos tratas y explica qué haces con ellos. El DPA es un contrato entre empresas: regula cómo tu proveedor trata esos datos por ti. Una política impecable sin DPA firmado sigue siendo un incumplimiento.
No basta con aceptar las condiciones del servicio
Marcar una casilla al darte de alta no es firmar un DPA, salvo que esas condiciones incluyan el acuerdo de tratamiento del artículo 28 y puedas descargarlo. Muchos servicios lo esconden en un apartado que hay que activar. Si no puedes enseñarlo, no lo tienes.
No es lo mismo que el AI Act
El DPA nace del RGPD y habla de datos personales. El AI Act regula sistemas de inteligencia artificial, traten datos personales o no. Puedes tener los DPA firmados y seguir incumpliendo el AI Act, y al revés. Son dos capas que se suman.
Saber qué significa una palabra está bien. Saber si te ahorra horas está mejor: eso es lo que te dice el diagnóstico.
Descubre en 5 minutos cómo automatizar ese proceso que te está haciendo perder tiempo y dinero
Lo que nos preguntan antes de decidirse
¿Necesito un DPA con cada proveedor de software?
Sí: necesitas un DPA con cada proveedor que trate datos personales por cuenta tuya. Eso incluye el alojamiento de tu web, el correo, el CRM, la facturación, las copias de seguridad y cualquier herramienta de IA por la que pasen documentos. No lo necesitas con quien no toca datos personales ni con quien actúa como responsable por su cuenta. La forma rápida de salir de dudas es preguntarte si ese proveedor decide algo sobre la finalidad de los datos o solo ejecuta lo que tú le pides.
¿Qué pasa si uso una herramienta de IA sin DPA?
Si usas una herramienta de IA sin DPA, estás haciendo un tratamiento sin cobertura legal, y la responsabilidad frente a tus clientes y frente a la autoridad de protección de datos es tuya, no del proveedor. Mientras no ocurra nada, no se nota. El problema aparece cuando alguien ejerce su derecho de acceso, cuando hay una brecha o cuando un cliente grande te pide la lista de encargados dentro de su auditoría de proveedores. Es el momento en que se descubre que faltaba el DPA.
¿Vale un DPA si el proveedor está fuera de la Unión Europea?
Un DPA con un proveedor de fuera de la Unión Europea puede valer, pero necesitas algo más. Además del DPA hacen falta garantías para la transferencia internacional, normalmente cláusulas contractuales tipo, y un análisis de si el país de destino ofrece protección suficiente. Es más papeleo y más riesgo. Por eso, cuando los datos son sensibles (fiscales, jurídicos, sanitarios), sale más a cuenta procesarlos dentro de la Unión Europea y quitarte el problema de encima.
¿El DPA impide que mis datos entrenen un modelo?
El DPA impide que tus datos entrenen un modelo solo si lo dice expresamente. Un DPA estándar obliga a tratar los datos siguiendo tus instrucciones, y entrenar un modelo con ellos no es una instrucción tuya, pero conviene no dejarlo a interpretación. Busca una cláusula que prohíba el uso del contenido para entrenamiento o mejora de modelos y que fije el plazo de conservación de los registros. Si el proveedor no la incluye, esa es la señal para buscar otra opción.
¿Quién redacta el DPA, el proveedor o yo?
El DPA lo propone normalmente el proveedor, porque conoce su arquitectura y sus subencargados, y tú lo revisas y lo firmas. Nada impide que impongas el tuyo si tienes fuerza para negociar, algo habitual cuando el cliente es una empresa grande. Lo que no debe pasar es que no haya ninguno: si tu proveedor no tiene un modelo de DPA preparado en agosto de 2026, la pregunta ya no es el contrato, es su madurez.
¿Sabes dónde acaban los datos de tus clientes?
Dinos qué herramientas usa tu equipo y con qué datos trabajan. Te señalamos cuáles tienen DPA firmable, cuáles procesan fuera de la Unión Europea y cuáles conviene sustituir.
Descubre en 5 minutos cómo automatizar ese proceso que te está haciendo perder tiempo y dinero