Acuerdo de tratamiento de datos (RGPD) — Modelo descargable

Esta plantilla de acuerdo de tratamiento de datos personales es un punto de partida para formalizar la relación entre un responsable del tratamiento y un encargado que tratará los datos por su cuenta, y recoge las condiciones en las que puede hacerlo.

¿Para quién es esta plantilla?

Está pensada para empresas, autónomos y organizaciones que contratan servicios que implican acceso a datos personales de sus clientes, empleados o proveedores —gestorías, proveedores de software, agencias de marketing, servicios de alojamiento— y necesitan formalizar el encargo.

¿Qué incluye la plantilla?

El acuerdo está dividido en 11 secciones:

• Partes — datos del responsable y del encargado del tratamiento, con representante legal y delegado de protección de datos si procede.
• Objeto y finalidad del tratamiento — campos para la finalidad y para el contrato principal al que se vincula. El encargado trata los datos siguiendo instrucciones documentadas y sin decidir por sí mismo sobre los fines ni sobre los medios esenciales; si los determinase, dejaría de ser encargado y respondería como responsable de ese tratamiento con independencia de lo que este acuerdo diga.
• Datos objeto de tratamiento — categorías de interesados, tipos de datos y casillas para indicar si se tratan categorías especiales.
• Duración del tratamiento — ligada al contrato principal. A su fin, el responsable elige por escrito uno de tres destinos —destrucción, devolución o entrega a un nuevo encargado— con campo para el plazo de ejecución. No procede destruirlos cuando una norma obligue a conservarlos, en cuyo caso se devuelven al responsable. Con independencia de la instrucción, el encargado puede conservarlos bloqueados mientras puedan derivarse responsabilidades, y la cláusula explica en qué consiste el bloqueo y cuándo se destruyen.
• Obligaciones del encargado del tratamiento — escritas una a una: tratar los datos solo según instrucciones; garantizar la confidencialidad del personal autorizado; aplicar medidas de seguridad apropiadas al riesgo, atendiendo al estado de la técnica, al coste y a la naturaleza, alcance, contexto y fines del tratamiento; asistir al responsable en seguridad, notificación de brechas, evaluaciones de impacto y derechos de los interesados; devolver o suprimir los datos al finalizar; y demostrar el cumplimiento.
• Subencargados del tratamiento — campo para relacionar los admitidos con su servicio y país, y casillas para autorización general previa, con plazo de oposición, o autorización específica para cada uno. El encargado les impone las mismas obligaciones y responde de su incumplimiento como propio; si el responsable se opone de forma razonada y el encargado mantiene el alta, el responsable puede resolver este acuerdo y el contrato principal sin penalización y recuperar los datos.
• Transferencias internacionales — no se transfieren datos fuera del Espacio Económico Europeo sin autorización previa del responsable y sin una decisión de adecuación, cláusulas contractuales tipo aprobadas por la Comisión Europea u otra garantía adecuada.
• Notificación de violaciones de seguridad — el encargado notifica sin dilación indebida y, en todo caso, dentro de las 24 horas siguientes a conocer la violación, con la naturaleza, las categorías y el número aproximado de interesados y registros afectados, las consecuencias probables y las medidas adoptadas. El plazo es contractual y deliberadamente corto: el responsable tiene a su vez un plazo propio y muy breve para notificar a la Agencia Española de Protección de Datos, y si el encargado lo consumiera entero se quedaría sin margen. Por eso avisa antes de saberlo todo y completa la información después.
• Auditorías — el encargado permite y contribuye a las auditorías e inspecciones del responsable o de un auditor autorizado, incluidas las que alcanzan a los datos conservados bloqueados tras la terminación.
• Ley aplicable y jurisdicción — Tribunales de Instancia de la localidad pactada.
• Firmas — campos de firma para el responsable y el encargado del tratamiento.

Fácil de adaptar a tus necesidades

La plantilla incluye casillas de verificación para las categorías especiales de datos, el destino de los datos al terminar y el régimen de subencargados. Funciona en Microsoft Word, Google Docs y LibreOffice.

Formato y extensión

Disponible para descargar como archivo Word (.docx) y en formato PDF. 4 páginas, tamaño A4.