Revise el contrato de encargo del tratamiento frente al servicio real

Un contrato de encargo del tratamiento resulta útil cuando su descripción coincide con el servicio real. Un contrato de apariencia completa puede, aun así, describir datos equivocados, omitir a un proveedor de soporte o prometer una eliminación que el producto no es capaz de realizar.

Para un CTO, la revisión vincula los compromisos jurídicos con la arquitectura, la configuración y los procedimientos operativos. Los compañeros de los equipos jurídico o de privacidad interpretan las cláusulas; ingeniería determina si esas cláusulas describen la realidad. El resultado debe ser una decisión sobre el servicio que se pueda defender, respaldada por evidencias y por una lista clara de condiciones pendientes, no simplemente un PDF firmado.

Determine el rol del proveedor antes de revisar las cláusulas

Empiece por determinar si el proveedor actúa como encargado del tratamiento en el tratamiento pertinente. Según el RGPD, un encargado trata datos personales por cuenta de un responsable. No todas las relaciones con proveedores tienen ese rol, y un mismo proveedor puede tener roles distintos en actividades distintas.

Una plataforma de soporte alojada puede tratar los tickets de clientes siguiendo sus instrucciones y actuar a la vez como responsable independiente en parte de la administración de sus propias cuentas. Si sus condiciones también le permiten utilizar el contenido de los tickets para fines que determina por sí mismo, esa actividad requiere un análisis aparte. Llamarlo todo «mejora del servicio» no resuelve la cuestión del rol.

Prepare una breve declaración de alcance antes de anotar el contrato:

• Identifique la entidad contratante, el producto, el nivel de suscripción y las funcionalidades activadas.
• Describa por qué su organización utiliza el servicio y de quién son los datos personales que trata.
• Separe el tratamiento por instrucciones de cualquier finalidad definida por el proveedor.
• Designe al responsable interno del servicio y al revisor jurídico o de privacidad.

Un contrato de encargo no constituye una base jurídica del artículo 6 ni satisface automáticamente los requisitos de las transferencias internacionales. Esas cuestiones siguen siendo independientes. Si su propia organización es encargada del tratamiento, identifique las instrucciones y las condiciones de autorización del responsable situado aguas arriba antes de contratar al proveedor como subencargado.

Elabore una matriz de revisión del artículo 28

El artículo 28 del RGPD exige un contrato vinculante u otro acto jurídico equivalente que regule la actividad del encargado. Debe establecer el objeto y la duración, la naturaleza y la finalidad, el tipo de datos personales, las categorías de interesados y las obligaciones y derechos del responsable.

Estos detalles deben identificar el tratamiento real. «Todos los datos necesarios para prestar los servicios» puede impedir que los revisores determinen si quedan cubiertos los registros de empleados, los mensajes de clientes o los adjuntos sensibles. Contraste los anexos con el producto tal como está configurado, incluidas las integraciones opcionales.

Utilice la siguiente matriz para examinar las obligaciones exigidas al encargado. La columna de evidencias contiene recomendaciones prácticas de revisión, no una obligación legal de obtener cada documento citado.

El encargado también debe informar inmediatamente al responsable si, en su opinión, una instrucción infringe la normativa de protección de datos aplicable. Compruebe adónde llega esa notificación y quién puede resolverla.

Marque cada requisito como cubierto, poco claro o ausente, con una referencia a la cláusula. No clasifique una omisión obligatoria como una simple preferencia comercial. El artículo 28, apartado 1, exige además que los responsables recurran a encargados que ofrezcan garantías suficientes; la redacción del contrato por sí sola no puede acreditarlo.

Siga un registro representativo a través del servicio

Elija un registro realista y sígalo desde su entrada hasta su eliminación. En un servicio de atención al cliente, podría ser un ticket que contenga un nombre, una dirección de correo electrónico, un identificador de cuenta y un adjunto. Utilice preferiblemente datos sintéticos en las pruebas.

Mapee la recogida, la entrada a través de la API, el almacenamiento principal, la indexación, la analítica, el acceso del soporte, las exportaciones, las integraciones, las copias de seguridad y la supresión. Pregunte qué componentes reciben contenido y cuáles reciben únicamente metadatos. Los registros de actividad y las trazas de diagnóstico suelen contener identificadores incluso cuando la aplicación principal tiene un alcance correctamente definido.

Para cada fase, registre la entidad responsable, la finalidad del tratamiento, la ubicación, la vía de acceso y el plazo de conservación. Compare el resultado con el contrato de encargo, el anexo de seguridad, la lista de subencargados y los mecanismos de transferencia.

Preste especial atención a las funcionalidades que los administradores pueden activar sin intervención del área de compras: transcripción, enriquecimiento, resúmenes mediante IA, webhooks externos y grabación de sesiones de soporte. Un contrato revisado para el producto básico puede no describir adecuadamente el servicio con esas funciones activadas.

El entregable puede ser un sencillo diagrama de flujos de datos y un registro de discrepancias. Cada discrepancia debe identificar la declaración contractual, el comportamiento observado, la consecuencia, el responsable y la resolución. Por ejemplo, «El contrato describe una conservación controlada por el cliente; los registros de diagnóstico se conservan durante un periodo fijo» es una discrepancia accionable. «Conservación poco clara» no basta para cerrar la cuestión.

Ponga a prueba las promesas de seguridad frente a la implementación

El artículo 32 exige medidas de seguridad adecuadas al riesgo. No impone una configuración técnica universal. Evalúe las medidas en función de la sensibilidad de los datos, su volumen, su exposición y las consecuencias probables de un compromiso.

Un anexo debe explicar lo suficiente para evaluar el servicio, sin exigir la divulgación de detalles que faciliten la explotación de vulnerabilidades. Dé prioridad al aislamiento entre tenants, el acceso privilegiado, la autenticación, el cifrado, la resiliencia, la recuperación, la gestión de vulnerabilidades y las pruebas. Identifique los controles que opera el proveedor y los ajustes que debe configurar su equipo.

Si el contrato promete un acceso restringido del soporte, pregunte cómo se solicita, se aprueba, se limita en el tiempo y se registra ese acceso. Si promete cifrado, distinga la protección en tránsito de la protección en reposo y determine después quién controla las claves y qué pueden seguir leyendo los usuarios autorizados. El cifrado no resuelve unos permisos de aplicación excesivos.

En cuanto a la disponibilidad y la recuperación, determine qué copias de seguridad existen, cómo se prueba la restauración y si los compromisos contractuales de recuperación cubren el producto que está comprando. Mantenga los objetivos comerciales de disponibilidad separados de las obligaciones de seguridad y privacidad.

Los certificados y los informes de aseguramiento pueden respaldar la evaluación, pero su alcance importa. Compruebe el servicio, la entidad jurídica, el periodo evaluado, las exclusiones y las responsabilidades del cliente. Un informe sobre el proveedor de alojamiento no es evidencia de todos los controles de la aplicación SaaS, y la certificación no acredita el cumplimiento del RGPD. Consulte cómo evaluar el aseguramiento de la seguridad para la revisión más amplia de las evidencias.

Si el anexo de seguridad se incorpora mediante un enlace web, conserve la versión aplicable. Revise si los cambios pueden reducir la protección y cómo se informa a los clientes. Trate una página sin fecha y modificable como un problema de gestión de evidencias que hay que resolver, en lugar de suponer que es automáticamente suficiente o automáticamente inválida.

Siga la cadena de subencargados y evalúe las transferencias por separado

El artículo 28, apartado 2, exige una autorización previa por escrito, específica o general, para recurrir a otro encargado. Con una autorización general, el encargado debe informar al responsable de cualquier incorporación o sustitución prevista y darle la oportunidad de oponerse. El artículo 28, apartado 4, exige que las obligaciones de protección de datos correspondientes se trasladen al subencargado; el encargado inicial sigue siendo plenamente responsable ante el responsable del cumplimiento de esas obligaciones por parte del subencargado.

Obtenga una lista utilizable que muestre la identidad jurídica de cada proveedor, su función, los datos pertinentes y los lugares de tratamiento. No toda dependencia de un proveedor es un subencargado, pero los proveedores de infraestructura, soporte y analítica no deben desaparecer de la revisión por el mero hecho de operar detrás de la interfaz del producto.

Evalúe el mecanismo de cambio:

• ¿Llega el aviso a una dirección supervisada o a un responsable asignado?
• ¿Hay información y tiempo suficientes para evaluar el cambio propuesto?
• ¿Cómo se presenta y se resuelve una oposición?
• ¿Qué ocurre si no hay ninguna alternativa aceptable?

Un derecho contractual que nadie puede ejercer en la práctica es una señal de alerta. Suscriba al equipo adecuado y registre quién evalúa los avisos.

El alojamiento en la UE es relevante, pero no completa la evaluación de las transferencias. Examine los destinatarios reales, los mecanismos de acceso remoto, las ubicaciones del soporte y las transferencias ulteriores. Del mismo modo, la titularidad extranjera por sí sola no describe completamente una transferencia: documente las entidades y las vías de acceso reales.

Cuando sea aplicable el capítulo V, identifique el mecanismo de transferencia pertinente y cualquier evaluación o medida complementaria necesaria. Mantenga este análisis vinculado a la revisión del proveedor, pero separado del cumplimiento del artículo 28. Un contrato de encargo y un ajuste de alojamiento regional no responden por sí solos a todas las cuestiones sobre transferencias.

Haga ejecutables las obligaciones de asistencia

Notificación de violaciones y traspaso del incidente

Según el artículo 33, apartado 2, el encargado debe notificar al responsable sin dilación indebida las violaciones de la seguridad de los datos personales de las que tenga conocimiento. El responsable evalúa por separado la notificación a la autoridad de control, que debe realizarse sin dilación indebida y, de ser posible, a más tardar 72 horas después de haber tenido constancia de ella, salvo que sea improbable que la violación constituya un riesgo para los derechos y libertades de las personas físicas.

No conceda al encargado el plazo del responsable como periodo de espera por defecto. Un contrato práctico debe establecer una notificación inicial rápida, canales designados y actualizaciones progresivas. Un objetivo de notificación acordado es una recomendación operativa; no sustituye al criterio legal.

Solicite la información necesaria para evaluar los datos, las personas y los sistemas afectados, las consecuencias probables, la contención y la recuperación. Es posible que el primer aviso esté incompleto, así que defina cómo se enviarán las actualizaciones y las evidencias. El responsable también debe evaluar si un alto riesgo exige comunicar la violación a los interesados afectados conforme al artículo 34, con sus excepciones, y documentar la evaluación de la violación, incluidos los motivos para no notificar. Revise con atención el desencadenante de la notificación: un proceso que espera a que concluya la investigación de la causa raíz puede retrasar la evaluación del responsable.

Pruebe el traspaso con un ejercicio de simulación. Confirme que el aviso llega a los equipos de respuesta a incidentes y a los revisores de privacidad fuera del horario laboral habitual, y no solo a un gestor de cuenta.

Solicitudes de los interesados

La asistencia del encargado debe hacer viable su propio proceso de respuesta al ejercicio de derechos. Compruebe si los registros pueden localizarse en el contenido, los adjuntos, los índices y las exportaciones, y si la supresión o la rectificación llegan a los componentes pertinentes.

Acuerde la vía de respuesta y el plazo previsto. Los responsables disponen normalmente de un mes para responder a una solicitud, sin perjuicio de las condiciones de prórroga del RGPD; la asistencia del proveedor debe dejar margen para la verificación de la identidad, la evaluación jurídica y la entrega segura. Por lo general, el proveedor debe remitirle a usted las solicitudes relativas al tratamiento que realiza por sus instrucciones, en lugar de decidir por su cuenta cómo resolverlas.

Los cargos y los límites del servicio merecen revisión. Las tarifas por asistencia adicional no están automáticamente prohibidas, pero no deben hacer ineficaz la asistencia obligatoria. Vincule el procedimiento con su flujo de trabajo para solicitudes de acceso.

Devolución, supresión y copias de seguridad

Al final del servicio, el artículo 28 exige la supresión o la devolución, a elección del responsable, y la supresión de las copias existentes salvo que el Derecho de la Unión o de los Estados miembros exija su conservación. Determine qué significa eso técnicamente antes de comprar.

Compruebe la exhaustividad de la exportación, su formato, el periodo de disponibilidad y si se excluyen los adjuntos o la configuración. En cuanto a la supresión, distinga los registros activos, las cachés, las réplicas, los registros de actividad y las copias de seguridad. Si la supresión de las copias de seguridad sigue un ciclo programado, documente el periodo, las restricciones de acceso y las medidas que impiden que los registros suprimidos se reintroduzcan mediante una restauración.

Pregunte cómo se acredita la finalización y cómo se identifica la conservación exigida por ley. No se base en «cuenta cerrada» como prueba de que los datos personales se han eliminado.

Revise los derechos de auditoría, la responsabilidad y las cláusulas pendientes

Las cláusulas de auditoría deben proporcionar un aseguramiento significativo y, al mismo tiempo, proteger a otros clientes y los intereses legítimos de seguridad. Una programación razonable, la confidencialidad y el uso de informes independientes pueden hacer viables las auditorías. Sin embargo, una cláusula que solo ofrece certificados, sin ninguna vía para obtener la información necesaria ni para abordar problemas sustanciales, merece una revisión jurídica a la luz del artículo 28, apartado 3, letra h).

Determine la vía de escalado cuando las evidencias sean insuficientes, se produzca un incidente o una autoridad requiera información. Examine conjuntamente los costes de auditoría, los plazos de preaviso y las restricciones; su efecto combinado importa más que cualquier frase aislada.

Las cláusulas de responsabilidad requieren una evaluación comercial aparte. La indemnización del artículo 82 depende de las condiciones de responsabilidad del Reglamento; los encargados no son automáticamente responsables de todos los incumplimientos del responsable. Cuando varias partes sean responsables con arreglo al artículo 82, las normas pueden hacer que respondan del daño total para garantizar una indemnización efectiva. Un límite contractual no restringe los derechos legales de las personas. Su efecto sobre el reparto y la repetición entre las partes requiere una revisión jurídica.

Si el proveedor rechaza las modificaciones, distinga tres resultados:

• Aclaración: obtener una redacción autorizada o evidencias que resuelvan la ambigüedad.
• Aceptación condicionada: aprobar un acuerdo lícito con un riesgo residual comercial u operativo documentado y salvaguardas concretas.
• No continuar: detener o rediseñar el tratamiento cuando sigan sin cumplirse obligaciones exigidas.

La aceptación de la dirección no puede hacer lícito un acuerdo ilícito. El delegado de protección de datos, cuando se haya designado, asesora y supervisa con independencia; el responsable de negocio que rinde cuentas toma las decisiones sobre el servicio con la aportación de los equipos jurídico y de privacidad. No atribuya al delegado de protección de datos la responsabilidad de determinar los fines o los medios del tratamiento.

Examine las funcionalidades de IA como vías de tratamiento adicionales

Las funcionalidades de IA introducen entradas, salidas y artefactos intermedios que los anexos más antiguos quizá no describan. Revise, cuando proceda, los prompts, los documentos recuperados, los embeddings, las respuestas generadas, los comentarios de los usuarios, los registros de supervisión de abusos y el acceso para revisión humana.

Determine si los datos de los clientes se utilizan para entrenar o mejorar modelos, a qué fines de quién sirve eso y qué entidad realiza el tratamiento. «Sin entrenamiento» no equivale a «sin conservación», y ninguna de las dos promesas demuestra que los registros de soporte o de supervisión no contengan datos personales.

Compruebe que los compromisos se aplican al nivel contratado, a los endpoints activados y a los proveedores de modelos situados aguas abajo. Confirme los ajustes de conservación, las excepciones y el comportamiento de la supresión. Si un proveedor afirma que anonimiza los datos, pregunte en qué se basa esa afirmación en lugar de dar por hecho que los artefactos del modelo son anónimos.

Registre conjuntamente el compromiso contractual y las evidencias de configuración. Cualquier nueva finalidad requiere su propia evaluación del rol y de la licitud; el contrato de encargo no aporta esa base jurídica. La aplicabilidad del Reglamento de IA es también una cuestión aparte, que no se satisface firmando las cláusulas del encargado.

Ejemplo práctico: software de soporte con resúmenes opcionales

Supongamos, a modo ilustrativo, que una empresa SaaS quiere una plataforma de soporte que almacene nombres, direcciones de correo electrónico profesionales, el texto de los tickets y adjuntos. Los tickets pueden contener accidentalmente información sensible. Una funcionalidad opcional de IA resume las conversaciones.

El borrador del contrato de encargo describe el tratamiento de los tickets y el almacenamiento en la UE. El análisis técnico revela un proveedor de resúmenes, acceso del soporte desde otra región y una conservación de los diagnósticos distinta de la de los tickets.

La revisión da lugar a cuatro acciones concretas:

1. Completar el alcance. Añadir a la descripción los adjuntos, los identificadores de diagnóstico y el tratamiento mediante IA; comprobar si el proveedor utiliza algún contenido para sus propios fines.
2. Resolver la cadena de proveedores. Obtener la identidad del proveedor del modelo, los lugares de tratamiento, los compromisos de conservación y el alcance de la autorización. Evaluar por separado las transferencias pertinentes.
3. Validar el comportamiento a lo largo del ciclo de vida. Hacer pasar un ticket sintético por la exportación y la supresión. Obtener la explicación sobre la conservación de las copias de seguridad y los diagnósticos en lugar de suponer que la supresión del ticket elimina todas las copias.
4. Fijar una condición de puesta en producción. Mantener desactivados los resúmenes hasta revisar su contrato y su flujo de datos. Establecer el enrutamiento de los avisos de violaciones y de los cambios de subencargados antes del uso en producción.

El registro de la decisión distingue las evidencias recibidas de las cuestiones que siguen abiertas. Si el servicio principal es aceptable, la aprobación puede excluir expresamente la funcionalidad de IA. Ese límite también debe existir en la configuración y en el control de cambios; una nota en el expediente de revisión no impedirá que alguien la active más adelante.

Conserve la decisión y reábrala cuando cambie el servicio

Mantenga juntos la versión aplicable del contrato, el alcance del tratamiento, el diagrama de flujos de datos, las evidencias de aseguramiento, la evaluación de las transferencias, el registro de discrepancias y la aprobación. Registre los riesgos residuales aceptados, las condiciones, los responsables y las fechas de seguimiento. Conserve el motivo por el que se aceptó un acuerdo, no solo su estado.

Vuelva a revisarlo cuando cambien sustancialmente los fines del tratamiento, las funcionalidades activadas, los subencargados, las ubicaciones o las condiciones contractuales. Incluya como desencadenantes los incidentes significativos y las nuevas evidencias de debilidades en los controles. Una revisión programada complementa estos desencadenantes, no los sustituye.

Secani puede dar soporte a este flujo de trabajo modelando el servicio y los proveedores externos, vinculando las evidencias con los requisitos y las decisiones y asignando las carencias detectadas en la revisión a sus responsables. Las conclusiones revisadas por personas, los enlaces a las fuentes, los comentarios y las aprobaciones conservan el razonamiento que sustenta la aceptación. De este modo, la revisión del contrato queda conectada con la gestión del riesgo de terceros sin tratar el software como sustituto del criterio jurídico o técnico.

¿Necesita el contrato una firma manuscrita?

El artículo 28, apartado 9, exige la forma escrita, inclusive en formato electrónico. No se requiere por sí misma una firma manuscrita. Conserve las evidencias de la aceptación vinculante y de la versión en vigor; pida a los revisores jurídicos que resuelvan las dudas sobre la incorporación en línea o las condiciones contradictorias.

¿Debe figurar cada subencargado dentro del contrato de encargo?

El artículo 28 no prescribe una lista fija dentro del documento. Una lista mantenida al día puede servir de base para la autorización, siempre que el mecanismo proporcione la información exigida, los avisos de cambios y la oportunidad de oponerse. Conserve la lista pertinente para su revisión.

En la próxima revisión de un proveedor, empiece por un flujo de datos representativo y la matriz del artículo 28. Resuelva el desajuste entre las promesas contractuales y el funcionamiento observable antes de autorizar el tratamiento en producción.