¿Qué es un DPA y por qué tienes que firmarlo con cada proveedor SaaS?
Data Processing Agreement: el contrato de encargado de tratamiento que el RGPD exige firmar con cualquier proveedor que vea tus datos personales. Cláusulas y cómo gestionarlo.
Actualizado mayo 2026
DPA: contrato obligatorio entre responsable y encargado del tratamiento.
Un DPA (Data Processing Agreement, o "contrato de encargado de tratamiento" en castellano) es el contrato que regula la relación entre el responsable del tratamiento (tu pyme, que decide qué hacer con los datos) y un encargado (cualquier proveedor que trate datos en tu nombre: Google, HubSpot, Mailchimp, AWS, una empresa de nóminas externa). Es obligatorio por el artículo 28 del RGPD.
Sin DPA firmado con un proveedor que trata tus datos, la relación es ilegal. La AEPD ha sancionado por esto a numerosas empresas: aunque el dato esté técnicamente bien protegido por el proveedor, la falta del contrato es una infracción autónoma. Si además el proveedor sufre una brecha, tu pyme responde frente al usuario por no haber documentado la relación.
El DPA puede tomar distintas formas: contrato firmado bilateralmente (clásico), cláusulas online aceptadas en el panel del SaaS (el caso de Google, HubSpot, Mailchimp — basta con marcar la casilla en la consola), o cláusulas contractuales tipo aprobadas por la Comisión Europea (Standard Contractual Clauses, SCC) para transferencias internacionales. En 2026 casi todos los SaaS grandes ofrecen DPA online; basta con descargarlo, archivarlo y, si hay versión actualizada, re-aceptarlo.
Para una pyme española, gestionar DPAs significa: (1) inventario de todos los proveedores que tocan datos personales, (2) firmar/aceptar DPA con cada uno, (3) archivar evidencia y (4) revisar anualmente. No es complejo, pero hay que hacerlo y mantenerlo. La AEPD lo pide en cualquier inspección o respuesta a denuncia.
Las nueve cláusulas obligatorias de un DPA según RGPD art. 28
Lo que cualquier DPA debe incluir. Si falta alguna, el contrato no es válido.
Objeto, duración y naturaleza del tratamiento
Qué hace el encargado con los datos, finalidad concreta, duración del tratamiento (vinculada al contrato principal de servicio), naturaleza (almacenamiento, procesamiento, envío).
Tipo de datos y categorías de interesados
Especificar qué datos se tratan (nombre, email, teléfono, etc.) y a quién pertenecen (clientes, empleados, leads). Si hay categorías especiales (salud, religión, biometría), declararlo expresamente.
Obligación de seguir instrucciones del responsable
El encargado solo trata datos siguiendo instrucciones documentadas del responsable. No puede usarlos para fines propios (publicidad propia, mejora de su producto agregado, venta).
Confidencialidad del personal del encargado
Empleados del encargado con acceso a datos deben estar sometidos a deber de confidencialidad (cláusulas contractuales o estatutarias).
Medidas de seguridad (RGPD art. 32)
Cifrado en tránsito y reposo, control de accesos, copias de seguridad, auditorías. Nivel proporcional al riesgo. ISO 27001/SOC 2 son evidencias habituales.
Régimen de subencargados
Si el encargado subcontrata (ej. Mailchimp usa AWS), debe informarlo y obtener autorización del responsable. Lista pública de subencargados es práctica habitual en grandes SaaS.
Asistencia para responder a derechos
El encargado ayuda al responsable a responder solicitudes de derechos (acceso, supresión, portabilidad) y a evaluar impacto si hace falta DPIA.
Notificación de brechas
El encargado notifica al responsable cualquier brecha de seguridad sin dilación indebida (típicamente <24h). El responsable tiene 72h para notificar a AEPD desde que tiene conocimiento.
Devolución o supresión al final del contrato
Al terminar el servicio, el encargado devuelve o elimina los datos (a elección del responsable) y certifica la supresión. Plazo típico: 30-90 días tras fin de contrato.
Cómo gestionar DPA con los proveedores más comunes en pyme
Lo que cada SaaS ofrece y dónde buscarlo. Datos actualizados mayo 2026.
Google Workspace y Google Ads
Aceptación online en Google Admin Console > Configuración de la cuenta > Modificadores y términos. Incluye SCC para transferencias EEUU. Una sola firma cubre Gmail, Drive, Meet, Ads, GA4.
HubSpot, Salesforce, Pipedrive
CRMs grandes ofrecen DPA online en panel de administración (sección Legal o Privacy). HubSpot tiene DPA pre-firmado descargable. Salesforce requiere aceptación expresa en consola.
Mailchimp, ActiveCampaign, Brevo
Plataformas de email tienen DPA accesible desde Account > Privacy. Activación en algunos casos requiere plan de pago. Verificar que las SCC para transferencias internacionales estén firmadas.
AWS, Azure, Google Cloud
Hyperscalers ofrecen DPA estándar firmable en consola. Para entidades financieras (DORA) hay versiones reforzadas. Importante revisar región de los datos (EU-only vs global) en la configuración.
Meta Ads, LinkedIn Ads, X Ads
Plataformas publicitarias tienen Data Processing Terms aceptados al crear cuenta de empresa. Para uso avanzado (Custom Audiences, Conversion API) hay anexos adicionales que firmar.
Stripe, PayPal, Redsys
Procesadores de pago son responsables conjuntos en muchos casos (no solo encargados). El régimen jurídico es más complejo. Aceptación de términos al crear cuenta cubre el grueso; revisar si tienes alto volumen.
DPA y datos fuera de la Unión Europea: el matiz crítico.
Cuando un proveedor está fuera del EEE (EEUU, Reino Unido, India, etc.), el DPA solo no basta: se necesitan garantías adicionales para la transferencia internacional. Las dos vías principales son: (1) decisión de adecuación de la Comisión Europea (Reino Unido, Suiza, países declarados con nivel equivalente), o (2) Cláusulas Contractuales Tipo (SCC) firmadas + medidas técnicas adicionales (cifrado, pseudonimización).
Para EEUU: desde julio 2023 está en vigor el EU-US Data Privacy Framework, sucesor del Privacy Shield. Las empresas estadounidenses certificadas bajo este marco se consideran "adecuadas" y la transferencia es legal sin SCC adicionales. Google, Microsoft, Amazon, HubSpot, Mailchimp, OpenAI están certificadas. Es importante verificar la certificación en dataprivacyframework.gov antes de asumirla.
Para sectores muy regulados (sanidad, banca, defensa) muchas pymes están moviendo proveedores a alternativas europeas: OVHcloud, Scaleway, Hetzner (cloud), Brevo, Sendinblue (email), Matomo (analítica), Mistral (LLMs). Reducen exposición a riesgos de transferencias y simplifican auditorías. Coste similar o ligeramente superior.
Esto se relaciona con Consent Mode v2, AEPD y arquitectura edge computing con datos en región. En Magnetia revisamos cumplimiento de DPAs como parte estándar de proyectos de CRO web. Hablar es gratis: contacto.
Cinco errores típicos al gestionar DPAs
No firmar DPA con proveedores aceptando que ya está implícito
Aceptar términos generales de un SaaS no equivale a aceptar DPA. Hay que buscar específicamente el documento o cláusula DPA y firmarlo. Muchos SaaS lo separan del Terms of Service.
No tener inventario de proveedores
Mailchimp, HubSpot, Slack, Zoom, Dropbox, Asana, Notion, Loom, Calendly, Stripe... cada pyme tiene 15-40 proveedores SaaS. Sin inventario actualizado, es imposible asegurar que todos los DPAs están firmados.
No archivar las evidencias
DPA aceptado online sin descarga ni captura: si AEPD pide evidencia, no tienes nada. Hay que descargar PDF firmado o hacer captura con fecha. Repositorio centralizado (Drive, gestor documental).
Olvidar versiones nuevas del DPA
Los SaaS actualizan DPAs (nuevas SCC, cambios regulatorios). Cuando notifican cambio, hay que volver a aceptar. Muchas pymes ignoran emails de privacidad de sus SaaS y se quedan con DPA caducados.
No revisar subencargados
HubSpot subcontrata a AWS, AWS a otros. La cadena de subencargados está publicada por los grandes SaaS. Revisar al menos una vez al año si la lista cambia y si introduce algún proveedor problemático.
Dudas que nos hacéis llegar
¿Tienes DPA firmado con todos tus proveedores?
Revisamos tu inventario de proveedores SaaS, identificamos gaps de DPA y te ayudamos a cerrarlos. Plantilla de gestión documental incluida.