Contrato de encargo de tratamiento (DPA)

Siempre que una empresa permite que un proveedor de servicios trate datos personales en su nombre, el RGPD exige un contrato por escrito. El contrato de encargo de tratamiento define el objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos y las categorías de interesados, y las obligaciones del encargado: actuar solo siguiendo instrucciones documentadas, mantener los datos confidenciales y seguros, colaborar con las solicitudes de los interesados y las notificaciones de violaciones, suprimir o devolver los datos al finalizar y permitir auditorías.

El contrato también regula a los subencargados: el encargado solo puede contratarlos con la autorización general o específica del responsable y debe trasladarles las mismas obligaciones. En el caso de un software de contabilidad, el usuario es el responsable de los datos de sus documentos y el proveedor del software es el encargado. El DPA de Kontevia forma parte de sus términos y enumera a los subencargados que participan en la prestación del servicio.