Subencargado del tratamiento

Un subencargado es contratado por un encargado, no directamente por el responsable. El alojamiento en la nube, los servicios de bases de datos, los proveedores de correo electrónico, los procesadores de pagos, las plataformas de mensajería y los servicios de extracción con IA son ejemplos típicos para un producto de software. Según el RGPD, el encargado necesita la autorización previa del responsable, que normalmente se concede con carácter general en el contrato de encargo de tratamiento, junto con un derecho de oposición a los cambios.

El encargado debe imponer contractualmente las mismas obligaciones de protección de datos a cada subencargado y sigue siendo plenamente responsable ante el responsable de su desempeño. Cuando un subencargado se encuentra fuera del EEE, se requiere un mecanismo de transferencia como el EU-US Data Privacy Framework o las cláusulas contractuales tipo. Publicar una lista actualizada de subencargados con la finalidad y la ubicación de cada proveedor, y notificar los cambios con antelación, es la forma habitual de cumplir el requisito de transparencia. Kontevia publica dicha lista y notifica a los usuarios antes de incorporar un nuevo proveedor.