Data processing agreement (DPA)

El DPA es algo distinto de la política de privacidad que muestras a tus clientes finales. Mientras que esta informa a los interesados sobre el tratamiento, el DPA define la facultad de dar instrucciones: tú sigues siendo el responsable y el proveedor solo puede actuar siguiendo tus instrucciones. En la automatización del marketing con herramientas estadounidenses como HubSpot o Mailchimp, esta diferencia tiene consecuencias prácticas. El proveedor trata tus datos de contacto, pero no toma decisiones propias sobre la finalidad ni sobre la forma del tratamiento. Esa sujeción a tus instrucciones lo convierte en encargado del tratamiento, no en corresponsable.

En el día a día B2B necesitas un DPA con prácticamente cada proveedor SaaS que trate datos personales: sistemas CRM, herramientas de email, plataformas de analítica, proveedores de chatbots. La mayoría de los proveedores estadounidenses ofrecen DPA estandarizados que puedes aceptar online. Con las Customer Data Platforms o los agentes de IA la cosa se complica, porque los flujos de datos hacia terceros países sin decisión de adecuación exigen medidas de protección adicionales. Desde Schrems II, las cláusulas contractuales tipo ya no bastan de forma automática: tienes que comprobar caso por caso si la legislación del país de destino vacía de contenido las garantías contractuales, y solo si ese análisis revela lagunas necesitas medidas adicionales como el cifrado o la seudonimización, que impidan en la práctica el acceso de las autoridades.

La mayor trampa es la ilusión del cumplimiento. Un DPA firmado no te protege automáticamente de las multas. Las autoridades de control comprueban cada vez más si de verdad supervisas el cumplimiento de las obligaciones contractuales. Eso significa auditorías periódicas, documentación de los incidentes de protección de datos y pruebas de que se respetan los plazos de supresión. En los sistemas de IA se suma que muchos proveedores no pueden aislar por completo los datos de entrenamiento. Si los datos de tus clientes acaban en un modelo que usan otros clientes, se vulnera la sujeción a tus instrucciones. Los costes no vienen tanto del DPA en sí como del trabajo continuo de cumplimiento: asesoría jurídica, delegados de protección de datos, revisiones técnicas.

Al elegir proveedores de servicios, asegúrate de que el DPA especifique medidas técnicas y organizativas concretas, no solo declaraciones de intenciones genéricas. Comprueba si el proveedor recurre a subencargados y cómo se regula su control. En la privacidad de datos aplicada al marketing rige una regla: cuanto más sensibles son los datos, más estrictas deben ser las instrucciones. Para el envío de newsletters basta un DPA estándar. Para analítica predictiva con datos de salud necesitas acuerdos individuales que definan con exactitud la limitación de la finalidad y los plazos de supresión. El DPA no es un formulario, sino un instrumento para gobernar los flujos de datos, y tienes que gestionarlo de forma activa.