Acuerdo de encargo del tratamiento (DPA)
Estas plantillas siguen el RGPD en general. No pretenden cumplir el derecho nacional de cada país. En España, la autoridad habitual para el sector privado es la AEPD. Cataluña, el País Vasco y Andalucía tienen autoridades propias para parte del sector público. La competencia sigue siendo la del establecimiento principal del responsable (artículo 56 del RGPD).
Entre el cliente del servicio, como responsable (el Responsable),
y Atelier Exemple, 10 rue de l'Exemple, 75002 Paris, France, contact@exemple-saas.example (el Encargado).
Este acuerdo se aplica cuando el Encargado trata datos personales por cuenta del Responsable para el servicio en https://exemple-saas.example. No cubre los tratamientos de los que el prestador es responsable.
1. Objeto, naturaleza y duración
El Encargado aloja, almacena y muestra los datos necesarios para el servicio y genera los archivos que genera el producto. Duración: el contrato y después la supresión o devolución del artículo 8, salvo que una ley aplicable al Encargado exija un archivo más largo.
2. Instrucciones documentadas
El Encargado actúa solo según instrucciones documentadas, incluido este acuerdo, salvo que el Derecho de la Unión o de un Estado miembro exija otra cosa. En ese caso informa al Responsable antes de tratar, salvo que la ley prohíba la información.
3. Confidencialidad
Las personas autorizadas están sujetas a confidencialidad.
4. Seguridad
El prestador aplica medidas técnicas y organizativas apropiadas según el artículo 32 del RGPD (control de acceso, HTTPS, minimización, prestadores profesionales), sin prometer que no queda riesgo residual. No se marcaron ISO 27001 ni SOC 2: no se alega ninguna de esas certificaciones.
5. Subencargados
El Responsable autoriza a los de la cláusula 3. El Encargado informa antes de añadir o sustituir uno. El Responsable puede oponerse en 30 días. Si la oposición no se resuelve, puede cesar el tratamiento afectado.
6. Asistencia
El Encargado ayuda al Responsable, en lo posible, con las solicitudes de los interesados, la seguridad, las notificaciones y las evaluaciones de impacto.
7. Violación
El Encargado notifica al Responsable una violación de datos personales sin dilación indebida desde que tiene conocimiento. Este modelo no inventa un número fijo de horas.
8. Supresión y devolución
Al final del servicio, el Encargado suprime o devuelve los datos, a elección del Responsable, y suprime las copias restantes salvo que la ley exija conservarlas.
9. Auditorías
El Responsable puede auditar, también mediante una persona obligada a confidencialidad, con un preaviso razonable, como máximo una vez al año, salvo violación o requerimiento de una autoridad. Puede rechazarse a un auditor competidor.
10. Transferencias
Las transferencias fuera del EEE usan un mecanismo del capítulo V del RGPD. La cláusula 3 repite lo que publica el editor. No añade un mecanismo que la ficha marca como no comunicado.
11. Responsabilidad
El artículo 82 del RGPD se aplica frente a los interesados. El contrato no traslada la multa propia de una parte a la otra. No se añade una indemnización nacional a tanto alzado.
Anexo 1 — Descripción
- Objeto: el servicio en https://exemple-saas.example.
- Operaciones: alojamiento, autenticación si se usa, almacenamiento, generación de archivos, soporte, registros.
- Personas: usuarios del Responsable y su personal. Otras categorías no las comunica este modelo.
Anexo 2 — Seguridad
El prestador aplica medidas técnicas y organizativas apropiadas según el artículo 32 del RGPD (control de acceso, HTTPS, minimización, prestadores profesionales), sin prometer que no queda riesgo residual. No se marcaron ISO 27001 ni SOC 2: no se alega ninguna de esas certificaciones.
Anexo 3 — Encargados autorizados
- Scaleway, S.A.S. (Scaleway) — European Union — Cloud (compute, storage, databases). The DPA covers data uploaded to a service ordered through the account. A more detailed list is not published. The DPA (1 June 2024) says services are located in the European Union by default. Scaleway is not registered under the Data Privacy Framework.
- Stripe Payments Europe, Limited (Stripe) — Irlanda (grupo Stripe, Inc., Estados Unidos) — Pago y facturación. Datos de pago, identificadores de transacción, correo de facturación. El editor no guarda los números de tarjeta completos. Stripe Payments Europe actúa como responsable o encargado según el flujo; transferencias intragrupo cubiertas por CCT.
- Resend, Inc. (Resend) — Estados Unidos — Envío de correos transaccionales. Direcciones de los destinatarios, asunto y contenido, registros de envío. Transferencia fuera de la UE cubierta por CCT.
- Plausible Insights OÜ (Plausible) — Estonia — Medición de audiencia sin cookies. Páginas vistas agregadas, país aproximado, user-agent, referente. Sin cookie publicitaria. Tratamiento en la UE (Estonia). Compruebe el alojamiento de su cuenta.
| Herramienta | Entidad jurídica | País | Función |
|---|---|---|---|
| Scaleway | Scaleway, S.A.S. | European Union | Cloud (compute, storage, databases) |
| Stripe | Stripe Payments Europe, Limited | Irlanda (grupo Stripe, Inc., Estados Unidos) | Pago y facturación |
| Resend | Resend, Inc. | Estados Unidos | Envío de correos transaccionales |
| Plausible | Plausible Insights OÜ | Estonia | Medición de audiencia sin cookies |
Aviso. Este archivo es un modelo generado por StackLégal a partir de lo que usted indicó. No es un asesoramiento jurídico ni un certificado de conformidad. Revíselo. Si hay riesgo (salud, finanzas, menores, datos sensibles, clientes enterprise), hágalo leer por un profesional del derecho.
Modelo del 6 October 2026. Solo la estructura: Reglamento (UE) 2016/679, en particular los artículos 12 a 14, 28, 32 y 82; Directiva 2011/83/UE sobre desistimiento cuando hay un consumidor; Reglamento (UE) 2022/2065 (DSA) si los usuarios publican contenido. No se cita una ley nacional como si rigiera en todas partes.
Modelo rellenado para: Atelier Exemple — https://exemple-saas.example