Este esquema técnico no es un documento legal, no debe aceptarse como tal y no permite activar el registro en producción. Requiere redacción y aprobación de asesoría jurídica cualificada.
Legal
Estructura provisional del Acuerdo de Tratamiento de Datos
Los compradores piden un DPA antes de poder pagar. Esta página dice con claridad qué no está acordado todavía, para que nadie confíe en un documento que no existe. No es un DPA, no puede firmarse y no genera obligaciones.
- Versión de trabajo
2026-08-21- Estado
- Borrador; no vigente
- Aprobación jurídica
- Pendiente
- Responsable
- Sin asignar; se requiere responsable legal
Lo que el acuerdo debe establecer
Asesoría debe redactar, y ambas partes acordar, el texto correcto sobre:
- las entidades contratantes, y cuál actúa como responsable y cuál como encargada
- el objeto, la duración, la naturaleza y la finalidad del tratamiento
- las categorías de datos personales y de interesados afectadas
- las instrucciones del cliente y los límites de cualquier tratamiento fuera de ellas
Obligaciones que hay que redactar, no suponer
No hay posición aprobada sobre:
- los compromisos de confidencialidad del personal con acceso
- las medidas de seguridad comprometidas, distintas de las descritas en la página de seguridad
- la notificación de brechas: qué se comunica, a quién y en qué plazo
- la asistencia con derechos de los interesados, evaluaciones de impacto y auditorías
- la eliminación y devolución de los datos al terminar la relación
Encargados y transferencias
La lista actual de proveedores está publicada en la página de encargados. El acuerdo debe resolver todavía el mecanismo de autorización, cómo se notifican los cambios, cómo se tratan las objeciones y las garantías aplicables a cualquier tratamiento fuera del EEE.
Hasta que esté firmado
CitePatch no afirmará que existe un DPA. Si tu organización necesita uno antes de comprar, dilo y se tratará como un bloqueante, no como un trámite.