Acuerdo de procesamiento de datos

¿Qué es un acuerdo de procesamiento de datos?

Un acuerdo de procesamiento de datos (DPA, por sus siglas en inglés) es un contrato legalmente vinculante entre un responsable del tratamiento (controller) y un encargado del tratamiento (processor) que maneja datos personales en nombre del responsable. Es un requisito directo del artículo 28 del RGPD y debe establecer el propósito del procesamiento, su duración, los tipos de datos personales involucrados y las obligaciones del encargado en materia de seguridad, subencargados y ayuda para cumplir con los derechos de los interesados. El acuerdo en sí no es una base legal para el procesamiento; aún necesita una base lícita (como el consentimiento) según el artículo 6.

¿Por qué es importante un acuerdo de procesamiento de datos?

En una tienda en línea, usted comparte continuamente datos de clientes (nombres, direcciones, correos electrónicos, historial de pedidos) con proveedores que los procesan por usted. Sin un DPA firmado, carece de pruebas de que el procesamiento es lícito y, como responsable del tratamiento, sigue siendo responsable si un proveedor filtra datos. El acuerdo define la responsabilidad, le otorga el derecho de auditar al encargado y lo obliga a eliminar o devolver los datos cuando finalice la relación.

Casos de uso comunes

• Shopify como plataforma. Shopify procesa los datos de sus clientes y, por lo tanto, es un encargado del tratamiento para usted como responsable.
• Aplicaciones de terceros. Las aplicaciones de marketing por correo electrónico, reseñas, análisis y cumplimiento que acceden a los datos de los clientes requieren cada una un DPA.
• Agencias y autónomos. Cualquier parte externa que obtenga acceso a los datos personales de su tienda debe estar cubierta.
• Cambio de proveedores. El acuerdo garantiza que los datos se eliminen o migren correctamente al finalizar el contrato.

Perspectiva de Shopify

Shopify incorpora su Anexo de Procesamiento de Datos directamente en sus condiciones comerciales, por lo que está cubierto cuando las acepta; no hay un acuerdo separado que deba firmar con Shopify. Sin embargo, la responsabilidad recae en usted para garantizar que haya un DPA para cada aplicación de la App Store que instale. Mantenga un registro de sus subencargados y examine las aplicaciones vinculadas al consentimiento de cookies y el RGPD en particular antes de que toquen los datos de los clientes.