El contrato con sus proveedores (DPA)
Es la brecha de cumplimiento más común en Chile. La Ley 21.719 exige un contrato de encargo de tratamiento con todo proveedor que accede a datos personales por usted, con cláusulas mínimas de finalidad, seguridad, subprocesadores y auditoría. Ojo con una exageración que circula: no tener un DPA no lo convierte automáticamente en una «transferencia internacional ilegal»; es una brecha que se remedia.
Las cláusulas mínimas que debe contener
- Finalidad y alcance del tratamiento encargado.
- Medidas de seguridad proporcionales al riesgo.
- Régimen de subprocesadores (a quién puede el proveedor subcontratar).
- Deber de confidencialidad y de asistencia ante derechos de los titulares.
- Auditoría y devolución o eliminación de datos al término.
Por qué le llega antes de lo que cree
La presión no viene primero de la Agencia (que aún no está constituida): viene de sus clientes grandes, que están empezando a exigir a sus proveedores un anexo de tratamiento firmado. Es la parte que frena una licitación. Nuestro Pack lo deja listo.
Preguntas frecuentes
¿Qué es un DPA?
Un DPA (contrato de encargo del tratamiento) es el contrato entre el responsable de los datos y cada proveedor que los trata por su encargo. La Ley 21.719 exige cláusulas mínimas de finalidad, seguridad, subprocesadores y auditoría.
¿Cuál es la diferencia entre responsable y encargado?
El responsable decide para qué y cómo se tratan los datos. El encargado los trata por cuenta del responsable (por ejemplo, un proveedor SaaS). El DPA regula esa relación.
¿Mis proveedores SaaS extranjeros (HubSpot, Salesforce, AWS) cuentan?
Sí. Si acceden a datos personales por usted, necesita un DPA con ellos. No tenerlo es una brecha que se remedia, no automáticamente una «transferencia internacional ilegal».