Modelo de anexo DPA para proveedores en Chile
Actualizado el
Sí, existe un modelo base de anexo DPA que puede adaptar a sus contratos. El DPA, o contrato de encargo, es el acuerdo que regula qué puede hacer un proveedor con los datos personales que usted le entrega, y la Ley 21.719 lo exige cuando un tercero trata datos por cuenta suya, por ejemplo un CRM, una pasarela de pago o un proveedor de nube. Como mínimo debe fijar la finalidad y las instrucciones del tratamiento, la confidencialidad, las medidas de seguridad, el uso de subencargados, la asistencia ante brechas y derechos, y la devolución o eliminación de los datos al terminar. La falta de DPA es la brecha más común en Chile, pero se remedia firmando, no es ilegal por sí sola. Descargue la plantilla como punto de partida y cierre la brecha con todos sus proveedores usando el Pack Remediación DPA.
La Ley 21.719 exige que la relación entre el responsable y el encargado del tratamiento conste en un contrato que fije la finalidad, el alcance y las obligaciones del encargado, incluidas la confidencialidad, la seguridad y el uso de subencargados.
Qué es el anexo DPA y por qué su empresa lo necesita
DPA es la sigla en inglés de acuerdo de tratamiento de datos. En la práctica es un anexo que se agrega al contrato con cada proveedor que, para prestarle un servicio, termina procesando datos personales de sus clientes, trabajadores o postulantes. Bajo la Ley 21.719 ese proveedor actúa como encargado del tratamiento, y usted, como responsable, debe dejar por escrito qué puede y qué no puede hacer con esos datos.
El caso típico no es exótico. Su CRM, su sistema de facturación, su plataforma de correos, la empresa que le lleva las remuneraciones, el hosting: todos son SaaS que ven datos personales. El anexo DPA es lo que convierte esa relación de hecho en una relación regulada. Sin ese documento, usted no tiene forma de acreditar que instruyó al proveedor sobre cómo cuidar los datos.
Cláusulas mínimas que debe contener el anexo
Un anexo DPA serio no necesita ser largo, pero sí debe cerrar estos puntos. Si su plantilla no los cubre, no está protegiendo nada:
- Objeto y finalidad: qué datos se tratan y para qué exacto (no vale un 'para lo que sea necesario').
- Instrucciones documentadas: el proveedor solo trata los datos según lo que usted le indique por escrito.
- Confidencialidad: obligación de reserva del proveedor y de su personal.
- Medidas de seguridad: cifrado, control de accesos y respaldo, en proporción al riesgo de los datos.
- Subencargados: si el proveedor usa a su vez a terceros (por ejemplo su nube), debe informarlos y responder por ellos.
- Asistencia: apoyo para responder a titulares que ejerzan sus derechos y para notificar brechas de seguridad.
- Devolución o eliminación: qué pasa con los datos al terminar el contrato.
- Ubicación de los datos: dónde se alojan, sobre todo si salen de Chile.
| Cláusula | Qué asegura |
|---|---|
| Finalidad e instrucciones | El proveedor solo trata datos para lo pactado |
| Confidencialidad | El personal del proveedor guarda reserva |
| Seguridad | Medidas técnicas y organizativas mínimas |
| Subencargados | No subcontrata sin autorización suya |
| Asistencia | Ayuda ante brechas y derechos ARCOP |
| Devolución o eliminación | Los datos vuelven o se borran al terminar |
La plantilla gratuita como punto de partida
Ponemos a disposición una plantilla base de anexo DPA en español, redactada para la Ley 21.719, que ya incluye estas cláusulas mínimas. Es un recurso gratuito y sirve para empezar a ordenar sus proveedores hoy mismo. Dejar el correo es opcional: si lo prefiere, puede descargarla y trabajarla por su cuenta.
Una plantilla es un buen punto de partida, no un punto de llegada. El texto genérico hay que ajustarlo a cada proveedor: no es lo mismo el DPA de un hosting que el de la empresa que procesa datos de situación socioeconómica o de salud, que en Chile son datos sensibles y exigen más cuidado. Para eso conviene entender bien qué es un contrato de encargo del tratamiento antes de firmar en serie.
No tener DPA es una brecha que se remedia, no un delito
Conviene bajar el nivel de alarma. Que hoy le falte el anexo con un proveedor SaaS no significa que usted esté haciendo una transferencia internacional ilegal ni que haya cometido una infracción irreversible. Es una brecha documental, y las brechas documentales se cierran firmando el anexo que faltaba.
El error opuesto tampoco ayuda: dejarlo para diciembre. La fiscalización de la Ley 21.719 parte el 1 de diciembre de 2026 y esa fecha es firme. Lo razonable es levantar la lista de proveedores que tratan datos por usted, priorizar los que ven datos sensibles y avanzar anexo por anexo, junto a su asesor legal cuando el caso lo amerite.
De la plantilla al anexo firmado con todos sus proveedores
Si tiene diez, veinte o cincuenta proveedores, el trabajo real no es redactar el texto, sino inventariar quién trata qué, mandar el anexo, negociar los cambios que pida cada proveedor y dejarlo firmado. Ese es el trabajo que resuelve nuestro Pack de Remediación DPA: revisamos su base de proveedores, adaptamos el anexo a cada uno y lo dejamos cerrado, a precio fijo.
Este inventario, además, no se pierde. Alimenta directamente su registro de actividades de tratamiento, que es otro de los documentos que le van a pedir. Somos implementación, no un estudio jurídico: trabajamos junto a su asesor legal, no en su lugar.
Preguntas frecuentes
¿Existe una plantilla oficial de anexo DPA en Chile?
No hay un formato oficial obligatorio publicado por la autoridad. La Agencia de Protección de Datos aún no está constituida, así que hoy nadie certifica un modelo. Lo que sí exige la Ley 21.719 son los contenidos: finalidad, instrucciones, confidencialidad, seguridad, subencargados y devolución de datos. Nuestra plantilla los cubre y sirve como base sólida.
¿Me pueden multar solo por no tener el anexo DPA firmado?
La falta de un anexo es una brecha que se remedia firmando, no una infracción imposible de corregir. El régimen sí contempla sanciones, pero lo sensato no es actuar por miedo a la multa, sino tener los documentos en orden antes del 1 de diciembre de 2026. Priorice los proveedores que tratan datos sensibles.
¿La plantilla gratuita me sirve tal cual para todos mis proveedores?
Sirve como punto de partida. El texto base hay que ajustarlo por proveedor: no es igual el anexo de un hosting que el de quien procesa datos de salud o situación socioeconómica, que en Chile son sensibles. Descárguela, adáptela y, para casos delicados, revíselo con su asesor legal.
¿Qué diferencia hay entre el anexo DPA y el contrato de encargo del tratamiento?
Son lo mismo visto desde ángulos distintos. El contrato de encargo del tratamiento es la figura legal que regula a un tercero que trata datos por su cuenta, y el anexo DPA es el documento con el que se instrumenta esa relación en la práctica, sumándolo al contrato de servicio que ya tiene con el proveedor.