Usted firma un VPS “compatible con GDPR”. La DPA es un PDF de dos páginas: “el proveedor del servicio se compromete a cumplir la normativa”. Sin lista de subcontratistas, sin incumplimiento de plazo, sin procedimiento de eliminación en caso de rescisión. Un año después, auditoría de clientes: bloqueo.
El acuerdo de subcontratación (DPA) art. 28 no es repetitivo. Este es el contrato que obliga al anfitrión a procesar sus datos personales únicamente siguiendo instrucciones documentadas.
Cláusulas no negociables (mínimo)
Asunto y duración: producto exacto (Pro compartido, VPS Gravelines), duración alineada con el contrato de hosting.
Naturaleza y propósito: alojamiento, ejecución de código, almacenamiento, registros de infraestructura.
Instrucciones documentadas: ticket, runbook o contrato marco; ningún tratamiento fuera de la instrucción.
Confidencialidad: personal que accede a los datos.
Arte de seguridad. 32: cifrado, control de acceso, copias de seguridad, pruebas.
Subencargados — lista + notificación de cambio + derecho de oposición.
Asistencia en materia de derechos individuales, EIPD, incumplimiento — plazo de notificación de incumplimiento (≤72 horas), cooperación CNIL.
Fin de contrato — eliminación/devolución + certificado.
| Cláusula | Señal débil | Señal fuerte |
|---|---|---|
| Subcontratistas | “Socios de confianza” | Lista PDF fechada + notificación de 30 días |
| Incumplimiento | “De conformidad con la ley” | ≤72 h + detalles proporcionados |
| Eliminación | “Mejores esfuerzos” | Plazo 30 días + certificado |
| Ubicación | “Unión Europea” | Región + copia de seguridad de exclusiones |
Rechazar o negociar
Cláusulas de exclusión de responsabilidad total en caso de incumplimiento. Prohibición de auditoría. Transferencia gratuita fuera de la UE sin mecanismo. “Oferta global” aplicable a DPA sin su producto.
La cumbre: la DPA protege al responsable del tratamiento, no al vendedor
Decide y avanza sin puntos ciegos
- Descargue DPA antes de firmar, no después.
- Consultar lista de verificación Art. 28 punto por punto.
- Mapear subcontratistas upstream (CDN, soporte, hardware).
- Alinear registro y transferencias fuera de la UE.
Preguntas frecuentes
¿El anfitrión sigue siendo un subcontratista?
Sí, si procesa según tus instrucciones; no si establece sus objetivos.
¿DPA estándar aceptable?
Después de revisión perimetral, ST, incumplimiento, eliminación.
¿Anfitrión de SCC UE?
Si cadena upstream estadounidense o transferencia fuera de la UE.
¿Fin del contrato?
Eliminación/devolución + certificado + máx.
Un DPA sólido se interpreta como obligaciones mensurables, no como una promesa de “pleno cumplimiento” en la caída de ventas.