Contrato de encargado
Objeto, duración, instrucciones, confidencialidad, seguridad, asistencia y devolución o borrado al final.
RGPD art. 28.3Sector
Protección de datos en empresas de software y SaaS
Actualizado el 30 de octubre de 2026 · Pietro Cravero, delegado de protección de datos con certificación italiana IDcert
Una empresa de software que trata datos por cuenta de sus clientes es encargada del tratamiento: necesita un contrato con el contenido del art. 28 RGPD, autorización para usar subencargados y medidas de seguridad. Debe nombrar DPD si su actividad principal implica observación habitual y sistemática a gran escala (art. 37.1.b RGPD), si trata a gran escala categorías especiales de datos, por ejemplo software clínico (art. 37.1.c RGPD), o si elabora perfiles a gran escala como prestador de servicios de la sociedad de la información (art. 34.1.d LOPDGDD).
Los puntos que más fallan en este sector
Subencargados
Nube, correo, soporte: lista publicada y aviso a los clientes antes de cambiarla.
RGPD art. 28.2 y 28.4Transferencias
Proveedores fuera del EEE: decisión de adecuación o cláusulas contractuales tipo.
RGPD arts. 44 a 46Brechas
Avisar al cliente sin dilación indebida; la notificación a la AEPD es del cliente.
RGPD art. 33.2Inteligencia artificial
Si el producto integra IA, puede haber obligaciones como proveedor según el Reglamento de IA, además del RGPD.
Reglamento (UE) 2024/1689Caso típico
El cuestionario de un cliente
- 1
Un hospital pide rellenar un cuestionario de seguridad antes de contratar.
- 2
Preguntas típicas: dónde están los servidores, quién accede, cifrado, copias, subencargados.
- 3
Siempre aparece la pregunta: ¿quién es vuestro delegado de protección de datos?
- 4
Tener las respuestas listas acorta la venta; no tenerlas puede bloquearla.
Preguntas frecuentes
¿Una startup de diez personas necesita DPD?
Depende de lo que hace el producto, no del tamaño. Si su actividad principal es observar a usuarios a gran escala, sí; si solo aloja datos de clientes empresariales sin categorías especiales a gran escala, normalmente no.
¿Quién responde ante la AEPD si hay una brecha?
El cliente, como responsable, notifica la brecha. La AEPD puede sancionar también al encargado por incumplir sus propias obligaciones (art. 83 RGPD; art. 70 LOPDGDD), y frente al afectado responde de los daños si actúa al margen de las instrucciones (art. 82.2 RGPD).
¿El contrato de encargado puede ir en las condiciones generales?
Sí, siempre que contenga todo lo del art. 28.3 RGPD y sea vinculante para ambas partes.
Guías relacionadas: IA y protección de datos en EspañaBrechas de datos y plazo de 72 horas
Por comunidad: Comunidad de MadridPaís Vasco
Otros sectores: Clínicas y centros sanitariosColegios y centros educativosAyuntamientos y entidades localesHoteles y alojamientos turísticosTiendas online y comercio electrónico
Información general, no asesoramiento sobre un caso concreto. Actualizado el 30 de octubre de 2026.
¿Quieres una valoración de tu caso?
La primera evaluación es gratuita y por escrito.