Gestoría, hosting o software: cuándo necesitas un contrato de encargado de tratamiento
3 de noviembre de 2026 · 3 min de lectura
Tienes a alguien que te lleva las nóminas, una web alojada en un servidor de otra empresa y un programa de facturas en la nube. Los tres manejan datos personales de tus clientes o de tus empleados. La pregunta es si, además del presupuesto, tienes con ellos un contrato de protección de datos.
Qué es un encargado del tratamiento
Según la AEPD, para saber quién es quién hay que mirar quién decide los fines del tratamiento y los medios. Quien decide es el responsable, y normalmente eres tú: tus clientes, tus empleados, tus datos. El encargado es el que los trata por cuenta tuya, siguiendo tus instrucciones.
Ejemplos de cada día
- La gestoría que prepara las nóminas con los datos de tus empleados.
- El proveedor de hosting donde está tu web, con su formulario de contacto y su base de datos.
- El programa en la nube con tu agenda de clientes, tu facturación o tu control de horarios.
- La empresa que te hace el mantenimiento informático y entra en tus equipos.
En todos esos casos el proveedor puede acceder a datos personales que son tuyos. Si, en cambio, decide por su cuenta para qué los usa, la relación cambia y conviene mirar cada caso.
Lo que exige el RGPD
La AEPD lo dice claro: la relación entre responsable y encargado debe formalizarse en un contrato o en un acto jurídico que vincule al encargado. Tiene que constar por escrito, y vale el formato electrónico. Un correo que diga que cumple el RGPD no es el contrato. Y los contratos anteriores a mayo de 2018 se tienen que haber adaptado al artículo 28; no vale remitirse de forma genérica a él.
Qué tiene que incluir
El contenido mínimo, según la guía de la AEPD sobre el contrato de encargado, abarca el objeto, la duración, la naturaleza y finalidad del tratamiento, el tipo de datos y las categorías de personas afectadas. Además:
- Que el encargado trate los datos solo según tus instrucciones.
- Confidencialidad de las personas que accedan a ellos.
- Medidas de seguridad.
- Reglas para subcontratar: el encargado necesita tu autorización previa, por escrito, para poner a otro proveedor por debajo.
- Ayuda para atender los derechos de las personas (acceso, borrado) y para gestionar brechas.
- Qué pasa con los datos al terminar: se devuelven o se destruyen, y se dice cómo y cuándo.
- Cómo puede demostrar que cumple y si se admiten auditorías.
El plazo para avisarte de una brecha
Un detalle que casi nadie escribe y que luego se echa de menos. La AEPD recomienda fijar en el contrato el plazo en que el encargado debe avisarte de una brecha, y que no supere las 72 horas. Si no lo pone, tu reloj puede estar corriendo sin que lo sepas.
Tú también tienes un deber
Tienes que elegir a un encargado que ofrezca garantías suficientes, en conocimientos, fiabilidad y recursos. Adherirse a códigos de conducta o tener certificados puede servir como prueba. Y sigues siendo el responsable del tratamiento aunque lo delegues.
Antes de pagar la siguiente cuota
Muchos proveedores incluyen su contrato de tratamiento de datos en las condiciones o lo ofrecen en el panel de cliente. Búscalo, léelo y guarda una copia. Si no existe, pídelo.
Resumen práctico
- Haz una lista de proveedores que acceden a datos de tus clientes o empleados.
- Para cada uno, comprueba si tienes un contrato de encargado por escrito.
- Revisa que incluya instrucciones, seguridad, subcontratación, brechas y qué se hace con los datos al terminar.
- Pide a los que no lo tengan que te lo envíen.
- Guarda una copia y revísalo cuando cambies de proveedor o de servicio.
En Guardián de Datos revisamos tus proveedores y preparamos los contratos de encargado que te falten.
¿Quieres que revisemos cómo lo tienes tú?
Escríbenos y te decimos, sin compromiso, qué te falta y qué ya tienes cubierto.
Solicita presupuesto