Contratos con encargados (DPA): el acuerdo que exige el Art. 15 bis

Tu empresa comparte datos personales con más proveedores de los que crees: el CRM, la plataforma de email marketing, el ERP en la nube, el servicio de payroll, la agencia que maneja tus campañas. Cada uno de ellos, cuando trata datos siguiendo tus instrucciones, es un encargado de tratamiento. Y la Ley 21.719 es explícita: antes de compartir esos datos, debe existir un contrato.

El Art. 15 bis fija las reglas del encargo. No basta un correo de “confío en ustedes”: el contrato debe constar por escrito, definir las cláusulas mínimas del tratamiento, regular la subcontratación —que requiere autorización expresa— y obligar al encargado a las mismas medidas de seguridad y deber de secreto que tú. Sin ese acuerdo, cada dato que sale a ese proveedor sale sin cobertura legal.

El problema no es firmar: es mantener

Conseguir que un proveedor firme el primer DPA es relativamente simple. Lo difícil es lo que viene después: los contratos vencen en 12 o 24 meses, los proveedores cambian, entran sub-encargados nuevos, y nadie lleva la cuenta. El día que llega una fiscalización —o una brecha en ese proveedor— descubres que el contrato venció hace ocho meses o que nunca se firmó.

Operar con un encargado sin DPA vigente no es un descuido administrativo: es tratar datos sin la garantía que exige el Art. 15 bis.

1 — Plantillas que ya cubren las cláusulas mínimas

DPOLab trae plantillas por tipo de encargo —nacional, sub-encargado y transferencia internacional—, cada una redactada para cubrir los requisitos del Art. 15 bis y reforzar las cláusulas cuando se tratan datos sensibles. Partes de un acuerdo conforme en vez de redactar desde cero o reutilizar un modelo genérico que no calza con la ley chilena.

2 — Lifecycle con estados, no una carpeta de PDFs

Un contrato no es un archivo: es un ciclo de vida. DPOLab lo modela con estados explícitos —borrador, enviado a firma, firmado, vigente, vencido y renovado— y deja cada transición en una línea de tiempo. En cualquier momento sabes qué encargados están cubiertos y cuáles no, sin abrir un drive a revisar fechas a mano.

3 — Alertas de vencimiento antes de que sea tarde

Aquí está el valor operativo. Workers automáticos revisan a diario los contratos próximos a vencer y los encargados sin DPA firmado, y avisan con antelación —no dependes de que el consultor lo tenga en su agenda—. La renovación deja de ser una urgencia descubierta tarde para volverse un recordatorio anticipado.

4 — Conectado al RAT y al mapa de datos

Cada contrato se asocia a las actividades del RAT que cubre y a los sistemas del mapa de datos donde vive ese proveedor. Así, si eliminas una actividad o cambias un sistema, los contratos afectados se marcan para revisión. La trazabilidad es de doble vía: del dato al contrato y del contrato al dato.

Lo que ganas

Gestionar los DPA en una plataforma no es digitalizar un trámite. Es pasar de una carpeta de contratos que envejece a un control que:

• Parte de cláusulas conformes al Art. 15 bis, según el tipo de encargo.
• Sabe en todo momento qué encargados están cubiertos y cuáles no.
• Avisa de los vencimientos antes de que ocurran, de forma automática.
• Conecta cada contrato con las actividades y sistemas que dependen de él.

Es la diferencia entre tener contratos y saber que están vigentes.

Si quieres ver el estado real de tus encargados, agenda un diagnóstico o pide una prueba. Y si prefieres acompañamiento para levantar el inventario de encargados y sus contratos, el equipo de Codevsys ofrece la implementación guiada.