Models i registres · ISO 27701 · Apartat A.1 y A.2

Model de contracte d'encarregat del tractament ISO 27701

Cada proveïdor que tracta dades per compte de l'empresa necessita un contracte amb un contingut mínim fixat per llei. El sistema de privadesa controla que existeixi i que es compleixi.

En una frase

El contracte d'encarregat del tractament fixa l'objecte, la durada, la naturalesa i la finalitat del tractament, els tipus de dades i d'interessats i les obligacions de l'encarregat —instruccions documentades, confidencialitat, seguretat, subencarregats, ajuda amb drets i bretxes, devolució o esborrat final i auditories—, perquè així ho exigeix l'article 28.3 del RGPD; ISO/IEC 27701 recull aquests acords a les taules A.1 i A.2, des del costat del responsable i de l'encarregat.

Contingut revisat el 17 d'octubre de 2026

On ho demana la norma: ISO 27701 · Apartat A.1 y A.2 Es cita l'edició de 2025: els números del 4 al 10 són capítols; A.1, A.2 i A.3 són les taules de l'annex A amb els controls del responsable, de l'encarregat i comuns a tots dos.
Tipus d'informació: Document obligatori Document que cal mantenir vigent (art. 28.3 RGPD; taules A.1 i A.2)
Qui l'emplena: Compres o l'àrea contractant, amb el delegat El responsable del PIMS comprova que cap encarregat no tracta dades sense contracte
Quan: Abans que el proveïdor rebi dades Es revisa en renovar, en canviar el servei o en rebre avís de nous subencarregats
Quant de temps es conserva: Mentre duri el servei i després El fixa l'organització segons els terminis de prescripció de possibles responsabilitats

Què demana la norma

El que exigeix ISO 27701 i el que deixa al teu criteri

La norma demana al responsable que triï encarregats que ofereixin garanties suficients i que tingui amb ells un contracte que cobreixi els controls necessaris. A l'encarregat li demana que tracti les dades només segons les instruccions del client, que l'informi si una instrucció li sembla il·lícita i que controli els seus subencarregats.

L'article 28.3 enumera el contingut mínim del contracte. El 28.2 prohibeix recórrer a un altre encarregat sense autorització prèvia per escrit, específica o general; en la general, l'encarregat ha d'avisar dels canvis perquè el responsable s'hi pugui oposar.

El contracte no s'arxiva per oblidar-lo: el responsable ha de poder comprovar que es compleix, i el contracte li ha de permetre auditories o inspeccions (art. 28.3.h).

Llegeix-ho en context: Controls per a responsables i encarregats, a l'Acadèmia de ISO 27701

Estructura

Camps que ha de tenir el model

Objecte, durada, naturalesa i finalitat del tractament
Tipus de dades personals i categories d'interessats
Tractament només segons instruccions documentades
Confidencialitat del personal de l'encarregat
Mesures de seguretat de l'art. 32 RGPD
Règim de subencarregats i autorització
Ajuda amb drets, bretxes i avaluacions d'impacte
Devolució o supressió de les dades en acabar
Informació i auditories a disposició del responsable
Transferències internacionals, si n'hi ha

Exemple

Exemple: assessoria laboral d'una empresa fictícia

Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.

Camp	Contingut
Contracte	EN-2026-03 · Tallers Segre Nord, S. L. (responsable) i Assessoria Montseny (encarregada), totes dues fictícies
Objecte	Elaboració de nòmines i gestió d'altes i baixes a la Seguretat Social · Vigència anual prorrogable
Dades i interessats	Dades identificatives, bancàries i retributives de 86 empleats
Subencarregats	Autorització general; avís amb 30 dies per oposar-s'hi · Actual: proveïdor de programari de nòmines amb servidors a la UE
Bretxes	Avís al responsable en 24 hores des que l'assessoria en tingui constància
Final del contracte	Devolució en format estàndard i esborrat certificat en 30 dies
Revisió	Qüestionari de seguretat anual · Últim: febrer de 2026, sense troballes

A l'auditoria

Errors que solen assenyalar els auditors

Proveïdors amb accés a dades sense contracte, perquè «només donen suport».
Contractes genèrics que no descriuen ni les dades ni els interessats.
No se sap qui són els subencarregats del proveïdor de núvol.
El contracte preveu auditories, però l'encarregat no es revisa mai.

A Kimobox

Com es porta aquest registre a Kimobox

1Els encarregats es gestionen des del portal de proveïdors amb el seu contracte i el seu venciment.
2El sistema avisa abans que caduqui un contracte o una revisió.
3El registre d'activitats enllaça cada destinatari amb el seu contracte.
4Les revisions periòdiques es documenten com a avaluacions de proveïdor.

Preguntes freqüents

El que ens pregunten abans de començar

N'hi ha prou amb acceptar les condicions del proveïdor?

En pot haver prou si inclouen tot el contingut de l'article 28.3 i queden per escrit. Cal llegir-les: moltes ometen el règim de subencarregats o l'esborrat final.

Què aporta un encarregat certificat en ISO 27701?

Aporta evidència que el seu sistema de privadesa ha estat auditat, cosa que facilita demostrar les garanties suficients. No substitueix el contracte ni la revisió del responsable.

Porta els registres de ISO 27701 sense plantilles soltes

Et mostrem el mòdul funcionant amb dades semblants a les teves.

Demanar una demo

Continua explorant

Pàgines relacionades

Fonts

D'on surt cada dada

Referències al text oficial vigent. Si una norma es revisa, aquesta pàgina s'actualitza i la data de revisió ho reflecteix.

Reglament (UE) 2016/679, Reglament General de Protecció de Dades EUR-Lex · 27 d'abril de 2016; aplicable des del 25 de maig de 2018
ISO/IEC 27701:2025 — Sistemes de gestió de la informació de privadesa. Requisits i orientació ISO/IEC · Segona edició, octubre de 2025