Modelos y registros · ISO 27701 · Apartado A.1 y A.2

Modelo de contrato de encargado del tratamiento ISO 27701

Cada proveedor que trata datos por cuenta de la empresa necesita un contrato con un contenido mínimo fijado por ley. El sistema de privacidad controla que exista y que se cumpla.

En una frase

El contrato de encargado del tratamiento fija el objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos y de interesados y las obligaciones del encargado —instrucciones documentadas, confidencialidad, seguridad, subencargados, ayuda con derechos y brechas, devolución o borrado final y auditorías—, porque así lo exige el artículo 28.3 del RGPD; ISO/IEC 27701 recoge esos acuerdos en las tablas A.1 y A.2, desde el lado del responsable y del encargado.

Contenido revisado el 17 de octubre de 2026

Dónde lo pide la norma: ISO 27701 · Apartado A.1 y A.2 Se cita la edición de 2025: los números de 4 a 10 son capítulos; A.1, A.2 y A.3 son las tablas del Anexo A con los controles del responsable, del encargado y comunes a ambos.
Tipo de información: Documento obligatorio Documento que hay que mantener vigente (art. 28.3 RGPD; tablas A.1 y A.2)
Quién lo rellena: Compras o el área contratante, con el delegado El responsable del PIMS comprueba que ningún encargado trata datos sin contrato
Cuándo: Antes de que el proveedor reciba datos Se revisa al renovar, al cambiar el servicio o al recibir aviso de nuevos subencargados
Cuánto se conserva: Mientras dure el servicio y después Lo fija la organización según los plazos de prescripción de posibles responsabilidades

Qué pide la norma

Lo que exige ISO 27701 y lo que deja a tu criterio

La norma pide al responsable elegir encargados que ofrezcan garantías suficientes y tener con ellos un contrato que cubra los controles necesarios. Al encargado le pide tratar los datos solo según las instrucciones del cliente, informarle si una instrucción le parece ilícita y controlar a sus subencargados.

El artículo 28.3 enumera el contenido mínimo del contrato. El 28.2 prohíbe recurrir a otro encargado sin autorización previa por escrito, específica o general; en la general, el encargado debe avisar de los cambios para que el responsable pueda oponerse.

El contrato no se archiva y se olvida: el responsable debe poder comprobar que se cumple, y el contrato debe permitirle auditorías o inspecciones (art. 28.3.h).

Léelo en contexto: Controles para responsables y encargados, en la Academia de ISO 27701

Estructura

Campos que debe tener el modelo

Objeto, duración, naturaleza y finalidad del tratamiento
Tipos de datos personales y categorías de interesados
Tratamiento solo según instrucciones documentadas
Confidencialidad del personal del encargado
Medidas de seguridad del art. 32 RGPD
Régimen de subencargados y autorización
Ayuda con derechos, brechas y evaluaciones de impacto
Devolución o supresión de los datos al terminar
Información y auditorías a disposición del responsable
Transferencias internacionales, si las hay

Ejemplo

Ejemplo: asesoría laboral de una empresa ficticia

Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.

Campo	Contenido
Contrato	EN-2026-03 · Talleres Ebro Norte, S. L. (responsable) y Asesoría Moncayo (encargada), ambas ficticias
Objeto	Elaboración de nóminas y gestión de altas y bajas en la Seguridad Social · Vigencia anual prorrogable
Datos e interesados	Datos identificativos, bancarios y retributivos de 86 empleados
Subencargados	Autorización general; aviso con 30 días para oponerse · Actual: proveedor de software de nóminas con servidores en la UE
Brechas	Aviso al responsable en 24 horas desde que la asesoría tenga constancia
Fin del contrato	Devolución en formato estándar y borrado certificado en 30 días
Revisión	Cuestionario de seguridad anual · Último: febrero de 2026, sin hallazgos

En la auditoría

Errores que suelen señalar los auditores

Proveedores con acceso a datos sin contrato, porque «solo dan soporte».
Contratos genéricos que no describen los datos ni los interesados.
No se sabe quiénes son los subencargados del proveedor de nube.
El contrato prevé auditorías, pero nunca se revisa al encargado.

En Kimobox

Cómo se lleva este registro en Kimobox

1Los encargados se gestionan desde el portal de proveedores con su contrato y su vencimiento.
2El sistema avisa antes de que caduque un contrato o una revisión.
3El registro de actividades enlaza cada destinatario con su contrato.
4Las revisiones periódicas se documentan como evaluaciones de proveedor.

Preguntas frecuentes

Lo que nos preguntan antes de empezar

¿Basta con aceptar las condiciones del proveedor?

Puede bastar si incluyen todo el contenido del artículo 28.3 y quedan por escrito. Hay que leerlas: muchas omiten el régimen de subencargados o el borrado final.

¿Qué hace un encargado certificado en ISO 27701?

Aporta evidencia de que su sistema de privacidad ha sido auditado, lo que facilita demostrar las garantías suficientes. No sustituye al contrato ni a la revisión del responsable.

Lleva los registros de ISO 27701 sin plantillas sueltas

Te enseñamos el módulo funcionando con datos parecidos a los tuyos.

Pedir una demo

Sigue explorando

Páginas relacionadas

Fuentes

De dónde sale cada dato

Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.

Reglamento (UE) 2016/679, Reglamento General de Protección de Datos EUR-Lex · 27 de abril de 2016; aplicable desde el 25 de mayo de 2018
ISO/IEC 27701:2025 — Sistemas de gestión de la información de privacidad. Requisitos y orientación ISO/IEC · Segunda edición, octubre de 2025