HumanosTech · Checklist RGPD — IT Outsourcinghumanostech.com
Por qué el RGPD aplica a vuestro proveedor IT
Cuando externalizáis desarrollo, data engineering o soporte técnico, el proveedor actúa como Encargado del Tratamiento bajo el Art. 28 del Reglamento (UE) 2016/679. El responsable del tratamiento seguís siendo vosotros. Una violación de datos por parte del proveedor os expone a multas de hasta el 4% del volumen de negocio global o 20.000.000 EUR, lo que sea mayor.
Checklist — Antes de firmar el contrato
- Identificad qué categorías de datos personales procesará el proveedor (empleados, clientes, candidatos)
- Verificad que el proveedor procesa datos dentro de la UE o tiene garantías adecuadas documentadas
- Solicitad la Política de Privacidad y el Registro de Actividades de Tratamiento (RAT)
- Confirmad que el proveedor no subcontrata sin notificaros previamente (Art. 28.2 RGPD)
- Verificad si el proveedor tiene DPO designado o si aplica la excepción para organismos no obligados
- Comprobad los plazos de retención y el compromiso de eliminación al finalizar el contrato
- Exigid que los datos no se usen para fines distintos a los expresamente acordados
DPA (Data Processing Agreement) — Cláusulas obligatorias Art. 28 RGPD
- ☐ Objeto y duración del tratamiento definidos con precisión
- ☐ Naturaleza y finalidad del tratamiento — sin usos adicionales no autorizados
- ☐ Tipos de datos personales y categorías de interesados afectados
- ☐ Medidas de seguridad técnicas y organizativas (cifrado, control de acceso, pseudonimización)
- ☐ Procedimiento de notificación de brechas: proveedor notifica al responsable sin dilación
- ☐ Obligación de asistir en el ejercicio de derechos de los interesados
- ☐ Compromiso de devolver o destruir los datos al terminar el contrato
- ☐ Derecho de auditoría del responsable sobre las actividades del encargado
- ☐ Lista de subencargados autorizada con notificación ante cualquier cambio
⚠ AVISO LEGAL IMPORTANTE — Este documento es exclusivamente informativo
No constituye asesoramiento jurídico, fiscal ni de compliance. Las normativas citadas pueden haber sido modificadas. Ninguna persona u organización debe tomar decisiones legales o empresariales basándose únicamente en este documento. Para decisiones concretas consulte siempre a profesionales cualificados. Humanos Tech OÜ declina toda responsabilidad por el uso de esta información.
Humanos Tech OÜ · Reg. 17179670 · Tallinn, Estonia · Datos procesados exclusivamente en la UE2 / 3
HumanosTech · Checklist RGPD — IT Outsourcinghumanostech.com
Checklist — Durante la relación contractual
- Revisad anualmente que el proveedor sigue cumpliendo — solicitad evidencias documentadas
- Ante cualquier cambio de subcontratistas o infraestructura, exigid notificación previa
- Ante una brecha: activad el protocolo de notificación a la autoridad de control en 72 horas (Art. 33 RGPD)
- Mantened el Registro de Actividades de Tratamiento actualizado con este proveedor
- Ante cambios normativos relevantes, revisad las cláusulas del DPA
Transferencias fuera de la UE — mecanismos válidos
| Mecanismo | Descripción |
|---|
| Adecuación | El país tiene decisión de adecuación vigente de la Comisión Europea (ej: Israel, Japón, Reino Unido post-revisión) |
| SCCs (Art. 46) | Cláusulas Contractuales Tipo — las más comunes para transferencias a EE.UU. |
| BCR | Normas Corporativas Vinculantes, aprobadas por la autoridad de control |
| Datos en UE ✓ | El proveedor garantiza procesamiento 100% en servidores europeos — la opción más segura, sin riesgo Schrems II |
HumanosTech: DPA incluido, datos 100% en servidores de la UE
Todos los contratos incluyen DPA Art. 28 RGPD. Empresa registrada en Estonia bajo derecho europeo. humanostech.com/compliance.html
Humanos Tech OÜ · Reg. 17179670 · Tallinn, Estonia · Datos procesados exclusivamente en la UE3 / 3