Models i registres · ISO 27701 · Apartat A.1 y A.2
Model de contracte d'encarregat del tractament ISO 27701
Cada proveïdor que tracta dades per compte de l'empresa necessita un contracte amb un contingut mínim fixat per llei. El sistema de privadesa controla que existeixi i que es compleixi.
En una frase
El contracte d'encarregat del tractament fixa l'objecte, la durada, la naturalesa i la finalitat del tractament, els tipus de dades i d'interessats i les obligacions de l'encarregat —instruccions documentades, confidencialitat, seguretat, subencarregats, ajuda amb drets i bretxes, devolució o esborrat final i auditories—, perquè així ho exigeix l'article 28.3 del RGPD; ISO/IEC 27701 recull aquests acords a les taules A.1 i A.2, des del costat del responsable i de l'encarregat.
- On ho demana la norma
- ISO 27701 · Apartat A.1 y A.2 Es cita l'edició de 2025: els números del 4 al 10 són capítols; A.1, A.2 i A.3 són les taules de l'annex A amb els controls del responsable, de l'encarregat i comuns a tots dos.
- Tipus d'informació
- Document obligatori Document que cal mantenir vigent (art. 28.3 RGPD; taules A.1 i A.2)
- Qui l'emplena
- Compres o l'àrea contractant, amb el delegat El responsable del PIMS comprova que cap encarregat no tracta dades sense contracte
- Quan
- Abans que el proveïdor rebi dades Es revisa en renovar, en canviar el servei o en rebre avís de nous subencarregats
- Quant de temps es conserva
- Mentre duri el servei i després El fixa l'organització segons els terminis de prescripció de possibles responsabilitats
Què demana la norma
El que exigeix ISO 27701 i el que deixa al teu criteri
La norma demana al responsable que triï encarregats que ofereixin garanties suficients i que tingui amb ells un contracte que cobreixi els controls necessaris. A l'encarregat li demana que tracti les dades només segons les instruccions del client, que l'informi si una instrucció li sembla il·lícita i que controli els seus subencarregats.
L'article 28.3 enumera el contingut mínim del contracte. El 28.2 prohibeix recórrer a un altre encarregat sense autorització prèvia per escrit, específica o general; en la general, l'encarregat ha d'avisar dels canvis perquè el responsable s'hi pugui oposar.
El contracte no s'arxiva per oblidar-lo: el responsable ha de poder comprovar que es compleix, i el contracte li ha de permetre auditories o inspeccions (art. 28.3.h).
Estructura
Camps que ha de tenir el model
- Objecte, durada, naturalesa i finalitat del tractament
- Tipus de dades personals i categories d'interessats
- Tractament només segons instruccions documentades
- Confidencialitat del personal de l'encarregat
- Mesures de seguretat de l'art. 32 RGPD
- Règim de subencarregats i autorització
- Ajuda amb drets, bretxes i avaluacions d'impacte
- Devolució o supressió de les dades en acabar
- Informació i auditories a disposició del responsable
- Transferències internacionals, si n'hi ha
Exemple
Exemple: assessoria laboral d'una empresa fictícia
Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.
| Camp | Contingut |
|---|---|
| Contracte | EN-2026-03 · Tallers Segre Nord, S. L. (responsable) i Assessoria Montseny (encarregada), totes dues fictícies |
| Objecte | Elaboració de nòmines i gestió d'altes i baixes a la Seguretat Social · Vigència anual prorrogable |
| Dades i interessats | Dades identificatives, bancàries i retributives de 86 empleats |
| Subencarregats | Autorització general; avís amb 30 dies per oposar-s'hi · Actual: proveïdor de programari de nòmines amb servidors a la UE |
| Bretxes | Avís al responsable en 24 hores des que l'assessoria en tingui constància |
| Final del contracte | Devolució en format estàndard i esborrat certificat en 30 dies |
| Revisió | Qüestionari de seguretat anual · Últim: febrer de 2026, sense troballes |
A l'auditoria
Errors que solen assenyalar els auditors
- Proveïdors amb accés a dades sense contracte, perquè «només donen suport».
- Contractes genèrics que no descriuen ni les dades ni els interessats.
- No se sap qui són els subencarregats del proveïdor de núvol.
- El contracte preveu auditories, però l'encarregat no es revisa mai.
A Kimobox
Com es porta aquest registre a Kimobox
- 1Els encarregats es gestionen des del portal de proveïdors amb el seu contracte i el seu venciment.
- 2El sistema avisa abans que caduqui un contracte o una revisió.
- 3El registre d'activitats enllaça cada destinatari amb el seu contracte.
- 4Les revisions periòdiques es documenten com a avaluacions de proveïdor.
Preguntes freqüents
El que ens pregunten abans de començar
N'hi ha prou amb acceptar les condicions del proveïdor?
En pot haver prou si inclouen tot el contingut de l'article 28.3 i queden per escrit. Cal llegir-les: moltes ometen el règim de subencarregats o l'esborrat final.
Què aporta un encarregat certificat en ISO 27701?
Aporta evidència que el seu sistema de privadesa ha estat auditat, cosa que facilita demostrar les garanties suficients. No substitueix el contracte ni la revisió del responsable.
Porta els registres de ISO 27701 sense plantilles soltes
Et mostrem el mòdul funcionant amb dades semblants a les teves.
Continua explorant
Pàgines relacionades
Bretxes de seguretat i encarregats de tractament
L'últim bloc cobreix dues obligacions crítiques: notificar les bretxes de seguretat a temps i controlar qui…
Controls per a responsables i encarregats
L'annex A reuneix els controls de referència del PIMS per a responsables i encarregats; l'annex B, també…
Model de registre d'activitats de tractament ISO 27701
Què ha de recollir el registre d'activitats de tractament en un PIMS ISO 27701 i a l'art. 30 del RGPD…
Model d'inventari de dades personals ISO 27701
Com muntar un inventari de dades personals per a un PIMS ISO 27701: on són les dades, en quins sistemes, qui…