# El contrato de encargado del tratamiento con tu proveedor de nube

> Qué debe incluir, según el artículo 28 del RGPD, el contrato con el proveedor de nube que guarda datos de tus clientes y dónde encontrarlo en su documentación.

El **contrato de encargado del tratamiento** es el documento que el RGPD exige firmar con cualquier proveedor que trate datos personales por cuenta de tu empresa, como un servicio de almacenamiento en la nube. En España y en el resto de la Unión Europea, el artículo 28 fija su contenido mínimo: instrucciones documentadas, confidencialidad, seguridad, subencargados, ayuda con los derechos y las brechas, devolución o supresión de los datos al terminar y auditorías. Con los grandes proveedores suele adoptar la forma de un anexo de tratamiento de datos.

**En resumen**

1. En España, el RGPD exige que la relación con el proveedor de nube que trata datos personales por cuenta de tu empresa conste por escrito, inclusive en formato electrónico.
2. El artículo 28.3 del RGPD enumera ocho contenidos obligatorios del contrato, desde las instrucciones documentadas hasta la devolución o supresión de los datos al terminar.
3. Según la LOPDGDD, un proveedor que usa los datos para sus propias finalidades deja de ser encargado y pasa a considerarse responsable del tratamiento.


## Contrato de encargado del tratamiento: el documento que ya firmaste

Cuando una empresa española abre una cuenta de empresa en un servicio de nube, casi siempre acepta, entre las condiciones, un anexo de tratamiento de datos. Ese anexo es el contrato de encargado que exige el artículo 28 del [Reglamento General de Protección de Datos](https://www.boe.es/buscar/doc.php?id=DOUE-L-2016-80807), y conviene saber qué dice antes de subir la primera ficha de cliente. Esta página forma parte de la guía sobre [cumplir la ley de datos personales en la nube](/guias/almacenamiento-en-la-nube/proteccion-de-datos/).

La idea de fondo es sencilla: el proveedor guarda los datos de tus clientes, pero solo puede hacer con ellos lo que tú le indicas. El contrato fija esas instrucciones y las garantías que lo acompañan. Si el proveedor es grande, no vas a negociarlo cláusula por cláusula; tu trabajo consiste en comprobar que el documento cubre lo que exige la ley, aceptarlo y archivarlo. Si tratas datos sensibles o a gran escala, que lo revise un profesional de la protección de datos.

### Qué dice la ley, en pocas líneas

El artículo 28 del RGPD establece que solo puedes recurrir a encargados que ofrezcan «garantías suficientes» (28.1) y que la relación debe constar «por escrito, inclusive en formato electrónico» (28.9). Aceptar en línea el anexo de un proveedor cumple esa forma, siempre que puedas acreditarlo: descarga el PDF o anota la versión y la fecha.

La AEPD recuerda en sus [directrices sobre contratos entre responsables y encargados](https://www.aepd.es/guias/guia-directrices-contratos.pdf) que existe un deber de diligencia al elegir al encargado, y que la adhesión a un código de conducta o una certificación de protección de datos sirven para demostrar esas garantías.

En España, la LOPDGDD añade tres precisiones en su artículo 33: el acceso del encargado a los datos no es una comunicación de datos si se cumple la normativa; quien usa los datos para sus propias finalidades pasa a ser responsable; y, al terminar el servicio, eres tú quien decide si los datos se destruyen, se devuelven o pasan a un nuevo encargado.

### La lista de comprobación del artículo 28.3

Abre el anexo de tratamiento de datos de tu proveedor y busca cada punto. La tercera columna indica dónde suele aparecer en la documentación de los grandes servicios, aunque los títulos cambian de uno a otro.

| Lo que exige el art. 28.3 | Qué comprobar | Dónde suele estar |
|---|---|---|
| Objeto, duración, naturaleza, finalidad, tipo de datos y categorías de interesados | Que el anexo describe el servicio que usas y los datos que subes | Apéndice o anexo de descripción del tratamiento |
| a) Instrucciones documentadas, también sobre transferencias | Que el proveedor solo trata los datos según tus instrucciones y el contrato | Cláusula de alcance o de instrucciones |
| b) Confidencialidad del personal | Que su plantilla está obligada a guardar secreto | Cláusula de personal o de confidencialidad |
| c) Medidas de seguridad del art. 32 | Que describe medidas concretas, no solo una promesa genérica | Anexo de seguridad y certificaciones |
| d) Subencargados | Que necesita tu autorización, que publica la lista y que avisa de los cambios | Cláusula de subencargados y página con la lista |
| e) Ayuda con los derechos de los interesados | Que te ofrece medios para atender accesos, rectificaciones o supresiones | Cláusula de derechos o herramientas de la consola |
| f) Ayuda con seguridad, brechas y evaluaciones de impacto | Que te avisa de las brechas sin dilación indebida | Cláusula de incidentes |
| g) Supresión o devolución al terminar | Plazos para recuperar y para borrar tus datos | Cláusula de terminación o de supresión |
| h) Información y auditorías | Cómo demuestra el cumplimiento: informes de auditoría, certificaciones | Cláusula de auditoría |

*Fuente: RGPD, art. 28.3 (texto del DOUE en el BOE), consultado el 13 de octubre de 2026.*

Si un punto no aparece, pregúntalo por escrito al proveedor y guarda la respuesta junto al anexo. Si la respuesta no llega o no convence, es una señal para valorar otro servicio.

### Tres situaciones en las que el contrato no te cubre

**La cuenta personal.** Un Drive, un iCloud o un Dropbox personales se rigen por condiciones pensadas para particulares. En el caso de Google, el anexo de tratamiento de datos se aplica a las cuentas de Google Workspace, no a las personales. Una consultora de Málaga que guarda contratos de clientes en su cuenta gratuita se queda sin ese contrato. La solución pasa por una cuenta de empresa con su anexo de tratamiento.

**El proveedor que reutiliza los datos.** Si un servicio se reserva el derecho de usar tus archivos para sus propios fines, deja de actuar como encargado en ese uso (art. 33.2 LOPDGDD). Lee la cláusula de finalidad antes de aceptar.

**El final del contrato.** Cambiar de proveedor sin descargar ni borrar nada deja datos de clientes en un servicio que ya no pagas. Antes de cancelar, exporta lo que necesites y comprueba en el anexo el plazo de supresión.

### Primero, el marco general

El contrato es una pieza de un conjunto más amplio de obligaciones: registro de actividades, información a los clientes, seguridad y brechas. El resumen de [lo que exige el reglamento a una pyme española](/guias/almacenamiento-en-la-nube/proteccion-de-datos/rgpd/) las ordena en una tabla.

### Cuando los subencargados están fuera de Europa

La lista de subencargados suele incluir empresas de varios países. Si alguno está fuera del Espacio Económico Europeo, entran en juego las reglas de [las transferencias internacionales de datos personales](/guias/almacenamiento-en-la-nube/proteccion-de-datos/transferencias-internacionales/).

### El anexo de Google, punto por punto

Para ver dónde está cada cláusula en un caso real, la página sobre [usar Google Drive con datos de clientes](/guias/almacenamiento-en-la-nube/proteccion-de-datos/google-drive-y-rgpd/) explica cómo aceptar y revisar el anexo de Google Workspace.