Acuerdo de tratamiento de datos de IA
Plantilla
Un acuerdo de tratamiento de datos IA establece cómo un proveedor trata datos personales por su cuenta. Esta plantilla editable en Word cubre los usos permitidos, las restricciones de entrenamiento, los subencargados, la seguridad, las transferencias y la eliminación.
Qué revisar en un acuerdo con un proveedor de IA
Empiece por el papel del proveedor y los flujos de datos reales. Revise después las entradas, las salidas, el entrenamiento, la conservación y los subencargados. Adapte las cláusulas al servicio y a la legislación aplicable.
La plantilla de DPA
Despliegue cada sección para ver las cláusulas de la plantilla. Haga que su asesor jurídico la revise y personalice antes de su firma. Nota: esto es una plantilla, no asesoramiento jurídico.
1Sección 1, Alcance y objeto
El presente acuerdo de tratamiento de datos («Acuerdo») forma parte del acuerdo marco de servicios entre [Nombre del responsable del tratamiento] («Responsable del tratamiento») y [Nombre del encargado/proveedor] («Encargado del tratamiento»).
El Encargado del tratamiento tratará datos personales por cuenta del Responsable del tratamiento con el fin de prestar [describir el servicio de IA, p. ej. análisis de documentos con IA, asistencia de redacción con IA, generación de código con IA] tal como se define en el acuerdo marco de servicios.
Las actividades de tratamiento pueden incluir la recogida, el almacenamiento, el análisis, la estructuración, la recuperación, el uso, la divulgación y la supresión de datos personales necesarios para prestar los servicios contratados. El tratamiento se realizará exclusivamente de forma automatizada, salvo acuerdo escrito en contrario.
[p. ej. empleados y contratistas del Responsable del tratamiento; clientes y posibles clientes del Responsable del tratamiento; usuarios finales de los productos del Responsable del tratamiento, personalizar según corresponda]
[p. ej. nombres, direcciones de correo, cargos, comunicaciones profesionales, contenido de documentos, datos de uso, personalizar según los flujos de datos reales. Especifique por separado si se tratan datos de categorías especiales conforme al artículo 9 del RGPD]
El tratamiento continuará durante la vigencia del acuerdo marco de servicios y hasta que todos los datos personales se devuelvan o supriman conforme a la Sección 6 del presente Acuerdo.
Importante: cláusula específica de IA, el Encargado del tratamiento no utilizará los datos personales, los prompts ni las salidas del Responsable del tratamiento para entrenar, afinar ni mejorar sus modelos de IA ni ningún modelo de IA de terceros. El tratamiento se limitará exclusivamente a la prestación de los servicios contratados.
2Sección 2, Obligaciones del responsable y del encargado del tratamiento
Obligaciones del encargado del tratamiento
- Tratar los datos personales únicamente siguiendo instrucciones documentadas del Responsable del tratamiento, incluido lo relativo a las transferencias a terceros países
- Garantizar que las personas autorizadas a tratar los datos personales se hayan comprometido a la confidencialidad o estén sujetas a una obligación legal apropiada de confidencialidad
- Implementar y mantener las medidas de seguridad técnicas y organizativas descritas en la Sección 4
- Informar inmediatamente al Responsable del tratamiento si, en opinión del Encargado del tratamiento, una instrucción infringe la legislación aplicable en materia de protección de datos
- No recurrir a ningún subencargado sin autorización escrita previa, específica o general, del Responsable del tratamiento, según se detalla en la Sección 3
- Asistir al Responsable del tratamiento en la atención de las solicitudes de ejercicio de derechos de los interesados (acceso, supresión, portabilidad, limitación) en un plazo de 5 días hábiles desde la recepción de una solicitud
- Asistir al Responsable del tratamiento para garantizar el cumplimiento de las obligaciones relativas a la seguridad, la notificación de brechas, las EIPD y la consulta previa a las autoridades de control
- Suprimir o devolver todos los datos personales al Responsable del tratamiento al finalizar la relación de servicio, conforme a la Sección 6
- Poner a disposición toda la información necesaria para demostrar el cumplimiento del presente Acuerdo y permitir las auditorías del Responsable del tratamiento o de un auditor designado, y contribuir a ellas
Obligaciones del responsable del tratamiento
- Garantizar la existencia de una base jurídica válida para todos los datos personales facilitados al Encargado del tratamiento
- Garantizar que se haya informado a los interesados del tratamiento mediante el aviso de privacidad del Responsable del tratamiento antes de enviar los datos al Encargado del tratamiento
- Proporcionar instrucciones que cumplan la legislación aplicable en materia de protección de datos
- Realizar una evaluación de impacto relativa a la protección de datos (EIPD) cuando sea necesario antes de implantar el servicio de IA
3Sección 3, Gestión de subencargados
Los proveedores de IA suelen recurrir a múltiples subencargados para el alojamiento de modelos, el cómputo, el almacenamiento y la infraestructura. Esta sección rige dichas relaciones.
Consentimiento general y notificación
El Responsable del tratamiento otorga autorización escrita general al Encargado del tratamiento para recurrir a los subencargados enumerados en el Apéndice B (Lista de subencargados). El Encargado del tratamiento debe notificar por escrito al Responsable del tratamiento con al menos [30] días de antelación a la incorporación o sustitución de cualquier subencargado. El Responsable del tratamiento tiene derecho a oponerse a nuevos subencargados en un plazo de [14] días desde la notificación. Si el Responsable del tratamiento se opone y las partes no pueden resolver la objeción, el Responsable del tratamiento podrá rescindir los servicios afectados sin penalización.
Requisitos de la lista de subencargados (el Apéndice B debe incluir)
- Nombre y domicilio social del subencargado
- País de tratamiento (incluida la ubicación de la infraestructura de los centros de datos)
- Servicios prestados por el subencargado
- Categorías de datos personales tratadas
- Mecanismo de transferencia aplicado (decisión de adecuación de la UE, SCC, BCR u otro)
Obligaciones de traslado
El Encargado del tratamiento impondrá a todos los subencargados, mediante contrato, las mismas obligaciones de protección de datos establecidas en el presente Acuerdo. El Encargado del tratamiento seguirá siendo plenamente responsable ante el Responsable del tratamiento del cumplimiento de las obligaciones de los subencargados. El Encargado del tratamiento proporcionará pruebas de los contratos con los subencargados cuando se le solicite.
4Sección 4, Medidas de seguridad de los datos
El Encargado del tratamiento implementará y mantendrá, como mínimo, las siguientes medidas técnicas y organizativas. La prueba de cumplimiento debe facilitarse cuando se solicite o mediante auditoría.
- Todos los datos personales cifrados en reposo con AES-256 o equivalente
- Todos los datos en tránsito cifrados con TLS 1.2 o superior
- Claves de cifrado gestionadas mediante HSM o un sistema de gestión de claves equivalente
- Datos del cliente almacenados en entornos lógicamente aislados
- Control de acceso basado en roles (RBAC) con el principio de mínimo privilegio
- Autenticación multifactor (MFA) obligatoria para todos los accesos privilegiados
- Registros de acceso conservados y revisados; acceso privilegiado revisado trimestralmente
- Verificación de antecedentes del personal con acceso a datos personales
- Prueba de intrusión anual por una empresa de seguridad externa independiente
- Análisis de vulnerabilidades ejecutado al menos mensualmente
- Vulnerabilidades críticas corregidas en 72 horas; altas en 14 días
- Programa de bug bounty o proceso equivalente de divulgación responsable
- Certificación ISO 27001 (o equivalente), certificado facilitado cuando se solicite
- Informe de auditoría SOC 2 Type II, facilitado cuando se solicite bajo NDA
- Evaluación de seguridad anual por un tercero
- Derecho de auditoría del Responsable del tratamiento o de un tercero designado con 30 días de aviso
- Datos enviados por el Responsable del tratamiento aislados de los datos de otros clientes
- Registros de prompts y salidas conservados durante [X días] y luego suprimidos
- Entrenamiento de modelos aislado de los datos del cliente, confirmado mediante atestación técnica
- Proceso de versionado de modelos de IA y gestión del cambio documentado
- Objetivo de tiempo de recuperación (RTO): [X horas], confirmar con el proveedor
- Objetivo de punto de recuperación (RPO): [X horas], confirmar con el proveedor
- Plan de continuidad del negocio probado anualmente
- SLA de disponibilidad: [X] %, según se especifique en el acuerdo marco
5Sección 5, Transferencias transfronterizas de datos
Esta sección se aplica cuando datos personales originarios del Espacio Económico Europeo (EEE) o del Reino Unido se transfieren a un país no cubierto por una decisión de adecuación de la UE o del Reino Unido, o se acceden desde dicho país.
Cuando se transfieran datos personales del EEE a un tercer país, el Encargado del tratamiento suscribirá las cláusulas contractuales tipo de la UE (Decisión de Ejecución 2021/914 de la Comisión) según corresponda. El módulo pertinente (responsable a encargado del tratamiento) se incorporará por referencia al presente Acuerdo. El Encargado del tratamiento mantendrá SCC suscritas con todos los subencargados que traten datos personales del EEE.
Cuando se transfieran datos personales desde el Reino Unido, el Encargado del tratamiento suscribirá el IDTA del Reino Unido o el Anexo del Reino Unido a las SCC de la UE, según corresponda. El Encargado del tratamiento proporcionará pruebas de los mecanismos de transferencia del Reino Unido suscritos cuando se le solicite.
El Encargado del tratamiento cooperará con el Responsable del tratamiento en la realización de cualquier evaluación de impacto de la transferencia exigida por la legislación aplicable en materia de protección de datos. El Encargado del tratamiento proporcionará información sobre el marco jurídico del país de destino y cualquier derecho de acceso de las autoridades públicas que pueda afectar a la protección de los datos personales transferidos en virtud del presente Acuerdo.
Cuando se transfieran datos personales a un país cubierto por una decisión de adecuación de la UE o del Reino Unido (p. ej. transferencias a los Estados Unidos cubiertas por el Marco de Privacidad de Datos UE-EE. UU.), el Encargado del tratamiento se certificará o mantendrá la certificación conforme al marco aplicable, y notificará al Responsable del tratamiento de inmediato en caso de pérdida o suspensión de dicha certificación.
6Sección 6, Notificación de brechas y rescisión
Notificación de brechas
El Encargado del tratamiento notificará al Responsable del tratamiento sin dilación indebida y en un plazo de 24 horas desde que tenga conocimiento de una violación de la seguridad de los datos personales que afecte a los datos del Responsable del tratamiento. Este plazo es necesario para permitir que el Responsable del tratamiento cumpla su obligación, conforme al artículo 33 del RGPD, de notificar a las autoridades de control en un plazo de 72 horas.
La notificación de la brecha debe incluir, cuando esté disponible:
- Descripción de la naturaleza de la violación de la seguridad de los datos personales, incluidas las categorías y el número aproximado de interesados y de registros afectados
- Nombre y datos de contacto del delegado de protección de datos u otro punto de contacto
- Consecuencias probables de la brecha
- Medidas adoptadas o propuestas para abordar la brecha, incluidas las medidas para mitigar sus posibles efectos adversos
- Cronología de cuándo se detectó por primera vez la brecha y por quién
Contacto para la notificación de brechas: [correo del contacto de Seguridad/DPO del Responsable del tratamiento]
Devolución y supresión de datos a la rescisión
- Al vencimiento o rescisión del acuerdo marco de servicios, el Encargado del tratamiento cesará de inmediato el tratamiento de los datos personales del Responsable del tratamiento
- El Encargado del tratamiento, a elección del Responsable del tratamiento, devolverá todos los datos personales al Responsable del tratamiento en un formato legible por máquina de uso común en un plazo de [30] días, o suprimirá de forma segura todos los datos personales en un plazo de [30] días
- El Encargado del tratamiento proporcionará confirmación escrita de la supresión, incluido el método de supresión utilizado y la fecha de supresión
- El Encargado del tratamiento solo podrá conservar datos personales en la medida exigida por la legislación aplicable, y únicamente durante el plazo requerido por dicha legislación
- Los subencargados estarán sujetos a las mismas obligaciones de devolución/supresión y el Encargado del tratamiento confirmará la supresión por parte de los subencargados en un plazo de [45] días desde la rescisión
Derechos de auditoría
El Responsable del tratamiento o su auditor designado podrá auditar el cumplimiento del presente Acuerdo por parte del Encargado del tratamiento con un aviso escrito de [30] días, no más de una vez por año natural (salvo que se haya producido una brecha). El Encargado del tratamiento cooperará plenamente en todas las auditorías y facilitará el acceso a los sistemas, procesos y personal pertinentes. El Encargado del tratamiento podrá satisfacer los derechos de auditoría facilitando un certificado ISO 27001 vigente o un informe SOC 2 Type II bajo NDA cuando proceda.
Cómo negociar un DPA con un proveedor de IA
Siga estos pasos para revisar, negociar y suscribir un DPA con sus proveedores de IA. Involucre a su asesor jurídico y a su DPO durante todo el proceso.
Preguntas frecuentes
Preguntas frecuentes
¿Necesito un DPA con cada proveedor de IA?
¿Pueden los proveedores de IA usar mis datos para entrenar sus modelos?
¿Qué debo comprobar en la lista de subencargados de un proveedor de IA?
¿Qué es el requisito de notificación de brechas en 72 horas?
Haga seguimiento del estado de los DPA en todos sus proveedores de IA
Aona mantiene un registro de proveedores en vivo que hace seguimiento de qué herramientas de IA han suscrito DPA, cuáles están pendientes de revisión y cuáles están marcadas para renovación. Obtenga visibilidad completa de la postura de cumplimiento de sus proveedores de IA sin el mantenimiento de una hoja de cálculo.