¿Se firma un acuerdo de tratamiento de datos (DPA)?

Cuando un proveedor trata datos personales por cuenta del cliente, el artículo 28 del RGPD exige un acto jurídico que regule el tratamiento: es el llamado DPA. No es un trámite opcional y debe firmarse antes de que empiece el tratamiento. Lo mismo se aplica en cascada a los servicios de terceros implicados, que deben figurar como subencargados.