Firma tu DPA del RGPD en el panel de Deskwoot en menos de un minuto

Ahora cada cuenta de Deskwoot puede firmar su acuerdo de procesamiento de datos (DPA) del artículo 28 del RGPD directamente en el panel, de forma electrónica, en menos de un minuto, sin idas y vueltas de correos y sin esperar una contrafirma. En la mayoría de los proveedores, el cliente tiene que pedir el DPA por correo, esperar tres días hábiles, recibir un PDF, firmarlo a mano, escanearlo, devolverlo por correo y esperar otros tres días a que lo contrafirmen. Nos pareció ridículo, así que ahora puedes hacerlo tú mismo.

Desde hoy, cada cuenta de Deskwoot puede firmar su DPA del artículo 28 directamente en el panel. Abre Configuración, Cumplimiento, Acuerdo de procesamiento de datos, completa tres campos, haz clic en Aceptar y recibir el PDF y recibe al instante un PDF firmado por ambas partes en tu correo. Listo.

Por qué importa un DPA

Si procesas datos personales de residentes de la UE o del EEE con cualquier herramienta de terceros (y un help desk que guarda correos de clientes y transcripciones de chat cuenta como tal), el artículo 28 del RGPD exige un contrato por escrito entre tú (el responsable) y ese tercero (el encargado). Sin un DPA, operas fuera de la ley. Eso se complica rápido si un cliente presenta una solicitud de acceso a sus datos, si una autoridad te audita o si un proveedor sufre una filtración de datos y tu respuesta al incidente no tiene nada por escrito.

Por qué “electrónico” está bien

El artículo 28(9) del RGPD permite de forma expresa celebrar el DPA por medios electrónicos. No exige una firma a mano con tinta. Lo que sí exige es una prueba verificable de que la persona correcta, del lado del responsable, aceptó los términos sabiendo lo que hacía. Eso es justo lo que registra nuestro proceso de aceptación.

Qué registramos al momento de firmar

En cada aceptación, además de los campos obvios (correo, nombre, cargo, empresa y país de quien firma), también guardamos:

• Fecha y hora de la aceptación y versión del DPA
• Dirección IP y la cadena completa de x-forwarded-for
• User-agent y los datos Sec-CH-UA de navegador, plataforma y dispositivo móvil
• ID CF-Ray de Cloudflare y CF-IPCountry, región y ciudad. Cloudflare elimina estos encabezados de las solicitudes que envían los visitantes en el borde de la red y los vuelve a poner por su cuenta, así que en producción son muy difíciles de falsificar.
• Preferencia de idioma (Accept-Language), indicador DNT y URL de origen (Referer)
• Hash SHA-256 del PDF generado, para poder demostrar que el archivo que descargaste es idéntico, bit por bit, al que contrafirmamos

Todo se guarda por duplicado. Una vez en la fila DpaAcceptance de tu cuenta y otra en tu registro de auditoría, bajo dpa.accept. Si alguien llega a disputar la firma más adelante, habría que alterar los dos registros al mismo tiempo para fingir que nunca se firmó.

Subencargados y la cadena de SCC

El anexo B del DPA enumera todos los subencargados que usamos. Northflank para el hosting, Anthropic para la IA, Stripe para los pagos, Twilio para el correo, Cloudflare para CDN y DNS, PostHog para analítica, EasyPost para consultar envíos. Para cada uno mostramos la categoría de datos, el mecanismo de transferencia según el RGPD, la política de privacidad y, cuando el subencargado publica su propio DPA para clientes, un enlace directo a él. Revisar toda tu cadena de SCC te toma cinco clics en lugar de una tarde de arqueología en páginas legales.

¿Y qué pasa con las actualizaciones?

Si agregamos un subencargado nuevo o cambiamos los mecanismos de transferencia, subimos la versión del DPA y el panel te pide volver a firmar en tu próxima visita. Tu aceptación anterior sigue en tu historial. Reemplazada, pero no eliminada, para que el registro de auditoría no tenga huecos.

Disponible ya

Activo para cada cuenta de Deskwoot en todos los planes. El PDF firmado también se vuelve a generar cuando lo pides a partir de la fila de aceptación, que no se puede modificar. Así, aunque nuestro generador de PDF cambie de diseño más adelante, puedes volver a obtener tu copia archivada por su hash.

¿Qué es un acuerdo de procesamiento de datos del RGPD, en palabras simples?

Un acuerdo de procesamiento de datos (DPA) del RGPD es un contrato entre tú (la empresa que recopila datos de clientes) y cualquier proveedor que procesa esos datos en tu nombre (tu plataforma de atención al cliente, tu servicio de correo, tu herramienta de analítica). El DPA explica qué puede hacer el proveedor con los datos, cómo los va a proteger y qué hará si algo sale mal.

El artículo 28 del RGPD hace que el DPA sea obligatorio por ley, no opcional. Sin un DPA firmado entre tú (el responsable) y tu encargado, cada byte de datos de clientes de la UE que pasa por ese proveedor incumple la norma. El DPA es lo que te da el registro de auditoría documentado para mostrarle a una autoridad que tu manejo de datos sigue reglas claras y no se hace a la ligera.

¿Cuáles son los 7 principios del RGPD?

Los 7 principios del artículo 5 del RGPD: licitud, lealtad y transparencia (procesa datos solo cuando tengas una base legal y avísale a la gente con claridad); limitación de la finalidad (recopila datos para un motivo concreto y no los uses para otra cosa después); minimización de datos (recopila solo lo que de verdad necesitas, no todo lo que podrías recopilar); exactitud (mantén los datos al día y corrige los errores cuando los encuentres); limitación del plazo de conservación (borra los datos cuando ya no los necesites); integridad y confidencialidad (protégelos contra accesos no autorizados y pérdidas); y responsabilidad proactiva (poder demostrar que cumples, no solo decirlo).

El artículo 28 (obligaciones del encargado) se desprende del 7.º principio: como responsable, tienes que poder demostrar que cada encargado trata los datos con las mismas reglas. El DPA firmado es el documento que lo demuestra. El DPA de Deskwoot cubre los 7 principios en un texto claro y se puede firmar en menos de un minuto directamente en el panel.