Metes el correo de un cliente en Claude para que te redacte la respuesta. Subes a ChatGPT el PDF con los datos de una nómina para que te lo resuma. Pegas un listado de 300 contactos para segmentarlo por sectores. En los tres casos has enviado datos personales de terceros a una empresa estadounidense que los trata por cuenta tuya. Eso tiene nombre en el RGPD: encargado del tratamiento. Y exige un contrato por escrito. No es interpretable, lo dice el artículo 28.3.
La buena noticia: ese contrato existe, se llama DPA (Data Processing Agreement), no cuesta dinero y se firma en menos de media hora. La mala: casi ningún autónomo español lo tiene, y muchos de los que creen tenerlo lo tienen mal, porque lo han "firmado" desde un plan personal de 20 € que no lo incluye. Te cuento el trámite concreto con Anthropic y con OpenAI, qué cambia entre uno y otro, y qué tienes que apuntar después. Esto es divulgación, no asesoramiento jurídico: si tu caso es sensible (salud, menores, datos penales), habla con un abogado antes.
Qué es un DPA y por qué te obliga el artículo 28
- DPA (contrato de encargado de tratamiento)
- Acuerdo escrito exigido por el artículo 28.3 del RGPD entre el responsable del tratamiento y el proveedor que trata datos personales por su cuenta. Fija finalidad, duración, medidas de seguridad, subencargados y devolución o borrado de los datos.
El RGPD divide el mundo en dos papeles. El responsable decide para qué y cómo se tratan los datos: eres tú, tu despacho, tu tienda, tu clínica. El encargado trata esos datos siguiendo tus instrucciones: tu gestoría, tu hosting, tu CRM y, desde que empezaste a pegar información de clientes en un chat, también tu proveedor de IA.
El artículo 28.3 dice que la relación entre responsable y encargado debe estar regulada por "un contrato u otro acto jurídico" que vincule al encargado, por escrito, incluido formato electrónico. Ese contrato tiene un contenido mínimo obligatorio: objeto, duración, naturaleza y fin del tratamiento, tipo de datos, categorías de interesados, obligaciones del responsable, confidencialidad del personal, medidas de seguridad del artículo 32, régimen de subencargados, asistencia ante derechos de los interesados y brechas, devolución o supresión al final, y derecho de auditoría.
No tienes que redactarlo tú. Anthropic y OpenAI ya lo tienen escrito con todas esas cláusulas. Tu trabajo es aceptarlo, descargarlo y guardarlo con fecha. Lo que la AEPD te va a pedir si algún día pregunta es exactamente eso: el documento y la fecha.
¿Necesitas un DPA si solo usas Claude para redactar correos?
Depende de una única pregunta: ¿entran datos personales de terceros en el prompt, en el adjunto o en la integración? Si la respuesta es no, no hay encargo. Si es sí, aunque sea un nombre y un teléfono, hay encargo.
| Lo que haces | ¿Datos personales de terceros? | ¿Necesitas DPA? |
|---|---|---|
| Pides ideas de titulares para tu blog | No | No |
| Pegas el email de un cliente para redactar la respuesta | Sí | Sí |
| Subes un contrato con nombre y DNI para resumirlo | Sí (y de categoría delicada) | Sí |
| Le pasas tu listado de la newsletter para segmentar | Sí | Sí |
| Conectas la API a tu bandeja de entrada o a tu CRM | Sí, de forma continuada | Sí, y además revisa seguridad |
| Traduces un texto legal genérico sin nombres | No | No |
| Transcribes una llamada grabada con un cliente | Sí, y hace falta base jurídica para grabar | Sí |
La trampa habitual es pensar "son cuatro correos, no pasa nada". El RGPD no tiene umbral de volumen. Cuatro correos con nombre y apellidos ya son tratamiento. Lo desarrollé con más detalle en este post sobre agentes de IA y datos de clientes, que es la base sobre la que se apoya todo esto.
Los planes de 20 € no te sirven para esto
Aquí está el punto que no se explica en español y que hace que la mitad de la gente esté mal cubierta. Tanto Anthropic como OpenAI separan sus productos en dos mundos: consumo (términos de consumidor, pensados para uso personal) y comercial (términos de negocio, con DPA estándar disponible).
El DPA vive en el mundo comercial. Un plan personal no está diseñado para que tú, como responsable, encargues tratamientos a la plataforma: está diseñado para que tú uses la herramienta con tus propios datos. Por eso no hay un botón de "firmar DPA" dentro de una suscripción individual.
| Producto | Precio de referencia | ¿DPA estándar? | Uso de tus datos para entrenar |
|---|---|---|---|
| Claude gratis | 0 € | No | Revisa los ajustes de tu cuenta |
| Claude Pro | ~20 €/mes + IVA | No (términos de consumidor) | Revisa los ajustes de tu cuenta |
| Claude Max | 100 €/mes | No (términos de consumidor) | Revisa los ajustes de tu cuenta |
| Claude Team / Enterprise | por asiento y mes | Sí | No, por defecto |
| API de Anthropic | por uso (tokens) | Sí | No, por defecto |
| ChatGPT gratis / Plus | 0 € / ~20 €/mes + IVA | No (términos de consumidor) | Sí salvo que lo desactives |
| ChatGPT Team / Enterprise | por asiento y mes | Sí | No, por defecto |
| API de OpenAI | por uso (tokens) | Sí | No, por defecto |
Traducción práctica: si trabajas con datos de clientes cada semana, tu plan personal se queda corto legalmente, no técnicamente. Y ojo con el IVA: estas empresas facturan desde entidades europeas o directamente desde EE. UU.; si das tu NIF-IVA intracomunitario, muchas facturas van con inversión del sujeto pasivo y las declaras en el modelo 349. Ese lío lo desmenucé en el post de cómo deducir ChatGPT y Claude como autónomo.
Si lo tuyo es uso intensivo por API y dudas de si compensa frente a la suscripción, tienes los números en Claude API vs suscripción.
Cómo firmar el DPA con Anthropic
El camino corto, tal y como está a septiembre de 2026:
- Entra en la consola de Anthropic con la cuenta de la organización, no con tu cuenta personal de Claude. Es un detalle que la gente se salta: el DPA debe quedar asociado a la entidad que factura.
- Rellena los datos fiscales de la organización: razón social o nombre y apellidos si eres autónomo, NIF, dirección. Ese es el nombre que aparecerá como responsable en el contrato.
- Busca en el centro de privacidad y confianza de Anthropic el apartado de acuerdos de tratamiento de datos. Encontrarás el DPA comercial y el formulario de aceptación electrónica.
- Acepta indicando nombre, cargo y correo. Si tu volumen o tu sector lo justifica, escribe a su equipo de privacidad para pedir la versión ejecutable y firmarla también por tu parte.
- Descarga el PDF, renómbralo con la fecha (
2026-09-DPA-Anthropic.pdf) y guárdalo en la carpeta de cumplimiento. Anota también la lista de subencargados publicada ese día.
Revisa dos cosas al aceptar: la lista de subencargados (proveedores de nube y de infraestructura que Anthropic usa por debajo) y el mecanismo de notificación de cambios. Si mañana añaden un subencargado nuevo, tú como responsable tienes derecho a enterarte y a objetar.
¿Quieres ver el sistema por dentro?
Cada domingo cuento qué he montado esta semana para hacer crecer un proyecto real: qué decidí, qué resultados dio y qué se rompió por el camino.
Un correo por semana. Sin refritos y sin afiliados.
Cómo firmar el DPA con OpenAI
El proceso es equivalente y, si usas la API, suele estar más a mano:
- Accede a la plataforma con la cuenta de la organización y completa la facturación con tu NIF.
- En la configuración de la organización busca el apartado de datos y privacidad. Ahí está el formulario del acuerdo de tratamiento de datos.
- Completa nombre legal, cargo de quien firma y correo de contacto para incidencias de seguridad. Recibirás una copia firmada por correo.
- En ChatGPT Team o Enterprise, la contratación del plan ya incorpora los términos de negocio; aun así, descarga y archiva el DPA asociado.
- Si sigues usando ChatGPT en plan personal para cosas sin datos de clientes, desactiva la mejora del modelo con tus conversaciones. No sustituye al DPA, pero reduce exposición.
Un extra que casi nadie pide: si tratas datos especialmente sensibles, pregunta por la retención cero en API (que el proveedor no conserve las peticiones más allá del tiempo de proceso). No está activada por defecto y suele requerir solicitud y aprobación.
¿Y las transferencias a Estados Unidos?
Es la segunda capa, y va aparte del artículo 28. Cuando los datos salen del Espacio Económico Europeo hace falta un mecanismo válido del capítulo V del RGPD. Hoy hay dos vías en uso: la adhesión del proveedor al marco de privacidad de datos UE-EE. UU. y las cláusulas contractuales tipo de la Comisión Europea, acompañadas de una evaluación de impacto de la transferencia.
Los DPA de ambas compañías incorporan las cláusulas tipo como anexo. Es decir: al aceptar el DPA, aceptas también el mecanismo de transferencia. Pero tu obligación no acaba ahí. Como responsable te toca:
- Guardar el anexo con las cláusulas y las medidas técnicas descritas.
- Documentar una evaluación de transferencia mínima: qué datos salen, a quién, con qué garantías y qué pasaría en el peor escenario. Dos folios bien hechos valen más que cero folios perfectos.
- Informar en tu política de privacidad de que existe transferencia internacional y con qué garantía.
Si además tu sistema toma decisiones que afectan a personas (puntuar candidatos, priorizar clientes, decidir precios), entras en el terreno del AI Act, que es otra capa distinta y con calendario propio: lo resumí en qué te exige el AI Act desde agosto de 2026.
Qué apuntar en tu registro de actividades
El DPA firmado sin registro actualizado es media tarea. En tu registro de actividades de tratamiento (artículo 30) añade una fila por cada uso real de IA. Este es el mínimo que yo escribiría:
| Campo | Qué poner |
|---|---|
| Actividad | Asistencia con IA en atención al cliente y redacción |
| Encargado | Anthropic (Claude) y/o OpenAI, con fecha del DPA |
| Categorías de datos | Identificativos, de contacto, contenido de comunicaciones |
| Base jurídica | Ejecución de contrato o interés legítimo, según el caso |
| Transferencia internacional | Sí, EE. UU., cláusulas contractuales tipo |
| Plazo de conservación | El del proveedor + el de tus propios registros |
| Medidas de seguridad | Acceso con 2FA, minimización del prompt, sin datos sensibles |
Y una regla operativa que vale más que muchas cláusulas: minimiza el prompt. Si puedes resolver la tarea con "cliente A" en vez de con nombre, apellidos y DNI, hazlo. Lo que no envías no hay que protegerlo.
¿Qué pasa si no firmas nada?
Que tienes una cesión de datos a un tercero sin contrato de encargo. En una inspección de la AEPD, esto se traduce en infracción del artículo 28, que es de las sancionables con multa administrativa. Y si tu sector es regulado —abogacía, sanidad, asesoría—, se te suma el problema deontológico y el contractual con tu propio cliente, que probablemente firmó contigo un anexo de confidencialidad.
El coste de arreglarlo es ridículo comparado con el riesgo: media hora de trámite y, como mucho, cambiar de plan. Para despachos, tengo una versión más específica en agente IA para despachos de abogados sin saltarte el RGPD.
Los cuatro errores que más veo
- Firmar con la cuenta personal. El DPA queda a nombre de "pablo@gmail" y no de la empresa que factura. Inútil.
- Creer que basta con desactivar el entrenamiento. Es una buena medida, pero no es un contrato. Son cosas distintas.
- Firmar y no actualizar la política de privacidad. Si no informas de la transferencia y del uso de IA, sigues incumpliendo por otro lado.
- No revisar la lista de subencargados en un año. Cambian. Ponte un recordatorio semestral: quince minutos.
Cómo lo hago yo
Mi caso es sencillo porque mi materia prima no son datos de clientes: el blog trata contenido propio, no expedientes de terceros. Aun así tengo el DPA firmado y archivado con fecha, porque en cuanto una automatización toca correos de suscriptores ya estamos hablando de datos personales.
Mi sistema cuesta 129 €/mes desde febrero de 2026: 100 € de la suscripción de Claude y 29 € del VPS, sin tokens aparte. Sobre eso corren 11 scripts programados con Claude Code que se ejecutan solos en el servidor. Cuando toca escribir a la lista —587 suscriptores, correo de los domingos a las 18:00— lo que sale del VPS es contenido, no la base de datos completa: la segmentación y el envío se quedan dentro de mi herramienta de correo, que tiene su propio encargo de tratamiento.
Mi checklist personal, cuatro puntos, quince minutos cada seis meses: DPA descargado con fecha, lista de subencargados guardada, registro de actividades con la fila de IA, y política de privacidad mencionando la transferencia internacional. No es glamuroso. Es lo que separa usar IA de tener un problema con la AEPD.
El DPA no es papeleo de abogado grande. Es el único documento que separa «uso IA en mi negocio» de «he cedido datos de mis clientes a una empresa de Estados Unidos sin contrato». Se firma en media hora y es gratis.