Il DPA (Data Processing Agreement) è il contratto che l'art. 28 GDPR impone tra titolare e responsabile del trattamento: se un provider tratta dati personali per conto tuo, senza DPA sei fuori norma tu.
Cosa verificare prima di firmare: dove risiedono i dati (regione UE dichiarata, non "principalmente in Europa" – i provider sovrani qui vincono facile); l'elenco dei sub-responsabili e l'obbligo di notificarti i cambi; le misure tecniche (cifratura a riposo e in transito, controllo accessi); i tempi di assistenza su data breach e richieste degli interessati; la cancellazione certificata a fine contratto.
Se il provider è extra-UE, o ha la casa madre extra-UE, il DPA da solo non basta: si entra nel terreno di Schrems II. E ogni fornitore con DPA finisce nel tuo registro dei trattamenti.