Un DPA (Data Processing Agreement), ossia un contratto di trattamento dei dati, è il documento contrattuale richiesto dall'articolo 28 del GDPR ogni volta che un titolare del trattamento affida il trattamento di dati personali a un responsabile del trattamento (per esempio un fornitore di software SaaS, un fornitore di hosting o un prestatore di servizi).
Il DPA conferisce a questo rapporto un quadro giuridico. L'articolo 28, paragrafo 3, richiede che esso definisca l'oggetto, la durata, la natura e la finalità del trattamento, il tipo di dati e le categorie di interessati, nonché gli obblighi di ciascuna parte. In particolare, il responsabile del trattamento si impegna a trattare i dati solo su istruzioni documentate del titolare, a garantire la riservatezza, ad attuare misure di sicurezza (articolo 32), a ricorrere a un sub-responsabile solo previa autorizzazione, ad assistere il titolare con i diritti degli interessati e a cancellare o restituire i dati al termine del servizio.
In pratica, qualsiasi fornitore serio di servizi digitali mette un DPA a disposizione dei propri clienti: è una pietra angolare della conformità e un punto da verificare nella scelta di uno strumento. Formalizza la catena di responsabilità tra il cliente e il suo fornitore e va di pari passo con la possibile nomina di un responsabile della protezione dei dati (DPO).