Ambas opciones son posibles, pero preferimos usar su acuerdo de tratamiento de datos (DPA), pues a menudo ya está validado por su DPO y su equipo jurídico.