Sim. É da responsabilidade do controlador documentar a conformidade com a RGPD, e também deve ser capaz de demonstrar que os processadores cumprem o acordo de processamento de dados.