Contrato de encargado del tratamiento

Este contrato, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD), forma parte de las condiciones de contratación y se acepta al registrarse en ClaseAlDía.

1. Partes

• Responsable del tratamiento: el cliente, profesor o academia que se registra en el Servicio.
• Encargado del tratamiento: el titular de ClaseAlDía, identificado en el aviso legal.

2. Objeto

El encargado trata datos personales por cuenta del responsable exclusivamente para prestar el Servicio: alojar y procesar los datos de alumnos y familias que el responsable introduce, gestionar horarios, asistencia, avisos y cobros, y enviar correos electrónicos en su nombre.

3. Duración

El contrato dura mientras el responsable mantenga una cuenta en el Servicio y hasta que se complete la devolución o el borrado de los datos conforme a la cláusula 10.

4. Naturaleza y finalidad del tratamiento

Alojamiento, almacenamiento, consulta, organización, comunicación por correo electrónico, exportación y supresión de datos, según las funciones del Servicio y las instrucciones del responsable.

5. Tipos de datos y categorías de interesados

• Tipos de datos: datos identificativos y de contacto de alumnos y familias (nombre, apellidos, año de nacimiento, correo electrónico, teléfono); datos de matrícula y horarios; registros de asistencia y observaciones asociadas; datos de cuotas y pagos (importe, concepto, estado, fecha, método); avisos enviados y notas que el responsable introduzca.
• Categorías de interesados: alumnos, incluidos menores de edad, y sus familiares o tutores. También los profesores o usuarios que el responsable dé de alta.
• El responsable se compromete a no introducir categorías especiales de datos (salud, religión, etc.) salvo que sea imprescindible y lo haga bajo su responsabilidad, evitándolo en los campos de notas.

6. Obligaciones del encargado

• Tratar los datos solo siguiendo las instrucciones documentadas del responsable, que son las contenidas en este contrato y en el uso que haga del Servicio. Si considera que una instrucción infringe la normativa, se lo comunicará.
• No utilizar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados o por obligación legal.
• Garantizar que las personas con acceso a los datos están sujetas a confidencialidad.
• Aplicar las medidas de seguridad de la cláusula 8.
• Poner a disposición del responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, previo aviso y sin interferir en el servicio.

7. Subencargados

El responsable autoriza con carácter general la contratación de los siguientes subencargados:

Stripe interviene únicamente en el cobro de la suscripción del responsable y no recibe datos de alumnos ni familias. El encargado informará al responsable de cualquier incorporación o sustitución de subencargados con antelación razonable, para que pueda oponerse; si la oposición es fundada y no hay alternativa, el responsable podrá cancelar el Servicio. El encargado impondrá a los subencargados obligaciones equivalentes y responderá ante el responsable de su cumplimiento. Las transferencias internacionales se amparan en cláusulas contractuales tipo o en el Marco de Privacidad de Datos UE-EE. UU.

8. Medidas de seguridad

• Cifrado de las comunicaciones (HTTPS).
• Contraseñas almacenadas con hash y sal, sin posibilidad de recuperarlas.
• Control de acceso por roles: los profesores solo acceden a sus grupos y no a los cobros.
• Enlaces del portal de familias con identificadores aleatorios que el responsable puede regenerar.
• Limitación de intentos de acceso y de envíos.
• Posibilidad de exportar y eliminar los datos por el propio responsable.

9. Asistencia al responsable

El encargado ayudará al responsable, teniendo en cuenta la naturaleza del tratamiento, a atender los derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad). El Servicio permite al responsable realizar la mayoría de estas acciones directamente (editar, exportar, dar de baja o borrar definitivamente). Si el encargado recibe una solicitud de un interesado, la trasladará al responsable sin demora. También ayudará, en lo razonable, con las evaluaciones de impacto y las consultas previas que procedan.

10. Brechas de seguridad

El encargado notificará al responsable, sin dilación indebida y como máximo en 72 horas desde que tenga constancia de ella, cualquier violación de la seguridad de los datos personales, con la información disponible: naturaleza, datos y personas afectadas, consecuencias probables y medidas adoptadas o propuestas. La notificación a la AEPD y a los interesados, cuando proceda, corresponde al responsable.

11. Devolución y supresión de los datos

Al terminar el contrato, el responsable puede exportar sus datos desde la aplicación, también en modo solo lectura. El responsable puede borrar su centro en cualquier momento, lo que elimina definitivamente los datos. Si no lo hace, el encargado podrá borrar los datos pasado un plazo razonable tras la finalización del Servicio, previo aviso, salvo que la ley exija conservarlos.

12. Obligaciones del responsable

• Disponer de base jurídica para tratar los datos y haber informado a los interesados.
• Recabar el consentimiento de los padres o tutores de los menores de 14 años cuando proceda.
• Introducir solo los datos necesarios y mantenerlos actualizados.
• Gestionar los accesos de sus usuarios y custodiar los enlaces del portal de familias.

13. Ley aplicable

Este contrato se rige por el RGPD, la Ley Orgánica 3/2018 (LOPDGDD) y demás normativa española aplicable.