Contrato de encargo del tratamiento

1. Partes

• Responsable del tratamiento: la escuela que contrata Vulcano Academy (academia, centro de formación, colegio, formador u otra entidad), con los datos que figuran en su alta y en sus datos de facturación, representada por la persona que crea la escuela.
• Encargado del tratamiento: el titular de Vulcano Academy:

• Titular: Jesús Solaz Rodríguez
• NIF: 20869252H
• Correo electrónico: hola@academy.vulcano.dev
• Web: academy.vulcano.dev

2. Objeto

El encargado trata, por cuenta de la escuela, los datos personales necesarios para prestarle el servicio de campus virtual descrito en las condiciones del servicio: gestión de las personas de la escuela y sus roles, aulas y contenidos, clases en directo con grabación y transcripción, documentos con medición de la lectura, chat y videollamadas, y seguimiento e informes de la actividad de aprendizaje.

3. Duración

Este contrato dura lo mismo que la relación de servicio entre la escuela y Vulcano Academy. Al terminar, se aplica lo previsto en el apartado Devolución y borrado al terminar. Las obligaciones de confidencialidad se mantienen después.

4. Naturaleza y finalidad del tratamiento

Los tratamientos consisten en recoger, registrar, organizar, conservar, consultar, adaptar (por ejemplo, preparar las grabaciones para su reproducción y transcribirlas automáticamente), comunicar a las personas autorizadas de la escuela, y suprimir los datos. Su única finalidad es prestar el servicio a la escuela. El encargado no trata los datos para fines propios.

5. Tipos de datos personales

• Identificación y contacto: nombre y apellidos, correo electrónico, teléfono y foto de perfil.
• Datos de acceso: credenciales (la contraseña, cifrada), rol en la escuela y registros de acceso.
• Actividad de aprendizaje: asistencia y presencia en las clases en directo, tiempo de lectura por página de los documentos, visionado de grabaciones y vídeos, entregas, calificaciones y diplomas.
• Imagen y voz contenidas en las grabaciones de las clases, y el texto de sus transcripciones.
• Contenido de los mensajes del chat y registro de las videollamadas.
• Los datos personales que la escuela y sus miembros incluyan en los contenidos que suben.

El servicio no está pensado para tratar categorías especiales de datos (por ejemplo, de salud). Si la escuela decide incluirlas en sus contenidos, lo hace bajo su responsabilidad y debe informar de ello al encargado.

6. Categorías de interesados

• Alumnado de la escuela, incluidos menores de edad si la escuela los da de alta.
• Profesorado, coordinación y administración de la escuela.
• Otras personas que participen en las clases en directo o cuyos datos aparezcan en los contenidos.

Cuando la escuela da de alta a menores de edad, es ella la responsable de contar con la base legal adecuada y, cuando proceda, con la autorización de sus padres, madres o tutores, y de informarles del tratamiento, incluida la grabación de las clases.

7. Obligaciones del encargado

1. Tratar los datos solo siguiendo las instrucciones documentadas de la escuela, que son las de este contrato, las condiciones del servicio y las que la escuela da al usar el campus (por ejemplo, dar de alta o de baja a una persona, o borrar una grabación). Si una instrucción le parece contraria a la normativa de protección de datos, lo comunicará a la escuela de inmediato.
2. No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados o por obligación legal.
3. Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar su confidencialidad.
4. Aplicar las medidas de seguridad del apartado Medidas de seguridad.
5. Ayudar a la escuela a atender los derechos de los interesados y a cumplir sus obligaciones de seguridad, de notificación de violaciones de seguridad y, si procede, de evaluación de impacto, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone.
6. Llevar el registro de las actividades de tratamiento que hace por cuenta de la escuela, cuando la ley lo exija.
7. Al terminar el servicio, devolver o suprimir los datos según el apartado Devolución y borrado al terminar.

8. Obligaciones de la escuela

1. Contar con una base legal para tratar los datos de su alumnado y su equipo con el campus, incluida la grabación y transcripción de las clases en directo.
2. Informar a los interesados del tratamiento (también de que las clases pueden grabarse y transcribirse) y, cuando haga falta, recabar su consentimiento o el de sus representantes legales.
3. Dar de alta solo a las personas necesarias, con el rol adecuado, mantener sus datos exactos y dar de baja a quien deje de formar parte de la escuela.
4. Velar por que los contenidos que se suben al campus respetan la normativa de protección de datos.
5. Supervisar el tratamiento y atender los derechos de los interesados como responsable.

9. Subencargados

La escuela autoriza al encargado a recurrir a los siguientes subencargados:

• IONOS SE (Alemania), proveedor de alojamiento, con servidores en la Unión Europea, donde se almacenan y procesan todos los datos del campus, incluidas las grabaciones. La transcripción de las grabaciones se hace en esos mismos servidores, sin enviar el audio a terceros.
• Google Ireland Ltd. (Irlanda), solo como almacenamiento de las copias de seguridad, que se cifran en nuestros servidores antes de salir: Google guarda los ficheros cifrados y no tiene la clave para leerlos.
• Stripe (Stripe Payments Europe, Ltd., Irlanda), exclusivamente para los pagos: solo trata los datos de facturación y de pago de quien paga (la escuela o, en su caso, la persona que paga su propia plaza). No recibe datos de aprendizaje.

Si el encargado quiere añadir o sustituir un subencargado, lo comunicará a la escuela con al menos 30 días de antelación para que pueda oponerse; si se opone de forma razonada y no se encuentra una alternativa, la escuela podrá cancelar el servicio sin coste adicional. El encargado impondrá a cada subencargado las mismas obligaciones de protección de datos que asume en este contrato y seguirá respondiendo ante la escuela de su cumplimiento.

10. Medidas de seguridad

Teniendo en cuenta el estado de la técnica, el coste y los riesgos del tratamiento, el encargado aplica, entre otras, estas medidas:

• Conexión cifrada (HTTPS) en todo el servicio.
• Contraseñas guardadas con un cifrado irreversible y límite de intentos de acceso.
• Separación lógica de los datos de cada escuela y permisos por rol dentro de cada escuela.
• Acceso a los servidores restringido a las personas que lo necesitan para mantener el servicio.
• Copias de seguridad periódicas y cifradas, para poder recuperar los datos ante un incidente.
• Actualización periódica del software y revisión de los registros ante comportamientos anómalos.

11. Violaciones de seguridad

Si el encargado tiene conocimiento de una violación de la seguridad que afecte a datos de la escuela, se lo notificará sin dilación indebida y, en todo caso, en las 48 horas siguientes, por correo a su administración. Le facilitará la información de que disponga para que la escuela pueda valorar el incidente y, si procede, notificarlo a la autoridad de control y a los interesados: qué ha ocurrido, qué datos y cuántas personas pueden estar afectados, sus posibles consecuencias y las medidas adoptadas o propuestas. Si no puede dar toda la información a la vez, la irá dando de forma gradual.

12. Derechos de los interesados

Si un interesado se dirige al encargado para ejercer sus derechos respecto de datos de una escuela, el encargado se lo comunicará a la escuela sin demora, junto con la información necesaria para responder. Muchas peticiones se pueden atender directamente desde el campus (por ejemplo, corregir los datos de una persona o darla de baja); para las demás, el encargado ayudará a la escuela.

13. Devolución y borrado al terminar

Cuando termina el servicio, la escuela puede pedir, durante los 30 días siguientes, que se le entregue una copia de sus datos y contenidos en formatos de uso común (por ejemplo, hojas de cálculo y los ficheros originales). Pasados 90 días desde el final del servicio, el encargado suprime los datos de la escuela de sus sistemas, incluidas las grabaciones y transcripciones. Las copias de seguridad se eliminan cuando completan su ciclo de rotación.

El encargado solo conservará, debidamente bloqueados, los datos necesarios para atender posibles responsabilidades derivadas de la relación con la escuela mientras puedan exigirse.

14. Información y auditorías

El encargado pondrá a disposición de la escuela la información necesaria para demostrar que cumple este contrato y permitirá y facilitará las auditorías o inspecciones que la escuela, o un auditor que ella designe, realice con un preaviso razonable, de forma que no afecten a la seguridad ni a los datos de otras escuelas.