Contrato de encargo de tratamiento (art. 28 RGPD)

Este contrato regula el tratamiento de datos personales que Neurentic, S.L. («el Encargado») realiza por cuenta de cada academia cliente («la Responsable») como parte del servicio AcadeSmart, incluido el periodo de prueba gratuito. Forma parte integrante de los Términos y condiciones del servicio y se acepta junto con ellos al darse de alta. Su duración es la de la relación de servicio. Sustituye, para las academias que lo firmaron, al encargo incluido en el acuerdo de programa piloto, que terminó el 1 de octubre de 2026.

El Encargado trata los datos únicamente para prestar el servicio de gestión de la academia (alojamiento, gestión académica y administrativa, comunicaciones y copias de seguridad). Categorías de interesados: alumnado (incluidos menores de edad), padres, madres y tutores, profesorado y personal de la Responsable. Tipos de datos:

• Identificativos y de contacto (nombre, email, teléfono, fecha de nacimiento).
• Académicos (grupos, asistencia, calificaciones, observaciones).
• Económicos y de facturación de la academia frente a sus alumnos (datos fiscales, cuotas, IBAN si la academia los introduce).
• Evidencias de consentimiento o autorización (fecha, IP, navegador, texto aceptado y hash).

• Tratar los datos solo siguiendo instrucciones documentadas de la Responsable y para las finalidades del servicio; nunca para fines propios.
• Garantizar que las personas autorizadas a tratar datos se han comprometido a la confidencialidad.
• Aplicar las medidas de seguridad del art. 32 RGPD: cifrado de comunicaciones, control de acceso por roles, aislamiento por academia, copias de seguridad y registro de accesos administrativos.
• Asistir a la Responsable en la atención de los derechos de los interesados y, cuando proceda, en las evaluaciones de impacto y consultas previas.
• Notificar a la Responsable, sin dilación indebida desde que tenga conocimiento, las violaciones de seguridad que afecten a sus datos, con la información disponible.
• Poner a disposición de la Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, previo aviso y sin comprometer la seguridad del resto de clientes.
• No comunicar los datos a terceros salvo autorización de la Responsable u obligación legal.

La Responsable autoriza de forma general la contratación de los siguientes subencargados, necesarios para prestar el servicio. El Encargado informará con al menos 30 días de antelación de cualquier adición o sustitución, pudiendo la Responsable oponerse por motivos justificados:

• Vercel Inc. — Alojamiento y ejecución de la aplicación. Ubicación: EE. UU. / red global. Garantías: Cláusulas Contractuales Tipo (SCC) de la Comisión Europea u otro mecanismo válido aplicable. Activo.
• Supabase, Inc. — Base de datos PostgreSQL y almacenamiento técnico asociado. Ubicación: Unión Europea para la base de datos si el proyecto se configura en región europea; soporte global del proveedor. Garantías: Tratamiento en región europea cuando esté configurado así; SCC como garantía adicional si procede. Activo.
• Resend (Plus Five Five, Inc.) — Envío de correos transaccionales (verificación, avisos y facturas). Ubicación: EE. UU.. Garantías: Cláusulas Contractuales Tipo (SCC) de la Comisión Europea u otro mecanismo válido aplicable. Activo.
• Stripe Payments Europe, Ltd. — Cobro de la suscripción del servicio. Ubicación: Irlanda (UE). Garantías: Tratamiento dentro de la UE. No activo hoy: solo recibirá datos si se activa el servicio que presta.
• Cloudflare, Inc. — Almacenamiento de los ficheros del archivo documental (Cloudflare R2). Ubicación: EE. UU. / red global. Garantías: Cláusulas Contractuales Tipo (SCC) de la Comisión Europea y adhesión de Cloudflare, Inc. al Data Privacy Framework UE-EE. UU.. No activo hoy: solo recibirá datos si se activa el servicio que presta.
• Verifacti — Envío de los registros de facturación a VeriFactu (AEAT) o TicketBAI cuando la academia activa el registro fiscal: recibe los datos fiscales de las facturas que la academia emite a su alumnado. Ubicación: España (UE). Garantías: Tratamiento dentro de la UE. Activo.
• Upstash, Inc. — Límites de intentos de acceso y de uso de la API (guarda de forma temporal la dirección IP y el correo con el que se intenta entrar). Ubicación: Unión Europea si la base Redis se crea en región europea; soporte global del proveedor. Garantías: Tratamiento en región europea cuando esté configurado así; SCC como garantía adicional si procede. Activo.
• Scaleway SAS — Asistente IA NEURI: inferencia del modelo DeepSeek en la infraestructura europea de Scaleway (Generative APIs), si la academia activa el módulo, y para responder a las preguntas que la dirección de una academia nueva le haga sobre las funciones en la pantalla de bienvenida. Ubicación: Francia (UE). Garantías: Tratamiento dentro de la Unión Europea, sin transferencia internacional: contrato de encargo del artículo 28 del RGPD con el proveedor y datos excluidos del entrenamiento de modelos según sus condiciones de servicio. Activo.
• Google Ireland Limited — Entrega de los avisos al móvil (Firebase Cloud Messaging): recibe el identificador del aparato y el título y el texto del aviso. Ubicación: Irlanda (UE) con tratamiento por Google LLC en EE. UU.. Garantías: Cláusulas Contractuales Tipo (SCC) de la Comisión Europea incorporadas al contrato de Firebase, más la adhesión de Google LLC al Data Privacy Framework UE-EE. UU. (decisión de adecuación de 10 de julio de 2023); se minimiza además lo transmitido: un titular sin el contenido del mensaje y un identificador técnico del aparato. Activo.

El Encargado impone a cada subencargado obligaciones equivalentes a las de este contrato y responde ante la Responsable del cumplimiento de aquellos.

Cuando un subencargado trate datos fuera del Espacio Económico Europeo, la transferencia se ampara en Cláusulas Contractuales Tipo de la Comisión Europea u otro mecanismo válido del capítulo V del RGPD.

El servicio incluye un asistente de IA que viene desactivado y que solo se pone en marcha si la Responsable lo activa. La activación equivale a una instrucción documentada para que el Encargado comunique al subencargado del modelo, y únicamente mientras el módulo siga activo, los siguientes datos:

• Nombre y apellidos del alumnado y del profesorado.
• Grupos, horarios y contenido de las sesiones.
• Asistencia, calificaciones y deberes.
• Facturas de la Responsable a su alumnado: número, importe, fechas y nombre del cliente.
• El texto de las consultas que escriba la persona administradora.

Aparte, mientras la academia elige sus funciones en la pantalla de bienvenida, el asistente responde a las preguntas que la persona administradora le escriba sobre esas funciones. En ese uso solo recibe el texto de las preguntas: no lee ningún dato de la academia.

Quedan excluidos del envío, por diseño de la plataforma y no solo por compromiso contractual, las credenciales, los datos de contacto, las fechas de nacimiento, los identificadores fiscales y bancarios, las cuotas individuales, las observaciones privadas del alumnado, los mensajes entre usuarios y los identificadores internos.

El subencargado del modelo (Scaleway SAS) trata los datos dentro de la Unión Europea, en Francia, según consta en la relación de subencargados: no hay transferencia internacional que amparar. El Encargado mantiene con él un contrato de encargo del artículo 28 del RGPD, y sus condiciones de servicio excluyen los datos del entrenamiento de modelos. Antes de activar el módulo, la Responsable debe informar de este tratamiento a los interesados y valorar si su base jurídica lo ampara. Puede desactivarlo en cualquier momento desde los ajustes de la plataforma, sin coste ni preaviso.

Al terminar el servicio, la Responsable puede exportar sus datos desde la propia plataforma o solicitar su devolución/supresión. Transcurridos 30 días desde la baja, el Encargado suprimirá todos los datos personales tratados por cuenta de la Responsable, salvo que las partes acuerden continuar con el servicio o que exista una obligación legal de conservación bloqueada.

• Garantizar la base jurídica de los tratamientos y, en el caso de menores, la obtención del consentimiento o autorización de quien ejerza la patria potestad o tutela cuando sea necesario.
• Facilitar la información de los arts. 13 y 14 RGPD a sus interesados.
• Introducir en la plataforma únicamente los datos pertinentes para la gestión de su actividad.
• Categorías especiales de datos: los campos de texto libre de la plataforma (observaciones del alumnado, notas de seguimiento y la nota asociada a una falta) están pensados para información académica. Si la Responsable introduce en ellos datos de salud —alergias, diagnósticos, informes psicopedagógicos— u otras categorías del art. 9 RGPD, asume que le corresponde a ella determinar la base jurídica del art. 9.2 que ampara ese tratamiento e informar de él a los interesados. El Encargado los tratará con las mismas medidas de seguridad que el resto, pero no puede suplir esa decisión.