Contrato de encargo de tratamiento (art. 28 RGPD)

Este contrato regula el tratamiento de datos personales que Mikel Martin Calleja, Julen Berbetoros Villalba, Andoni Gonzalez Aguirre, Jon Albarran Lopez de Landache («el Encargado») realiza por cuenta de cada academia cliente («la Responsable») como parte del servicio AcadeSmart, incluido el programa piloto gratuito hasta el 1 de octubre de 2026. Forma parte integrante de los Términos y condiciones del servicio y se acepta junto con ellos al contratar o firmar el acuerdo de piloto. Su duración es la de la relación de servicio o piloto.

El Encargado trata los datos únicamente para prestar el servicio de gestión de la academia (alojamiento, gestión académica y administrativa, comunicaciones y copias de seguridad). Categorías de interesados: alumnado (incluidos menores de edad), padres, madres y tutores, profesorado y personal de la Responsable. Tipos de datos:

• Identificativos y de contacto (nombre, email, teléfono, fecha de nacimiento).
• Académicos (grupos, asistencia, calificaciones, observaciones).
• Económicos y de facturación de la academia frente a sus alumnos (datos fiscales, cuotas, IBAN si la academia los introduce).
• Evidencias de consentimiento o autorización (fecha, IP, navegador, texto aceptado y hash).

• Tratar los datos solo siguiendo instrucciones documentadas de la Responsable y para las finalidades del servicio o piloto; nunca para fines propios.
• Garantizar que las personas autorizadas a tratar datos se han comprometido a la confidencialidad.
• Aplicar las medidas de seguridad del art. 32 RGPD: cifrado de comunicaciones, control de acceso por roles, aislamiento por academia, copias de seguridad y registro de accesos administrativos.
• Asistir a la Responsable en la atención de los derechos de los interesados y, cuando proceda, en las evaluaciones de impacto y consultas previas.
• Notificar a la Responsable, sin dilación indebida desde que tenga conocimiento, las violaciones de seguridad que afecten a sus datos, con la información disponible.
• Poner a disposición de la Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, previo aviso y sin comprometer la seguridad del resto de clientes.
• No comunicar los datos a terceros salvo autorización de la Responsable u obligación legal.

La Responsable autoriza de forma general la contratación de los siguientes subencargados, necesarios para prestar el servicio. El Encargado informará con al menos 30 días de antelación de cualquier adición o sustitución, pudiendo la Responsable oponerse por motivos justificados:

• Vercel Inc. — Alojamiento y ejecución de la aplicación. Ubicación: EE. UU. / red global. Garantías: Cláusulas Contractuales Tipo (SCC) de la Comisión Europea u otro mecanismo válido aplicable. Activo durante el piloto.
• Supabase, Inc. — Base de datos PostgreSQL y almacenamiento técnico asociado. Ubicación: Unión Europea para la base de datos si el proyecto se configura en región europea; soporte global del proveedor. Garantías: Tratamiento en región europea cuando esté configurado así; SCC como garantía adicional si procede. Activo durante el piloto.
• Resend (Plus Five Five, Inc.) — Envío de correos transaccionales (verificación, avisos y facturas). Ubicación: EE. UU.. Garantías: Cláusulas Contractuales Tipo (SCC) de la Comisión Europea u otro mecanismo válido aplicable. Activo durante el piloto.
• Stripe Payments Europe, Ltd. — Cobro de la suscripción del servicio. Ubicación: Irlanda (UE). Garantías: Tratamiento dentro de la UE. No activo por defecto durante el piloto.
• Verifacti — Envío de los registros de facturación a VeriFactu (AEAT) o TicketBAI cuando la academia activa el registro fiscal: recibe los datos fiscales de las facturas que la academia emite a su alumnado. Ubicación: España (UE). Garantías: Tratamiento dentro de la UE. Activo durante el piloto.
• Upstash, Inc. — Límites de intentos de acceso y de uso de la API (guarda de forma temporal la dirección IP y el correo con el que se intenta entrar). Ubicación: Unión Europea si la base Redis se crea en región europea; soporte global del proveedor. Garantías: Tratamiento en región europea cuando esté configurado así; SCC como garantía adicional si procede. Activo durante el piloto.
• Scaleway SAS — Asistente IA OMI: inferencia del modelo DeepSeek en la infraestructura europea de Scaleway (Generative APIs), si la academia activa el módulo. Ubicación: Francia (UE). Garantías: Tratamiento dentro de la Unión Europea, sin transferencia internacional: contrato de encargo del artículo 28 del RGPD con el proveedor y datos excluidos del entrenamiento de modelos según sus condiciones de servicio. Activo durante el piloto.

El Encargado impone a cada subencargado obligaciones equivalentes a las de este contrato y responde ante la Responsable del cumplimiento de aquellos.

Cuando un subencargado trate datos fuera del Espacio Económico Europeo, la transferencia se ampara en Cláusulas Contractuales Tipo de la Comisión Europea u otro mecanismo válido del capítulo V del RGPD.

El servicio incluye un asistente de IA que viene desactivado y que solo se pone en marcha si la Responsable lo activa. La activación equivale a una instrucción documentada para que el Encargado comunique al subencargado del modelo, y únicamente mientras el módulo siga activo, los siguientes datos:

• Nombre y apellidos del alumnado y del profesorado.
• Grupos, horarios y contenido de las sesiones.
• Asistencia, calificaciones y deberes.
• Facturas de la Responsable a su alumnado: número, importe, fechas y nombre del cliente.
• El texto de las consultas que escriba la persona administradora.

Quedan excluidos del envío, por diseño de la plataforma y no solo por compromiso contractual, las credenciales, los datos de contacto, las fechas de nacimiento, los identificadores fiscales y bancarios, las cuotas individuales, las observaciones privadas del alumnado, los mensajes entre usuarios y los identificadores internos.

El subencargado del modelo trata los datos fuera del Espacio Económico Europeo. La transferencia se ampara en Cláusulas Contractuales Tipo y en una evaluación de impacto de la transferencia que el Encargado mantiene actualizada y entrega a la Responsable que la solicite. Antes de activar el módulo, la Responsable debe informar de este tratamiento a los interesados y valorar si su base jurídica lo ampara. Puede desactivarlo en cualquier momento desde los ajustes de la plataforma, sin coste ni preaviso.

Al terminar el servicio o piloto, la Responsable puede exportar sus datos desde la propia plataforma o solicitar su devolución/supresión. Transcurridos 30 días desde la baja o desde el fin del piloto, el Encargado suprimirá todos los datos personales tratados por cuenta de la Responsable, salvo que las partes acuerden continuar con el servicio o que exista una obligación legal de conservación bloqueada.

• Garantizar la base jurídica de los tratamientos y, en el caso de menores, la obtención del consentimiento o autorización de quien ejerza la patria potestad o tutela cuando sea necesario.
• Facilitar la información de los arts. 13 y 14 RGPD a sus interesados.
• Introducir en la plataforma únicamente los datos pertinentes para la gestión de su actividad.
• Categorías especiales de datos: los campos de texto libre de la plataforma (observaciones del alumnado, notas de seguimiento y la nota asociada a una falta) están pensados para información académica. Si la Responsable introduce en ellos datos de salud —alergias, diagnósticos, informes psicopedagógicos— u otras categorías del art. 9 RGPD, asume que le corresponde a ella determinar la base jurídica del art. 9.2 que ampara ese tratamiento e informar de él a los interesados. El Encargado los tratará con las mismas medidas de seguridad que el resto, pero no puede suplir esa decisión.