Contrato de encargo de tratamiento (art. 28 RGPD)

Este contrato regula el tratamiento de datos personales que Mikel Martin Calleja («el Encargado») realiza por cuenta de cada academia cliente («la Responsable») como parte del servicio AcadeSmart. Forma parte integrante de los Términos y condiciones del servicio y se acepta junto con ellos al contratar. Su duración es la del contrato de servicio.

El Encargado trata los datos únicamente para prestar el servicio de gestión de la academia (alojamiento, gestión académica y administrativa, comunicaciones y copias de seguridad). Categorías de interesados: alumnado (incluidos menores de edad), padres, madres y tutores, profesorado y personal de la Responsable. Tipos de datos:

• Identificativos y de contacto (nombre, email, teléfono, fecha de nacimiento).
• Académicos (grupos, asistencia, calificaciones, observaciones).
• Económicos y de facturación (datos fiscales, cuotas, IBAN).
• Evidencias de consentimiento (fecha, IP, texto aceptado).

• Tratar los datos solo siguiendo instrucciones documentadas de la Responsable y para las finalidades del servicio; nunca para fines propios.
• Garantizar que las personas autorizadas a tratar datos se han comprometido a la confidencialidad.
• Aplicar las medidas de seguridad del art. 32 RGPD: cifrado de comunicaciones, control de acceso por roles, aislamiento por academia, copias de seguridad y registro de accesos administrativos.
• Asistir a la Responsable en la atención de los derechos de los interesados y, cuando proceda, en las evaluaciones de impacto y consultas previas.
• Notificar a la Responsable, sin dilación indebida desde que tenga conocimiento, las violaciones de seguridad que afecten a sus datos, con la información disponible.
• Poner a disposición de la Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, previo aviso y sin comprometer la seguridad del resto de clientes.
• No comunicar los datos a terceros salvo autorización de la Responsable u obligación legal.

La Responsable autoriza de forma general la contratación de los siguientes subencargados, necesarios para prestar el servicio. El Encargado informará con al menos 30 días de antelación de cualquier adición o sustitución, pudiendo la Responsable oponerse por motivos justificados:

• Vercel Inc. — Alojamiento y ejecución de la aplicación. Ubicación: EE. UU. / red global. Garantías: Cláusulas Contractuales Tipo (SCC) de la Comisión Europea.
• Supabase, Inc. — Base de datos PostgreSQL. Ubicación: Unión Europea (infraestructura AWS en región europea). Garantías: Tratamiento dentro de la UE; SCC como garantía adicional.
• Resend (Plus Five Five, Inc.) — Envío de correos transaccionales (verificación, avisos, facturas). Ubicación: EE. UU.. Garantías: Cláusulas Contractuales Tipo (SCC) de la Comisión Europea.
• Stripe Payments Europe, Ltd. — Cobro de la suscripción del servicio (cuando se active el pago online). Ubicación: Irlanda (UE). Garantías: Tratamiento dentro de la UE.

El Encargado impone a cada subencargado obligaciones equivalentes a las de este contrato y responde ante la Responsable del cumplimiento de aquellos.

Cuando un subencargado trate datos fuera del Espacio Económico Europeo, la transferencia se ampara en Cláusulas Contractuales Tipo de la Comisión Europea u otro mecanismo válido del capítulo V del RGPD.

Al terminar el servicio, la Responsable puede exportar sus datos desde la propia plataforma. Transcurridos 30 días desde la baja, el Encargado suprimirá todos los datos personales tratados por cuenta de la Responsable, salvo los que deba conservar bloqueados por obligación legal.

• Garantizar la base jurídica de los tratamientos y, en el caso de menores, la obtención del consentimiento o autorización de quien ejerza la patria potestad o tutela cuando sea necesario.
• Facilitar la información de los arts. 13 y 14 RGPD a sus interesados.
• Introducir en la plataforma únicamente los datos pertinentes para la gestión de su actividad.