Acuerdo de encargo del tratamiento de Nexier School
1. Partes, instrucciones y aplicabilidad
Este acuerdo de encargo se aplica únicamente cuando el cliente o responsable del tratamiento identificado en un ENT-02 formalizado encarga a SMARTEDTECH SL el tratamiento, como encargado, para Nexier School. Para la cuenta propia del operador, la facturación, la seguridad o fines legales puede ser, en cambio, responsable del tratamiento. Los proveedores y las instituciones independientes siguen siendo responsables de su propio tratamiento. El anexo A debe identificar el objeto, la duración, la naturaleza, la finalidad, las categorías de datos, los interesados, las instrucciones del responsable y las ubicaciones permitidas antes de que comience el tratamiento. Ningún anexo en blanco autoriza un tratamiento ilimitado.
2. Finalidad documentada y confidencialidad
El encargado actúa únicamente conforme a instrucciones documentadas, incluidas las transferencias, salvo que una ley imperativa exija otra cosa; informa al responsable de ese requisito cuando la ley lo permita. Señala sin demora una instrucción que razonablemente considere ilícita. Solo se autoriza al personal que necesita acceso, que está formado y vinculado por confidencialidad. De este acuerdo no se deriva publicidad, venta ulterior, entrenamiento de modelos no relacionado, enriquecimiento entre plataformas ni publicación de datos privados.
3. Seguridad y acceso autorizado
Utilice medidas adecuadas al riesgo conforme al artículo 32, documentadas en el anexo B: aislamiento de inquilino/RLS, mínimo privilegio y MFA para el acceso privilegiado, cifrado y gestión de claves cuando estén realmente implantados, enmascaramiento de secretos, gestión de parches y vulnerabilidades, restauración y recuperación probadas, integraciones acotadas, controles de carga, escalada de incidentes e integridad de la prueba. Son requisitos contractuales que deben evidenciarse, no una certificación de que toda medida ya ha sido superada. Explique y corrija las desviaciones sustanciales antes del tratamiento en producción. No se escribe contenido privado en registros de consentimiento inmutables; utilice referencias minimizadas y una conservación lícita.
4. Subencargados y transferencias
El anexo C identifica cada subencargado real, su finalidad, ubicación, acceso a los datos y base de aprobación. Con una autorización general por escrito, notifique las adiciones o sustituciones previstas y permita un proceso de oposición razonable y acordado; resuelva o detenga el tratamiento afectado si no pueden acordarse garantías lícitas. Imponga deberes de tratamiento equivalentes y siga siendo responsable según exige el artículo 28. Las transferencias restringidas exigen el instrumento vigente realmente válido y la evaluación de DAT-02. Un logotipo de proveedor o un ajuste de API no es un acuerdo de encargo formalizado ni una garantía de transferencia.
5. Derechos e incidentes
Asista al responsable en las solicitudes de los interesados mediante una autenticación proporcionada y una búsqueda, exportación, rectificación o supresión acotadas. No decida de forma independiente la respuesta salvo que esté autorizado o lo exija la ley. Notifique al responsable una violación de datos personales sin dilación indebida desde que tenga conocimiento, con los hechos disponibles, las categorías y cifras aproximadas, los efectos probables, la mitigación y el contacto. Facilite actualizaciones escalonadas y conserve la evidencia pertinente; no espere a un informe perfecto. El deber del responsable de notificar a la autoridad de control en 72 horas es distinto de la notificación del encargado y no se vincula automáticamente a toda alerta de seguridad. Las partes coordinan las notificaciones a las personas afectadas sin bloquear los plazos legales.
6. Evaluaciones, auditoría y autoridades
Facilite la información razonablemente necesaria para el cumplimiento del artículo 28, la evidencia de seguridad pertinente, la asistencia en las EIPD y la consulta previa, y auditorías o inspecciones proporcionadas, con sujeción a la confidencialidad, la seguridad y los derechos de terceros. Limite el acceso a los datos pertinentes; no exija nunca secretos en bruto ni registros de inquilinos no relacionados. Se preserva el acceso legal del regulador. No deniegue la cooperación esencial en una auditoría por el mero hecho de que no se disponga de un certificado.
7. Fin del servicio y conservación
A elección del responsable, devuelva o suprima los datos personales y las copias existentes al finalizar el servicio encargado, salvo que una ley imperativa exija una conservación concreta. Acuerde en el anexo D el formato real de exportación, el calendario, la caducidad de las copias de seguridad y la verificación de la supresión. Restrinja cualquier registro conservado por ley a la finalidad y la duración concretas. El requisito de prueba de solo adición no autoriza a conservar indefinidamente contenido identificable; minimice o separe criptográficamente las cargas útiles de forma coherente con la ley aprobada y el diseño técnico.
8. Formalización de los anexos
El anexo A utiliza los campos de servicio, interesado y finalidad de ENT-02; el anexo B es la lista de TOMs respaldada por evidencias; el anexo C es el registro real de destinatarios, ubicación y aviso de cambios; el anexo D indica la conservación, la exportación, la supresión y los contactos de incidentes. Siguen siendo hechos pendientes hasta que se completen a partir de la configuración del inquilino o del servicio. La firma corresponde al responsable y al encargado reales. Las obligaciones legales de tratamiento y los derechos imperativos prevalecen sobre las condiciones comerciales incompatibles.
Condiciones específicas de la plataforma
Roles respecto de los datos
1. Datos de la plataforma. El Operador es el responsable del tratamiento de los datos personales tratados para operar la plataforma: cuenta, verificación de identidad, registros de aceptación, pagos, seguridad, soporte, comunicaciones y analítica.
2. Datos de la prestación del proveedor. Cuando un proveedor presta servicios a un cliente a través de la plataforma, el proveedor es responsable independiente del tratamiento de los datos que necesita para esa prestación (reserva, pedido, historiales clínicos, educativos o profesionales), y el Operador es responsable del registro a nivel de plataforma de la transacción. Cada parte cumple sus propias obligaciones; ninguna actúa por la otra.
3. Servicios de encargado. Cuando el Operador trata datos personales por cuenta de un cliente empresarial siguiendo las instrucciones de este (por ejemplo, los datos de empleados de un inquilino de empresa), se aplica y rige el Acuerdo de encargo del tratamiento (DAT-01); se firma como parte del pedido.
4. Cesiones entre plataformas SET. Los datos personales no se comparten con ninguna otra plataforma operada por el Operador o su grupo salvo que usted active el destino concreto en su configuración. Activar un destino no activa los demás, y puede desactivarlo en cualquier momento.
5. Transferencias internacionales. Los datos personales se almacenan en el Espacio Económico Europeo (o, en el caso de wellbridge.uk, en el Reino Unido). Cuando se utiliza un encargado fuera de esas zonas, la transferencia queda cubierta por las cláusulas contractuales tipo o por la Adenda del Reino Unido/IDTA, indicadas en el anexo de subencargados.
---