Acuerdo de Encargado del Tratamiento (DPA)

Responsable del tratamiento (en adelante, el «Responsable»): el docente individual o la institución educativa (centro) que contrata o utiliza Beetic y que determina los fines y medios del tratamiento de los datos personales del alumnado y demás interesados en el marco de la actividad educativa.

Encargado del tratamiento (en adelante, el «Encargado» o «Beetic»): Raúl Aguilar Membrado, con NIF/DNI 44528356B, y domicilio a efectos de notificaciones que se facilitará a solicitud del interesado a través de legal@beetic.es, como titular de la plataforma Beetic, que trata datos personales por cuenta del Responsable para la prestación del Servicio.

Contacto del Encargado en materia de protección de datos: privacy@beetic.es · dpo@beetic.es.

El objeto del presente DPA es regular el tratamiento de datos personales que Beetic realiza por cuenta del Responsable con ocasión de la prestación del Servicio Beetic, de conformidad con el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y con la Ley Orgánica 3/2018 (LOPDGDD).

Duración: el encargo permanecerá vigente mientras exista la relación contractual o de uso del Servicio entre las Partes y Beetic conserve datos personales tratados por cuenta del Responsable. Las obligaciones de confidencialidad, seguridad y las relativas a la supresión o devolución de datos sobrevivirán a la finalización en los términos de este Acuerdo.

La naturaleza del tratamiento es automatizada e incluye operaciones de recogida, registro, organización, estructuración, conservación, consulta, utilización, interconexión, limitación, supresión o destrucción, en la medida en que resulten necesarias para:

• la gestión del aula, del temario, de la evaluación y de las calificaciones;
• la gamificación y el seguimiento del progreso del alumnado;
• la participación en sesiones Live Mode (PIN, seudónimos o credenciales facilitadas por el docente);
• la administración de grupos, matrículas y, en su caso, comunicaciones pedagógicas dentro del Servicio;
• el soporte técnico y la seguridad de la Plataforma.

Beetic no tratará los datos para finalidades propias distintas de las anteriores, ni para publicidad dirigida a menores, ni para cesión comercial a terceros ajenos al encargo.

4.1. Categorías de interesados

• Alumnado (incluyendo menores de catorce años, cuando el Responsable los incorpore).
• Docentes y personal del centro con acceso a la Plataforma.
• En su caso, otros usuarios autorizados por el Responsable.

4.2. Categorías de datos

• Identificación: nombre y apellidos u otros identificadores internos definidos por el Responsable.
• Datos académicos: calificaciones, progreso, entregas, resultados de actividades y métricas de gamificación.
• Datos de acceso y uso: credenciales o códigos gestionados por el docente/centro; en Live Mode, PIN de sala y seudónimo.
• Datos técnicos de sesión necesarios para la seguridad y el funcionamiento en tiempo real.

Minimización: el Servicio no exige, como regla general, el correo electrónico del alumno. El Responsable se obliga a no introducir categorías especiales de datos ni datos superfluos.

Beetic tratará los datos personales únicamente siguiendo instrucciones documentadas del Responsable, salvo que esté obligado a ello por el Derecho de la Unión o de los Estados miembros. Se consideran instrucciones documentadas, entre otras:

• la configuración y el uso de la Plataforma por el Responsable y sus usuarios autorizados;
• las opciones de alta, baja y gestión de alumnos, grupos y contenidos;
• las solicitudes escritas dirigidas a privacy@beetic.es o al canal de soporte contractual.

Si Beetic considera que una instrucción infringe el RGPD u otras disposiciones de protección de datos, informará de inmediato al Responsable.

Beetic se obliga a:

• (a) tratar los datos solo según instrucciones documentadas del Responsable;
• (b) garantizar que las personas autorizadas a tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal de confidencialidad;
• (c) adoptar todas las medidas de seguridad exigidas por el artículo 32 del RGPD (véase la cláusula 7);
• (d) respetar las condiciones para recurrir a otro encargado (subencargado) conforme al artículo 28.2 y 28.4 del RGPD (cláusula 8);
• (e) asistir al Responsable, teniendo en cuenta la naturaleza del tratamiento, mediante medidas técnicas y organizativas apropiadas, en la medida de lo posible, para que este pueda cumplir su obligación de responder a las solicitudes de ejercicio de derechos de los interesados (cláusula 9);
• (f) asistir al Responsable en el cumplimiento de las obligaciones de los artículos 32 a 36 del RGPD (seguridad, brechas, evaluaciones de impacto y consulta previa), teniendo en cuenta la naturaleza del tratamiento y la información a disposición de Beetic;
• (g) a elección del Responsable, suprimir o devolver todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimir las copias existentes, salvo que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros (cláusula 12);
• (h) poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 del RGPD y permitir y contribuir a las auditorías, incluidas las inspecciones, realizadas por el Responsable u otro auditor autorizado por él (cláusula 11).

Beetic aplicará medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, entre otras:

• cifrado de las comunicaciones en tránsito (HTTPS/TLS);
• almacenamiento de contraseñas mediante funciones de resumen criptográfico unidireccional (bcrypt u otras de nivel equivalente);
• control de acceso basado en roles y principio de mínimo privilegio;
• segregación de entornos, copias de seguridad y procedimientos de recuperación;
• registro y monitorización de eventos de seguridad en la medida razonable;
• formación y compromiso de confidencialidad del personal con acceso a datos.

El Responsable es responsable de las medidas organizativas en su ámbito (custodia de PIN y credenciales del aula, dispositivos del centro, políticas internas de acceso, etc.).

El Responsable autoriza con carácter general a Beetic a recurrir a subencargados cuando sea necesario para la prestación del Servicio (infraestructura cloud, correo transaccional, pasarela de pago, almacenamiento de objetos, servicios de autenticación, etc.), siempre que:

• se imponga al subencargado, mediante contrato, las mismas obligaciones de protección de datos que las establecidas en este DPA;
• Beetic siga siendo plenamente responsable ante el Responsable del cumplimiento del subencargado;
• Beetic informe al Responsable de la incorporación o sustitución de subencargados relevantes con antelación razonable, de modo que el Responsable pueda oponerse por motivos fundados en protección de datos.

8.1. Lista nominal de subencargados autorizados

A la fecha de la última actualización de este DPA, Beetic recurre a los siguientes subencargados. Se indica, para cada uno, el servicio que presta, las categorías de datos que puede tratar y la garantía aplicable cuando el tratamiento puede implicar una transferencia internacional (véase 8.2).

Beetic no cede datos del alumnado a ningún otro tercero, no los utiliza con fines publicitarios y no permite a sus subencargados utilizarlos para fines propios.

8.2. Transferencias internacionales

Ahora bien, que los datos reposen en la Unión Europea no elimina por completo la posibilidad de transferencia: varios de estos proveedores tienen su matriz en Estados Unidos y pueden acceder a los sistemas de forma puntual para tareas de soporte o administración, y las funciones de inteligencia artificial y de notificaciones se prestan desde infraestructura global. Por eso las garantías siguientes no son accesorias, sino necesarias. Cuando el tratamiento puede implicar una transferencia fuera del Espacio Económico Europeo, se ampara en:

• la Decisión de adecuación de la Comisión Europea de 10 de julio de 2023 relativa al Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework), para los proveedores certificados en dicho marco; y, de forma complementaria,
• las cláusulas contractuales tipo adoptadas por la Decisión de Ejecución (UE) 2021/914, incorporadas a los acuerdos de encargo suscritos con cada proveedor, junto con las medidas suplementarias que resulten necesarias (cifrado en tránsito y en reposo, control de accesos, seudonimización cuando aplica).

El Responsable puede solicitar a Beetic copia de las garantías aplicables a cada subencargado en privacy@beetic.es.

8.3. Cambios en la lista

Beetic comunicará al Responsable la incorporación o sustitución de subencargados que traten datos del alumnado con una antelación mínima de treinta (30) días, mediante aviso en el panel o correo electrónico a la dirección de contacto de la cuenta, actualizando esta lista. El Responsable podrá oponerse por motivos fundados relacionados con la protección de datos en ese plazo; si no fuera posible atender la objeción, el Responsable podrá resolver el encargo respecto del servicio afectado sin penalización.

Beetic asistirá al Responsable, en la medida de lo posible y teniendo en cuenta la naturaleza del tratamiento, para que este pueda atender las solicitudes de ejercicio de derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y demás derechos reconocidos por el RGPD y la LOPDGDD.

Cuando un interesado se dirija directamente a Beetic en relación con datos tratados por cuenta del Responsable, Beetic reenviará la solicitud al Responsable sin dilación indebida, salvo que deba atenderla por imperativo legal.

9.1. Herramientas de autoservicio en la Plataforma

Para que el Responsable pueda atender por sí mismo y dentro del plazo de un mes las solicitudes más habituales, la Plataforma incorpora, en la ficha de cada alumno:

• Exportación de datos (arts. 15 y 20): descarga de un fichero JSON estructurado con todos los datos que el Responsable trata sobre ese alumno —matrículas, progreso, respuestas, calificaciones, asistencia, entregas, observaciones del profesorado y registros de acceso—, acompañado de la información del art. 15.1 (finalidades, destinatarios, plazos y derechos). Las credenciales no se exportan porque se almacenan cifradas y no son recuperables.
• Supresión de datos (art. 17): borrado definitivo e irreversible de esos datos, incluidos los archivos del alumno en el almacenamiento. No es un borrado lógico: los registros se eliminan.

Cuando un mismo alumno participa en clases de varios Responsables distintos, cada uno solo puede exportar o suprimir su propio ámbito. La cuenta del alumno únicamente se elimina cuando deja de existir cualquier otro Responsable que trate sus datos; hasta entonces se conserva, y cada Responsable debe atender por separado la solicitud que reciba.

De cada supresión se conserva un registro de cumplimiento con la fecha, el alcance y el número de registros eliminados, sin datos personales del alumno suprimido, al solo efecto de acreditar la responsabilidad proactiva del artículo 5.2 del RGPD.

Beetic notificará al Responsable, sin dilación indebida y, cuando sea posible, en un plazo máximo de setenta y dos (72) horas desde que tenga constancia, las violaciones de la seguridad de los datos personales que afecten a datos tratados por cuenta del Responsable, facilitando la información disponible ex artículo 33 del RGPD para que el Responsable pueda cumplir sus propias obligaciones de notificación a la autoridad de control y, en su caso, a los interesados.

Beetic pondrá a disposición del Responsable la información razonable y necesaria para demostrar el cumplimiento de este DPA. Las auditorías o inspecciones se realizarán con preaviso razonable, en horario laboral, sin obstaculizar indebidamente la operativa del Servicio, y sujetas a acuerdos de confidencialidad. Beetic podrá satisfacer la solicitud mediante informes de auditoría, certificaciones o documentación de seguridad equivalentes, cuando resulten adecuados.

Los plazos operativos de exportación o supresión se comunicarán al Responsable a través del soporte o de la documentación del Servicio. El Responsable es responsable de exportar la información que necesite conservar antes del cierre de la cuenta, cuando la Plataforma ofrezca mecanismos de exportación.

12.1. Política de conservación por defecto

Con independencia de lo anterior, Beetic aplica de forma periódica y automatizada una política de conservación que elimina los datos que ya no son necesarios para la finalidad del encargo, con los plazos publicados en la Política de Privacidad.

Esta política se limita a datos operativos (notificaciones, partidas Live Mode, registros dados de baja y credenciales temporales caducadas). La supresión de expedientes o cuentas de alumnado no se ejecuta de forma automática: requiere una instrucción del Responsable, que puede darla desde el panel en cada ficha de alumno o solicitando a Beetic la aplicación del plazo de inactividad. El Responsable puede pactar plazos distintos comunicándolo a privacy@beetic.es.

El Responsable garantiza y se obliga a:

• disponer de una base jurídica válida para el tratamiento de los datos que introduce en Beetic, especialmente cuando se trate de menores de catorce (14) años (art. 7 LOPDGDD y normativa educativa aplicable);
• informar a los interesados (y, en su caso, a padres, madres o tutores) en los términos de los artículos 12 a 14 del RGPD;
• no instruir a Beetic tratamientos ilícitos ni introducir datos excesivos o categorías especiales sin legitimación y medidas adecuadas;
• custodiar de forma diligente las credenciales, PIN de Live Mode y accesos que facilite al alumnado y al personal;
• designar, cuando proceda, un punto de contacto de protección de datos para coordinar con Beetic incidentes y ejercicios de derechos.

Cada Parte responderá de las infracciones del RGPD que le sean imputables conforme a los artículos 82 y siguientes del RGPD. Beetic responderá frente al Responsable por los daños causados por el tratamiento cuando no haya cumplido las obligaciones del RGPD dirigidas específicamente a los encargados o haya actuado al margen o en contra de las instrucciones lícitas del Responsable.

Las limitaciones de responsabilidad establecidas en los Términos y Condiciones del Servicio se aplicarán en la medida en que no resulten contrarias a las normas imperativas de protección de datos.

Este DPA se rige por la legislación española y por el RGPD. Salvo norma imperativa en contrario, las controversias se someterán a los juzgados y tribunales del domicilio del Encargado en España.

Para cualquier cuestión relativa a este Acuerdo: privacy@beetic.es · dpo@beetic.es · legal@beetic.es.

Documentos relacionados: Política de Privacidad · Términos y Condiciones.