Contrato de encargo del tratamiento (DPA)

1. Partes y aceptación

Este contrato se celebra entre la academia que crea una cuenta en Acatudy («la Academia», responsable del tratamiento) y Fragua Labs LLC, con domicilio en 30 N Gould St Ste N, Sheridan, WY 82801, USA («Acatudy», encargado del tratamiento).

Forma parte de los Términos y Condiciones y se acepta al crear la academia, en la misma casilla que los términos. Si la Academia necesita una copia firmada, puede pedirla en legal@acatudy.com.

2. Objeto y detalles del tratamiento

• Objeto y finalidad: prestar a la Academia la plataforma Acatudy (cursos, exámenes, tareas, mensajes, web pública, cobros a alumnos y asistentes con IA) y el soporte asociado.
• Duración: mientras la Academia use el servicio y hasta la supresión de los datos según el apartado 9.
• Naturaleza del tratamiento: alojamiento, almacenamiento, organización, consulta, envío de comunicaciones, copia de seguridad y supresión.
• Interesados: alumnos y, si son menores, sus madres, padres o tutores; profesores y personal de la Academia; visitantes y contactos de su web.
• Tipos de datos: identificación y contacto; datos académicos (matrículas, progreso, notas, entregas, certificados); mensajes; registros de acceso e IP; datos de los cobros a alumnos (gestionados por Stripe) y cualquier otro dato que la Academia decida subir. El servicio no está pensado para categorías especiales de datos: la Academia no debe subirlas salvo que tenga una base jurídica para ello.

3. Instrucciones de la Academia

Acatudy trata los datos solo siguiendo las instrucciones documentadas de la Academia, que son este contrato, los términos y los ajustes que la Academia configura en la plataforma, también en lo relativo a transferencias internacionales, salvo que una ley aplicable le obligue a otra cosa; en ese caso se lo comunicará antes, si la ley lo permite. Si una instrucción le parece contraria a la ley, avisará a la Academia.

4. Confidencialidad y seguridad

Las personas de Acatudy autorizadas a tratar los datos están obligadas a guardar confidencialidad. Acatudy aplica las medidas técnicas y organizativas del anexo de seguridad, adecuadas al riesgo según el artículo 32 del RGPD, y puede actualizarlas siempre que no reduzcan el nivel de protección.

5. Subencargados

La Academia autoriza de forma general a Acatudy a recurrir a los subencargados de la lista de este documento. Acatudy avisará con al menos 30 días de antelación de cualquier incorporación o sustitución (por email al propietario o en el panel), y la Academia podrá oponerse por motivos razonables relacionados con la protección de datos; si no se llega a una solución, podrá cancelar la suscripción sin penalización. Acatudy impone a cada subencargado obligaciones de protección de datos equivalentes a las de este contrato y responde de su cumplimiento.

6. Derechos de los interesados y asistencia

La plataforma permite a la Academia acceder, corregir, exportar y borrar los datos de sus alumnos. Si un interesado se dirige directamente a Acatudy, le remitiremos a la Academia o le trasladaremos su solicitud sin responderla por nuestra cuenta. Acatudy ayudará a la Academia, en la medida razonable, a cumplir sus obligaciones de seguridad, evaluaciones de impacto y consultas previas (artículos 32 a 36 del RGPD).

7. Brechas de seguridad

Acatudy notificará a la Academia, sin dilación indebida y como máximo 48 horas después de tener conocimiento de ella, cualquier violación de la seguridad que afecte a sus datos, con la información disponible para que la Academia pueda notificarla a la autoridad y a los interesados cuando corresponda.

8. Transferencias internacionales

Acatudy está establecida en EE. UU. En la medida en que el tratamiento implique transferencias de datos personales sujetos al RGPD desde el Espacio Económico Europeo a un país sin decisión de adecuación, las partes incorporan por referencia las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914 de la Comisión: el módulo 2 (de responsable a encargado) entre la Academia y Acatudy y el módulo 3 (de encargado a encargado) con los subencargados, con la cláusula 7 de adhesión, la opción 2 de la cláusula 9 (autorización general), sin la cláusula opcional 11, y con la ley y los tribunales de Irlanda en las cláusulas 17 y 18. Para el Reino Unido se aplica el Addendum de transferencias internacionales del ICO y, para Suiza, las mismas cláusulas con las adaptaciones que exige su ley. Con los subencargados certificados en el EU-US Data Privacy Framework se puede usar también ese mecanismo. Si hay contradicción, prevalecen las cláusulas contractuales tipo.

9. Fin del contrato: devolución y supresión

Mientras la cuenta está abierta, la Academia puede exportar sus datos desde el panel. Al cerrar la academia, Acatudy suprime sus datos personales; las copias de seguridad y la papelera de archivos se sobrescriben en un máximo de 31 días. Se conserva solo lo que una ley obligue a conservar y el registro mínimo de los certificados emitidos que describe la política de privacidad.

Facturas: si no es el propietario quien cierra la academia desde su panel (por ejemplo, si se cierra por inactividad, impago o incumplimiento), Acatudy conserva durante 7 años desde la fecha de cada factura los datos de sus facturas a la Academia y de los cobros de la Academia a sus alumnos (importes, impuestos, fechas, concepto y referencias de Stripe, sin el nombre ni el email de los alumnos), en un archivo separado al que solo accede Acatudy, y después los suprime. Si la cierra el propietario desde su panel, también se suprimen; Stripe conserva su propia copia.

10. Información y auditorías

Acatudy pondrá a disposición de la Academia la información necesaria para demostrar el cumplimiento de este contrato y permitirá auditorías razonables, realizadas por la Academia o por un auditor independiente obligado a confidencialidad, con un preaviso de 30 días, como máximo una vez al año salvo brecha o requerimiento de una autoridad y sin acceso a datos de otros clientes. Primero se intentará resolver con la documentación y los cuestionarios que Acatudy facilite.

11. Obligaciones de la Academia

La Academia garantiza que tiene base jurídica para los datos que sube, que informa a sus alumnos con su propia política de privacidad y que, cuando da de alta a menores, obtiene el consentimiento de su madre, padre o tutor en los casos en que la ley lo exige (por ejemplo, COPPA para menores de 13 años en EE. UU.).

12. Leyes de privacidad de EE. UU.

Respecto a los datos sujetos a la CCPA/CPRA y a leyes estatales similares, Acatudy actúa como «service provider» o «processor»: no vende ni comparte esos datos, no los conserva, usa ni comunica fuera de la relación directa con la Academia ni para fines distintos de prestar el servicio, y no los combina con datos de otras fuentes salvo lo que permita la ley. Si la Academia está sujeta a FERPA, Acatudy actúa como «school official» con un interés educativo legítimo, bajo su control directo. Acatudy avisará si deja de poder cumplir estas obligaciones.

13. Responsabilidad y prevalencia

La responsabilidad de cada parte se rige por los términos, sin perjuicio de lo que establezca de forma imperativa la ley de protección de datos aplicable. En lo relativo a datos personales, este contrato prevalece sobre los términos.

Anexo: medidas de seguridad

• Cifrado de las comunicaciones (HTTPS/TLS) y de las contraseñas; archivos en almacenamiento cifrado y servidos con enlaces firmados y temporales.
• Separación lógica de los datos de cada academia y controles de acceso por rol.
• Acceso del equipo de Acatudy limitado a lo necesario, con verificación en dos pasos obligatoria y registro de su actividad.
• Copias de seguridad diarias fuera del servidor y procedimientos de restauración probados.
• Protección perimetral (WAF y verificación antibots), límites de peticiones y actualizaciones de seguridad periódicas.

Anexo: subencargados

Contacto

Consultas sobre este contrato y protección de datos: legal@acatudy.com

Política de Privacidad · Términos y Condiciones