D'una banda, EL RESPONSABLE (triar una opció):
De l'altra, L'ENCARREGAT: Víctor Román Alarcón, amb NIF 48518014C, domicili a Avda. San Juan, 23, 30011 Múrcia i correu contacto@evaluat.es, que presta el servei Aularium.
Que l'Encarregat presta al Responsable el servei Aularium (eina d'organització interna del centre), per a la qual cosa ha de tractar dades personals per compte del Responsable. Les parts acorden aquest contracte d'acord amb l'article 28 del Reglament (UE) 2016/679 (RGPD) i l'article 33 de la Llei orgànica 3/2018 (LOPDGDD).
L'Encarregat tractarà les dades descrites a l'Annex I només per a prestar el servei. Aquest contracte dura el que dure l'ús del servei pel centre i els seus efectes sobre les dades es mantenen fins a la seua devolució o supressió (clàusula 9). El servei es contracta per cursos escolars, sense renovació automàtica: el preu, la forma de pagament (transferència o targeta a través de Stripe), els 60 dies de gràcia i les devolucions són els de l'apartat 3 de les condicions d'ús i els de la comanda de cada curs. Aquest contracte no té preu propi.
Fora d'aquest encàrrec. Les dades que el Responsable facilita per a contractar i pagar el servei (dades fiscals del centre, persona i telèfon de contacte, codis DIR3 i la constància de qui accepta aquest contracte) no es tracten per encàrrec: les tracta el titular com a responsable, per a gestionar la llicència, facturar i complir les seues obligacions fiscals, segons la seua política de privacitat.
L'Encarregat tractarà les dades únicament seguint les instruccions documentades del Responsable, que són aquest contracte, la configuració que el centre trie en l'aplicació i les que comunique per escrit. Si considera que una instrucció infringeix la normativa, ho comunicarà immediatament. No farà servir les dades per a fins propis, no les cedirà, ni les farà servir per a publicitat, perfils comercials o entrenament de sistemes d'intel·ligència artificial.
Les persones autoritzades per l'Encarregat per a tractar les dades es comprometen per escrit a mantindre la confidencialitat, també després d'acabar la seua relació. L'Encarregat només accedirà al contingut de les dades quan siga imprescindible per a prestar el suport demanat pel centre o per obligació legal, i deixarà constància de cada accés.
L'Encarregat aplicarà les mesures de l'article 32 RGPD descrites a l'Annex II. Centres públics: l'Encarregat aplicarà les mesures de l'Esquema Nacional de Seguretat (RD 311/2022) que corresponguen a la categoria del sistema. En el moment de la signatura no disposa de declaració ni certificació de conformitat amb l'ENS; el Responsable valora si és suficient per al seu cas.
El Responsable autoritza de manera general els subencarregats de l'Annex III. L'Encarregat avisarà de qualsevol alta o substitució amb almenys 15 dies d'antelació. Si el Responsable s'hi oposa amb motius raonables, podrà acabar el contracte sense cost. Cada subencarregat queda subjecte per contracte a les mateixes obligacions de protecció de dades, i l'Encarregat respon del seu compliment.
Les dades s'allotgen a la Unió Europea. Només es podran transferir fora de l'Espai Econòmic Europeu amb les garanties del capítol V del RGPD, informant abans el Responsable.
Si l'Encarregat rep una sol·licitud d'exercici de drets, la traslladarà al Responsable en un màxim de 5 dies hàbils i l'ajudarà a atendre-la amb les funcions de l'aplicació (consulta, exportació, rectificació, supressió). També li facilitarà la informació necessària per a les seues avaluacions d'impacte i consultes prèvies; l'Encarregat posa a la seua disposició un model d'avaluació d'impacte del servei.
L'Encarregat notificarà al Responsable qualsevol violació de seguretat que afecte les seues dades sense dilació indeguda i en un màxim de 48 hores des que en tinga coneixement, per correu a l'adreça que el Responsable indique, amb la informació de l'article 33.3 RGPD disponible en aquell moment. Correspon al Responsable notificar-ho a l'autoritat de control i als interessats.
En acabar el servei, l'Encarregat posarà a disposició del Responsable una exportació de les seues dades en format estructurat (sense els justificants, que només veu i descarrega cap d'estudis del mateix centre, i que aquest ha de descarregar abans de la baixa si els necessita) i, en un màxim de 60 dies, suprimirà totes les dades i fitxers, incloses les còpies, llevat de les de seguretat, que desapareixeran en rotar (termini del proveïdor). Podrà conservar bloquejades les dades estrictament necessàries mentre se'n puguen derivar responsabilitats.
L'Encarregat posarà a disposició del Responsable la informació necessària per a demostrar el compliment i permetrà auditories raonables, amb preavís de 15 dies i sense pertorbar el servei a altres centres. Portarà el registre d'activitats de tractament de l'article 30.2 RGPD.
Cada part respon dels seus incompliments d'acord amb l'article 82 RGPD. Validar amb advocat.
Legislació espanyola. Jutjats i tribunals de Múrcia o, si el Responsable és una Administració pública, la jurisdicció que corresponga.
A LLOC, DATA.
| El Responsable | L'Encarregat |
|---|---|
| Signatura: | Signatura: |
| Concepte | Detall |
|---|---|
| Naturalesa i finalitat | Gestió interna del centre: horaris, absències i permisos del personal, justificants, guàrdies, reserves d'espais, tauler, documents d'equips i claustre, tasques internes, fotocòpies, incidències i bústia de suggeriments. Si el centre contracta el pack Evalum: comunicació a Evalúat, del mateix titular, del claustre (correu, rol, càrrecs i departament del professorat) per a generar les invitacions de vinculació, que cada docent accepta o rebutja (un rebuig dura un any i, abans d'aquest termini, només el restableix l'administrador del sistema); els qui tenen el rol de cap d'estudis entren directament. Compte Evalum: només quan un docent ho demana expressament (casella «Fer servir aquest compte també a Evalúat»), Aularium comunica a Evalúat el seu correu, nom i contrasenya perquè faça servir el mateix compte; el Responsable autoritza aquesta comunicació a petició de la persona interessada, que la pot desactivar al seu perfil. |
| Categories d'interessats | Personal del centre: professorat, equip directiu, secretaria i consergeria. |
| Tipus de dades | Identificatives i de contacte; lloc, departament, càrrecs i situació administrativa; horari; absències, permisos i dies usats; guàrdies assignades i fetes, amb la seua confirmació; reserves; documents i comunicacions internes; registre d'accessos i IP; lectura d'avisos i novetats. |
| Categories especials | Dades de salut que puguen contindre els justificants d'absència o revelar els tipus d'absència (per exemple, «Visita mèdica», «Indisposició» o malaltia greu d'un familiar), tractades a l'empara de l'article 9.2.b RGPD. Només les veuen la persona interessada i cap d'estudis. Les dades de l'alumnat no formen part de l'encàrrec: les condicions d'ús prohibeixen pujar-les. |
| Operacions | Recollida, registre, conservació, consulta, càlcul, exportació, comunicació dins del centre segons la seua configuració, supressió |
| Durada | La del servei, amb els terminis de conservació de la clàusula 11 i de la política de privacitat, més el termini de devolució i supressió |
| Ubicació | Unió Europea, per verificar amb el proveïdor d'allotjament. |
Detall i limitacions: document Seguretat.
Hostinger (entitat i ubicació per verificar): allotjament de l'aplicació, base de dades i fitxers. Supabase (UE, regió per verificar): Comptes Evalum de qui l'activa i, amb el pack Evalum, el claustre enviat a Evalúat. Proveïdor de correu (SMTP), per verificar: enviament de correus. Stripe Payments Europe, Ltd. (Irlanda): només si el centre paga amb targeta, i només les dades del pagament; Aularium no veu la targeta.
Versió vigent: Llista de subencarregats.