De una parte, EL RESPONSABLE (elegir una opción):
De otra, EL ENCARGADO: Víctor Román Alarcón, con NIF 48518014C, domicilio en Avda. San Juan, 23, 30011 Murcia y correo contacto@evaluat.es, que presta el servicio Aularium.
Que el Encargado presta al Responsable el servicio Aularium (herramienta de organización interna del centro), para lo cual debe tratar datos personales por cuenta del Responsable. Las partes acuerdan este contrato conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD).
El Encargado tratará los datos descritos en el Anexo I solo para prestar el servicio. Este contrato dura lo que dure el uso del servicio por el centro y sus efectos sobre los datos se mantienen hasta su devolución o supresión (cláusula 9). El servicio se contrata por cursos escolares, sin renovación automática: el precio, la forma de pago (transferencia o tarjeta a través de Stripe), los 60 días de gracia y las devoluciones son los del apartado 3 de las condiciones de uso y los del pedido de cada curso. Este contrato no tiene precio propio.
Fuera de este encargo. Los datos que el Responsable facilita para contratar y pagar el servicio (datos fiscales del centro, persona y teléfono de contacto, códigos DIR3 y la constancia de quién acepta este contrato) no se tratan por encargo: los trata el titular como responsable, para gestionar la licencia, facturar y cumplir sus obligaciones fiscales, según su política de privacidad.
El Encargado tratará los datos únicamente siguiendo las instrucciones documentadas del Responsable, que son este contrato, la configuración que el centro elija en la aplicación y las que comunique por escrito. Si considera que una instrucción infringe la normativa, lo comunicará de inmediato. No usará los datos para fines propios, no los cederá, ni los usará para publicidad, perfiles comerciales o entrenamiento de sistemas de inteligencia artificial.
Las personas autorizadas por el Encargado para tratar los datos se comprometen por escrito a mantener la confidencialidad, también tras terminar su relación. El Encargado solo accederá al contenido de los datos cuando sea imprescindible para prestar soporte pedido por el centro o por obligación legal, y dejará constancia de cada acceso.
El Encargado aplicará las medidas del artículo 32 RGPD descritas en el Anexo II. Centros públicos: el Encargado aplicará las medidas del Esquema Nacional de Seguridad (RD 311/2022) que correspondan a la categoría del sistema. A la firma no dispone de declaración ni certificación de conformidad con el ENS; el Responsable valora si es suficiente para su caso.
El Responsable autoriza de forma general a los subencargados del Anexo III. El Encargado avisará de cualquier alta o sustitución con al menos 15 días de antelación. Si el Responsable se opone con motivos razonables, podrá terminar el contrato sin coste. Cada subencargado queda sujeto por contrato a las mismas obligaciones de protección de datos, y el Encargado responde de su cumplimiento.
Los datos se alojan en la Unión Europea. Solo podrán transferirse fuera del Espacio Económico Europeo con las garantías del capítulo V del RGPD, informando antes al Responsable.
Si el Encargado recibe una solicitud de ejercicio de derechos, la trasladará al Responsable en un máximo de 5 días hábiles y le ayudará a atenderla con las funciones de la aplicación (consulta, exportación, rectificación, supresión). También le facilitará la información necesaria para sus evaluaciones de impacto y consultas previas; el Encargado pone a su disposición un modelo de evaluación de impacto del servicio.
El Encargado notificará al Responsable cualquier violación de seguridad que afecte a sus datos sin dilación indebida y en un máximo de 48 horas desde que tenga conocimiento, por correo a la dirección que el Responsable indique, con la información del artículo 33.3 RGPD disponible en ese momento. Corresponde al Responsable notificar a la autoridad de control y a los interesados.
Al terminar el servicio, el Encargado pondrá a disposición del Responsable una exportación de sus datos en formato estructurado (sin los justificantes, que solo ve y descarga la jefatura del propio centro, y que esta debe descargar antes de la baja si los necesita) y, en un máximo de 60 días, suprimirá todos los datos y archivos, incluidas las copias, salvo las de seguridad, que desaparecerán al rotar (plazo del proveedor). Podrá conservar bloqueados los datos estrictamente necesarios mientras puedan derivarse responsabilidades.
El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitirá auditorías razonables, con preaviso de 15 días y sin perturbar el servicio a otros centros. Llevará el registro de actividades de tratamiento del artículo 30.2 RGPD.
Cada parte responde de sus incumplimientos conforme al artículo 82 RGPD. Validar con abogado.
Legislación española. Juzgados y tribunales de Murcia o, si el Responsable es una Administración pública, la jurisdicción que corresponda.
En LUGAR, a FECHA.
| El Responsable | El Encargado |
|---|---|
| Firma: | Firma: |
| Concepto | Detalle |
|---|---|
| Naturaleza y finalidad | Gestión interna del centro: horarios, ausencias y permisos del personal, justificantes, guardias, reservas de espacios, tablón, documentos de equipos y claustro, tareas internas, fotocopias, incidencias y buzón de sugerencias. Si el centro contrata el pack Evalum: comunicación a Evalúat, del mismo titular, del claustro (correo, rol, cargos y departamento del profesorado) para generar las invitaciones de vinculación, que cada docente acepta o rechaza (un rechazo dura un año y, antes de ese plazo, solo lo restablece el administrador del sistema); quienes tienen el rol de jefatura entran directamente. Cuenta Evalum: solo cuando un docente lo pide expresamente (casilla «Usar esta cuenta también en Evalúat»), Aularium comunica a Evalúat su correo, nombre y contraseña para que use la misma cuenta; el Responsable autoriza esta comunicación a petición de la persona interesada, que puede desactivarla en su perfil. |
| Categorías de interesados | Personal del centro: profesorado, equipo directivo, secretaría y conserjería. |
| Tipos de datos | Identificativos y de contacto; puesto, departamento, cargos y situación administrativa; horario; ausencias, permisos y días usados; guardias asignadas y realizadas, con su confirmación; reservas; documentos y comunicaciones internas; registro de accesos e IP; lectura de avisos y novedades. |
| Categorías especiales | Datos de salud que puedan contener los justificantes de ausencia o revelar los tipos de ausencia (por ejemplo, «Visita médica», «Indisposición» o enfermedad grave de un familiar), tratados al amparo del artículo 9.2.b RGPD. Solo los ven la persona interesada y jefatura. Los datos del alumnado no forman parte del encargo: las condiciones de uso prohíben subirlos. |
| Operaciones | Recogida, registro, conservación, consulta, cálculo, exportación, comunicación dentro del centro según su configuración, supresión |
| Duración | La del servicio, con los plazos de conservación de la cláusula 11 y de la política de privacidad, más el plazo de devolución y supresión |
| Ubicación | Unión Europea, por verificar con el proveedor de alojamiento. |
Detalle y limitaciones: documento Seguridad.
Hostinger (entidad y ubicación por verificar): alojamiento de la aplicación, base de datos y archivos. Supabase (UE, región por verificar): Cuentas Evalum de quien la activa y, con el pack Evalum, el claustro enviado a Evalúat. Proveedor de correo (SMTP), por verificar: envío de correos. Stripe Payments Europe, Ltd. (Irlanda): solo si el centro paga con tarjeta, y solo los datos del pago; Aularium no ve la tarjeta.
Versión vigente: Lista de subencargados.