Contrato de encargo do tratamento

Versión 0.6 · 21 de outubro de 2026

Tradución en probas. Este texto é unha tradución do orixinal en castelán e pode ter erros. Se hai diferenzas, prevalece a versión en castelán.

Como se usa. Asínao o centro (titular dun centro privado ou concertado) ou, en centros públicos, o órgano da Administración educativa que esta designe, aínda que a conta a use ou a abrise un docente. Escollede a opción A ou B en «Reunidos». Se a Administración ten o seu propio modelo de contrato de encargo, prevalece o seu. O contrato que se asina é a versión en castelán.

Reunidos

Dunha parte, O RESPONSABLE (escoller unha opción):

A · Centro privado ou concertado: RAZÓN SOCIAL DO TITULAR DO CENTRO, con NIF NIF, titular do centro NOME E CÓDIGO DO CENTRO, representado por NOME E CARGO.
B · Centro público: ÓRGANO DA ADMINISTRACIÓN EDUCATIVA, respecto do centro NOME E CÓDIGO DO CENTRO, representado por NOME E CARGO, con delegado de protección de datos en CONTACTO DO DPD.

Doutra, O ENCARGADO: Víctor Román Alarcón, con NIF 48518014C, domicilio en Avda. San Juan, 23, 30011 Murcia e correo contacto@evaluat.es, que presta o servizo Aularium.

Expoñen

Que o Encargado presta ao Responsable o servizo Aularium (ferramenta de organización interna do centro), para o cal debe tratar datos persoais por conta do Responsable. As partes acordan este contrato conforme ao artigo 28 do Regulamento (UE) 2016/679 (RXPD) e ao artigo 33 da Lei orgánica 3/2018 (LOPDGDD).

Cláusulas

1. Obxecto, duración e prezo

O Encargado tratará os datos descritos no Anexo I só para prestar o servizo. Este contrato dura o que dure o uso do servizo polo centro e os seus efectos sobre os datos mantéñense ata a súa devolución ou supresión (cláusula 9). O servizo contrátase por cursos escolares, sen renovación automática: o prezo, a forma de pagamento (transferencia ou tarxeta a través de Stripe), os 60 días de graza e as devolucións son os do apartado 3 das condicións de uso e os do pedido de cada curso. Este contrato non ten prezo propio.

Fóra deste encargo. Os datos que o Responsable facilita para contratar e pagar o servizo (datos fiscais do centro, persoa e teléfono de contacto, códigos DIR3 e a constancia de quen acepta este contrato) non se tratan por encargo: trátaos o titular como responsable, para xestionar a licenza, facturar e cumprir as súas obrigas fiscais, segundo a súa política de privacidade.

2. Instrucións

O Encargado tratará os datos unicamente seguindo as instrucións documentadas do Responsable, que son este contrato, a configuración que o centro escolla na aplicación e as que comunique por escrito. Se considera que unha instrución infrinxe a normativa, comunicarao de inmediato. Non usará os datos para fins propios, non os cederá, nin os usará para publicidade, perfís comerciais ou adestramento de sistemas de intelixencia artificial.

3. Confidencialidade

As persoas autorizadas polo Encargado para tratar os datos comprométense por escrito a manter a confidencialidade, tamén tras rematar a súa relación. O Encargado só accederá ao contido dos datos cando sexa imprescindible para prestar soporte pedido polo centro ou por obriga legal, e deixará constancia de cada acceso.

4. Seguridade

O Encargado aplicará as medidas do artigo 32 RXPD descritas no Anexo II. Centros públicos: o Encargado aplicará as medidas do Esquema Nacional de Seguridade (RD 311/2022) que correspondan á categoría do sistema. Á sinatura non dispón de declaración nin certificación de conformidade co ENS; o Responsable valora se é suficiente para o seu caso.

5. Subencargados

O Responsable autoriza de forma xeral os subencargados do Anexo III. O Encargado avisará de calquera alta ou substitución con polo menos 15 días de antelación. Se o Responsable se opón con motivos razoables, poderá rematar o contrato sen custo. Cada subencargado queda suxeito por contrato ás mesmas obrigas de protección de datos, e o Encargado responde do seu cumprimento.

6. Transferencias internacionais

Os datos alóxanse na Unión Europea. Só poderán transferirse fóra do Espazo Económico Europeo coas garantías do capítulo V do RXPD, informando antes o Responsable.

7. Dereitos dos interesados, avaliacións de impacto e consultas

Se o Encargado recibe unha solicitude de exercicio de dereitos, trasladaraa ao Responsable nun máximo de 5 días hábiles e axudarao a atendela coas funcións da aplicación (consulta, exportación, rectificación, supresión). Tamén lle facilitará a información necesaria para as súas avaliacións de impacto e consultas previas; o Encargado pon á súa disposición un modelo de avaliación de impacto do servizo.

8. Violacións de seguridade

O Encargado notificará ao Responsable calquera violación de seguridade que afecte aos seus datos sen dilación indebida e nun máximo de 48 horas desde que teña coñecemento, por correo ao enderezo que o Responsable indique, coa información do artigo 33.3 RXPD dispoñible nese momento. Correspóndelle ao Responsable notificalo á autoridade de control e aos interesados.

9. Fin do encargo

Ao rematar o servizo, o Encargado porá á disposición do Responsable unha exportación dos seus datos en formato estruturado (sen os xustificantes, que só ve e descarga a xefatura do propio centro, e que esta debe descargar antes da baixa se os precisa) e, nun máximo de 60 días, suprimirá todos os datos e arquivos, incluídas as copias, salvo as de seguridade, que desaparecerán ao rotar (prazo do provedor). Poderá conservar bloqueados os datos estritamente necesarios mentres poidan derivarse responsabilidades.

10. Demostración do cumprimento e auditorías

O Encargado porá á disposición do Responsable a información necesaria para demostrar o cumprimento e permitirá auditorías razoables, con preaviso de 15 días e sen perturbar o servizo a outros centros. Levará o rexistro de actividades de tratamento do artigo 30.2 RXPD.

11. Obrigas do Responsable

Garantir que o tratamento ten base xurídica e informar os interesados.
Decidir que persoas do centro usan o servizo e con que permisos.
Informar o seu persoal do tratamento e dos medios de control da actividade (arts. 87 a 91 LOPDGDD), co modelo de «Información para o persoal do centro», e, se procede, a súa representación.
Garantir que o uso da ferramenta non substitúe os procedementos oficiais de ausencias, permisos e licenzas.
Revisar os prazos de conservación que pode configurar (por defecto: xustificantes, 12 meses desde o último día da ausencia, axustable entre 1 e 72 meses; rexistro de accesos, 24 meses; marcas de lectura, 12 meses). Os demais prazos son fixos: contas desactivadas, ata o final do curso seguinte; ausencias e gardas, o curso actual e 4 anos máis; incidencias (coa súa foto) e tarefas (coas súas entregas), 2 cursos.
Realizar, se procede, a avaliación de impacto e consultar o seu delegado de protección de datos.

12. Responsabilidade

Cada parte responde dos seus incumprimentos conforme ao artigo 82 RXPD. Validar con avogado.

13. Lexislación e xurisdición

Lexislación española. Xulgados e tribunais de Murcia ou, se o Responsable é unha Administración pública, a xurisdición que corresponda.

En LUGAR, a DATA.

O Responsable	O Encargado
Sinatura:	Sinatura:

Anexo I · Descrición do tratamento

Concepto	Detalle
Natureza e finalidade	Xestión interna do centro: horarios, ausencias e permisos do persoal, xustificantes, gardas, reservas de espazos, taboleiro, documentos de equipos e claustro, tarefas internas, fotocopias, incidencias e caixa de suxestións. Se o centro contrata o pack Evalum: comunicación a Evalúat, do mesmo titular, do claustro (correo, rol, cargos e departamento do profesorado) para xerar os convites de vinculación, que cada docente acepta ou rexeita (un rexeitamento dura un ano e, antes dese prazo, só o restablece o administrador do sistema); quen ten o rol de xefatura entra directamente. Conta Evalum: só cando un docente o pide expresamente (caixa «Usar esta conta tamén en Evalúat»), Aularium comunica a Evalúat o seu correo, nome e contrasinal para que use a mesma conta; o Responsable autoriza esta comunicación a petición da persoa interesada, que pode desactivala no seu perfil.
Categorías de interesados	Persoal do centro: profesorado, equipo directivo, secretaría e conserxaría.
Tipos de datos	Identificativos e de contacto; posto, departamento, cargos e situación administrativa; horario; ausencias, permisos e días usados; gardas asignadas e realizadas, coa súa confirmación; reservas; documentos e comunicacións internas; rexistro de accesos e IP; lectura de avisos e novidades.
Categorías especiais	Datos de saúde que poidan conter os xustificantes de ausencia ou revelar os tipos de ausencia (por exemplo, «Visita médica», «Indisposición» ou enfermidade grave dun familiar), tratados ao abeiro do artigo 9.2.b RXPD. Só os ven a persoa interesada e a xefatura. Os datos do alumnado non forman parte do encargo: as condicións de uso prohiben subilos.
Operacións	Recollida, rexistro, conservación, consulta, cálculo, exportación, comunicación dentro do centro segundo a súa configuración, supresión
Duración	A do servizo, cos prazos de conservación da cláusula 11 e da política de privacidade, máis o prazo de devolución e supresión
Localización	Unión Europea, por verificar co provedor de aloxamento.

Anexo II · Medidas de seguridade

Cifrado en tránsito (HTTPS) obrigatorio, con redirección a HTTPS, HSTS e cookie de sesión que só viaxa cifrada.
Cabeceiras de seguridade: política de seguridade do contido (CSP), prohibición de cargar a aplicación dentro doutra web, sen envío do enderezo a outras webs.
Xustificantes cifrados en cartafol non accesible desde internet, visibles e descargables só pola xefatura do propio centro (non se inclúen nas exportacións da administración da plataforma), con rexistro de cada consulta e descarga. O ZIP de xustificantes créase no cartafol privado e bórrase tras a descarga.
Arquivos subidos gardados con nome aleatorio e coa extensión que corresponde ao seu contido.
Permisos por rol configurables polo centro.
Separación lóxica dos datos de cada centro.
Contrasinais con hash (bcrypt) e cambio obrigatorio no primeiro acceso. Ao cambiar ou restablecer un contrasinal péchanse as demais sesións desa persoa.
Limitación de intentos no acceso (por IP e por correo) e nas ligazóns secretas.
Conta Evalum: opcional, só para persoal docente que a activa; ligazón con Evalúat só cando a persoa confirma que o correo é seu; o contrasinal temporal que pon a xefatura non se traslada a Evalúat. Aularium non garda a clave mestra da base de datos de Evalúat: usa unha función intermedia con permisos limitados.
Código QR de gardas cun código secreto por aula, renovable pola xefatura. Caixa anónima con identificadores ao chou e límite de envíos por centro.
Instalación protexida por un token secreto.
Exportación e eliminación completas do centro e de cada usuario.
Borrado automático diario segundo os prazos de conservación: xustificantes, rexistro de accesos e marcas de lectura (prazos que fixa o centro), contas desactivadas, ausencias e gardas, e incidencias e tarefas.
Aceptación das condicións rexistrada con versión e data, e pedida de novo a todas as persoas usuarias cando cambia a versión.
Procedemento escrito de xestión de brechas e de solicitudes de dereitos.

Detalle e limitacións: documento Seguridade.

Anexo III · Subencargados autorizados

Hostinger (entidade e localización por verificar): aloxamento da aplicación, base de datos e arquivos. Supabase (UE, rexión por verificar): Contas Evalum de quen a activa e, co pack Evalum, o claustro enviado a Evalúat. Provedor de correo (SMTP), por verificar: envío de correos. Stripe Payments Europe, Ltd. (Irlanda): só se o centro paga con tarxeta, e só os datos do pagamento; Aularium non ve a tarxeta.

Versión vixente: Lista de subencargados.