Contrato de encargo del tratamiento

Plataforma de evaluaciones de impacto · Edición 2026, versión 1.0

Borrador para revisión del Delegado de Protección de Datos. Los textos entre corchetes deben completarse antes de publicar.

De una parte, [RAZÓN SOCIAL DE LA ENTIDAD TITULAR], con C.I.F. [C.I.F.] y domicilio en [DIRECCIÓN], titular del centro educativo [DENOMINACIÓN DEL CENTRO], representada por [NOMBRE Y APELLIDOS], con [D.N.I./N.I.E.] [NÚMERO], en su condición de [CARGO] (en adelante, el Centro), que actúa como responsable del tratamiento.

De otra parte, Escudo Web Software, S.L., con C.I.F. [C.I.F.] y domicilio en [DIRECCIÓN], representada por [NOMBRE Y APELLIDOS], con [D.N.I.] [NÚMERO], en su condición de [CARGO] (en adelante, Escudo Web), que actúa como encargado del tratamiento.

Ambas partes se reconocen capacidad suficiente y acuerdan lo siguiente.

PRIMERA. Objeto

Escudo Web presta al Centro el servicio de la plataforma de evaluaciones de impacto, que incluye el alojamiento y la conservación de las evaluaciones que el Centro elabore, y trata por su cuenta los datos personales necesarios para ello.

Este contrato regula ese tratamiento conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD), y forma parte inseparable de las condiciones de uso de la plataforma.

SEGUNDA. Duración

Este contrato estará vigente mientras lo esté la licencia del Centro, y se prorrogará automáticamente con ella. Terminada la relación, se aplicará lo previsto en la cláusula NOVENA.

TERCERA. Descripción del tratamiento

A. Naturaleza y finalidad. Alojar, conservar y poner a disposición del Centro las evaluaciones de impacto que elabore, permitir el trabajo simultáneo de las personas que el Centro autorice, conservar el historial de versiones y generar los documentos resultantes.

B. Datos tratados.

C. Categorías de interesados. Personal del Centro con acceso a la plataforma y Delegado de Protección de Datos del Centro.

D. Instrucción expresa del Centro. El Centro se obliga a no introducir en el contenido de las evaluaciones datos personales del alumnado o de sus familias, ni categorías especiales de datos del artículo 9 del RGPD. Una evaluación de impacto describe tratamientos, no personas concretas. Si el Centro los introdujera, sería el único responsable de esa decisión, sin perjuicio de que Escudo Web pueda requerirle su supresión.

CUARTA. Obligaciones de Escudo Web

Escudo Web se obliga a:

a) Tratar los datos únicamente siguiendo las instrucciones documentadas del Centro, incluidas las relativas a transferencias internacionales. Si considerase que alguna instrucción infringe la normativa de protección de datos, lo comunicará de inmediato.

b) No utilizar los datos para fines propios, ni para elaborar perfiles, ni con fines comerciales, ni para entrenar sistemas de inteligencia artificial, ni cederlos a terceros salvo obligación legal.

c) Garantizar que las personas autorizadas a tratar los datos se han comprometido por escrito a respetar la confidencialidad, con carácter indefinido incluso tras el fin de su relación con Escudo Web.

d) Aplicar y mantener las medidas técnicas y organizativas del Anexo II, conforme al artículo 32 del RGPD.

e) Asistir al Centro, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, en el cumplimiento de sus obligaciones de los artículos 32 a 36 del RGPD, y en la atención de los derechos de los interesados.

f) Notificar al Centro sin dilación indebida y, en todo caso, en un plazo máximo de [24] horas desde que tenga conocimiento de una violación de la seguridad de los datos personales, con la información disponible para que el Centro pueda cumplir el artículo 33 del RGPD.

g) Poner a disposición del Centro la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías, incluidas inspecciones, realizadas por el Centro o por un auditor que designe, previo aviso de [15] días y sin afectar a la seguridad de los datos de otros clientes.

h) Llevar el registro de actividades de tratamiento por cuenta del Centro previsto en el artículo 30.2 del RGPD.

QUINTA. Obligaciones del Centro

El Centro se obliga a:

a) Facilitar a Escudo Web las instrucciones necesarias y garantizar que el tratamiento cumple la normativa.

b) Mantener actualizada la relación de personas con acceso y retirar el acceso a quien deje de necesitarlo.

c) Informar a las personas usuarias del tratamiento de sus datos en la plataforma y atender sus derechos.

d) Custodiar las credenciales y comunicar de inmediato cualquier sospecha de uso indebido.

e) Cumplir la instrucción expresa de la cláusula TERCERA-D.

SEXTA. Subencargados

El Centro autoriza a Escudo Web a recurrir a los subencargados relacionados en el Anexo III, con los que Escudo Web mantiene un contrato que impone obligaciones equivalentes a las de este contrato.

Escudo Web comunicará al Centro, con al menos [30] días de antelación, cualquier incorporación o sustitución de subencargados. El Centro podrá oponerse por motivos razonables dentro de ese plazo; si la oposición impidiera la prestación del servicio, el Centro podrá resolver el contrato con devolución de la parte proporcional no consumida.

SÉPTIMA. Derechos de los interesados

Corresponde al Centro atender las solicitudes de ejercicio de derechos. Si un interesado se dirigiera a Escudo Web, esta se lo comunicará al Centro sin dilación, junto con la información disponible, y le asistirá en lo que resulte necesario.

OCTAVA. Ubicación de los datos y transferencias internacionales

Los datos se tratan y almacenan en servidores situados en [ESPAÑA / EEE].

Escudo Web no realiza transferencias internacionales de datos fuera del Espacio Económico Europeo en el marco de este contrato, ni las realizan sus subencargados.

NOVENA. Fin del tratamiento

Al terminar la relación, Escudo Web:

a) Mantendrá los datos a disposición del Centro durante [30] días naturales, para que pueda descargar sus evaluaciones y documentos en formato reutilizable.

b) Transcurrido ese plazo y, en todo caso, antes de [90] días naturales desde la terminación, suprimirá los datos y las copias que obren en su poder, incluidas las copias de seguridad conforme al ciclo de rotación descrito en el Anexo II, salvo que deba conservarlos por obligación legal, en cuyo caso los bloqueará.

c) Acreditará la supresión por escrito a petición del Centro.

DÉCIMA. Responsabilidad

Cada parte responderá del incumplimiento de sus propias obligaciones conforme al artículo 82 del RGPD. Las limitaciones de responsabilidad pactadas en las condiciones de uso no afectan a la responsabilidad frente a los interesados ni a la derivada de la normativa de protección de datos.

UNDÉCIMA. Contacto

ANEXO I. Instrucciones del Centro

1. Tratar los datos solo para prestar el servicio descrito en la cláusula TERCERA.

2. Conservarlos mientras dure la licencia y suprimirlos conforme a la cláusula NOVENA.

3. No comunicarlos a terceros salvo a los subencargados del Anexo III o por obligación legal.

4. Mantener las medidas del Anexo II y comunicar cualquier cambio sustancial.

5. Notificar los incidentes de seguridad en el plazo de la cláusula CUARTA-f.

ANEXO II. Medidas técnicas y organizativas

Acceso y autenticación

• Cuentas nominativas por persona, con perfiles diferenciados (dirección, edición y DPD) y acceso limitado a los datos del propio centro.
• Contraseñas almacenadas mediante función de derivación con sal; mínimo de [10] caracteres; bloqueo temporal tras cinco intentos fallidos.
• Tokens de sesión e invitación almacenados como resumen criptográfico, nunca en claro; sesiones con caducidad.
• [Doble factor de autenticación para perfiles de dirección — pendiente de implantar, previsto para DD/MM/AAAA.]

Comunicaciones y almacenamiento

• Todo el acceso se realiza mediante conexión cifrada (HTTPS con TLS).
• Servidores situados en [ESPAÑA / EEE], con acceso administrativo restringido al personal autorizado de Escudo Web.
• Consultas a la base de datos parametrizadas; la aplicación opera con permisos mínimos.

Trazabilidad

• Registro de accesos y de cambios, con fecha, hora, autoría y dirección IP.
• Historial completo de versiones de cada evaluación, con autor y apartado modificado.

Continuidad

• Copias de seguridad diarias cifradas, con un ciclo de rotación de [ ] días.
• Procedimiento de restauración verificado con periodicidad [ ].

Supresión

• Borrado lógico con papelera de 30 días y borrado definitivo automático posterior.
• Supresión de la cuenta y de los datos del Centro conforme a la cláusula NOVENA.

Organización

• Compromiso de confidencialidad firmado por el personal de Escudo Web con acceso.
• Procedimiento interno de gestión de violaciones de seguridad.
• Revisión periódica de las medidas, al menos [anual].

ANEXO III. Subencargados autorizados

ANEXO IV. Firmas

Control de edición