Contrato de encargo del tratamiento

Contrato de encargo del tratamiento

Versión 1 · 19 de octubre de 2026

Este contrato regula el tratamiento de datos personales del alumnado que se produce cuando un centro educativo o un docente utiliza la función «Clases con alumnos» de los Laboratorios de OrientacionEducativa.es. Se celebra conforme al artículo 28 del Reglamento (UE) 2016/679, General de Protección de Datos (RGPD), y a la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

Si no se utiliza esa función, este contrato no resulta de aplicación: el resto del sitio se rige únicamente por la Política de privacidad.

1. Partes

Responsable del tratamiento: el centro educativo en cuyo nombre se crean las clases y se dan de alta los alumnos, o el docente que actúa por cuenta de dicho centro en el ejercicio de la función docente.

Encargado del tratamiento:

• Javier Molina Delgado
• NIF: 44651308M
• Domicilio: Av. Gregorio de Diego 11, 29004 Málaga (Málaga), España
• Correo electrónico: hola@orientacioneducativa.es
• Sitio web: orientacioneducativa.es

Aceptación. Este contrato se acepta desde la cuenta de usuario del docente, antes de crear la primera clase. Al aceptarlo, esa persona declara que actúa en nombre del centro educativo que indica y que está autorizada por este para vincularlo en los términos del presente contrato.

Si no dispusiera de dicha autorización, deberá abstenerse de activar la función «Clases con alumnos» y poner este contrato en conocimiento de la dirección del centro, que podrá aceptarlo o remitir su aceptación por escrito a la dirección de correo indicada más arriba.

2. Objeto del encargo

El responsable encarga al encargado el tratamiento de los datos personales del alumnado necesarios para prestar el siguiente servicio: una herramienta en línea de práctica educativa que permite al docente organizar su clase, asignar tareas y consultar el progreso de cada alumno, y que permite al alumnado acceder a sus actividades mediante una tarjeta con código, sin necesidad de correo electrónico ni contraseña.

El encargado trata los datos únicamente conforme a las instrucciones documentadas del responsable, que son las contenidas en este contrato y las que el responsable imparta a través de la propia herramienta al configurar su clase.

3. Datos tratados y personas afectadas

Categorías de interesados: alumnado de Educación Primaria dado de alta por el docente, y el propio personal docente que crea y gestiona las clases.

Categorías de datos del alumnado:

• Nombre y apellidos, cifrados en la base de datos.
• Código de la tarjeta de acceso, cifrado, y una huella criptográfica de ese código para poder localizarlo sin almacenarlo en claro.
• Curso de trabajo por área y nivel de dificultad.
• Ajustes de presentación de la actividad: frases cortas, letra más separada, texto grande, pauta para escribir, menos elementos en pantalla, lectura en voz alta y sin límite de tiempo.
• Tareas asignadas y resultados por nivel: intentos, aciertos, estrellas y fecha de la última vez.
• Datos de la clase: centro, curso y grupo.

No se tratan, y el programa no ofrece ningún campo para ello: correo electrónico del alumnado, fecha de nacimiento, domicilio, teléfono, fotografía, voz, datos de salud, diagnósticos, informes psicopedagógicos, datos de la situación familiar ni ninguna otra categoría especial del artículo 9 del RGPD. Los ajustes de presentación se denominan por su efecto y no por ningún diagnóstico, precisamente para que lo almacenado sea una preferencia de presentación y no un dato de salud. Cuando el docente escribe en el nombre de un alumno o en el título de una tarea una palabra que sugiere un diagnóstico o una circunstancia familiar, la herramienta le advierte antes de guardar.

Datos del personal docente: los asociados a su cuenta de usuario del sitio web, tratados por el encargado como responsable y descritos en la Política de privacidad.

4. Finalidad y duración

La única finalidad es prestar el servicio descrito en el apartado 2. El encargado no utiliza los datos del alumnado para ninguna otra cosa: ni para publicidad, ni para elaborar perfiles comerciales, ni para entrenar sistemas de inteligencia artificial, ni para cederlos o venderlos a terceros.

El encargo dura mientras el responsable mantenga clases activas en la herramienta y finaliza cuando las elimina o cuando cesa en el uso del servicio.

5. Obligaciones del encargado

El encargado se obliga a:

• Tratar los datos únicamente siguiendo las instrucciones documentadas del responsable, incluidas las transferencias internacionales, e informarle de inmediato si una instrucción infringe la normativa de protección de datos.
• No utilizar los datos para fines propios ni comunicarlos a terceros, salvo que la ley lo exija.
• Mantener el deber de confidencialidad, que subsiste tras el fin del contrato, y garantizar que cualquier persona con acceso a los datos esté sujeta a ese mismo deber.
• Aplicar las medidas de seguridad del apartado 7.
• Asistir al responsable para atender las solicitudes de los interesados (acceso, rectificación, supresión, limitación, oposición y portabilidad), y para cumplir sus obligaciones de los artículos 32 a 36 del RGPD.
• Poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir auditorías.
• Llevar un registro de las categorías de tratamiento realizadas por cuenta del responsable.
• Al terminar el encargo, suprimir o devolver los datos conforme al apartado 9.

6. Obligaciones del responsable

El responsable se obliga a:

• Disponer de base jurídica para tratar los datos del alumnado y haber informado a las familias conforme a los artículos 13 y 14 del RGPD. En los centros sostenidos con fondos públicos, el tratamiento de los datos del alumnado para la función docente y orientadora se ampara en la normativa educativa; corresponde al centro determinarlo y documentarlo.
• Dar de alta únicamente los datos necesarios y no introducir en ningún campo diagnósticos, informes, datos de salud, de situación familiar ni ninguna otra categoría especial.
• Custodiar las tarjetas de acceso del alumnado y entregarlas solo a quien corresponda.
• Incorporar este tratamiento a su registro de actividades y comunicar al encargado cualquier instrucción adicional.
• Dar de baja las clases y el alumnado cuando dejen de ser necesarios.

7. Medidas de seguridad

Atendiendo al estado de la técnica y a los riesgos del tratamiento (artículo 32 del RGPD), el encargado aplica, entre otras, estas medidas:

• Cifrado del nombre y los apellidos del alumnado y del código de su tarjeta en la base de datos, mediante AES-256-GCM.
• Huella criptográfica (HMAC-SHA-256) del código de la tarjeta, de modo que el código no se almacena en claro.
• Acceso del docente mediante cuenta de usuario del sitio, con las garantías de autenticación de WordPress.
• Acceso del alumnado limitado a sus propias tareas y resultados, mediante un pase firmado criptográficamente derivado de su tarjeta; el alumnado no puede ver los datos de sus compañeros.
• Comunicaciones cifradas mediante HTTPS.
• Registro de actividad de las operaciones relevantes sobre clases y alumnado, para poder reconstruir qué se hizo y cuándo. Este registro se conserva durante dos años, transcurridos los cuales se elimina.
• Posibilidad de generar un código de tarjeta nuevo, que invalida el anterior, si se pierde o se sospecha que alguien ajeno lo conoce.
• Minimización: la herramienta no ofrece campos para datos que no necesita, y advierte al docente cuando escribe información que no debe guardarse.
• Copia de seguridad diaria del sitio web y de su base de datos, realizada por el proveedor de alojamiento y conservada conforme a la política de retención de este.

8. Subencargados

Para prestar el servicio, el encargado se apoya en los siguientes proveedores, que tratan los datos por su cuenta con contrato de encargo y con las garantías exigidas por el RGPD:

• Webempresa Europa, S.L., proveedor del alojamiento web, con servidores situados en España. Es el único subencargado que puede tratar datos del alumnado, porque esos datos residen en la base de datos del propio sitio web alojado en sus sistemas. La relación se rige por el contrato de encargo del tratamiento suscrito con dicho proveedor, cuyas condiciones están disponibles en su sitio web.

Los proveedores de pago no tratan datos del alumnado: solo intervienen en la contratación de licencias por parte del personal docente o de las familias.

El responsable autoriza esta subcontratación. El encargado informará de cualquier cambio de subencargado con antelación suficiente para que el responsable pueda oponerse.

9. Transferencias internacionales

Los datos del alumnado se almacenan en servidores situados en España y, por tanto, dentro del Espacio Económico Europeo. No se realizan transferencias internacionales de datos del alumnado fuera del EEE.

Si en el futuro fuera necesario recurrir a un proveedor situado fuera del EEE, el encargado lo comunicará previamente al responsable e indicará la garantía aplicable de las previstas en el capítulo V del RGPD.

10. Violaciones de seguridad

Si el encargado tiene conocimiento de una violación de la seguridad de los datos tratados por cuenta del responsable, se lo notificará sin dilación indebida y, en todo caso, dentro de las 24 horas siguientes, junto con la información de que disponga para que el responsable pueda cumplir su obligación de notificar a la autoridad de control en el plazo de 72 horas del artículo 33 del RGPD.

11. Fin del encargo

Cuando el responsable elimina una clase, se eliminan también el alumnado, las tareas y los resultados asociados. Al finalizar el encargo por cualquier causa, el encargado suprimirá los datos tratados por cuenta del responsable, salvo que deba conservarlos por obligación legal, en cuyo caso los bloqueará durante el plazo correspondiente.

El responsable puede consultar en pantalla, en cualquier momento, los datos de sus clases, su alumnado, sus tareas y sus resultados. Antes de dar de baja una clase puede además solicitar al encargado una copia de esos datos, que se le facilitará en un formato estructurado y de uso común en el plazo máximo de diez días hábiles desde la solicitud.

12. Derechos de los interesados

Las familias o el alumnado que quieran ejercer sus derechos de acceso, rectificación, supresión, limitación, oposición o portabilidad deben dirigirse al centro educativo, que es el responsable del tratamiento. El encargado prestará al centro la asistencia necesaria para atenderlos.

13. Duración y modificaciones

Este contrato entra en vigor cuando el responsable lo acepta en la propia herramienta, antes de crear su primera clase, y permanece vigente mientras dure el servicio. La aceptación queda registrada con su fecha y la versión aceptada.

Si el contrato se modifica de forma sustancial, se publicará una versión nueva y se solicitará de nuevo su aceptación antes de poder seguir utilizando la función.

14. Ley aplicable

Este contrato se rige por el RGPD, por la LOPDGDD y por el resto de la legislación española aplicable.

Para cualquier cuestión relativa a este contrato, incluida la solicitud de una copia firmada o de las condiciones de encargo del proveedor de alojamiento, el responsable puede escribir a hola@orientacioneducativa.es.