Contrato de encargado del tratamiento (art. 28 RGPD)

Encargado: ENERGIA Y TELEFONIA MERIDA SL, NIF B21638176, C/ ALMENDRALEJO, 43 LOCAL 5 («el Encargado»).

Responsable: la organización (academia, escuela o entidad) que contrata el servicio Forum Aula y acepta este contrato al darse de alta («el Responsable»).

1. Objeto

El Encargado trata por cuenta del Responsable los datos necesarios para prestar el servicio de software de gestión (alumnado, familias, personal, cobros, eventos y entradas, comunicaciones), alojamiento y soporte.

Acceso del personal técnico. Para mantener el servicio, resolver incidencias, comprobar su funcionamiento y desarrollar las mejoras que solicite el Responsable, el personal técnico autorizado del Encargado puede acceder a la aplicación del Responsable, incluso viendo las pantallas como las vería un usuario concreto. Ese personal está sujeto a confidencialidad, accede solo a lo necesario para esas finalidades y no utiliza los datos para fines propios. Cada acceso queda registrado (fecha, persona y modo de acceso) y el registro está a disposición del Responsable cuando lo solicite.

2. Duración

Mientras esté vigente la suscripción. Al finalizar, el Responsable puede exportar sus datos; el Encargado los suprimirá en un plazo máximo de 90 días, salvo obligación legal de conservación.

3. Obligaciones del Encargado

• Tratar los datos solo siguiendo las instrucciones documentadas del Responsable.
• Garantizar la confidencialidad de las personas autorizadas a tratarlos.
• Aplicar las medidas de seguridad del art. 32 RGPD: cifrado en tránsito, contraseñas cifradas, control de acceso por roles, doble factor, registro de actividad y copias de seguridad.
• No subcontratar sin autorización. El Responsable autoriza de forma general a los proveedores de alojamiento y correo; el Encargado informará de cualquier cambio para que pueda oponerse.
• Asistir al Responsable en la respuesta al ejercicio de derechos y en las evaluaciones de impacto.
• Notificar sin dilación indebida, y en todo caso en menos de 48 horas, cualquier violación de seguridad que afecte a los datos.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías.

4. Obligaciones del Responsable

Facilitar los datos lícitamente, informar a los interesados, obtener los consentimientos necesarios y supervisar el tratamiento.

5. Transferencias internacionales

No se realizan transferencias fuera del Espacio Económico Europeo sin las garantías del capítulo V del RGPD.