Contrato de Encargo del Tratamiento

1. Partes y objeto

El presente acuerdo regula el tratamiento de datos personales que Didacly (en adelante, el Encargado) realiza por cuenta del docente o centro educativo usuario (en adelante, el Responsable), conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).

El Responsable decide los fines y medios del tratamiento de los datos de su alumnado; el Encargado los trata únicamente para prestar el servicio de Didacly siguiendo las instrucciones del Responsable.

1.1. Quién es el Responsable en una cuenta individual

Cuando quien contrata es un docente a título individual, el Responsable del tratamiento es el propio docente respecto de los datos que introduce para su labor de evaluación y seguimiento: calificaciones, observaciones de aula y los identificativos mínimos que necesita para atribuirlas a cada alumno.

Al aceptar este acuerdo, el docente declara y garantiza que está facultado por su centro educativo para tratar esos datos con herramientas de apoyo a la docencia, y que lo hace dentro de las funciones que tiene encomendadas. Si su centro le exige autorización previa para emplear servicios externos, es responsabilidad del docente obtenerla antes de introducir datos de alumnado.

Cuando el alta la realiza un centro educativo, el Responsable es el centro y las cuentas del profesorado quedan bajo su ámbito. En ese caso este acuerdo se firma con la titularidad del centro y prevalece sobre cualquier aceptación individual anterior.

2. Objeto, duración, naturaleza y finalidad

• Objeto: tratamiento de datos del alumnado para apoyar la labor docente (planificación, evaluación, generación de materiales y seguimiento).
• Duración: mientras esté vigente la cuenta del Responsable en Didacly.
• Naturaleza y finalidad: almacenamiento, organización, consulta y procesamiento (incluida la generación asistida por IA) de los datos introducidos por el Responsable.

3. Tipo de datos y categorías de interesados

• Categorías de datos: identificativos del alumnado (nombre, apellidos), observaciones de seguimiento y conducta, resúmenes generados por IA y, opcionalmente, fotografía.
• Categorías de interesados: alumnado (en su mayoría menores de edad) de las clases gestionadas por el Responsable.

4. Obligaciones del Encargado (art. 28.3 RGPD)

Didacly, como Encargado, se compromete a:

• Tratar los datos únicamente siguiendo instrucciones documentadas del Responsable.
• Garantizar la confidencialidad de quienes traten los datos.
• Aplicar las medidas de seguridad del art. 32 RGPD (ver apartado 6).
• No recurrir a otro subencargado sin autorización (ver apartado 5).
• Asistir al Responsable para atender los derechos de los interesados (acceso, rectificación, supresión, etc.).
• Ayudar al Responsable a cumplir sus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto.
• A elección del Responsable, suprimir o devolver los datos al finalizar la prestación, salvo conservación exigida por ley.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías.

5. Subencargados

El Responsable autoriza al Encargado a servirse de los siguientes subencargados, sujetos por contrato a las mismas obligaciones de protección de datos. Lista actualizada el 2026-09-08:

• Requesty (Requesty — razón social y jurisdicción PENDIENTES de confirmar en su DPA (ver nota).) — Toda la inteligencia artificial del servicio: generación de textos (situaciones de aprendizaje, rúbricas, informes, fichas) y cálculo de embeddings para la búsqueda documental. Es un enrutador: no ejecuta el modelo, lo reenvía al operador de inferencia que nombra la petición. Datos: El texto de la petición del docente y los fragmentos de los documentos que se indexan. El alumnado viaja pseudonimizado: identificadores tipo A1, A2, nunca nombres reales. Ubicación: Las peticiones se envían al router europeo (router.eu.requesty.ai), que Requesty declara alojado en Frankfurt, Alemania (eu-central-1). El operador de inferencia va nombrado EN CADA PETICIÓN: hoy son Google, Nebius, Novita, Groq y DeepInfra (ver el detalle más abajo). Garantía: A diferencia del enrutador anterior, aquí el operador no lo elige la pasarela: lo fija el identificador del modelo en cada llamada, de modo que ninguna petición puede acabar en un operador que no esté en la lista de abajo.
• Vercel (Vercel Inc. (Estados Unidos), con tratamiento en la Unión Europea) — Alojamiento y ejecución de la aplicación web. Datos: Todo el tráfico de la aplicación y los datos que se procesan al servir cada página. No almacena la base de datos. Ubicación: París, Francia (región cdg1). Comprobado el 24-ago-2026 sobre didacly.es: la cabecera X-Vercel-Id devuelve «cdg1::cdg1», es decir, borde y función en París. Garantía: El tratamiento se realiza en la UE. Para el soporte y la administración de la cuenta, prestados desde Estados Unidos, aplican las Cláusulas Contractuales Tipo del DPA de Vercel.
• Resend (Resend, Inc. (Estados Unidos)) — Envío de correo transaccional: confirmación de cuenta, invitaciones al centro y códigos de verificación. Datos: Dirección de correo y nombre del profesorado. No se envían datos del alumnado. Ubicación: Estados Unidos. Garantía: Cláusulas Contractuales Tipo del DPA de Resend.
• Stripe (Stripe Payments Europe, Ltd. (Irlanda)) — Cobro de las suscripciones y gestión de la facturación. Datos: Datos de facturación de quien contrata: correo, nombre o razón social y datos de pago. No se envían datos del alumnado. Ubicación: Unión Europea (entidad irlandesa), con transferencias al grupo en Estados Unidos. Garantía: Cláusulas Contractuales Tipo del DPA de Stripe.
• Supabase (Supabase, Inc. (Estados Unidos), con los datos alojados en la Unión Europea) — Base de datos y autenticación: almacenamiento de todos los datos del servicio. Datos: Todos los datos del servicio, incluidos los identificativos del alumnado y sus calificaciones. Ubicación: Irlanda (región eu-west-1, «West EU»). Comprobado el 24-ago-2026 en el panel de infraestructura del proyecto. Garantía: Los datos se almacenan y procesan en Irlanda. Para el soporte y la administración de la cuenta, prestados desde Estados Unidos, aplican las Cláusulas Contractuales Tipo del DPA de Supabase.

La versión siempre vigente de esta relación, con el detalle completo, está publicada en didacly.es/legal/subencargados.

El Encargado comunicará al Responsable la incorporación o sustitución de cualquier subencargado con 30 días naturales de antelación, dándole la posibilidad de oponerse. Si el Responsable se opone y no existe alternativa técnica equivalente, podrá resolver el contrato sin penalización.

6. Medidas de seguridad (art. 32 RGPD)

• Control de acceso por fila (RLS): cada Responsable solo accede a los datos de sus propias clases.
• Cifrado de los datos en reposo y en tránsito (TLS).
• Pseudonimización del alumnado en los tratamientos con IA (identificadores A1, A2…).
• Registro de auditoría de accesos a datos sensibles.
• Plazos de conservación limitados y borrado a petición.

7. Notificación de violaciones de seguridad

El Encargado notificará al Responsable cualquier violación de la seguridad de los datos dentro de las 24 horas siguientes a tener conocimiento de ella, con la información necesaria para que el Responsable cumpla, en su caso, su deber de notificación a la autoridad de control en el plazo de 72 horas del art. 33 RGPD. La notificación incluirá la naturaleza de la violación, las categorías y el número aproximado de interesados afectados, las consecuencias probables y las medidas adoptadas.

8. Fin del encargo

Al finalizar la relación, el Encargado suprimirá o devolverá los datos según indique el Responsable, salvo obligación legal de conservación. Salvo instrucción distinta, los datos quedan disponibles para su descarga durante 30 días naturales desde la baja y se suprimen de forma definitiva —copias de seguridad incluidas— en un plazo máximo de 90 días naturales. El Encargado emitirá certificado de supresión a petición del Responsable.

9. Asistencia al Responsable

El Encargado asistirá al Responsable, en un plazo máximo de 10 días hábiles desde la solicitud, en:

• Atender los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición de los interesados.
• Realizar evaluaciones de impacto relativas a la protección de datos (art. 35 RGPD), aportando la información técnica de su parte del tratamiento.
• Acreditar el cumplimiento ante la autoridad de control, aportando el registro de actividades de tratamiento del Encargado (art. 30.2 RGPD).

El Encargado advertirá inmediatamente al Responsable si considera que una instrucción suya infringe el RGPD o cualquier otra norma de protección de datos, conforme al último párrafo del art. 28.3.

10. Uso de inteligencia artificial

Todo lo que Didacly genera es un borrador sujeto a la revisión y aprobación del Responsable. Ninguna calificación, informe o comunicación a las familias produce efectos hasta que una persona la revisa y la valida. No existe ningún tratamiento que produzca efectos jurídicos o que afecte significativamente a un alumno de forma automatizada, en el sentido del art. 22 RGPD.

Los datos tratados no se emplean para entrenar modelos de inteligencia artificial, ni propios ni de terceros, ni para ninguna finalidad comercial o publicitaria.