Contrato de encargado del tratamiento

Contrato conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD), para el uso de ExamInA por el profesorado de un centro educativo.

Reunidos

De una parte, el RESPONSABLE: el centro educativo , con código de centro , domicilio en , representado por D./D.ª en calidad de .

De otra parte, el ENCARGADO: ACDQ GLOBAL SL, NIF B88876867, domicilio en Calle Historiador Juan Manzano, n.º 1, casa I, 41089 Dos Hermanas (Sevilla), titular del servicio ExamInA (examinapp.com), representada por D./D.ª .

Ambas partes acuerdan regular el tratamiento de datos personales que el ENCARGADO realiza por cuenta del RESPONSABLE con las siguientes cláusulas.

1. Objeto, naturaleza y finalidad

El ENCARGADO trata los datos para prestar el servicio ExamInA al profesorado del RESPONSABLE: almacenar listas de clase, separar y conservar los exámenes escaneados, generar con inteligencia artificial propuestas de corrección y feedback que el profesor/a revisa y valida, generar informes y resúmenes de resultados y, si el profesor/a lo decide, ponerlos a disposición del alumnado y sus familias en un portal con acceso por código. Las operaciones son: recogida, registro, conservación, consulta, análisis automatizado de imágenes, comunicación al propio alumnado y familias, y supresión.

2. Duración

Este contrato estará vigente mientras el profesorado del RESPONSABLE use ExamInA. A su terminación se aplicará la cláusula 10.

3. Datos tratados y personas afectadas

• Alumnado: número de lista, nombre y apellidos, exámenes escaneados (con su contenido manuscrito), puntuaciones, correcciones y feedback, indicación de examen adaptado y criterios de adaptación que escriba el profesor/a; opcionalmente, email.
• Familias o tutores legales: email (opcional, hasta dos por alumno/a) para el acceso al portal.
• Profesorado: email y datos de uso de la cuenta.

No se tratan categorías especiales de datos: el RESPONSABLE instruirá a su profesorado para no incluir datos de salud ni diagnósticos en los criterios de adaptación ni en otros textos.

4. Obligaciones del ENCARGADO

1. Tratar los datos solo para la finalidad descrita y siguiendo las instrucciones documentadas del RESPONSABLE, que incluyen las que da su profesorado a través de la aplicación. Si una instrucción infringe la normativa, lo comunicará de inmediato.
2. No usar los datos para fines propios, no comunicarlos a terceros salvo los subencargados autorizados y no utilizarlos para entrenar modelos de inteligencia artificial.
3. Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar su confidencialidad.
4. Aplicar las medidas de seguridad del Anexo II, adecuadas al riesgo conforme al artículo 32 del RGPD.
5. Llevar el registro de actividades de tratamiento realizadas por cuenta del RESPONSABLE.
6. Ayudar al RESPONSABLE a atender las solicitudes de ejercicio de derechos de los interesados. Si recibe una directamente, la trasladará al RESPONSABLE sin dilación.
7. Notificar al RESPONSABLE, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga conocimiento, las violaciones de seguridad que afecten a los datos, con la información necesaria para que el RESPONSABLE pueda, en su caso, comunicarlas a la autoridad de control y a los interesados.
8. Ayudar al RESPONSABLE, cuando proceda, en la realización de evaluaciones de impacto y consultas previas.
9. Poner a disposición del RESPONSABLE la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, previo aviso.
10. Aplicar por defecto los plazos de supresión de la cláusula 9.

5. Obligaciones del RESPONSABLE

1. Garantizar que el tratamiento tiene base jurídica (disposición adicional 23.ª de la Ley Orgánica de Educación y artículo 6.1.c y e del RGPD) e informar a los interesados.
2. Velar por que su profesorado use el servicio conforme a la normativa y a las condiciones de ExamInA, y revise y valide cada corrección antes de utilizarla.
3. Supervisar el tratamiento y, en su caso, realizar la evaluación de impacto si la considera necesaria.

6. Subencargados

El RESPONSABLE autoriza al ENCARGADO a recurrir a los subencargados del Anexo I. El ENCARGADO informará al RESPONSABLE de cualquier cambio con al menos 15 días de antelación, y el RESPONSABLE podrá oponerse por motivos justificados. El ENCARGADO impondrá a cada subencargado las mismas obligaciones de protección de datos.

7. Transferencias internacionales

El tratamiento de las imágenes de los exámenes por el servicio de inteligencia artificial (Anthropic) puede implicar una transferencia a EE. UU., amparada en el acuerdo de tratamiento de datos de dicho proveedor con cláusulas contractuales tipo aprobadas por la Comisión Europea u otro mecanismo válido del capítulo V del RGPD. El resto de datos se aloja en la Unión Europea.

8. Inteligencia artificial y supervisión humana

Las propuestas de corrección generadas con IA no producen efectos por sí solas: el profesor/a debe revisarlas y validarlas, y la aplicación impide descargar o publicar lo no validado. Se conserva la propuesta original junto a la versión final, y los informes indican que la corrección ha sido asistida por IA y revisada por el profesor/a.

9. Plazos de conservación

• Exámenes escaneados: 30 días desde su carga.
• Correcciones, resultados, listas de clase y emails: hasta el 31 de agosto del curso correspondiente.
• El profesor/a puede borrarlos antes en cualquier momento desde la aplicación.
• En el modo normal (por lotes), el proveedor de IA conserva los datos del lote hasta 29 días; en el modo rápido, no los conserva por defecto tras devolver la respuesta, salvo obligación legal o de seguridad.

10. Fin del contrato

Al terminar, el ENCARGADO suprimirá los datos en los plazos anteriores o antes si el RESPONSABLE lo solicita, tras permitirle descargar lo que necesite (informes y hojas de notas), y lo certificará por escrito si se le pide. Solo conservará, bloqueados, los datos necesarios para atender posibles responsabilidades legales.

Anexo I. Subencargados autorizados

Anexo II. Medidas de seguridad

• Cifrado de las comunicaciones (HTTPS/TLS) en toda la aplicación.
• Control de acceso en la base de datos: cada profesor/a solo accede a sus propias clases y correcciones.
• Claves de servicio guardadas únicamente en el servidor; acceso de administración restringido.
• Portal de familias con código de un solo uso enviado a emails previamente registrados por el profesor/a; solo muestra resultados validados y publicados del propio alumno/a.
• Comparativas con la clase solo por tramos y con un mínimo de 5 exámenes; sin rankings.
• Supresión automática diaria según los plazos de la cláusula 9.
• Minimización: no se recogen DNI, fecha de nacimiento, dirección, teléfono, fotografías ni datos de salud.

Firmas