Partes y objeto
Responsable del tratamiento: la academia que contrata Tutorizalo (en adelante, «la academia»). Encargado del tratamiento: Generative Intelligence S.L., NIF B93645364, con domicilio social en el que figura en el Aviso legal (en adelante, «Tutorizalo»). Contacto: contacto@tutorizalo.com.
Este acuerdo regula el tratamiento de datos personales que Tutorizalo realiza por cuenta de la academia para prestarle el servicio descrito en las Condiciones del servicio, de acuerdo con el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).
Duración
El acuerdo dura lo que dure el contrato de servicio entre la academia y Tutorizalo.
Naturaleza y finalidad del tratamiento
Alojar, procesar y mostrar los datos de la academia para prestar el servicio: gestión de cuentas, temarios y materiales de estudio, tests, flashcards, planificación y seguimiento. Incluye el procesamiento con sistemas de inteligencia artificial de materiales, correcciones de ejercicios y transcripción y análisis de audios, con los proveedores indicados en la sección de subencargados.
También incluye las operaciones que la plataforma pone a disposición de la academia para su equipo: enviar mensajes del equipo a los alumnos, desde el correo de la academia, y consultar el registro de actividad del equipo (qué persona del equipo hizo qué y cuándo). Cada academia decide si las usa y quién del equipo puede hacerlo.
Tipos de datos y categorías de interesados
- Interesados: alumnos, preparadores y demás personal de la academia.
- Datos: datos de cuenta (nombre, correo, contraseña con hash, teléfono opcional, rol, academia y sede), material de estudio, fotografías de exámenes, grabaciones de voz y su transcripción, datos de uso y progreso, y datos técnicos (dirección IP, dispositivo, sesión).
- Mensajes del equipo a los alumnos y registro de actividad del equipo: remitente, destinatario, asunto y texto del mensaje, y las acciones del equipo con su fecha. Se conservan 24 meses desde que se generan y después se suprimen automáticamente; los mensajes también se suprimen si se elimina al alumno.
- No se tratan categorías especiales de datos. La voz no se usa para identificar a las personas.
Obligaciones del encargado
Tutorizalo se obliga a:
- Tratar los datos solo con instrucciones documentadas de la academia, incluidas las de este acuerdo y del contrato.
- Garantizar que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad.
- Aplicar las medidas técnicas y organizativas del artículo 32 RGPD (aislamiento lógico por academia, cifrado, control de acceso por roles).
- No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados.
- Limitar el acceso de soporte de su personal a las cuentas de la academia a los casos con motivo registrado, con duración limitada, con las facultades mínimas necesarias y con constancia en un registro de auditoría.
- Asistir a la academia para atender las solicitudes de ejercicio de derechos de los interesados.
- Asistir a la academia en el cumplimiento de sus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto.
- Informar a la academia si considera que una instrucción infringe la normativa de protección de datos.
Subencargados
La academia concede autorización general para recurrir a subencargados. La lista vigente, con su finalidad y ubicación, está en Política de privacidad. Tutorizalo avisará a la academia con al menos 30 días de antelación de cualquier subencargado nuevo o sustitución; la academia podrá oponerse de forma razonada en ese plazo. Los subencargados quedan sujetos por contrato a las mismas obligaciones de protección de datos que este acuerdo.
Transferencias internacionales
Cuando un subencargado trate datos fuera del Espacio Económico Europeo, la transferencia se ampara en las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión (UE) 2021/914) y, cuando el proveedor esté adherido, en el Marco de Privacidad de Datos UE-EE. UU.
Brechas de seguridad
Tutorizalo notificará a la academia cualquier brecha de seguridad que afecte a sus datos sin dilación indebida y, en todo caso, en un máximo de 48 horas desde que tenga constancia, con la información disponible para que la academia pueda cumplir sus obligaciones de notificación.
Devolución y supresión al terminar
Al terminar el contrato, la academia puede exportar sus datos y contenidos. Tutorizalo los devuelve o suprime en un plazo de 30 días, salvo que una norma obligue a conservarlos.
Auditorías
Tutorizalo pondrá a disposición de la academia la información necesaria para demostrar el cumplimiento de este acuerdo y permitirá auditorías razonables, con preaviso y sin perturbar el servicio.
Obligaciones de la academia
La academia garantiza que cuenta con una base jurídica para el tratamiento, que informa a los interesados conforme a los artículos 13 y 14 del RGPD y que sus instrucciones son lícitas.
Aceptación
Este acuerdo se entiende aceptado con el contrato de servicio y se acepta expresamente en la puesta en marcha de la academia. Contacto de privacidad: contacto@tutorizalo.com.