Acuerdo de tratamiento de datos

1. Quién es responsable de los datos

Usted o su centro actúa como responsable del tratamiento: la parte que decide por qué y cómo se usan los datos de los estudiantes. En este acuerdo, «usted» se refiere a ese responsable. Polishchuk Mykhailo, operador de T-place, actúa como su encargado del tratamiento y gestiona los datos por cuenta suya.

Somos el responsable del tratamiento de su cuenta, su suscripción y su uso del servicio. Ese tratamiento está cubierto por la Política de privacidad. Este acuerdo cubre los datos de los estudiantes que tratamos para usted.

2. Qué cubre este acuerdo

3. Sus instrucciones

Tratamos los datos de los estudiantes solo siguiendo sus instrucciones documentadas: los Términos, este acuerdo y sus acciones en la aplicación, como crear clases, invitar a estudiantes, corregir y eliminar trabajos. No vendemos los datos, no los usamos con fines publicitarios ni entrenamos modelos de IA con ellos.

Si la ley exige un tratamiento más allá de sus instrucciones, se lo comunicaremos de antemano salvo que esté legalmente prohibido. Si consideramos que una instrucción infringe la normativa de protección de datos, se lo notificaremos y podremos negarnos a ejecutarla.

4. Confidencialidad

Las personas autorizadas a acceder a los datos de los estudiantes están sujetas a confidencialidad y solo pueden acceder a lo que su trabajo requiere. El acceso a los sistemas de producción se limita a las personas que los operan.

5. Cómo protegemos los datos

Aplicamos medidas de seguridad adecuadas a los riesgos, como exige el artículo 32 del RGPD. Entre ellas:

• HTTPS para proteger los datos enviados entre su navegador y T-place.
• Contraseñas almacenadas como hashes Argon2id en lugar de texto legible.
• Tokens de sesión firmados de corta duración, rotación periódica de claves y tokens de estudiante aparte limitados a su tarea.
• Bases de datos separadas por servicio y restricciones de red en el acceso entre servicios.
• Almacenamiento privado de archivos con acceso firmado y de duración limitada.
• Cifrado de Google Cloud para los datos almacenados.
• Copias de seguridad diarias cifradas de las bases de datos, conservadas 15 días, con un proceso de recuperación probado.
• Supervisión continua y alertas automáticas ante fallos y actividad inusual.
• Identidades separadas por servicio con solo los permisos en la nube que cada servicio necesita.

Revisamos estas medidas a medida que el servicio evoluciona. Podemos sustituirlas por garantías equivalentes o más sólidas, sin reducir el nivel de protección.

6. Proveedores que tratan datos para nosotros

Usted nos autoriza a recurrir a proveedores para ayudar a tratar los datos de los estudiantes. Nuestra lista de proveedores describe los servicios que usamos y dónde operan. Solo los proveedores que tratan datos de estudiantes por cuenta nuestra son subencargados conforme a este acuerdo.

Exigimos por escrito a estos subencargados obligaciones de protección de datos equivalentes y seguimos siendo responsables de su cumplimiento. Le avisaremos y actualizaremos la lista al menos 30 días antes de añadir o sustituir a un subencargado de datos de estudiantes. Puede oponerse dentro de ese plazo por motivos razonables de protección de datos. Si no podemos ofrecerle una alternativa, puede cancelar y recibir un reembolso por el periodo de suscripción no usado.

7. Solicitudes de estudiantes y padres

Como responsable del tratamiento, usted gestiona las solicitudes sobre los datos de los estudiantes. La aplicación le permite ver el trabajo entregado, corregir notas y eliminar sesiones junto con el trabajo de los estudiantes que contienen.

Para otras solicitudes, escriba a teacher.place.co@gmail.com. Le ayudaremos a localizar, corregir, exportar o eliminar datos sin coste y a tiempo para que cumpla el plazo de respuesta aplicable, normalmente un mes. Si un estudiante o uno de sus padres nos contacta directamente, le remitiremos a usted y se lo notificaremos, en lugar de decidir la solicitud nosotros mismos.

8. Violaciones de seguridad y otra asistencia

Le notificaremos una violación de seguridad que afecte a los datos de los estudiantes sin dilación indebida y dentro de las 48 horas siguientes a tener conocimiento de ella. Le comunicaremos qué ha ocurrido, a quién afecta, las consecuencias probables y las medidas adoptadas para resolverla, con actualizaciones a medida que sepamos más. Usted es responsable de cualquier notificación exigida a la autoridad de control; le facilitaremos información para ayudarle a cumplir ese deber.

A petición razonable, también le ayudaremos con las evaluaciones de impacto relativas a la protección de datos y las consultas a su autoridad de control, usando la información de que dispongamos.

9. Devolución y eliminación de datos

Eliminar una clase o una tarea borra el trabajo de sus estudiantes del sistema en producción. Contáctenos para eliminar una entrega concreta conservando el resto.

Cuando deje de usar T-place, puede elegir que los datos de los estudiantes se devuelvan o se eliminen. Escriba a teacher.place.co@gmail.com y lo gestionaremos en un plazo de 30 días. Confirmaremos el alcance antes de proceder y eliminaremos las copias restantes tras la devolución, salvo que la ley nos exija conservarlas.

Los datos eliminados desaparecen de las copias de seguridad diarias a medida que estas caducan, en un plazo de 15 días.

10. Comprobar que cumplimos este acuerdo

Le facilitaremos la información razonablemente necesaria para verificar el cumplimiento, empezando por respuestas escritas y la documentación disponible.

Si se necesitan más comprobaciones, puede auditarnos o designar a un auditor independiente que no sea competidor y acepte un compromiso de confidencialidad. Avise por escrito con 30 días de antelación. Las auditorías se realizan en horario laboral, sin interrumpir el servicio ni exponer los datos de otros clientes, y normalmente no más de una vez al año. El requerimiento de un regulador o una violación de seguridad confirmada pueden justificar auditorías adicionales. Usted paga los costes de la auditoría; nosotros pagamos la corrección de cualquier fallo por nuestra parte.

11. Transferencias internacionales de datos

Los datos de los estudiantes se almacenan en la UE. Algunos proveedores tienen su sede en Estados Unidos y pueden acceder a ellos desde allí para dar soporte al servicio.

Estas transferencias se basan en las Cláusulas Contractuales Tipo de la Comisión Europea o, cuando proceda, en la certificación del proveedor bajo el Marco de Privacidad de Datos UE–EE. UU. Puede solicitar copias de las garantías aplicables.

12. Duración, responsabilidad y actualizaciones

Este acuerdo se aplica mientras tratemos datos de estudiantes para usted. Las obligaciones que sigan siendo pertinentes después, incluidas la confidencialidad, la eliminación y la ayuda con solicitudes pendientes, continúan aplicándose.

Los límites de responsabilidad de los Términos y condiciones también se aplican aquí, salvo cuando la normativa de protección de datos lo impida. Podemos actualizar este acuerdo cuando cambien la ley o el servicio y le avisaremos antes de que los cambios sustanciales surtan efecto.