Contrato de encargo del tratamiento (DPA)

Esta es una traducción ofrecida por comodidad. Si hay alguna diferencia, prevalece la versión en portugués.

1. Partes y aceptación

Este contrato forma parte de los Términos de uso y se celebra entre el profesor que contrata ClassMe (persona física o jurídica), que es el responsable del tratamiento de los datos personales de sus alumnos, tutores y profesores colaboradores, y ClassMe, servicio prestado desde España por el titular identificado en el Aviso legal, que es el encargado del tratamiento (LGPD: operador; UK GDPR: processor). Contacto: contato@classme.win.

El profesor acepta este contrato al dar de alta la escuela, junto con los términos; guardamos la versión y la fecha de la aceptación. Si hay conflicto con los términos en materia de datos personales, prevalece este contrato. Cumple el art. 28 del RGPD (Reglamento (UE) 2016/679) y del UK GDPR y los arts. 37 a 40 de la LGPD brasileña, junto con la LOPDGDD (Ley Orgánica 3/2018).

2. Objeto, duración y finalidad

ClassMe trata los datos de la escuela solo para proporcionar su software e infraestructura (web, agenda, créditos y pagos declarados, aula con pizarra, mensajes, tareas, informes, área del tutor), mientras dure la suscripción y, después, durante el plazo del apartado 11. El tratamiento es automatizado: alojamiento, almacenamiento, cifrado, copia de seguridad, envío de correos y avisos, transmisión en tiempo real y supresión.

ClassMe no usa los datos de la escuela para fines propios, publicidad, elaboración de perfiles, venta ni entrenamiento de inteligencia artificial. Los datos del profesor como cliente y los de su conexión con Google los trata ClassMe como responsable, según la política de privacidad, y quedan fuera de este contrato.

3. Interesados y datos

• Interesados: alumnos, incluidos niños y adolescentes; tutores legales de los menores; profesores colaboradores y administradores invitados; personas que piden una clase de prueba o se apuntan a la lista de espera; el propio profesor como administrador.
• Datos: nombre, correo, teléfono (opcional), idioma y zona horaria; del menor, solo mes y año de nacimiento; datos de cuenta y seguridad (contraseña solo como hash, verificación en dos pasos, sesiones, código derivado de la IP); datos de enseñanza (nivel, objetivos, clases, resúmenes, tareas, informes, notas del profesor); mensajes, adjuntos y pizarra; audios y vídeos (de menores, solo con autorización); pagos declarados; prueba seudonimizada de las autorizaciones; suscripción opcional a notificaciones.
• No pedimos categorías especiales de datos. La voz y la imagen no se usan para biometría ni pasan por inteligencia artificial.

4. Instrucciones del profesor

ClassMe solo trata los datos siguiendo las instrucciones documentadas del profesor: este contrato y los términos, la configuración del panel de la escuela y las solicitudes escritas a contato@classme.win. Los plazos de conservación, las reglas de acceso y el flujo de autorización de menores descritos en la política de privacidad de cada escuela los adopta el profesor como instrucciones; si quiere otro criterio, lo pide por escrito. Si una instrucción infringe la ley, avisamos de inmediato. Si la ley nos obliga a otro tratamiento, avisamos antes, salvo prohibición legal.

5. Confidencialidad

Solo accede a los datos quien lo necesita para prestar el servicio (hoy, solo el titular de ClassMe), con deber de secreto que continúa tras el contrato. El acceso técnico es excepcional (soporte pedido por el profesor, incidente, abuso u obligación legal), limitado y registrado.

6. Seguridad

Aplicamos las medidas del apartado 15, adecuadas al riesgo y a que la escuela puede tener alumnos menores (RGPD art. 32; LGPD art. 46). Podemos actualizarlas sin reducir la protección. El profesor cuida lo que está a su cargo: contraseña, verificación en dos pasos, dispositivos y a quién invita a la escuela.

7. Subencargados

El profesor autoriza de forma general a los subencargados del apartado 16. Antes de añadir o cambiar uno, avisamos por correo con al menos 30 días de antelación y actualizamos esta página. El profesor puede oponerse por motivos de protección de datos; si no hay solución, puede resolver sin penalización antes del cambio, con reembolso proporcional del periodo pagado y no usado. Cada subencargado asume por contrato obligaciones equivalentes a las de este contrato, y ClassMe responde de ellas.

8. Transferencias internacionales

ClassMe está en España. La base de datos está en el Reino Unido (decisión de adecuación de la Unión Europea); los archivos y copias de seguridad, en Europa occidental; el tráfico puede pasar por la red global de Cloudflare, incluidos los Estados Unidos (EU-US Data Privacy Framework y UK-US Data Bridge para empresas certificadas, o cláusulas contractuales tipo de la Comisión Europea y el anexo británico). Para los datos procedentes de Brasil, se aplican las cláusulas contractuales tipo de la ANPD (LGPD art. 33, II; Resolución CD/ANPD 19/2024), incorporadas a este contrato. Como medida complementaria, los campos personales se cifran en la aplicación, con claves que los proveedores no tienen.

9. Derechos de los interesados y asistencia

La plataforma ya permite exportar, rectificar y suprimir datos, retirar consentimientos y usar el portal del tutor. Las solicitudes de interesados que lleguen a ClassMe se remiten al profesor sin dilación. Ayudamos al profesor a atender lo que las herramientas no resuelven, en los plazos legales, y también con la seguridad, la evaluación de impacto (EIPD) y la consulta previa a la autoridad (RGPD arts. 32 a 36; LGPD art. 38).

10. Violaciones de seguridad

Avisamos al profesor sin dilación indebida y en un máximo de 48 horas desde que conozcamos una violación que afecte a los datos de la escuela, con la naturaleza del incidente, los interesados y registros afectados, las consecuencias probables, las medidas adoptadas y un contacto. Corresponde al profesor, como responsable, decidir la notificación a la autoridad (AEPD u otra autoridad de la UE, ICO o ANPD) y a los interesados; ayudamos con la información y el texto. Registramos todas las violaciones.

11. Fin del contrato

Antes de desactivar la escuela, entregamos al profesor una copia de los datos (alumnos, clases, créditos y pagos) en formato estructurado. Los datos quedan disponibles 30 días tras el fin del servicio y después se suprimen, salvo lo que la ley obligue a conservar. Las copias de seguridad cifradas caducan solas en un máximo de 35 días, y un dato suprimido nunca se restaura. A petición, confirmamos la supresión por escrito.

12. Información y auditorías

Facilitamos al profesor la información para demostrar el cumplimiento de este contrato, incluidas las certificaciones disponibles de los subencargados. El profesor, o un auditor sujeto a secreto, puede auditar con aviso de 30 días, una vez al año (o tras una violación, o por orden de una autoridad), primero mediante documentos, sin exponer datos de otras escuelas.

13. Menores de edad

El profesor recaba y conserva las autorizaciones del tutor que exige la ley (RGPD art. 8; LOPDGDD art. 7, 14 años en España; LGPD art. 14), usando los flujos de la plataforma. ClassMe mantiene esos flujos y no usa datos de menores para nada distinto del servicio.

14. Responsabilidad, cambios y ley aplicable

Cada parte responde de los daños que cause por incumplir este contrato o la ley (RGPD art. 82; LGPD arts. 42 a 45); los límites de los términos no reducen la responsabilidad frente a interesados y autoridades. Los cambios se avisan por correo con 30 días de antelación, con derecho a resolver sin penalización. Este contrato se rige por la ley española, sin perjuicio de las normas imperativas de protección de datos de cada país (LGPD en Brasil, UK GDPR en el Reino Unido).

15. Medidas de seguridad

• HTTPS/TLS en todas las conexiones, HSTS y conexión cifrada con la base de datos.
• Campos personales cifrados en la aplicación con AES-256-GCM (formato enc:v2, vinculado al campo y a la fila), claves rotables; los archivos también se cifran antes de guardarse.
• Copia diaria cifrada con clave separada, en almacenamiento privado, suprimida en un máximo de 35 días.
• Cada escuela en un esquema propio de la base de datos, aislado de las demás.
• Contraseñas con bcrypt y comprobación de contraseñas filtradas sin enviar la contraseña; verificación en dos pasos (TOTP) con códigos de recuperación; confirmación adicional para acciones sensibles.
• Límite de intentos con bloqueo progresivo en el inicio de sesión y en los códigos.
• Solo cookies esenciales, con prefijo __Host-, HttpOnly y SameSite.
• Acceso por perfil; acciones administrativas y eventos de seguridad en un registro de auditoría encadenado, conservado 12 meses.
• Minimización por defecto, supresión automática de los datos vencidos, CSP y protección contra el enmarcado.

16. Subencargados

• Cloudflare (Cloudflare, Inc., Estados Unidos): alojamiento y ejecución (Workers y Hyperdrive), aula en directo (Durable Objects), archivos y copias (R2, Europa occidental), vídeos (Stream) y envío de correos. Red global, incluidos los Estados Unidos. DPA con cláusulas tipo y anexo británico; certificada en el EU-US Data Privacy Framework.
• Neon (Estados Unidos): base de datos PostgreSQL, región Londres, Reino Unido; campos personales ya cifrados en la aplicación. Decisión de adecuación para el Reino Unido y cláusulas tipo del DPA de Neon.

No son subencargados de ClassMe: Google (Calendar y Meet), cuando el profesor conecta su cuenta de Google, que trata el evento de la clase como responsable propio, por la cuenta del profesor; ni los servicios de notificación de los navegadores, elegidos por el navegador de quien activa las notificaciones, que solo reciben mensajes cifrados de extremo a extremo.