Acuerdo de encargo del tratamiento para centros educativos

Estas condiciones se celebran entre el centro escolar u otra institución educativa que usa una cuenta de centro (el “Centro”) y Omnibus, Ltd., dirección disponible previa solicitud (“nosotros”). Forman parte del contrato u oferta en virtud del cual se presta la cuenta de centro y prevalecen sobre él en materia de protección de datos. Están redactadas para cumplir el art. 28 del RGPD y del UK GDPR y, para los centros de Turquía, el art. 12 de la KVKK.

Los miembros del personal también tienen sus propias cuentas de Earbunny; el uso que hagan de la app fuera de la cuenta de centro se rige por nuestra política de privacidad.

No se tratan por cuenta del Centro categorías especiales de datos ni datos personales del alumnado. El Centro no debe subir ni enviarnos datos personales del alumnado.

Tratamos los datos del Centro únicamente siguiendo las instrucciones documentadas del Centro, que son estas condiciones y los ajustes del Centro en la cuenta de centro, salvo que la ley exija otra cosa (en cuyo caso se lo comunicaremos antes al Centro, salvo que la ley lo prohíba). Informaremos al Centro si consideramos que una instrucción infringe la normativa de protección de datos.

Solo puede acceder a los datos del Centro el personal que lo necesite, y está sujeto a un deber de confidencialidad. Cada acceso del personal a datos personales queda registrado.

Aplicamos las medidas técnicas y organizativas del anexo, adecuadas al riesgo (art. 32 del RGPD). Podemos mejorarlas con el tiempo, pero no reduciremos el nivel general de protección.

El Centro nos otorga una autorización general para recurrir a los subencargados del tratamiento que figuran en nuestra página de subencargados. Enviaremos un correo electrónico al Centro al menos 30 días antes de añadir o sustituir alguno. El Centro puede oponerse por motivos razonables de protección de datos; si no podemos resolver la objeción, el Centro puede dar por terminada la cuenta de centro. Imponemos a cada subencargado obligaciones de protección de datos equivalentes a estas condiciones y seguimos siendo responsables de él.

Los datos del Centro se alojan en la UE. Cuando un subencargado los trata fuera de la UE/EEE, del Reino Unido o de Turquía, nos basamos en una decisión de adecuación (incluido, cuando proceda, el Marco de Privacidad de Datos UE-EE. UU.) o en cláusulas contractuales tipo y, para los datos procedentes de Turquía, en las garantías del art. 9 de la KVKK.

Teniendo en cuenta la naturaleza del tratamiento, ayudamos al Centro a responder a las solicitudes del personal que ejerza sus derechos de protección de datos, así como en las evaluaciones de impacto relativas a la protección de datos y en las consultas a las autoridades (arts. 32 a 36 del RGPD). Si recibimos directamente una solicitud sobre datos del Centro, se la trasladamos al Centro.

Notificaremos al Centro sin dilación indebida y, en cualquier caso, en un plazo de 72 horas desde que tengamos conocimiento de una violación que afecte a datos del Centro. La notificación describirá, en la medida en que se conozca, lo ocurrido, los datos y las personas afectados, las consecuencias probables y las medidas adoptadas o propuestas, e indicará una persona de contacto. Completaremos la información a medida que esté disponible y ayudaremos al Centro a cumplir sus propias obligaciones de notificación.

Cuando finalice la cuenta de centro, suprimiremos la organización, las clases, los códigos de clase y las asignaciones del personal del Centro en un plazo de 30 días, salvo que el Centro solicite antes una copia o que la ley nos obligue a conservar algo. Las copias de seguridad se sobrescriben en un plazo adicional de 30 días. Los vínculos de los alumnos con las clases terminan; las familias conservan sus propias cuentas y datos de Earbunny, que no se ven afectados.

Ponemos a disposición la información necesaria para demostrar el cumplimiento de estas condiciones. El Centro puede auditar nuestro cumplimiento una vez al año o tras una violación de la seguridad, con un preaviso mínimo de 30 días, a su cargo y con sujeción a confidencialidad. Podemos responder primero con documentos, cuestionarios o informes; si no bastan, es posible una auditoría presencial.

La responsabilidad de cada parte en virtud de estas condiciones se rige por el contrato en virtud del cual se presta la cuenta de centro, salvo cuando la ley no permita limitarla.

Estas condiciones se rigen por la ley de el país en el que esté registrada Omnibus, Ltd., salvo que el derecho imperativo aplicable al Centro, como la normativa del sector público o de protección de datos de su país, exija otra cosa.

• Cifrado en tránsito (TLS) y en reposo, incluidas las copias de seguridad.
• Alojamiento en la UE; copias de seguridad cifradas conservadas durante 30 días.
• Una única regla de acceso comprobada en cada solicitud; el personal del centro solo ve informes anónimos de sus propias clases, y los códigos de clase solo los ven los administradores del centro.
• Los informes se bloquean cuando menos de 10 alumnos han aportado datos y no contienen nombres ni identificadores.
• Sesiones de corta duración; el inicio de sesión termina con un código enviado por correo electrónico; límites de frecuencia y protección contra bots en el inicio de sesión y en los códigos.
• Verificación en dos pasos para nuestras cuentas de administración; cada acceso del personal a datos personales queda registrado.
• Los códigos de inicio de sesión y de vinculación no se escriben en los registros de producción; los informes de fallos no contienen datos personales más allá de un identificador opaco.
• Separación de los entornos de producción y de pruebas; acceso concedido según la necesidad de conocer.
• Procedimiento de respuesta a incidentes con notificación de violaciones conforme a la sección 11.

Preguntas sobre estas condiciones o una copia firmada: schools [at] earbunny.app. Más información en nuestra página de seguridad.