Acuerdo de encargo de tratamiento

Artículo 28 del Reglamento (UE) 2016/679 (RGPD)

Versión: abril de 2026

Partes del acuerdo

Responsable del tratamiento: el centro educativo (en adelante, «el Centro») que utiliza la plataforma Cupo Horario, identificado en el correo de aceptación mediante nombre oficial, CIF y nombre de la persona directora o titular.

Encargado del tratamiento: Carlos Barroso Moriana, con correo electrónico de contacto carlos.barroso@fernando3martos.com, en calidad de desarrollador y proveedor de la herramienta Cupo Horario (en adelante, «el Encargado»).

1. Objeto y duración

El presente acuerdo regula las condiciones bajo las cuales el Encargado trata datos personales por cuenta del Centro, al amparo del artículo 28 del RGPD, con motivo de la prestación del servicio de gestión del cupo horario a través de la plataforma Cupo Horario, accesible en cupo-horario.carlosprofe.es.

El acuerdo entra en vigor en la fecha de aceptación por correo electrónico y permanece vigente mientras el Centro mantenga activa su cuenta en la plataforma. Se extingue automáticamente cuando el Centro solicita la baja del servicio o cuando el Encargado cesa la prestación del mismo, con independencia del motivo.

2. Categorías de datos y personas afectadas

Los datos personales objeto de tratamiento son:

• Datos identificativos del personal docente: nombre completo o iniciales, dirección de correo electrónico y departamento al que pertenece.
• Datos de organización docente: asignaturas o módulos impartidos, reducciones lectivas asignadas y distribución horaria semanal preferida.
• Indicación de conciliación familiar: marca booleana (sí/no) de si una persona ha solicitado oficialmente la medida de conciliación familiar. No se almacena ningún detalle adicional sobre la situación personal.
• Datos de acceso: dirección de correo electrónico de las personas con acceso a la plataforma (equipo directivo y jefaturas de departamento).

Las personas afectadas son el personal docente y el equipo directivo del Centro. No se tratan datos de alumnado ni de familias.

3. Finalidad y base jurídica

El tratamiento tiene como única finalidad prestar el servicio de gestión del cupo horario: almacenar, mostrar y exportar la información introducida por el Centro para facilitar la planificación interna de la distribución de horas lectivas entre departamentos y profesores.

La base jurídica del tratamiento por parte del Responsable es el cumplimiento de una obligación de gestión educativa (artículo 6.1.e del RGPD). El Encargado actúa exclusivamente a sus instrucciones y carece de legitimación propia para tratar los datos con fines distintos.

4. Obligaciones del Encargado

El Encargado se compromete a:

1. Tratar los datos personales únicamente siguiendo las instrucciones documentadas del Centro y, en ningún caso, utilizarlos para fines propios o distintos a los pactados. Si por imperativo legal debe efectuar un tratamiento no autorizado, informará al Centro con carácter previo, salvo que la ley lo prohíba.
2. Garantizar que las personas autorizadas para tratar los datos personales se han comprometido a respetar la confidencialidad o están sujetas a una obligación de confidencialidad de naturaleza estatutaria.
3. Adoptar todas las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, conforme al artículo 32 del RGPD. Entre ellas: cifrado de datos en tránsito (HTTPS/TLS), autenticación con tokens de sesión seguros, acceso restringido por rol y copias de seguridad automáticas proporcionadas por los subencargados indicados en la cláusula 6.
4. Respetar las condiciones para recurrir a otro encargado del tratamiento descritas en la cláusula 6 (subencargados).
5. Asistir al Centro, teniendo en cuenta la naturaleza del tratamiento y mediante medidas técnicas y organizativas apropiadas, en la medida de lo posible, para que pueda cumplir con su obligación de responder a las solicitudes de ejercicio de derechos de los interesados.
6. Ayudar al Centro a garantizar el cumplimiento de las obligaciones de seguridad, notificación de violaciones de seguridad a la autoridad de control y a los interesados, evaluaciones de impacto relativas a la protección de datos y consultas previas.
7. A elección del Centro, suprimir o devolver todos los datos personales una vez finalice la prestación del servicio, y suprimir las copias existentes, salvo que el derecho de la Unión o de los Estados miembros exija la conservación de los datos.
8. Poner a disposición del Centro toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, y permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del Centro o de otro auditor autorizado por él. El Encargado informará inmediatamente al Centro si, en su opinión, una instrucción infringe el RGPD u otras disposiciones en materia de protección de datos.

5. Obligaciones del Responsable

El Centro se compromete a:

1. Facilitar al Encargado, antes del inicio del tratamiento, los datos necesarios para la prestación del servicio, garantizando su exactitud y licitud.
2. Informar debidamente al personal docente sobre el tratamiento de sus datos en el marco de esta herramienta, de acuerdo con los artículos 13 y 14 del RGPD.
3. Notificar al Encargado cualquier modificación de los datos que pudiera afectar al tratamiento.
4. Solicitar la eliminación de los datos cuando ya no sean necesarios para la finalidad que motivó el tratamiento, a través del correo de contacto indicado en este acuerdo.

6. Subencargados del tratamiento

El Centro autoriza expresamente al Encargado a recurrir a los siguientes subencargados, necesarios para la prestación técnica del servicio:

Todos los subencargados están sujetos a obligaciones equivalentes a las de este acuerdo mediante sus propias condiciones de servicio. Las transferencias a terceros países se amparan en las Cláusulas Contractuales Tipo (SCCs) adoptadas por la Comisión Europea o en la adecuación reconocida del país receptor.

El Encargado informará al Centro de cualquier cambio en los subencargados con antelación suficiente para que el Centro pueda oponerse si lo considera oportuno.

7. Notificación de violaciones de seguridad

En caso de que el Encargado tenga conocimiento de una violación de la seguridad de los datos personales, lo notificará al Centro sin dilación indebida y, a más tardar, en el plazo de 72 horas desde que tenga constancia de ella, facilitando al menos la siguiente información:

• Descripción de la naturaleza de la violación.
• Categorías y número aproximado de interesados y registros afectados.
• Medidas adoptadas o propuestas para remediar la violación y mitigar sus efectos.

La notificación se realizará al correo electrónico desde el que el Centro formalizó el presente acuerdo.

8. Ejercicio de derechos de los interesados

Las solicitudes de ejercicio de derechos (acceso, rectificación, supresión, limitación, portabilidad u oposición) que los interesados dirijan directamente al Encargado serán trasladadas al Centro en el plazo de cinco días hábiles, por ser éste el Responsable del tratamiento. El Centro deberá responder al interesado en los plazos previstos por la normativa.

Si el Centro lo solicita, el Encargado proporcionará la información técnica necesaria para ejecutar la respuesta (por ejemplo, exportación o eliminación de datos concretos).

9. Conservación y eliminación de datos

Los datos se conservan mientras la cuenta del Centro esté activa en la plataforma. Tras la baja del servicio, el Encargado eliminará todos los datos del Centro en un plazo máximo de 30 días naturales, salvo obligación legal de conservación.

El Centro puede solicitar en cualquier momento la eliminación anticipada de los datos o una exportación de los mismos mediante correo electrónico a carlos.barroso@fernando3martos.com.

10. Formalización del acuerdo

El presente acuerdo se formaliza mediante correo electrónico. El Centro debe enviar un mensaje a carlos.barroso@fernando3martos.com con el siguiente contenido:

El Encargado confirmará la recepción y aceptación por la misma vía. Ambos correos electrónicos constituyen el acuerdo vinculante a efectos del artículo 28 del RGPD.

11. Modificaciones del acuerdo

El Encargado podrá actualizar el presente acuerdo para reflejar cambios normativos o técnicos relevantes. Comunicará los cambios al Centro con un mínimo de 30 días de antelación por correo electrónico. Si el Centro no manifiesta oposición en ese plazo, se entenderá que acepta la nueva versión.

12. Ley aplicable y resolución de conflictos

Este acuerdo se rige por el Reglamento (UE) 2016/679, la Ley Orgánica 3/2018 (LOPDGDD) y demás normativa española y europea aplicable en materia de protección de datos.

Para cualquier cuestión derivada de su interpretación o ejecución, las partes se someten a la supervisión de la Agencia Española de Protección de Datos (AEPD) y, en su caso, a los juzgados y tribunales competentes según la normativa vigente.