PROTECCIÓN DE DATOS (RGPD) ALUMNO INTERNATIONAL BILINGUAL HS DIPLOMA
TANGRAM LEARNING SYSTEMS, S.L. (CIF: B-92.936251) es el encargado del tratamiento de los datos personales del
interesado y le informa que estos datos serán tratados de conformidad con lo dispuesto en el Reglamento (UE) 2016/679 de 27
de abril de 2016 (GDPR) y la Ley Orgánica 3/2018 de 5 de diciembre (LOPDGDD), por lo que se le facilita la siguiente
información del tratamiento:
El RESPONSABLE del tratamiento de los datos es el COLEGIO.
El RESPONSABLE es Responsable del tratamiento de datos personales conforme al Reglamento (UE) 2016/679 del
Parlamento Europeo (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).
El RESPONSABLE ha contratado los servicios de TANGRAM LEARNING SYSTEMS, S.L. (en adelante, el ENCARGADO) para
la promoción, comercialización y prestación del programa International Bilingual High School Diploma (en adelante, el
"Programa" o "HS Diploma"), un servicio educativo online que permite a los alumnos de Secundaria y Bachillerato obtener un
diploma de bachillerato americano.
Para correcta ejecución de los servicios asociados al Programa (tramitación de matrículas ante AWS, soporte académico,
pruebas de nivel de inglés, evaluaciones psicotécnicas, mentoría y gestión administrativa), al ENCARGADO le resulta
estrictamente necesario el acceso y tratamiento de determinados datos personales responsabilidad del RESPONSABLE.
En cumplimiento del artículo 28 del RGPD, el ENCARGADO ofrece las garantías suficientes para implementar medidas
apropiadas que garanticen la protección de los derechos de los interesados.
INSTRUCCIONES PARA EL TRATAMIENTO DE DATOS
1. OBJETO DEL ENCARGO DEL TRATAMIENTO: El tratamiento consistirá en la gestión administrativa, técnica y académica
del Programa International Bilingual High School Diploma. Esto incluye la tramitación de inscripciones ante AWS, la realización
de pruebas de diagnóstico lingüístico y psicotécnico, el seguimiento del desempeño del alumnado mediante asesoría
académica (counseling) y el soporte técnico/operativo al centro y a las familias.
Operaciones de tratamiento autorizadas:
– [x] Recogida
– [x] Conservación
– [x] Consulta
– [x] Comunicación por transmisión (dentro de la infraestructura autorizada)
– [x] Estructuración
– [ ] Extracción masiva
– [ ] Interconexión con terceros no autorizados
– [x] Limitación (cuando proceda)
– [ ] Difusión pública
– [x] Destrucción (al finalizar el servicio)
– [ ] Cesión a terceros no autorizados
– [x] Supresión (a petición del interesado)
– [ ] Modificación directa por el ENCARGADO
– [x] Otros: gestión de derechos de examen ante entidades de certificación de idiomas (ej. Cambridge), alojamiento de datos en
la plataforma de AWS, envío de reportes de progreso académico agregados al Colegio.
2. IDENTIFICACIÓN DE LA INFORMACIÓN AFECTADA. Para la ejecución de las prestaciones derivadas del cumplimiento del
programa, el RESPONSABLE pone a disposición del ENCARGADO los datos del alumnado matriculado, contando siempre con
el consentimiento expreso previo de sus padres o tutores legales.
EXCLUSIÓN EXPRESA de categorías especiales:
– ❌ Datos de salud o médicos (salvo que el centro los introduzca expresamente y bajo su responsabilidad)
– ❌ Datos biométricos
– ❌ Datos sobre orientación sexual, religión, ideología política
– ❌ Cualquier otra categoría especial de datos según art. 9 RGPD no estrictamente necesaria para la prestación del servicio
2. IDENTIFICACIÓN DE LA INFORMACIÓN AFECTADA. Para la ejecución de las prestaciones derivadas del cumplimiento del
programa, el RESPONSABLE pone a disposición del ENCARGADO los datos del alumnado matriculado, contando siempre con
el consentimiento expreso previo de sus padres o tutores legales.
EXCLUSIÓN EXPRESA de categorías especiales:
– ❌ Datos de salud o médicos (salvo que el centro los introduzca expresamente y bajo su responsabilidad)
– ❌ Datos biométricos
– ❌ Datos sobre orientación sexual, religión, ideología política
– ❌ Cualquier otra categoría especial de datos según art. 9 RGPD no estrictamente necesaria para la prestación del servicio
4. OBLIGACIONES DEL ENCARGADO DEL TRATAMIENTO. El ENCARGADO del tratamiento y todo su personal se obliga a:
4.1. Uso Limitado de Datos. Utilizar los datos personales única y exclusivamente para las finalidades del Programa
(matriculación, soporte, orientación académica, reporting cualitativo). No se utilizarán bajo ningún concepto para fines
comerciales propios, prospección de mercado ni elaboración de perfiles de comportamiento no autorizados.
4.2. Tratamiento Conforme a Instrucciones: Tratar los datos únicamente según las instrucciones documentadas del
RESPONSABLE. Si el ENCARGADO considera que alguna instrucción infringe el RGPD, informará inmediatamente al
RESPONSABLE antes de ejecutarla.
4.3. Prohibición de Comunicación a Terceros: No se comunicarán los datos a terceras personas, salvo:
– Autorización expresa y por escrito del RESPONSABLE
– Los subencargados autorizados en la cláusula 4.4 para el correcto funcionamiento del Bachillerato Dual
– Requerimiento legal (notificando previamente al RESPONSABLE si legalmente es posible)
4.4. Subcontratación (Subencargados). Subencargados Autorizados: El RESPONSABLE autoriza expresamente la
subcontratación de las entidades imprescindibles para impartir y certificar el Programa:
Subencargado |
|---|
American World School (AWS) Entidad Certificadora Externa (ej. Cambridge) |
Servicio prestado |
|---|
Impartición de cursos, alojamiento en plataforma digital educativa y emisión de Diplomas oficiales. Gestión de derechos de examen y emisión de certificaciones oficiales de nivel de inglés (B2/C1). |
Ubicación |
|---|
Estados Unidos / Infraestructura global. UE (servidores en Europa) |
Garantías |
|---|
Adhesión a Cláusulas Contractuales Tipo (SCC) de la UE vigentes, encriptación de datos, auditorías de acreditación WASC. Cumplimiento del RGPD, contratos de prestación de servicios normalizados y confidencialidad estricta. |
4.5. Deber de Secreto y Confidencialidad. Se asegura secreto profesional absoluto respecto a los datos personales tratados, obligación que persistirá indefinidamente tras la extinción del contrato. El personal con acceso a los datos firmará un compromiso explícito de confidencialidad.
4.6. Ejercicio de Derechos de los Interesados. Cuando un interesado ejerza ante el ENCARGADO cualquiera de sus derechos (acceso, rectificación, supresión, limitación, portabilidad, oposición), el ENCARGADO no responderá directamente. El ENCARGADO emitirá la solicitud al RESPONSABLE en un plazo de 24 horas y colaborará diligentemente aportando la información necesaria para que el centro responda en los plazos legales.
4.7. Auditorías e Inspecciones. El ENCARGADO se compromete a poner a disposición del RESPONSABLE la documentación necesaria para demostrar el cumplimiento de sus obligaciones de protección de datos, respondiendo a requerimientos razonables en un plazo máximo de 15 días hábiles. El RESPONSABLE podrá solicitar una auditoría de cumplimiento si tiene motivos fundados para considerar que existe un incumplimiento. Como alternativa a auditorías presenciales, el ENCARGADO podrá proporcionar certificaciones vigentes (ISO 27001, SOC 2), informes de auditorías externas, documentación de medidas de seguridad y declaración de cumplimiento firmada por el DPD.
El coste de auditorías presenciales extraordinarias será asumido por el RESPONSABLE, salvo que se detecten incumplimientos graves imputables al ENCARGADO.
4.9. Medidas de Seguridad Técnicas y Organizativas. El ENCARGADO garantiza la implementación de medidas de seguridad adecuadas para proteger los datos personales, en cumplimiento del artículo 32 del RGPD:
Medidas Técnicas:
- Cifrado: Datos cifrados en tránsito (HTTPS/TLS) y en reposo (AES-256)
- Control de acceso: Autenticación segura con contraseñas robustas y acceso limitado según necesidad
- Protección de infraestructura: Firewall, protección contra intrusiones y actualizaciones de seguridad regulares
- Trazabilidad: Registro de accesos y operaciones sobre datos personales
Medidas Organizativas:
- Personal: Acuerdos de confidencialidad firmados y formación en protección de datos
- Gestión de incidencias: Procedimiento documentado de respuesta ante brechas de seguridad
- Entornos separados: Prohibición de uso de datos reales en desarrollo/pruebas sin autorización expresa
- Continuidad: Plan de recuperación ante desastres con tiempo de recuperación objetivo de 24 horas
- OBLIGACIONES DEL RESPONSABLE DE TRATAMIENTO. El RESPONSABLE se compromete formalmente a:
- Proporcionar los datos de matriculación del alumnado de forma completa, verídica y estructurada.
- Obtener el consentimiento expreso, inequívoco y previo de los padres, madres o tutores legales para la cesión de los datos personales (incluyendo la transferencia internacional implícita a AWS en EE. UU.) para la correcta gestión del Bachillerato Dual.
- Informar debidamente a los interesados sobre las finalidades del tratamiento, destinatarios y la vía para el ejercicio de sus derechos de protección de datos (Art. 13 y 14 RGPD).
- Designar un coordinador/a en el centro educativo que sirva como punto de contacto para el Programa.
- TRANSFERENCIAS INTERNACIONALES DE DATOS. Las partes reconocen expresamente que la propia naturaleza del programa (U.S. High School Diploma expedido por American World School) requiere necesariamente la transferencia de datos a los Estados Unidos de América e India.
- LIMITACIONES AL ACCESO DEL ENCARGADO. El ENCARGADO solo podrá acceder a los datos personales cuando sea estrictamente necesario para prestación del servicio, resolución de incidencias técnicas, copias de seguridad, cumplimiento de obligaciones legales o atención de solicitudes del RESPONSABLE. Prohibiciones expresas: Acceder por curiosidad, descargar sin autorización, compartir con compañeros no autorizados, o utilizar para pruebas sin anonimización previa autorizada. Todos los accesos quedan registrados en logs con identificación del usuario, fecha, hora y motivo.
- RESPONSABILIDAD. El ENCARGADO se compromete a cumplir con todas las obligaciones de protección de datos establecidas en el RGPD. Conforme al artículo 82 del RGPD, el ENCARGADO responderá por daños causados por incumplimiento de sus obligaciones de protección de datos (incluidas posibles sanciones de la AEPD), siempre que sean consecuencia de negligencia o incumplimiento imputable al ENCARGADO.
- DESTINO DE LOS DATOS AL FINALIZAR EL ENCARGO. Al finalizar la prestación del servicio, independientemente de la causa de terminación del contrato, el ENCARGADO, a elección del RESPONSABLE, procederá a:
- Destruir de forma segura e irreversible todos los listados, registros y documentación física o digital que contenga datos de carácter personal de los alumnos del centro.
- Devolver los datos al Colegio en un formato informático estándar y legible (ej. CSV o Excel) si este lo solicita expresamente antes del término del servicio.
- CONTACTO Y COMUNICACIONES EN MATERIA DE PROTECCIÓN DE DATOS. Todas las comunicaciones relacionadas con protección de datos entre RESPONSABLE y ENCARGADO deberán dirigirse a:
Por parte del ENCARGADO: Delegado de Protección de Datos: administracion@trebol-educacion.com
Se ha recibido financiación de Corporación Bética de Expansión Empresarial FCR, cofinanciado por la Unión Europea a través del Fondo Europeo de Desarrollo Regional, FEDER, para la realización del proyecto “Comercialización y desarrollo de Noobe y estrategia de digitalización del sector educativo” con el objetivo de promover el desarrollo tecnológico, la innovación y una investigación de calidad.
