Encargo del tratamiento

Partes

Responsable del tratamiento: la academia o el preparador que contrata Oporama (en adelante, la academia), con los datos que figuran en su cuenta.

Encargado del tratamiento: MyAppDesk, que presta Oporama (datos completos al final de esta página). Contacto: oporama@myappdesk.dev.

La academia acepta este contrato al crear su academia o activar un plan en Oporama. Forma parte de los Términos y condiciones.

Objeto

MyAppDesk trata datos personales por cuenta de la academia solo para prestarle la plataforma: gestión de alumnos y profesores, tareas, tests, simulacros, materiales, avisos por correo y, si la contrata, su web en marca blanca.

Datos y personas afectadas

• Personas: alumnos, profesores y personal de la academia.
• Datos: identificativos y de contacto (nombre, correo), datos de la cuenta, resultados y actividad de estudio, mensajes y tareas, y los que la academia incluya en sus materiales.
• No se tratan categorías especiales de datos (art. 9 RGPD). La academia se compromete a no subirlos.

Duración

Mientras la academia use Oporama. Al terminar, MyAppDesk borrará los datos en un plazo de 30 días o, si la academia lo pide antes, se los devolverá en un formato de uso común. Solo conservará lo que exija la ley, bloqueado.

Obligaciones de MyAppDesk

• Tratar los datos solo siguiendo las instrucciones documentadas de la academia (este contrato y la configuración que elige en su panel).
• Garantizar que quien accede a los datos se ha comprometido a guardar confidencialidad.
• Aplicar medidas de seguridad adecuadas (art. 32 RGPD): cifrado en tránsito y en reposo, control de acceso por roles con políticas de fila (RLS), copias de seguridad, registros de acceso y mínimo privilegio.
• Ayudar a la academia a atender los derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad) y trasladarle cualquier solicitud que reciba.
• Notificar a la academia, sin dilación y en un máximo de 48 horas desde que tenga constancia, cualquier violación de seguridad que afecte a sus datos, con la información disponible.
• Ayudar en las evaluaciones de impacto y consultas previas cuando proceda.
• Poner a disposición de la academia la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con preaviso.

Obligaciones de la academia

• Tener una base legal para tratar los datos de sus alumnos e informarles (por ejemplo, con la política de privacidad que Oporama genera en marca blanca).
• Mantener actualizados sus datos legales en el panel y gestionar quién tiene acceso a su academia.

Subencargados

La academia autoriza a MyAppDesk a recurrir a estos subencargados, con quienes tiene firmados contratos con las mismas obligaciones:

• Supabase Inc.: Base de datos y autenticación de cuentas. Servidores en la UE.
• Vercel Inc.: Alojamiento y entrega de la web (registros técnicos del servidor). Red global; cláusulas contractuales tipo y Marco de Privacidad de Datos UE-EE. UU.
• Resend (Plus Five Five, Inc.): Envío de correos de la cuenta (confirmación, acceso) y, si te suscribes, avisos y boletín. EE. UU.; cláusulas contractuales tipo y Marco de Privacidad de Datos UE-EE. UU.
• Stripe Payments Europe, Ltd.: Cobro de las suscripciones de pago (tarjeta, facturas, impuestos). Oporama no ve ni guarda el número de tarjeta. UE (Irlanda), con tratamiento en EE. UU.; cláusulas contractuales tipo y Marco de Privacidad de Datos UE-EE. UU.
• OpenAI, L.L.C. (API): Explicaciones con IA de las preguntas y, para academias, borradores de preguntas a partir de sus materiales. Se envía el texto de la pregunta o del material, no tu nombre ni tu correo. Por contrato, la API no usa esos datos para entrenar modelos. EE. UU.; cláusulas contractuales tipo y Marco de Privacidad de Datos UE-EE. UU.

Si añadimos o cambiamos un subencargado, avisaremos a la academia por correo con 15 días de antelación. Podrá oponerse y, si no hay solución, cancelar sin coste.

Transferencias internacionales

La base de datos está en la UE. Algunos subencargados (Vercel, Resend, Stripe, OpenAI) pueden tratar datos en EE. UU. Esas transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación de 10 de julio de 2023) para las empresas adheridas y, en todo caso, en las cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914).

Responsabilidad y ley aplicable

Cada parte responde de sus incumplimientos según el art. 82 RGPD. Si MyAppDesk trata los datos para fines propios o en contra de las instrucciones, será considerado responsable de ese tratamiento. Se aplica la legislación española y la normativa de protección de datos de la UE.