¿Por qué tiene que aceptar esto? Cuando usted registra a sus alumnos en Odojos, la ley considera que el responsable de esos datos es usted y que nosotros somos un simple encargado que los trata por cuenta suya. El artículo 28 del RGPD exige que esa relación conste por escrito. Este documento es ese contrato: le protege a usted, nos obliga a nosotros y es lo que deberá poder enseñar si alguna vez le inspeccionan.
Son parte de este acuerdo, como RESPONSABLE DEL TRATAMIENTO, el Cliente titular de la cuenta Odojos, con los datos identificativos que consten en su registro; y como ENCARGADO DEL TRATAMIENTO, María Isabel Chunga Goite, NIF 61978490E, domicilio en Plaza San Miguel 11, 4.º, 50001, Zaragoza (España), que presta el servicio bajo la marca Odojo's (en adelante, ODOJOS).
El objeto de este acuerdo es regular el tratamiento por parte de ODOJOS de los datos personales que el Responsable introduzca o genere en el Servicio, en los términos del artículo 28 del Reglamento (UE) 2016/679. Este acuerdo forma parte inseparable de los Términos y Condiciones y tiene la misma duración que ellos.
| Objeto | Alojamiento y procesamiento de los datos necesarios para la gestión administrativa de escuelas de artes marciales |
|---|---|
| Duración | La del contrato de suscripción, más el periodo de 30 días de exportación posterior |
| Naturaleza y finalidad | Recogida, registro, estructuración, conservación, consulta, modificación, extracción y supresión de datos, con la única finalidad de prestar al Responsable el Servicio contratado |
| Categorías de interesados | Alumnos de la escuela, incluidos menores de edad; padres, madres o tutores legales; instructores y personal de la escuela; contactos de emergencia; y usuarios delegados creados por el Responsable |
| Tipos de datos | Datos identificativos (nombre y apellidos, documento de identidad, fecha de nacimiento, fotografía); datos de contacto (dirección, teléfono, correo electrónico); datos del tutor legal en el caso de menores; datos deportivos (grado, historial de evaluaciones y ascensos, asistencias, competiciones, currículum deportivo); y datos económicos y de facturación (cuotas, cargos, pagos, deudas). |
| Categorías especiales | El Servicio no está diseñado para tratar datos de salud. Si el Responsable decide introducirlos en campos de texto libre, lo hará bajo su exclusiva responsabilidad y deberá contar con una base legal del artículo 9 del RGPD |
ODOJOS se obliga a:
Tratar los datos únicamente siguiendo las instrucciones documentadas del Responsable. Se consideran instrucciones documentadas la utilización normal de las funcionalidades del Servicio, lo previsto en este acuerdo y las indicaciones adicionales que el Responsable comunique por escrito. ODOJOS no utilizará los datos para fines propios, ni los cederá, venderá o cruzará con los de otros clientes, ni los empleará para entrenar modelos ni con fines publicitarios.
Advertir al Responsable, de forma inmediata, si considera que alguna de sus instrucciones infringe la normativa de protección de datos, absteniéndose de ejecutarla hasta que la cuestión se aclare.
Garantizar la confidencialidad de toda persona autorizada a tratar los datos, mediante compromiso expreso de confidencialidad de carácter indefinido, y limitar el acceso al personal que lo necesite para prestar el Servicio o el soporte solicitado.
Aplicar las medidas técnicas y organizativas del artículo 32 del RGPD descritas en el Anexo de este acuerdo, y mantenerlas actualizadas conforme evolucione el estado de la técnica.
Asistir al Responsable en la atención de las solicitudes de ejercicio de derechos de los interesados, poniendo a su disposición las funciones de consulta, rectificación, exportación y supresión de la aplicación. Si un interesado se dirige directamente a ODOJOS, se le indicará que debe hacerlo ante su escuela y se comunicará al Responsable en un plazo máximo de 5 días hábiles.
Asistir al Responsable en el cumplimiento de sus obligaciones de seguridad, notificación de brechas, evaluación de impacto y consulta previa (artículos 32 a 36 del RGPD), teniendo en cuenta la naturaleza del tratamiento y la información de la que dispone.
Notificar sin dilación indebida y, en todo caso, dentro de las 48 horas siguientes a tener conocimiento de ellas, las violaciones de seguridad de los datos personales, con la información de que disponga sobre su naturaleza, las categorías y el número aproximado de interesados y registros afectados, las consecuencias probables y las medidas adoptadas. La notificación a la autoridad de control y, en su caso, a los interesados corresponde al Responsable.
Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del Responsable o de un auditor por él autorizado, con un preaviso razonable de 30 días, una periodicidad máxima anual salvo incidente de seguridad, en horario laboral y sin comprometer la seguridad ni la confidencialidad de otros clientes.
Suprimir o devolver los datos al finalizar la prestación, conforme a la cláusula 6.
El Responsable autoriza de forma general a ODOJOS a recurrir a los siguientes subencargados, con los que ODOJOS ha suscrito un contrato que les impone las mismas obligaciones que las previstas en este acuerdo:
| Subencargado | Servicio prestado | Ubicación |
|---|---|---|
| OVH Hispano S.L. (NIF B83834747, Madrid, España) | Alojamiento de la aplicación y de la base de datos | Alemania (Limburgo), Unión Europea |
| OVH Hispano S.L. (NIF B83834747, Madrid, España) | Envío de los correos del sistema (servicio MX Plan) | Unión Europea |
ODOJOS comunicará al Responsable, por correo electrónico y con 30 días naturales de antelación, cualquier incorporación o sustitución de subencargados. El Responsable podrá oponerse por motivos razonables relacionados con la protección de datos dentro de ese plazo; si la objeción no puede resolverse, cualquiera de las partes podrá resolver el contrato sin penalización, con derecho del Responsable a exportar previamente su información.
ODOJOS responde plenamente ante el Responsable del cumplimiento por parte de sus subencargados.
Los datos objeto de este acuerdo se alojan y tratan íntegramente dentro de la Unión Europea. ODOJOS no realizará transferencias internacionales de los datos del Responsable sin su autorización previa, salvo obligación legal, en cuyo caso lo informará previamente si el Derecho aplicable lo permite. Cualquier transferencia futura se amparará en una decisión de adecuación o en las Cláusulas Contractuales Tipo de la Comisión Europea.
Al finalizar el contrato, el Responsable dispone de 30 días naturales de acceso en modo solo lectura para exportar la totalidad de la información en un formato estructurado y de uso común. Transcurrido ese plazo, ODOJOS suprimirá los datos de los sistemas de producción. En las copias de seguridad los datos desaparecen conforme se completa el ciclo de rotación, en un plazo máximo de doce meses; durante ese periodo las copias permanecen cifradas y no se utilizan para ninguna otra finalidad. ODOJOS certificará la supresión por escrito si el Responsable lo solicita.
Se exceptúan los datos que ODOJOS deba conservar por obligación legal, que quedarán bloqueados a disposición exclusiva de jueces, tribunales y administraciones competentes durante los plazos de prescripción.
El Responsable, es decir, usted, se obliga a:
Disponer de una base jurídica válida para el tratamiento de los datos que introduzca, y haber informado previamente a los interesados conforme al artículo 13 del RGPD.
Recabar el consentimiento de los progenitores o tutores legales cuando trate datos de menores de 14 años, conforme al artículo 7 de la LOPDGDD, y conservar la prueba de dicho consentimiento. ODOJOS no verifica la edad de los alumnos ni recaba ese consentimiento.
Obtener el consentimiento específico necesario para el uso de fotografías e imágenes de alumnos, especialmente si son menores.
Mantener su propio registro de actividades de tratamiento y cumplir el resto de obligaciones que le corresponden como responsable.
No introducir en el Servicio datos innecesarios para la finalidad perseguida, en aplicación del principio de minimización.
Gestionar de forma diligente los permisos de sus usuarios delegados, revocando el acceso de quienes dejen de necesitarlo.
Cada parte responderá de los daños que cause por el incumplimiento de las obligaciones que este acuerdo y el RGPD le atribuyen específicamente. La limitación de responsabilidad de los Términos y Condiciones no será de aplicación cuando la normativa de protección de datos disponga otra cosa.
Cifrado en tránsito de todas las comunicaciones mediante TLS.
Cifrado en reposo del documento de identidad (DNI, NIE o equivalente) mediante AES-256-GCM con vector de inicialización aleatorio. La clave se custodia fuera de la base de datos y fuera de las copias de seguridad, de modo que el documento no es legible ni para quien obtenga una copia de la base.
Control de acceso individual por usuario, con contraseñas almacenadas mediante funciones de hash y un sistema de roles y permisos que el Responsable administra.
Segregación lógica de los datos de cada cliente, de modo que ninguna cuenta pueda acceder a la información de otra.
Copias de seguridad cifradas y automáticas diarias, conservadas hasta 60 días, más una copia mensual de archivo durante un máximo de doce meses. Su restauración se prueba periódicamente.
Registro de accesos y de operaciones relevantes, conservado durante 90 días.
Alojamiento en centros de datos situados en la Unión Europea con certificaciones de seguridad reconocidas.
Actualización periódica del software y de sus dependencias, y aplicación de parches de seguridad.
Compromiso de confidencialidad firmado por toda persona con acceso a los datos.
Procedimiento interno de gestión de violaciones de seguridad, con plazos de detección, evaluación y notificación.
Documento generado desde WEB-INF/legal/v2 — no editar esta página a mano.