Contrato de encargo del tratamiento (art. 28 RGPD) — plantilla

RGPD art. 28 · LOPDGDD art. 33 · Plantilla 13-10-2026

Descargar plantilla (.docx) · Imprimir o guardar como PDF

Partes

Responsable del tratamiento (el Centro): {{CENTRO_NOMBRE}}, con NIF/CIF {{CENTRO_NIF}} y domicilio en {{CENTRO_DOMICILIO}}, representado por {{CENTRO_REPRESENTANTE}} ({{CARGO}}). Contacto de protección de datos: {{CENTRO_EMAIL_DPD}}.

Encargado del tratamiento (Simulath): Amparo Corredor, con NIF 22554493A y domicilio en Av. Rei en Jaume I, 3, Valencia (España), que actúa con el nombre comercial Simulath. Contacto: info@simulath.com.

1. Objeto

El Encargado presta al Centro el servicio de simuladores educativos Simulath (aulas virtuales, laboratorios como ElectraLab, tutor de IA y panel docente). Para ello trata datos personales por cuenta del Centro, solo en la medida necesaria para prestar el servicio.

2. Duración

Mientras esté vigente la licencia o el piloto del Centro. Al terminar se aplica la cláusula 11.

3. Naturaleza y finalidad

Registro de alumnos en aulas mediante código y seudónimo; registro del progreso y la actividad en los laboratorios; respuestas del tutor de IA; información agregada para el docente. Finalidad: apoyo a la enseñanza decidido por el Centro. Simulath no usa estos datos para fines propios, publicidad ni perfiles comerciales.

4. Datos y personas afectadas

Personas: alumnos (incluidos menores de edad) y docentes del Centro. Datos: seudónimo o alias del alumno, aula, laboratorios usados, progreso, intentos, fechas de actividad, identificador técnico de sesión; mensajes escritos al tutor de IA y contexto técnico de la simulación; email y aulas del docente. No se tratan categorías especiales de datos (art. 9 RGPD). El Centro indicará a sus alumnos que no introduzcan su nombre completo ni datos personales en el chat.

5. Obligaciones del Centro

Decidir la base jurídica del tratamiento e informar a alumnos y familias (arts. 13-14 RGPD); entregar al Encargado solo los datos necesarios; dar instrucciones documentadas; supervisar el tratamiento.

6. Obligaciones del Encargado

a) Tratar los datos solo según las instrucciones documentadas del Centro, también respecto a transferencias internacionales, e informar si una instrucción infringe la normativa. b) Garantizar la confidencialidad de las personas autorizadas. c) Aplicar las medidas de seguridad de la cláusula 7. d) Respetar las condiciones de subencargo (cláusula 8). e) Ayudar al Centro a atender los derechos de los interesados (cláusula 9). f) Ayudar al Centro con las obligaciones de los arts. 32 a 36 RGPD (seguridad, brechas, evaluaciones de impacto). g) Suprimir o devolver los datos al finalizar (cláusula 11). h) Poner a disposición del Centro la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con preaviso. i) Llevar el registro de actividades de tratamiento como encargado (art. 30.2 RGPD).

7. Medidas de seguridad

HTTPS/TLS en todas las comunicaciones; cabecera HSTS; cookies de sesión Secure y HttpOnly; acceso a los datos restringido a la titular; alumnos sin email ni contraseña (seudónimo); copias de seguridad {{PERIODICIDAD_COPIAS}}; registro de incidentes.

8. Subencargados

El Centro da autorización general para los subencargados siguientes. El Encargado informará al Centro con al menos 30 días de antelación de cualquier alta o sustitución, y el Centro podrá oponerse. El Encargado impondrá a cada subencargado obligaciones equivalentes a las de este contrato.

9. Derechos de los interesados

Si un alumno, familia o docente ejerce sus derechos ante el Encargado, este lo comunicará al Centro en un plazo máximo de 10 días hábiles y le ayudará a responder (por ejemplo, exportando o borrando los datos de un aula o de un seudónimo).

10. Brechas de seguridad

El Encargado notificará al Centro, sin dilación indebida y como máximo en 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos, con la información del art. 33.3 RGPD disponible en ese momento.

11. Fin del encargo

A elección del Centro, el Encargado devolverá los datos (exportación CSV) o los suprimirá en un plazo máximo de 30 días desde el fin del servicio, salvo obligación legal de conservación, y lo certificará por escrito si el Centro lo pide.

12. Transferencias internacionales

Algunos subencargados están en EE. UU. Las transferencias se basan en el Marco de Privacidad de Datos UE-EE. UU. (si el proveedor está certificado) o en Cláusulas Contractuales Tipo (art. 46 RGPD).

13. Inteligencia artificial

El tutor de IA informa siempre de que es una IA, no califica ni decide sobre los alumnos, y la decisión pedagógica corresponde al docente. Los mensajes al tutor se envían a OpenAI para generar la respuesta.

14. Legislación y firma

Este contrato se rige por el RGPD y la legislación española. En caso de contradicción con otros acuerdos entre las partes, prevalece este contrato en materia de protección de datos.

Anexo I — Subencargados autorizados

Firmas

Por el Centro: ____________________ Fecha: __________

Por el Encargado: Amparo Corredor ____________________ Fecha: __________