Contrato de encargo de tratamiento

Contrato de encargado del tratamiento conforme al artículo 28.3 del RGPD, entre el centro o profesional que contrata FirstPass («el Responsable») y Hugo Sánchez García (Aetheria), NIF 54300297B, con domicilio en C/ Manoteras 30, Bloque A, N211, 28050 Madrid («el Encargado»). Se acepta al contratar un plan que permite dar de alta alumnos y forma parte integrante de las condiciones de contratación.

1. Objeto

El Encargado tratará por cuenta del Responsable los datos personales necesarios para prestar el servicio FirstPass: una plataforma de preparación de exámenes de Cambridge con ejercicios, seguimiento del progreso, deberes y corrección de textos con IA.

2. Duración

Este contrato dura lo mismo que la suscripción del Responsable. Al finalizar, se aplica la cláusula 8 (supresión de los datos).

3. Datos tratados y personas afectadas

• Interesados: alumnos del centro (incluidos menores de edad), profesores y personal del centro.
• Datos de alumnos: nombre, email, contraseña (cifrada), nivel, clase, actividad y resultados en la plataforma, textos de writing y sus correcciones, y la grabación de audio del examen de Speaking (Speaking) junto con su transcripción y corrección.
• Ficha del centro: teléfono de contacto de los padres/tutores y observaciones internas que el centro decida anotar.

Prohibición de categorías especiales: la plataforma no está diseñada para tratar datos de salud, ideología, religión, origen étnico ni ninguna otra categoría especial del artículo 9 RGPD. El Responsable se obliga a no introducir esos datos en ningún campo, incluidos los campos de texto libre (observaciones, notas).

Grabación de voz (Speaking): la plataforma graba la voz del alumno durante el examen de Speaking para transcribirla, evaluarla automáticamente y permitir que el profesorado y la dirección del centro puedan escucharla como parte del feedback educativo. Mientras no se utilice para identificar biométricamente al alumno —y hoy no se utiliza para eso—, no constituye una categoría especial de datos del artículo 9 RGPD. La grabación se conserva un máximo de 365 días (12 meses) desde que se graba, plazo detallado en la política de privacidad (punto 6); pasado ese plazo se elimina automáticamente.

4. Obligaciones del Encargado

• Tratar los datos únicamente para prestar el servicio y siguiendo las instrucciones documentadas del Responsable, sin usarlos para fines propios.
• Garantizar que las personas autorizadas a tratar datos se comprometen a la confidencialidad.
• Aplicar las medidas de seguridad del artículo 32 RGPD: cifrado en tránsito (HTTPS), contraseñas con hash, control de acceso por roles, aislamiento por centro y copias de seguridad.
• Notificar al Responsable, sin dilación indebida, las violaciones de seguridad de las que tenga conocimiento, con la información disponible.
• Asistir al Responsable en la respuesta al ejercicio de derechos de los interesados y, en lo posible, en sus obligaciones de los artículos 32 a 36 RGPD.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, previo aviso con 15 días.

5. Obligaciones y garantías del Responsable

• Contar con una base jurídica válida para el tratamiento de los datos de sus alumnos y personal, y haberles informado conforme a los artículos 13 y 14 RGPD.
• Menores de 14 años: el Responsable garantiza que, antes de invitar a la plataforma a un alumno menor de 14 años, ha obtenido la autorización de sus padres o tutores (artículo 7 LOPDGDD).
• No introducir datos de categorías especiales (cláusula 3).
• Mantener actualizados los datos y atender a sus alumnos como responsable.

6. Subencargados

El Responsable autoriza de forma general la contratación de los subencargados necesarios para prestar el servicio. Lista actual:

Los modelos de IA (Anthropic) se ejecutan en la infraestructura de AWS en la UE; el proveedor del modelo no recibe ni conserva los textos ni los usa para entrenar. El Encargado comunicará por email cualquier alta o sustitución de subencargados con 30 días de antelación; si el Responsable se opone de forma razonada, podrá resolver el contrato.

7. Transferencias internacionales

El servicio se aloja y los datos se almacenan en la UE. El único tratamiento fuera del EEE es el envío de emails mediante AWS SES en EE. UU., amparado en la decisión de adecuación del EU-U.S. Data Privacy Framework y, subsidiariamente, en cláusulas contractuales tipo.

8. Fin del servicio

Cuando el Responsable da de baja a un alumno, sus datos se eliminan de la plataforma. Al terminar la suscripción, el Encargado suprimirá todos los datos personales tratados por cuenta del Responsable en un plazo máximo de 30 días, salvo los que deba conservar por obligación legal. Antes de la supresión, el Responsable puede solicitar una exportación de los datos en soporte@firstpass.es.

La grabación de audio del Speaking es la excepción: al tratarse de un fichero aparte que se borra automáticamente por antigüedad (cláusula 3, máximo 365 días desde la grabación), su eliminación no depende de la baja del alumno ni del fin de la suscripción, y puede completarse en un momento distinto al del resto de sus datos.

9. Contacto

Para cualquier cuestión sobre este contrato o el tratamiento de datos: soporte@firstpass.es · 613 52 42 26.