Acuerdo de Encargo de Tratamiento (DPA) — Instituciones

Versión 1.1 — Plantilla. Anexo al contrato de licencia de Socratista. (v1.1, 3-sept-2026: región de Supabase confirmada — Fráncfort; OpenAI ampliado a modelos de lenguaje de respaldo del asistente)

Conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la LOPDGDD.

Partes

• Responsable del tratamiento: [NOMBRE INSTITUCIÓN], CIF [], domicilio [] (la "Institución").
• Encargado del tratamiento: Heusch Ventures, S.L.U., CIF B44782001 ("Socratista"). Datos completos en el Aviso Legal.

1. Objeto

Socratista tratará por cuenta de la Institución los datos personales necesarios para prestar la plataforma Socratista a los alumnos, mentores, profesores y personal de la Institución en el marco de los programas contratados (el "Servicio").

2. Datos y personas afectadas

• Interesados: alumnos, mentores, profesores, directores académicos y personal autorizado de la Institución.
• Categorías de datos: identificación y contacto, datos académicos y de progreso, información de proyectos, grabaciones y transcripciones de sesiones (voz, imagen), mensajes, preguntas a la IA, datos técnicos.
• No se tratarán categorías especiales de datos de forma intencionada. La Institución instruirá a sus usuarios para no compartirlas.

3. Duración

La del contrato de licencia. A su finalización, Socratista devolverá los datos a la Institución en formato estructurado o los suprimirá según instrucción escrita, en un plazo de 30 días, salvo obligación legal de conservación (en cuyo caso se bloquearán).

4. Obligaciones de Socratista (encargado)

a) Tratar los datos únicamente según las instrucciones documentadas de la Institución, incluidas las de este DPA y la configuración que la Institución realice en la Plataforma. b) No utilizar los datos para fines propios, con la excepción prevista en la cláusula 7. c) Garantizar que el personal autorizado se compromete a la confidencialidad. d) Aplicar las medidas de seguridad del Anexo I. e) Asistir a la Institución en la atención de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación, portabilidad) en un plazo máximo de 10 días desde la recepción de la solicitud. f) Notificar a la Institución cualquier violación de seguridad sin dilación indebida y en un máximo de 48 horas desde que tenga constancia, con la información del art. 33.3 RGPD. g) Asistir a la Institución en evaluaciones de impacto y consultas previas cuando proceda. h) Poner a disposición de la Institución la información necesaria para demostrar el cumplimiento y permitir auditorías, con preaviso razonable de 15 días y máximo una vez al año salvo incidente. i) Llevar registro de las actividades de tratamiento efectuadas por cuenta de la Institución. j) No comunicar los datos a terceros salvo autorización, obligación legal o los subencargados de la cláusula 5.

5. Subencargados

La Institución autoriza de forma general a Socratista a recurrir a los subencargados listados en el Anexo II (infraestructura, autenticación, email, pagos, proveedores de IA y herramientas de sesión). Socratista informará a la Institución con 30 días de antelación de cualquier incorporación o sustitución; la Institución podrá oponerse por motivos justificados, en cuyo caso las partes negociarán de buena fe y, de no haber acuerdo, la Institución podrá resolver el Servicio afectado.

Socratista impondrá a los subencargados obligaciones equivalentes a las de este DPA y responderá ante la Institución del cumplimiento de estos.

6. Transferencias internacionales

Varios subencargados se encuentran en Estados Unidos. Las transferencias se amparan en la Decisión de Adecuación del Marco de Privacidad de Datos UE-EE. UU. (proveedores certificados) o en las Cláusulas Contractuales Tipo (Decisión 2021/914), con medidas complementarias (cifrado en tránsito y en reposo, minimización). Socratista facilitará copia de las garantías a petición.

7. Uso de datos anonimizados para mejora del Servicio

La Institución autoriza a Socratista a generar datos anonimizados y agregados (que no permitan identificar a la Institución ni a sus usuarios) a partir de los datos tratados, y a utilizarlos como responsable para mejorar la Plataforma, la Metodología Socratista y sus modelos de IA. Socratista no compartirá con terceros el contenido de los programas de la Institución de forma identificable ni utilizará datos identificables de sus usuarios para entrenamiento sin el consentimiento individual de estos, recabado conforme a la Política de IA y Grabaciones.

8. Obligaciones de la Institución (responsable)

a) Facilitar a Socratista los datos necesarios y garantizar que dispone de base legal para su tratamiento y para la grabación de sesiones. b) Informar a sus alumnos, mentores y personal del tratamiento (cláusula informativa) y recabar los consentimientos que correspondan; Socratista facilita los textos modelo. c) Impartir instrucciones documentadas y velar por su cumplimiento. d) Configurar adecuadamente los permisos de acceso de su personal en la Plataforma. e) Realizar, en su caso, la evaluación de impacto correspondiente.

9. Responsabilidad

Cada parte responderá de los daños derivados de sus propios incumplimientos del RGPD y de este DPA. Las limitaciones de responsabilidad del contrato de licencia aplican a este DPA salvo en lo relativo a sanciones administrativas derivadas del incumplimiento culpable de una parte.

10. Ley y jurisdicción

Legislación española. Juzgados y Tribunales de Madrid capital.

---

Anexo I — Medidas de seguridad

• Cifrado en tránsito (TLS 1.2+) y en reposo (AES-256) en base de datos, almacenamiento de grabaciones y copias de seguridad.
• Autenticación con contraseña robusta o proveedor de identidad; autenticación multifactor disponible para administradores.
• Control de acceso basado en roles (alumno, mentor/profesor, institución, admin) con principio de mínimo privilegio; segregación lógica de datos entre instituciones.
• Registro de accesos y acciones relevantes conservado 12 meses.
• Copias de seguridad diarias con retención de 30 días y pruebas de restauración periódicas.
• Minimización de datos enviados a proveedores de IA; contratos que prohíben a los proveedores el entrenamiento con dichos datos; sin retención en el proveedor más allá de lo operativo.
• Gestión de vulnerabilidades y actualizaciones; revisión de dependencias.
• Procedimiento de gestión de incidentes y notificación de brechas.
• Formación y compromiso de confidencialidad del personal.
• Supresión segura al fin del plazo de conservación.

Anexo II — Subencargados autorizados

---

Firmado por duplicado en [lugar], a [fecha].

Por la Institución — Nombre, cargo, firma Por Heusch Ventures, S.L.U. — Nombre, cargo, firma