Versión 1.0 — Plantilla. Anexo al contrato de licencia de Socratista.
Conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la LOPDGDD.
Socratista tratará por cuenta de la Institución los datos personales necesarios para prestar la plataforma Socratista a los alumnos, mentores, profesores y personal de la Institución en el marco de los programas contratados (el "Servicio").
La del contrato de licencia. A su finalización, Socratista devolverá los datos a la Institución en formato estructurado o los suprimirá según instrucción escrita, en un plazo de 30 días, salvo obligación legal de conservación (en cuyo caso se bloquearán).
a) Tratar los datos únicamente según las instrucciones documentadas de la Institución, incluidas las de este DPA y la configuración que la Institución realice en la Plataforma. b) No utilizar los datos para fines propios, con la excepción prevista en la cláusula 7. c) Garantizar que el personal autorizado se compromete a la confidencialidad. d) Aplicar las medidas de seguridad del Anexo I. e) Asistir a la Institución en la atención de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación, portabilidad) en un plazo máximo de 10 días desde la recepción de la solicitud. f) Notificar a la Institución cualquier violación de seguridad sin dilación indebida y en un máximo de 48 horas desde que tenga constancia, con la información del art. 33.3 RGPD. g) Asistir a la Institución en evaluaciones de impacto y consultas previas cuando proceda. h) Poner a disposición de la Institución la información necesaria para demostrar el cumplimiento y permitir auditorías, con preaviso razonable de 15 días y máximo una vez al año salvo incidente. i) Llevar registro de las actividades de tratamiento efectuadas por cuenta de la Institución. j) No comunicar los datos a terceros salvo autorización, obligación legal o los subencargados de la cláusula 5.
La Institución autoriza de forma general a Socratista a recurrir a los subencargados listados en el Anexo II (infraestructura, autenticación, email, pagos, proveedores de IA y herramientas de sesión). Socratista informará a la Institución con 30 días de antelación de cualquier incorporación o sustitución; la Institución podrá oponerse por motivos justificados, en cuyo caso las partes negociarán de buena fe y, de no haber acuerdo, la Institución podrá resolver el Servicio afectado.
Socratista impondrá a los subencargados obligaciones equivalentes a las de este DPA y responderá ante la Institución del cumplimiento de estos.
Varios subencargados se encuentran en Estados Unidos. Las transferencias se amparan en la Decisión de Adecuación del Marco de Privacidad de Datos UE-EE. UU. (proveedores certificados) o en las Cláusulas Contractuales Tipo (Decisión 2021/914), con medidas complementarias (cifrado en tránsito y en reposo, minimización). Socratista facilitará copia de las garantías a petición.
La Institución autoriza a Socratista a generar datos anonimizados y agregados (que no permitan identificar a la Institución ni a sus usuarios) a partir de los datos tratados, y a utilizarlos como responsable para mejorar la Plataforma, la Metodología Socratista y sus modelos de IA. Socratista no compartirá con terceros el contenido de los programas de la Institución de forma identificable ni utilizará datos identificables de sus usuarios para entrenamiento sin el consentimiento individual de estos, recabado conforme a la Política de IA y Grabaciones.
a) Facilitar a Socratista los datos necesarios y garantizar que dispone de base legal para su tratamiento y para la grabación de sesiones. b) Informar a sus alumnos, mentores y personal del tratamiento (cláusula informativa) y recabar los consentimientos que correspondan; Socratista facilita los textos modelo. c) Impartir instrucciones documentadas y velar por su cumplimiento. d) Configurar adecuadamente los permisos de acceso de su personal en la Plataforma. e) Realizar, en su caso, la evaluación de impacto correspondiente.
Cada parte responderá de los daños derivados de sus propios incumplimientos del RGPD y de este DPA. Las limitaciones de responsabilidad del contrato de licencia aplican a este DPA salvo en lo relativo a sanciones administrativas derivadas del incumplimiento culpable de una parte.
Legislación española. Juzgados y Tribunales de Madrid capital.
| Subencargado | Servicio | País | Garantía |
|---|---|---|---|
| Supabase Inc. | Base de datos y autenticación | [UE / EE. UU. — confirmar región] | CCT |
| Vercel Inc. | Alojamiento | EE. UU. | DPF / CCT |
| Resend | Email transaccional | EE. UU. | CCT |
| Stripe Payments Europe Ltd. / Stripe Inc. | Pagos | Irlanda / EE. UU. | DPF |
| Anthropic PBC | Modelos de lenguaje (API) | EE. UU. | DPF / CCT |
| Google Ireland Ltd. / Google LLC | Gemini, Firebase, Drive, Analytics, Meet | Irlanda / EE. UU. | DPF |
| OpenAI OpCo LLC / OpenAI Ireland | Transcripción | EE. UU. / Irlanda | DPF / CCT |
| ElevenLabs Inc. | Transcripción y síntesis de voz | EE. UU. | CCT |
| Zoom Video Communications | Videoconferencia y grabación | EE. UU. | DPF |
| Granola | Transcripción de reuniones | EE. UU. | CCT |
| Calendly LLC | Agenda de sesiones | EE. UU. | DPF |
Firmado por duplicado en [lugar], a [fecha].
Por la Institución — Nombre, cargo, firma Por Heusch Ventures, S.L.U. — Nombre, cargo, firma