1. Parts i formalització
D’una part, l’entitat que determina les finalitats i els mitjans del tractament de les dades educatives, identificada a l’annex I, com a responsable del tractament. Si el centre no té personalitat jurídica pròpia, s’hi ha d’identificar l’administració o entitat competent i qui la representa.
De l’altra, Albert Gamundi Gilabert, titular de Planifycat, amb contacte a agamund2@xtec.cat, com a encarregat del tractament per a les operacions descrites en aquest acord.
Aquest model s’ha de completar amb els annexos i formalitzar per escrit, també en format electrònic, per persones amb capacitat suficient. Consultar-lo o crear un compte docent no constitueix per si sol la signatura o acceptació en nom d’un centre.
2. Objecte, naturalesa i durada
L’encàrrec té per objecte prestar les funcions de Planifycat que el responsable autoritzi: organització docent, horaris, grups, assistència, seguiment i avaluació, informes, recursos i activitats Play. Les operacions poden incloure recollida, registre, organització, consulta, emmagatzematge, modificació, comunicació autoritzada, exportació i supressió.
Pot afectar dades identificatives de docents i alumnes, pertinença a grups, dades d’assistència, avaluacions, continguts educatius, respostes i resultats de Play i dades tècniques necessàries. Les categories efectivament autoritzades s’han de delimitar a l’annex I. No s’autoritza de manera genèrica la introducció de dades especialment protegides.
La durada és la de la prestació acordada, fins a completar les instruccions de devolució o eliminació i sens perjudici de les obligacions de confidencialitat que subsisteixin.
3. Instruccions, confidencialitat i seguretat
L’encarregat ha de tractar les dades únicament segons les instruccions documentades del responsable, incloses les relatives a transferències internacionals, i no les pot utilitzar per a finalitats pròpies alienes a l’encàrrec. Si considera que una instrucció infringeix la normativa de protecció de dades, ho ha de comunicar immediatament al responsable.
Les persones autoritzades han d’estar subjectes al deure de confidencialitat i accedir només a les dades necessàries per a les seves funcions. Les consultes de suport s’han de limitar a les incidències que les requereixin, amb les autoritzacions exigibles i les condicions específiques dels serveis connectats.
S’han d’aplicar mesures tècniques i organitzatives adequades al risc, mantenir-les i verificar-ne l’eficàcia: control d’accessos, permisos, gestió de credencials, protecció de comunicacions, continuïtat, còpies i recuperació segons l’annex II. Aquest annex ha de descriure mesures realment implantades, no certificacions o garanties inexistents.
4. Assistència, incidències i drets
L’encarregat ha d’assistir el responsable, segons la naturalesa del tractament i la informació disponible, en l’atenció dels drets de les persones, les avaluacions d’impacte, les consultes prèvies i les obligacions de seguretat aplicables.
Si rep directament una petició referida a dades del responsable, l’hi ha de comunicar sense dilació indeguda i col·laborar en la seva resposta, sense decidir per compte propi l’eliminació de dades del centre. El termini concret de trasllat s’ha d’establir a l’annex II perquè permeti complir els terminis legals.
Les violacions de seguretat de dades personals s’han de comunicar al responsable sense dilació indeguda després de tenir-ne coneixement, amb la informació disponible sobre naturalesa, persones i dades afectades, conseqüències i mesures adoptades o previstes. La informació es pot completar progressivament.
5. Subencarregats i transferències
La subcontractació requereix l’autorització prèvia i escrita del responsable, específica o general segons l’annex III. En cas d’autorització general, s’ha d’informar dels canvis previstos i donar l’oportunitat d’oposar-s’hi abans d’incorporar un nou subencarregat.
Les obligacions de protecció de dades s’han de traslladar al subencarregat mitjançant un instrument vinculant. L’encarregat continua responent davant del responsable pel compliment de les obligacions del subencarregat en els termes de la normativa.
L’annex III ha d’identificar les entitats contractants reals dels proveïdors —inclosos Vercel i Supabase quan intervinguin en l’encàrrec—, les funcions, ubicacions, accessos i garanties de transferència aplicables. Els serveis de Google o altres integracions s’han de classificar segons la relació contractual efectiva; no es presumeix que tots els recursos enllaçats siguin subencarregats autoritzats.
6. Informació i auditories
L’encarregat ha de posar a disposició del responsable la informació necessària per demostrar el compliment de l’acord i permetre i contribuir a les auditories i inspeccions del responsable o d’un auditor autoritzat. La coordinació ha de protegir la confidencialitat i les dades d’altres usuaris, sense impedir els drets d’auditoria que reconeix la normativa.
El responsable ha de determinar la licitud del tractament, informar les persones afectades, impartir les instruccions i comprovar que els mòduls, les dades i els usos autoritzats s’ajusten a les seves obligacions.
7. Devolució o eliminació
Quan finalitzi la prestació, l’encarregat ha de retornar o suprimir les dades, a elecció documentada del responsable, i suprimir-ne les còpies, excepte la conservació exigida per una norma aplicable. La baixa d’un docent no implica la finalització de l’encàrrec de tot el centre.
L’annex IV ha de fixar format i procediment de devolució, terminis de supressió dels sistemes actius i còpies, tractament de les dades bloquejades per obligacions legals i forma de confirmar l’execució. La supressió ordinària de dades personals d’un compte en 30 dies no substitueix aquestes instruccions del responsable.
8. Annexos per formalitzar l’acord
- Annex I. Parts i abast: entitat responsable, representació, contacte i delegat de protecció de dades si escau; identificació de l’encarregat; mòduls, dades, persones afectades, instruccions i durada.
- Annex II. Mesures i comunicacions: controls implantats, accés de suport, gestió d’incidències, peticions de drets, còpies, recuperació i interlocutors.
- Annex III. Proveïdors: autoritzacions, entitats, funcions, ubicacions, garanties de transferència i procediment i antelació d’avís de canvis.
- Annex IV. Finalització: decisió de devolució o supressió, procediments i terminis reals, incloses les còpies de seguretat.
La formalització ha d’identificar la versió, els annexos incorporats, la data i les signatures o evidències equivalents d’acceptació de les dues parts. Per iniciar-la, contacta amb agamund2@xtec.cat. No enviïs dades d’alumnes en el primer correu de consulta.
Referència: article 28 del Reglament general de protecció de dades.