Acuerdo de encargo de tratamiento (art. 28 RGPD)

Versión 1. Última actualización: 31 de octubre de 2026.

Cómo se acepta

Este acuerdo se acepta de una de estas formas:

• Aceptación online: el profesor lo acepta al crear su cuenta o al aceptar una nueva versión. Puede hacerlo en nombre de su centro educativo o en el suyo propio, si es profesor particular o academia.
• Firma por un centro: un centro también puede firmarlo directamente con evaluate.ink. En ese caso, la versión firmada prevalece sobre las aceptaciones online de sus profesores.

Partes

• Responsable del tratamiento (el "Responsable"):

  • el centro educativo en cuyo nombre actúa el profesor que acepta este acuerdo; o
  • el propio profesor o su academia, si usa el servicio por cuenta propia.

  En los dos casos, también el profesor que acepta, que declara tener facultades para ello.

• Encargado del tratamiento (el "Encargado"): Carlos San Juan González, NIF ES73117065L, Calle Lorenzana 13, 2º A, 28039 Madrid, España, email [email protected], que presta el servicio evaluate.ink.

1. Objeto

• Qué cubre: el Encargado tratará datos personales por cuenta del Responsable para prestarle el servicio evaluate.ink, que consiste en corregir exámenes con ayuda de IA y ofrecer un portal del alumno, según los Términos de uso.
• Detalle del tratamiento: el anexo I describe el tratamiento.
• Duración: el acuerdo dura lo mismo que el uso del servicio.

2. Obligaciones del Encargado

El Encargado se compromete a:

1. Instrucciones: tratar los datos solo según las instrucciones documentadas del Responsable. Son instrucciones este acuerdo, los Términos y lo que el profesor haga en la app (subir, corregir, publicar, borrar). Si una instrucción le parece contraria al RGPD, avisará al Responsable.
2. Uso propio: no usar los datos para fines propios. En particular, no los usará para entrenar modelos de IA y no los venderá ni cederá.
3. Confidencialidad: garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad.
4. Seguridad: aplicar las medidas de seguridad del art. 32 RGPD, que se describen en el anexo II.
5. Subencargados: respetar las condiciones del apartado 3.
6. Ejercicio de derechos: ayudar al Responsable a atender las solicitudes de ejercicio de derechos de los interesados.
   • Autoservicio: la app permite consultar, rectificar, exportar y borrar los datos.
   • Solicitudes recibidas por el Encargado: si un interesado se dirige directamente al Encargado, este se la trasladará al Responsable sin demora y no la contestará por su cuenta salvo que así se le indique.
7. Ayuda con otras obligaciones: ayudar al Responsable a cumplir los arts. 32 a 36 RGPD (seguridad, brechas, evaluaciones de impacto y consulta previa), facilitándole la información de que disponga.
8. Brechas de seguridad: notificar al Responsable, sin dilación indebida y como máximo en 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos. La notificación incluirá la información del art. 33.3 RGPD de que disponga.
9. Fin del servicio: al terminar el servicio, suprimir los datos. Antes, el Responsable puede exportarlos desde la app. Además:
   • Plazo máximo de conservación: con independencia de las instrucciones de borrado, los datos se suprimen automáticamente 5 años después del último uso de la cuenta del profesor.
   • Copias de seguridad: los datos borrados que queden en copias de seguridad se eliminan en un máximo de 7 días.
   • Excepción: se conservan datos solo si la ley obliga a ello.
10. Información y auditorías: poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este acuerdo y permitir auditorías razonables. Las auditorías se avisarán con 30 días de antelación, se harán como máximo una al año salvo que haya una brecha, y su coste lo asumirá el Responsable.

3. Subencargados

• Autorización general: el Responsable autoriza al Encargado a recurrir a los subencargados del anexo III.
• Cambios en la lista:
  • Aviso previo: el Encargado avisará al Responsable de cualquier alta o cambio de subencargado con al menos 30 días de antelación, por email o en la app.
  • Oposición: el Responsable podrá oponerse dentro de ese plazo. Si se opone y no hay alternativa, podrá exportar sus datos y terminar el servicio.
• Obligaciones de los subencargados: el Encargado impondrá a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este acuerdo.
• Transferencias internacionales: si un subencargado trata datos fuera del EEE, se aplicarán las garantías del capítulo V RGPD.

4. Obligaciones del Responsable

El Responsable:

1. Base legal: garantiza que tiene una base legal para el tratamiento. En los centros educativos, normalmente es la función educativa y evaluadora (art. 6.1.c y e RGPD y D.A. 23ª de la LOE).
2. Información a los interesados: se compromete a informar a los alumnos y, cuando proceda, a sus familias.
3. Datos necesarios: se compromete a subir solo los datos necesarios para la evaluación.
4. Revisión de las correcciones: se compromete a revisar cada corrección propuesta por la IA antes de aprobarla.
5. Autorización del profesor: si el profesor acepta en nombre de un centro, declara estar autorizado para ello. Si no lo está, responde él personalmente frente al centro y frente al Encargado.

5. Responsabilidad

Cada parte responde de sus propios incumplimientos según el art. 82 RGPD. En todo lo demás, se aplica el límite de responsabilidad de los Términos de uso.

6. Ley aplicable

Este acuerdo se rige por la ley española, el RGPD y la LOPDGDD.

Anexo I. Descripción del tratamiento

Anexo II. Medidas de seguridad

• Cifrado en tránsito: todas las conexiones van por HTTPS/TLS, también con los subencargados.
• Ubicación de los datos: la base de datos y los ficheros se alojan en Railway, en la Unión Europea (Países Bajos). Google Cloud cifra en reposo los datos que trata.
• Acceso de usuarios: sin contraseñas, con un código de un solo uso enviado por email. El código caduca a los 10 minutos, se bloquea a los 5 intentos y está limitado por hora. Solo se guarda su hash.
• Aislamiento:
  • cada profesor solo accede a sus propios exámenes y alumnos;
  • cada alumno solo ve sus propios exámenes, y únicamente después de que su profesor los apruebe.
• Ficheros: las imágenes de los exámenes solo se sirven con enlaces firmados que caducan.
• Acceso interno: solo el titular tiene acceso de administración. Lo usa para dar soporte y resolver incidencias.
• Minimización:
  • no se guarda el contenido de las peticiones a la IA, solo datos de consumo;
  • los registros (logs) no contienen datos de alumnos;
  • el proveedor de IA no usa los datos para entrenar.
• Copias de seguridad: si se usan, se guardan en la misma región y se conservan como máximo 7 días.
• Gestión de brechas: existe un procedimiento interno para detectar las brechas, evaluarlas, notificarlas al Responsable en un máximo de 48 horas y documentarlas.

Anexo III. Subencargados autorizados

Términos de uso · Política de privacidad · Aviso legal