1. Partes, objeto y duración
Este acuerdo regula el tratamiento por cuenta del estudio conforme al artículo 28 del RGPD. El Cliente identificado en los datos de registro es el Responsable del tratamiento; el Proveedor identificado arriba es el Encargado. El tratamiento comprende únicamente los datos necesarios para prestar Mesana siguiendo las instrucciones del Responsable, durante el contrato y su posterior devolución, supresión o conservación obligatoria. El Anexo I describe su objeto, operaciones y categorías.
El tratamiento para contratos, facturación, seguridad de la plataforma y defensa de derechos realizado por el Proveedor como responsable independiente se describe en la política de privacidad y permanece separado de los datos de alumnos.
2. Instrucciones documentadas
Las instrucciones comprenden este DPA, los ajustes y operaciones elegidos por el Responsable en la plataforma y las instrucciones escritas adicionales compatibles con el servicio. El Encargado trata los datos únicamente según estas instrucciones, salvo obligación legal, de la que informa al Responsable cuando esté permitido. Si considera que una instrucción infringe la normativa de protección de datos, lo comunica y puede suspender la operación afectada hasta aclararla.
3. Base jurídica y datos permitidos
El Responsable determina la base jurídica, facilita la información y conserva las autorizaciones necesarias. Está prohibido introducir datos sanitarios, otras categorías especiales del artículo 9 del RGPD y datos de condenas o infracciones del artículo 10, también en notas, descripciones y archivos adjuntos. El servicio no está diseñado para estos tratamientos. Corresponde al Responsable evaluar la necesidad de una evaluación de impacto.
4. Confidencialidad y acceso
El Encargado limita el acceso a las personas autorizadas que lo necesitan para prestar, mantener y proteger el servicio y las obliga a guardar confidencialidad. El acceso a los datos del estudio para asistencia o intervenciones técnicas debe limitarse a la finalidad necesaria. Los accesos administrativos al estudio quedan registrados. Se mantienen controles de aislamiento lógico entre organizaciones.
5. Seguridad
El Encargado adopta las medidas técnicas y organizativas descritas en el Anexo II, teniendo en cuenta la naturaleza del tratamiento y el riesgo. Asiste al Responsable en las obligaciones de los artículos 32–36 del RGPD dentro de la información disponible. Los cambios de medidas no deben reducir el nivel global de protección; las reducciones sustanciales se comunican con treinta días de preaviso y permiten al Responsable resolver sin cargos.
6. Comunicaciones a los alumnos
El Responsable decide las comunicaciones que se envían mediante las funciones disponibles, garantiza su base jurídica y cumple las reglas sobre comunicaciones electrónicas. No introduce contactos comprados o recogidos ilícitamente y gestiona oposiciones y retiradas. El Encargado proporciona el canal técnico; puede limitar volúmenes y destinatarios o suspender envíos ante indicios de abuso, informando al Responsable. La identidad del estudio en las comunicaciones depende de los datos configurados por el Responsable.
7. Derechos de los interesados y verificaciones
El Encargado facilita funciones de gestión y exportación y asiste al Responsable en solicitudes de acceso, rectificación, supresión, limitación y portabilidad. Si recibe directamente una solicitud sobre datos de alumnos, la transmite al Responsable sin decidir de forma autónoma sobre la relación entre estudio e interesado. Se mantiene la especial atención que requieren los datos de menores.
A petición, el Encargado facilita información para verificar el cumplimiento de este acuerdo. Si no es suficiente, el Responsable puede solicitar verificaciones con treinta días de preaviso, normalmente una vez al año como máximo, protegiendo la confidencialidad y los datos de otros clientes y asumiendo los costes. En caso de infracción acreditada imputable al Encargado, no se aplican estos límites de frecuencia, preaviso y costes.
8. Subencargados
El Responsable autoriza con carácter general el uso de los servicios del Anexo III dentro de las funciones utilizadas. Recurrir a subencargados exige obligaciones de protección de datos coherentes con este acuerdo; el Encargado sigue respondiendo frente al Responsable del cumplimiento de esas obligaciones. La lista describe servicios y finalidades; puede solicitarse información sobre los acuerdos aplicables al contacto formal.
Las incorporaciones o sustituciones se comunican con treinta días de preaviso. El Responsable puede oponerse en quince días por motivos razonables y documentados de protección de datos. Las partes buscan una alternativa; si no es posible, el Responsable puede resolver sin cargos y recibir el reembolso proporcional del periodo pagado no disfrutado. Las sustituciones urgentes por seguridad o cese del proveedor pueden realizarse sin preaviso, notificándose sin demora y permitiendo la oposición posterior.
9. Transferencias internacionales
La base de datos y el servidor de aplicación están configurados en Fráncfort. La ubicación europea no excluye el acceso remoto desde otros países ni el uso de redes globales y funciones opcionales con proveedores fuera del EEE. Cuando existen transferencias, se requieren las garantías aplicables de los artículos 45 o 46 del RGPD. El Encargado facilita a petición la información disponible sobre las garantías aplicadas e informa de solicitudes de autoridades extranjeras cuando la ley lo permita.
10. Devolución, supresión y conservación
El Responsable puede exportar sus datos en formato estructurado sin cargos por extracción, también en modo de solo lectura o suspensión. Al finalizar puede solicitar devolución o supresión mediante el contacto formal. La supresión sigue sus instrucciones, salvo conservación exigida por ley, con información sobre el resultado a petición. El vencimiento de la prueba o la suspensión no equivalen a supresión automática.
Las copias de seguridad siguen el ciclo de conservación del servicio de infraestructura utilizado; puede solicitarse información sobre el periodo aplicable al contacto formal. Los datos restantes en las copias deben limitarse a conservación y recuperación de seguridad y no reutilizarse para otras finalidades. Las necesidades de conservación legal se comunican al Responsable y el tratamiento se limita a la finalidad obligatoria.
11. Violaciones de datos personales
El Encargado informa al Responsable sin dilación indebida tras conocer una violación que afecte a los datos confiados, utilizando el contacto del titular del estudio. Facilita, en la medida disponible, la naturaleza del incidente, los datos y personas afectados, las posibles consecuencias, las medidas adoptadas o propuestas y un contacto para aclaraciones; completa la información mediante actualizaciones posteriores.
El Responsable sigue siendo responsable de las notificaciones a la autoridad de control y a los interesados cuando procedan. El Encargado colabora y no contacta a los interesados del estudio por el incidente salvo instrucción del Responsable u obligación legal.
12. Menores
Si el estudio ofrece cursos a menores, el Responsable garantiza la base jurídica, información comprensible y autorizaciones parentales o del tutor cuando sean necesarias. Registra los contactos del adulto de referencia y no los directos del menor. Las comunicaciones y el acceso a funciones para alumnos siguen los contactos y autorizaciones configurados por el estudio. Mesana no determina de forma autónoma la edad solo a partir de la ficha. El estudio comunica estas necesidades al contacto formal.
13. Finalidades y funciones opcionales
El Encargado no vende los datos de alumnos ni los utiliza para fines comerciales propios. El encargo no autoriza el uso de datos para entrenar, optimizar o evaluar modelos de inteligencia artificial propios o de terceros. Las estadísticas agregadas deben impedir razonablemente la identificación de personas o estudios concretos. Los datos se comunican a proveedores únicamente dentro de lo necesario para prestar el servicio y las funciones solicitadas por el Responsable.
La importación asistida por IA es opcional: cuando se utiliza, el contenido del archivo puede enviarse a Anthropic tras informar al estudio y obtener su confirmación explícita. El resultado debe verificarse antes de aplicarse. Una integración Shopify solo afecta al estudio que la conecta y a los datos necesarios de sus pedidos. Estas funciones no se activan por visitar el sitio.
14. Responsabilidades de las partes
Cada parte responde del tratamiento conforme al artículo 82 del RGPD. El Responsable responde de la base jurídica, información, datos y contactos introducidos, comunicaciones e instrucciones ilícitas mantenidas pese a un aviso. El Encargado responde del tratamiento contrario a las instrucciones y sus propias obligaciones. El Responsable mantiene indemne al Encargado por las consecuencias de las infracciones anteriores que le sean imputables; el Encargado mantiene indemne al Responsable por las consecuencias del tratamiento contrario a las instrucciones o a este acuerdo. Ninguna cláusula perjudica los derechos de los interesados ni excluye responsabilidades imperativas.
15. Cambios y disposiciones finales
Los cambios del DPA por adaptación normativa o evolución del servicio se comunican con treinta días de preaviso, con derecho a resolver sin cargos conforme a las Condiciones. Se aplican la ley prevista en las Condiciones y las normas imperativas. La ineficacia de una cláusula no afecta a las demás. El Responsable puede solicitar una copia del acuerdo con sus datos identificativos y la fecha de aceptación.
Anexo I — Descripción del tratamiento
Objeto y finalidad: prestar al estudio la gestión de fichas, inscripciones y bonos, calendario, reservas, asistencia, ventas y pagos, comunicaciones y resúmenes económicos. Operaciones: recogida, registro, organización, conservación, consulta, uso, transmisión, limitación, exportación y supresión. Duración: relación de servicio y posterior gestión de los datos descrita en el artículo 10.
Interesados: alumnos adultos y menores cuando existan en los cursos, adultos de referencia, personas que reservan, docentes y colaboradores del estudio. Datos: identificación y contacto, inscripciones y créditos, reservas y asistencia, fechas, importes y estado de pagos, datos técnicos de acceso y notas lícitas. No se autoriza ninguna categoría especial ni dato penal. Los datos de menores se rigen por el artículo 12.
Anexo II — Medidas técnicas y organizativas
Credenciales y acceso: contraseñas de titulares y personal almacenadas mediante hash bcrypt; sesiones con cookies HttpOnly; autorizaciones por función y controles de pertenencia a la organización en las operaciones sobre datos. Los clientes de los estudios tienen un acceso distinto al del personal. El tráfico público utiliza HTTPS.
Aislamiento y trazabilidad: acceso a datos vinculado a la organización; comprobación de referencias entre entidades del mismo estudio; operaciones económicas sensibles en transacciones; acceso administrativo al estudio registrado en el registro de auditoría. La exportación permite al titular obtener los datos de su propio estudio. La supresión requiere un proceso controlado y no coincide con el mero vencimiento de la suscripción.
Desarrollo y continuidad: cambios sometidos a controles automáticos y revisión; pruebas de aislamiento y atomicidad en PostgreSQL sintético para las funciones pertinentes. La base de datos y la aplicación están configuradas en Fráncfort. Puede solicitarse información sobre el alcance de conservación y recuperación aplicable al contacto formal.
Anexo III — Servicios técnicos y funciones opcionales
Neon: base de datos PostgreSQL de los datos de la aplicación, región configurada Fráncfort. Render: aplicación y procesos periódicos, región configurada Fráncfort. Vercel: distribución del sitio y la interfaz mediante una red global; trata las solicitudes del navegador. Brevo: envío de correos transaccionales cuando está habilitado; recibe los datos necesarios del mensaje y destinatario.
Anthropic: solo para importaciones asistidas por IA solicitadas y confirmadas expresamente por el estudio; puede recibir el contenido del archivo, incluidos los datos personales presentes. El servicio puede implicar tratamiento en Estados Unidos. Shopify: solo para la integración conectada por el estudio, con los datos necesarios para los pedidos y su gestión. El estudio puede operar sin estas funciones opcionales.
Stripe es independiente: para la cuota trata los datos necesarios de pago y facturación conforme a sus condiciones; para los cobros del estudio, la relación de pago es entre el estudio y Stripe. El Responsable puede solicitar la documentación aplicable sobre acuerdos y garantías de transferencia al contacto formal antes de activar una función que implique transferencias adicionales.