Contrato de encargo de tratamiento de datos
Versión 2026-11 · 12 de noviembre de 2026 · Artículo 28 del Reglamento (UE) 2016/679 (RGPD) y Ley Orgánica 3/2018 (LOPDGDD)
Responsable del tratamiento: la escuela que contrata Tacet, representada por la persona de dirección que acepta este contrato.
Encargado del tratamiento: [pendiente: nombre y apellidos o razón social], NIF [pendiente: NIF], [pendiente: domicilio], hola.tacet@gmail.com.
Este contrato forma parte de las condiciones del servicio. La escuela lo acepta electrónicamente desde Tacet y queda registrado quién lo aceptó, cuándo y qué versión.
1. Objeto, duración y finalidad
El encargado trata datos personales por cuenta de la escuela con la única finalidad de prestarle el servicio Tacet: guardarlos, mostrarlos a las personas autorizadas, generar recibos, remesas, listados y documentos, y enviar avisos. El encargo dura lo mismo que la suscripción.
2. Datos y personas afectadas
| Personas | Alumnado (incluidos menores de edad), familiares y tutores, profesorado y personal, músicos de la banda, socios y personas de contacto de la escuela. |
|---|---|
| Datos | Identificativos y de contacto; fecha de nacimiento; datos de matrícula, asignaturas, horarios, asistencia y calificaciones; datos bancarios para la domiciliación (IBAN y orden SEPA); recibos y pagos; registro de jornada del profesorado; préstamos de material; instrumento y participación en la banda; consentimientos; imágenes y textos que la escuela publique; documentos que la escuela suba. |
| Operaciones | Recogida, registro, conservación, consulta, modificación, comunicación a las personas autorizadas por la escuela, descarga y supresión. |
Tacet no está pensado para guardar categorías especiales de datos (por ejemplo, de salud). Si la escuela necesita hacerlo, lo hará bajo su responsabilidad y con las garantías que exige la ley.
3. Obligaciones del encargado
- Tratar los datos solo siguiendo las instrucciones de la escuela, que son las que da al usar Tacet y las que comunique por escrito. Si una instrucción le parece contraria a la ley, avisará a la escuela.
- No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados del punto 5 o cuando lo exija la ley.
- Garantizar que quien acceda a los datos por su parte se ha comprometido a guardar confidencialidad.
- Aplicar las medidas de seguridad del punto 4.
- Ayudar a la escuela a responder a las personas que ejerzan sus derechos (acceso, rectificación, supresión, oposición, limitación y portabilidad). Si una persona se dirige al encargado, le remitirá la solicitud a la escuela sin demora.
- Notificar a la escuela cualquier brecha de seguridad que afecte a sus datos sin dilación indebida y, como máximo, en 48 horas desde que la conozca, con la información disponible para que la escuela pueda valorarla y, si procede, comunicarla a la autoridad de control.
- Ayudar a la escuela, cuando haga falta, en las evaluaciones de impacto y las consultas previas.
- Poner a disposición de la escuela la información necesaria para demostrar que cumple este contrato y permitir auditorías razonables, avisadas con antelación.
- Llevar el registro de actividades de tratamiento que realiza por cuenta de las escuelas.
4. Medidas de seguridad
- Conexión cifrada (HTTPS) obligatoria en toda la plataforma y datos cifrados en los servidores.
- Separación estricta entre escuelas: las reglas de la base de datos impiden que una escuela vea los datos de otra.
- Permisos por perfil: cada persona ve solo lo que necesita (por ejemplo, el profesorado no ve los cobros) y las descargas con datos personales están reservadas a la dirección.
- Contraseñas guardadas de forma irreversible (nunca en claro) y longitud mínima.
- Archivos en almacenes privados, accesibles solo con enlaces temporales para quien tiene permiso.
- Claves de administración guardadas solo en el servidor y nunca en el código.
- Registro de jornada protegido contra borrados y con historial de cambios que no se puede modificar.
- Copias de seguridad diarias de la base de datos en el proveedor de alojamiento.
- Revisiones periódicas con las herramientas de seguridad del proveedor y actualización del software.
5. Subencargados
La escuela autoriza al encargado a usar los siguientes proveedores, que tratan datos con contrato y obligaciones equivalentes a las de este contrato. El encargado avisará a la escuela con 30 días de antelación antes de añadir o cambiar alguno, y la escuela podrá oponerse y darse de baja sin coste.
| Proveedor | Servicio | Ubicación | Garantías |
|---|---|---|---|
| Supabase Inc. | Base de datos, cuentas de acceso y almacenamiento de archivos | Servidores en Frankfurt (Alemania, UE) | Contrato de encargo (DPA) y cláusulas contractuales tipo de la Comisión Europea |
| Vercel Inc. | Alojamiento y funcionamiento de la web | Servidores en Frankfurt (Alemania, UE) | Contrato de encargo (DPA), Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
| Servicios de notificaciones del navegador (Apple, Google, Mozilla) | Entrega de avisos al móvil, solo si la persona los activa | Según el navegador de cada persona | El contenido del aviso viaja cifrado de extremo a extremo: el servicio no puede leerlo |
6. Obligaciones de la escuela
- Tener una base legal para tratar los datos que introduce y haber informado a las personas afectadas (por ejemplo, en la hoja de matrícula).
- Recoger el consentimiento de padres, madres o tutores cuando haga falta, especialmente para menores de 14 años y para imágenes.
- Dar a cada persona solo el perfil que necesita y retirar el acceso a quien deje la escuela.
- Pedir solo los datos necesarios y conservarlos el tiempo que exija su finalidad o la ley.
7. Fin del encargo
Cuando termine la suscripción, la escuela dispone de 30 días para descargar sus datos. Pasado ese plazo, el encargado los suprimirá, incluidos los archivos, y las copias de seguridad se eliminarán en su ciclo ordinario, como máximo en 30 días más. Si la escuela lo pide por escrito, el encargado puede devolver los datos en formato Excel antes de borrarlos. Solo se conservarán, bloqueados, los datos que una ley obligue a guardar, durante el plazo legal.
8. Responsabilidad y ley aplicable
Cada parte responde de sus incumplimientos según el RGPD. Si el encargado usa los datos para fines propios o incumple este contrato, será considerado responsable de ese tratamiento. Este contrato se rige por la ley española y son competentes los juzgados y tribunales de València.