Artículo 28 RGPD · www.sociescuela.es
Publicamos aquí, con carácter informativo y de transparencia, la versión vigente del contrato de encargo del tratamiento que Sociescuela (encargada) suscribe con los centros educativos y Administraciones (responsables) que utilizan la plataforma — para que pueda revisarse, también por el Delegado de Protección de Datos del centro, antes de registrarse.
La aceptación se formaliza desde la propia plataforma (con registro de fecha, versión del texto y firmante), conforme al art. 28.9 RGPD. Versión vigente: v1.0.1-2026-09.
• Responsable del tratamiento: el centro educativo identificado en el registro de la cuenta (denominación, código oficial de centro y correo institucional verificado), o la Administración educativa titular cuando el servicio se preste al amparo de un contrato o convenio con ella.
• Encargado del tratamiento: SOCIESCUELA INFORMÁTICA, S.L., CIF B86430709, con domicilio en Avda. de la Coruña, 13 - 1.º - 4, 28702 San Sebastián de los Reyes (Madrid), prestador de la plataforma Sociescuela (sociescuela.es), con Delegado de Protección de Datos comunicado a la AEPD (contacto: dpd_govertis@sociescuela.es).
La aceptación electrónica de este contrato por la cuenta principal del centro, con registro de fecha, hora, dirección IP y versión del texto, constituye el contrato exigido por el art. 28.3 RGPD en la forma electrónica prevista por el art. 28.9 RGPD.
Ambas partes se reconocen capacidad legal suficiente para la firma del presente contrato y,
EXPONEN
I. Que el RESPONSABLE DEL TRATAMIENTO es un centro educativo / administración educativa que realiza evaluaciones socioeducativas a su alumnado para la detección de situaciones de acoso escolar y el seguimiento del bienestar emocional.
II. Que el ENCARGADO DEL TRATAMIENTO es titular de la plataforma Sociescuela (www.sociescuela.es), que proporciona servicios de evaluación sociométrica y screening emocional en el ámbito educativo.
III. Que para la prestación de dichos servicios, el ENCARGADO DEL TRATAMIENTO accederá a datos personales de los que es responsable el RESPONSABLE DEL TRATAMIENTO.
IV. Que, en cumplimiento de lo establecido en el artículo 28 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (RGPD), las partes suscriben el presente contrato de encargo de tratamiento, con arreglo a las siguientes CLÁUSULAS:
El objeto del presente contrato es regular el acceso y tratamiento de datos personales por parte del ENCARGADO DEL TRATAMIENTO, en el marco de la prestación de los siguientes servicios:
a) Test de convivencia escolar (evaluación sociométrica y detección de acoso)
b) Screening de bienestar emocional
c) Generación de informes y estadísticas para el centro educativo
d) Almacenamiento seguro de los datos en la plataforma
Quedan comprendidas las funciones auxiliares necesarias para dichos servicios (gestión de cuentas, canal de autorizaciones familiares y soporte).
El presente contrato tiene la duración vinculada a la prestación de los servicios contratados. A su terminación se aplica el destino final de los datos previsto en la cláusula 6.g del presente contrato.
Recogida, registro, estructuración, conservación, consulta, elaboración de resultados agregados e individuales, limitación (bloqueo) y supresión. Finalidad única: la descrita en la cláusula 2. El Encargado no utiliza los datos para fines propios, no los cede a terceros y no elabora perfiles ajenos al servicio. Los datos anonimizados de forma irreversible (sin posibilidad de reidentificación) quedan fuera del ámbito del RGPD; y solo en esa forma se utilizan con fines estadísticos o de investigación.
| Interesados | Datos tratados |
|---|---|
| Alumnado (menores) | Identificativos (nombre y apellidos — cifrados en base de datos —, sexo, edad, curso/grupo, necesidades educativas); respuestas a cuestionarios sociométricos y de convivencia (incluidas indicaciones sobre posibles situaciones de acoso); respuestas al screening de bienestar y salud mental — categoría especial, art. 9 RGPD (salud) |
| Familias / tutores legales | Datos de contacto (correo electrónico, cifrado y enmascarado en pantalla) para el canal de autorizaciones familiares; evidencia de la autorización o denegación |
| Personal del centro | Datos de cuenta (nombre, correo profesional, rol) de la cuenta principal y subcuentas |
El Responsable garantiza que dispone de base jurídica para el tratamiento (en el caso del screening, la que corresponda conforme al art. 9.2 RGPD) y que cumple su deber de información a familias y personal.
a) Instrucciones documentadas y limitación de finalidad. Tratar los datos únicamente conforme a este contrato y a las instrucciones documentadas del Responsable, que se materializan en el uso de las funciones de la plataforma por los usuarios autorizados del centro. El Encargado en ningún caso podrá utilizar los datos para fines propios.
El tratamiento se realiza íntegramente dentro del Espacio Económico Europeo (producción en España, en infraestructura certificada ENS categoría ALTA; copias de seguridad y correo transaccional en la UE). No se realizan transferencias internacionales de datos a países fuera del EEE, salvo que concurran las garantías previstas en el Capítulo V del RGPD, en cuyo caso se informará al Responsable (criterio del DPD, 02-09-2026: el tratamiento dentro del EEE no constituye transferencia internacional).
b) Confidencialidad y no comunicación. Las personas autorizadas para tratar datos bajo la autoridad del Encargado están sujetas a deber de confidencialidad documentado y reciben la formación necesaria. El acceso a datos se limita al principio de mínimo privilegio.
Asimismo, el Encargado no comunicará datos a terceras personas, salvo que cuente con la autorización expresa del Responsable del tratamiento o en los supuestos legalmente previstos. El Encargado puede comunicar los datos a otros encargados del tratamiento del mismo Responsable, de acuerdo con las instrucciones de este.
c) Medidas de seguridad (art. 32 RGPD). El Encargado aplica las medidas técnicas y organizativas del Anexo II, entre ellas: cifrado de identificativos en base de datos, autenticación reforzada (MFA) para los perfiles con acceso a datos sensibles, control de acceso por roles, registro de accesos a datos sensibles, copias de seguridad cifradas con prueba de restauración, y evaluación de impacto (EIPD) vigente con riesgo residual aceptable. El estado del proceso de adecuación al Esquema Nacional de Seguridad (RD 311/2022) y los compromisos asumidos al respecto se regulan en la cláusula 10.
d) Subencargados. El Responsable otorga autorización general para los subencargados del Anexo III. El Encargado informará con al menos 30 días naturales de antelación de cualquier adición o sustitución, dando al Responsable la posibilidad de oponerse; impondrá a todo subencargado, por contrato, las mismas obligaciones de protección de datos de este contrato, y responderá ante el Responsable del cumplimiento del subencargado.
e) Asistencia en derechos. El Encargado asistirá al Responsable, mediante las funciones de la plataforma y su canal de soporte, para atender las solicitudes de ejercicio de derechos (acceso, rectificación, supresión, limitación, portabilidad y oposición). Las solicitudes que los interesados dirijan directamente al Encargado se comunicarán al Responsable sin darles respuesta salvo instrucción del Responsable. La comunicación debe hacerse de forma inmediata y en ningún caso más allá del día laborable siguiente al de la recepción de la solicitud, junto con cualquier información que pueda ser relevante para resolver la solicitud (redacción del DPD, 02-09-2026).
f) Asistencia en seguridad, brechas y evaluaciones (arts. 32–36). El Encargado notificará al Responsable, sin dilación indebida y en un plazo máximo de 24 horas desde que tenga constancia, toda violación de la seguridad de los datos, con la información del art. 33.3 RGPD disponible, y cooperará en la notificación a la autoridad de control y, en su caso, a los interesados; cuando el Responsable lo solicite, el Encargado podrá asumir la gestión material de la notificación ante la AEPD por cuenta de aquel.
Asimismo, si el Encargado considera que alguna de las instrucciones emitidas por el Responsable infringe el RGPD o cualquier otra disposición en materia de protección de datos, informará inmediatamente al Responsable. Asistirá igualmente al Responsable en sus evaluaciones de impacto y consultas previas en lo relativo a la plataforma, poniendo a su disposición la documentación del kit RGPD (cláusula 8).
g) Destino final de los datos. Conforme al criterio del DPD y a la política de conservación publicada: los datos de alumnado se mantienen activos durante el curso en curso y el inmediatamente anterior; al salir de esa ventana se suprimen de la aplicación y quedan únicamente bloqueados (art. 32.2 LOPDGDD) durante 3 años en soporte cifrado fuera de línea, a disposición exclusiva de jueces y tribunales, Ministerio Fiscal y Administraciones Públicas competentes (en particular la AEPD), con destrucción certificada al vencer el plazo. A la terminación de la cuenta se aplica el mismo régimen. El Responsable puede solicitar la supresión anticipada de grupos o alumnos concretos a través de la plataforma, con evidencia de la operación.
h) Registro de actividades de tratamiento. El Encargado lleva por escrito un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del Responsable, con el contenido exigido por el artículo 30.2 del RGPD, que mantiene a disposición del Responsable y de la autoridad de control.
i) Información y auditorías. El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato (kit RGPD, EIPD, certificaciones cuando existan) y permitirá y contribuirá a las auditorías o inspecciones que el Responsable realice, preferentemente mediante cuestionarios y documentación estandarizada (kit RGPD); las inspecciones adicionales requerirán preaviso razonable y se realizarán de modo que no comprometan la seguridad ni los datos de otros responsables.
1. Determinar los fines y garantizar la licitud del tratamiento, incluida la base del art. 9.2 RGPD para los datos de salud del screening.
2. Cumplir el deber de información a familias y personal conforme al artículo 13 RGPD, y recabar las autorizaciones familiares cuando procedan (la plataforma facilita el canal y la evidencia).
3. Garantizar la exactitud de los datos que incorpora (art. 5.1.d), incluida la veracidad del código de centro y del correo institucional declarados en el registro.
4. Gestionar sus cuentas con diligencia: una cuenta por persona, sin credenciales compartidas, retirando el acceso al personal que cause baja.
5. Atender los derechos de los interesados y las comunicaciones de la autoridad de control que le correspondan como responsable.
6. Proporcionar al Encargado los datos e información necesarios para la prestación del servicio.
El Encargado mantiene a disposición del Responsable, desde la propia plataforma, un conjunto documental de apoyo ("kit RGPD"): descripción del tratamiento (para su registro de actividades), resumen de las medidas de seguridad, información sobre subencargados y conservación, y material de apoyo para su propia evaluación de impacto cuando la requiera.
El Encargado del tratamiento responderá de los daños y perjuicios que pudiera causar en caso de incumplimiento de las obligaciones asumidas en el presente contrato o de las instrucciones del Responsable del tratamiento. Cada parte será responsable de las infracciones en que hubiera incurrido personalmente, conforme a los arts. 82 a 84 RGPD y la LOPDGDD. El Encargado que utilice los datos para fines propios o incumpla este contrato determinando fines y medios será considerado responsable del tratamiento respecto de ese uso.
a) Marco aplicable. El artículo 2.3 del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (en adelante, ENS), extiende su ámbito de aplicación a los sistemas de información de las entidades del sector privado que, en virtud de una relación contractual, presten servicios o provean soluciones a entidades del sector público. El Encargado reconoce que la plataforma Sociescuela queda comprendida en dicho ámbito cuando el Responsable sea una entidad del sector público, y asume las obligaciones que de ello se derivan.
b) Estado actual (declaración veraz). El Encargado se encuentra en proceso formal de adecuación al ENS, iniciado en mayo de 2026 con una entidad especializada, con el objetivo de obtener la Certificación de Conformidad de categoría ALTA. El Encargado declara expresamente que, a la fecha de aceptación de este contrato, no dispone aún de Declaración ni de Certificación de Conformidad con el ENS, y que la presente cláusula no constituye ni sustituye a ninguna de ellas.
c) Infraestructura de alojamiento. La plataforma se aloja en infraestructura del proveedor Arsys, que cuenta con Certificación de Conformidad con el ENS en categoría ALTA (certificado AENOR ENS-2018/0021, vigente hasta el 17 de marzo de 2028), de la que el Encargado hereda las medidas de seguridad de instalaciones y servicios de infraestructura. La certificación de la infraestructura de alojamiento no supone la certificación del servicio prestado por el Encargado, que se rige por lo dispuesto en la letra b) anterior.
d) Compromiso. El Encargado se compromete a someter la plataforma a la auditoría de certificación prevista en los artículos 31 y 38 del RD 311/2022, realizada por entidad de certificación acreditada e independiente de la que ha prestado los servicios de adecuación, con fecha objetivo diciembre de 2026, y a mantener posteriormente la conformidad mediante las auditorías ordinarias con periodicidad al menos bienal que exige el artículo 31.1.
e) Información al Responsable. El Encargado comunicará al Responsable, sin dilación indebida: la obtención de la Certificación de Conformidad, facilitándole copia y el detalle de su alcance y categoría; cualquier modificación relevante de la misma (renovación, cambio de categoría o de alcance); y su eventual suspensión, retirada o pérdida de vigencia. Cuando el Responsable deba acreditar ante terceros la conformidad de los sistemas en que se sustenta el servicio —en particular en los pliegos a que se refiere el artículo 2.3 del RD 311/2022—, el Encargado le facilitará la documentación de que disponga en cada momento.
f) Naturaleza de este compromiso. Las obligaciones de esta cláusula constituyen un compromiso de medios en cuanto al resultado de la certificación, cuya emisión corresponde a un tercero independiente. Esta cláusula no podrá invocarse ni presentarse ante terceros como acreditación de conformidad con el ENS mientras no se haya obtenido la Certificación. Lo anterior se entiende sin perjuicio de las medidas técnicas y organizativas efectivamente implantadas, que se detallan en el Anexo II y son exigibles desde la aceptación de este contrato con independencia del estado del proceso de certificación.
Resumen operativo: cláusulas 2, 4 y 5 (objeto, naturaleza/finalidad, datos e interesados); conservación según cláusula 6.g; tratamiento íntegro en el EEE, sin transferencias internacionales fuera de él (cláusula 6.a); subencargados según Anexo III.
• Cifrado de identificativos del alumnado en base de datos; correos de familias cifrados y enmascarados en pantalla.
• Autenticación multifactor obligatoria para los perfiles con acceso a datos sensibles; control de acceso por roles con mínimo privilegio; bloqueo por intentos fallidos.
• Registro de accesos a datos sensibles; trazabilidad de operaciones de supresión.
• Comunicaciones cifradas (HTTPS/TLS, HSTS); protección anti-CSRF y saneamiento de entradas.
• Copias de seguridad diarias cifradas, externas al proveedor de hosting, con restauración probada; copias bloqueadas fuera de línea para la fase de conservación limitada.
• EIPD vigente (v2.0, nov. 2024, riesgo residual aceptable); revisión de seguridad del código documentada (jul. 2026). Alojamiento en infraestructura con Certificación de Conformidad con el ENS en categoría ALTA; adecuación al ENS del servicio en curso conforme a la cláusula 10.
(Lista actualizada a 02-09-2026 — realidad posterior a la migración de agosto.)
| Subencargado | Servicio | Ubicación / garantías |
|---|---|---|
| Arsys (Arsys Internet, S.L.U.) | Alojamiento de la aplicación y base de datos; copias de seguridad (Acronis, CPD en Alemania — UE; réplica S3) | España; infraestructura con Certificación de Conformidad ENS categoría ALTA; copias dentro del EEE |
| IONOS (contrato de correo) | Buzones del dominio y SMTP de respaldo para determinados dominios receptores | UE |
| Twilio SendGrid — Twilio Ireland Limited | Envío de correos transaccionales (OTP, autorizaciones, avisos) | Contratado con la entidad irlandesa (UE); plan Pro con Data Residency Email (EU): envío por subuser regional UE con IP dedicada europea — datos de envío y eventos procesados en centros de datos de la UE; DPA de Twilio |
Versión del texto: v1.0.1-2026-09 · Consultas: formulario de contacto