Este contrato de encargo del tratamiento es un acuerdo entre la escuela de baile que usa DanceAdmin (el cliente, responsable del tratamiento) y EXCITED software, propietario Ed de Heus, Kamgrasstraat 30, 2288 HE Rijswijk, Países Bajos, inscrito en la Cámara de Comercio neerlandesa (KvK) con el número 27144483 (nosotros, encargado del tratamiento). Forma parte del contrato sobre DanceAdmin y de las condiciones generales, y se aplica mientras tratemos datos personales para el cliente.
1. Para qué tratamos los datos
Solo tratamos datos personales para ofrecer DanceAdmin al cliente: la administración de la escuela de baile, la inscripción y el pago en línea, el horario de clases y los eventos en la web de la escuela, el portal del alumno, los correos que DanceAdmin envía en nombre de la escuela y el soporte. Nunca usamos los datos para fines propios.
2. Qué datos y de quién
- Interesados: alumnos (en el caso de menores, también padres o tutores), personas que se inscriben o compran una entrada, parejas de baile indicadas en una inscripción, profesores y los usuarios del cliente.
- Datos: nombre, dirección, correo electrónico, teléfono, fecha de nacimiento, sexo, número de alumno, número de cuenta y orden de domiciliación, matrículas, inscripciones, entradas, pagos y descuentos, asistencia y clases de recuperación, etiquetas y notas, y en el caso de usuarios y profesores también rol, permisos y horas de clase.
- DanceAdmin no está pensado para categorías especiales de datos personales, como datos de salud. Si el cliente los introduce aun así en una nota, es responsabilidad suya.
3. Solo siguiendo instrucciones del cliente
Solo tratamos los datos como el cliente lo determina mediante DanceAdmin y su configuración, o como nos lo pide por escrito (también por correo electrónico). Si consideramos que una instrucción infringe la normativa de protección de datos, lo comunicamos de inmediato. Si la ley nos obliga a entregar datos a una autoridad pública, lo comunicamos antes al cliente, salvo que no esté permitido.
4. Confidencialidad
Todas las personas que en nuestra empresa tienen acceso a los datos están sujetas a confidencialidad. Solo accedemos a ellos cuando es necesario, por ejemplo para dar soporte a petición del cliente, migrar datos o resolver una incidencia.
5. Seguridad
Adoptamos medidas adecuadas para proteger los datos, entre ellas:
- todas las conexiones están cifradas (https) y el tráfico pasa por Cloudflare, que bloquea ataques;
- los datos de cada escuela están separados de los de las demás; dentro de una escuela, el administrador decide por usuario qué puede ver y hacer;
- las contraseñas y las claves sensibles (como las de Mollie y del correo) solo las guardamos cifradas;
- los usuarios cierran sesión automáticamente tras media hora sin actividad, y los formularios están protegidos contra abusos;
- los inicios de sesión, los intentos fallidos y los cambios importantes quedan registrados;
- el servidor está en un centro de datos en los Países Bajos y solo lo gestionamos nosotros; hacemos copias de seguridad periódicas y mantenemos el software actualizado.
El cliente se encarga de usar buenas contraseñas, de dar acceso solo a las personas adecuadas y de limitar sus permisos a lo necesario.
6. Subencargados
El cliente autoriza el uso de estos subencargados:
| Subencargado | Para qué | Dónde |
|---|---|---|
| Cloudflare, Inc. | Todo el tráfico hacia DanceAdmin pasa por Cloudflare, para mayor velocidad y protección frente a ataques | Red mundial; Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
| Microsoft (Microsoft 365) | Envío de los correos de DanceAdmin, como confirmaciones, códigos de acceso y solicitudes de pago | Unión Europea; Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo |
La base de datos y la aplicación funcionan en nuestro propio servidor en los Países Bajos. Si el cliente usa su propio Microsoft 365 para el correo, o su propia cuenta de Mollie para los pagos de los alumnos, el cliente tiene un contrato propio con esa empresa; en ese caso no es subencargado nuestro.
Si queremos añadir o sustituir un subencargado, lo comunicamos por correo electrónico con al menos un mes de antelación. Si el cliente tiene una objeción fundada, buscamos juntos una solución; si no es posible, el cliente puede darse de baja antes de que el cambio entre en vigor. A nuestros subencargados les imponemos las mismas obligaciones que en este contrato.
7. Derechos de los interesados
Si un alumno u otro interesado quiere ver, corregir, eliminar o llevarse sus datos, el cliente se ocupa de ello. Con DanceAdmin el cliente puede buscar, modificar, eliminar y exportar datos por sí mismo. Si algo no funciona, le ayudamos. Si recibimos una solicitud así directamente, la reenviamos al cliente lo antes posible.
8. Brechas de datos
Si descubrimos un incidente de seguridad en el que los datos del cliente se hayan (posiblemente) filtrado, perdido o visto afectados, lo comunicamos al cliente sin dilación indebida y como máximo en 48 horas desde su descubrimiento. Compartimos lo que sabemos: qué ha ocurrido, qué datos e interesados se ven afectados, qué consecuencias puede tener y qué estamos haciendo al respecto. El cliente decide si notifica la brecha a la autoridad neerlandesa de protección de datos (Autoriteit Persoonsgegevens) y a los interesados; nosotros le ayudamos.
9. Colaboración y auditorías
Facilitamos al cliente la información que necesita para demostrar que el tratamiento cumple la ley, y colaboramos razonablemente en una evaluación de impacto relativa a la protección de datos (EIPD) o en consultas de la autoridad de control. Si el cliente quiere realizar una auditoría, puede hacerlo como máximo una vez al año, con un preaviso de al menos 30 días, mediante un experto independiente sujeto a confidencialidad y a cargo del cliente.
10. Al finalizar el contrato
Al finalizar el contrato, conservamos los datos durante 6 meses más, para que el cliente pueda pedir una exportación o volver. Después los eliminamos definitivamente, también de las copias de seguridad en cuanto se sustituyen en el ciclo normal. A petición del cliente los eliminamos antes, o le proporcionamos primero una exportación.
11. Responsabilidad y duración
En cuanto a la responsabilidad, se aplica el artículo 11 de las condiciones generales. Este contrato de encargo del tratamiento dura mientras dure el contrato sobre DanceAdmin y, después, mientras sigamos teniendo datos del cliente. En caso de contradicción, este contrato prevalece sobre las condiciones generales en lo que respecta a los datos personales.