Descargar en PDF firmado por Change Dyslexia

Contrato de encargo del tratamiento de datos personales

Este contrato regula cómo trata Change Dyslexia los datos personales de los alumnos que un colegio, un profesional o una entidad social da de alta en Dytective. En esos datos, el colegio, el profesional o la entidad es el responsable del tratamiento (quien decide para qué y cómo se usan) y Change Dyslexia es el encargado del tratamiento (quien los trata por su cuenta y siguiendo sus instrucciones), tal como prevé el artículo 28 del Reglamento (UE) 2016/679, General de Protección de Datos (RGPD).

Este contrato forma parte de las condiciones del servicio de Dytective. Cuando un colegio, un profesional o una entidad social acepta esas condiciones, al darse de alta o al aceptar una versión nueva, acepta también este contrato, sin necesidad de firmarlo aparte. Quien necesite un ejemplar firmado, por ejemplo una administración educativa, puede descargarlo en PDF, ya firmado electrónicamente por Change Dyslexia, y añadir su propia firma: su texto es exactamente el mismo que se publica en esta página.

Partes

El Responsable del tratamiento:

El colegio, profesional o entidad social titular de la cuenta de Dytective que acepta este contrato o que lo firma electrónicamente. Si lo firma, sus datos son los de su certificado de firma.

El Encargado del tratamiento:

CHANGE DYSLEXIA S.L. (en adelante, «Change Dyslexia»), con NIF B66670878 y domicilio en Lope de Rueda 49, 4.º A, 28009 Madrid (España), inscrita en el Registro Mercantil de Madrid (Asiento 1/3077/272, Folio 40, fecha de presentación 16/11/2020, Entrada 1/2020), representada por su administradora única, María Luz Rello Sánchez. Contacto de protección de datos: responsablededatos@changedyslexia.org. Delegada de protección de datos: dpo@changedyslexia.org.

1. Objeto

Change Dyslexia trata, por cuenta del Responsable, los datos personales de sus alumnos que sean necesarios para prestarle el servicio de Dytective: la prueba de cribado de la dislexia y los ejercicios de estimulación de la lectura y la escritura, con sus informes. Este contrato fija las condiciones de ese tratamiento.

No cubre los datos de la propia cuenta del Responsable ni de las cuentas de sus docentes (nombre, correo, facturación…). Esos los trata Change Dyslexia como responsable, según su política de privacidad.

2. Duración

Este contrato dura lo mismo que la prestación del servicio: desde que el Responsable lo acepta hasta que su cuenta se suprime. El deber de confidencialidad y las obligaciones de la cláusula 14 siguen vigentes después.

3. Naturaleza y finalidad del tratamiento

Change Dyslexia recoge, registra, conserva, consulta, analiza y suprime los datos de los alumnos, y los comunica solo en los casos de la cláusula 5, con estas finalidades:

Dar acceso a cada alumno a Dytective con un nombre de usuario y una contraseña.
Hacer la prueba de cribado y calcular su resultado.
Proponer ejercicios adaptados a la edad y al nivel del alumno, y guardar su progreso.
Preparar los informes de actividad y de evolución que consultan el Responsable y sus docentes.
Avisar al Responsable, y a los docentes que lo tengan activado, de que hay resultados nuevos. Los avisos por correo no incluyen el resultado de la prueba.
Prestar el soporte técnico que pida el Responsable.

4. Tipos de datos e interesados

Interesados: los alumnos que el Responsable da de alta en Dytective, normalmente menores de edad.

Datos:

Nombre de usuario y contraseña. El Responsable se compromete a no usar el nombre real del alumno como nombre de usuario.
Fecha de nacimiento, sexo e idioma.
Cuatro respuestas de sí o no: lengua materna, si ha suspendido lengua, si sabe leer y si es bilingüe.
Las respuestas de la prueba de cribado y su resultado.
La actividad en los ejercicios: sesiones, niveles, aciertos y fallos.
Los grupos a los que pertenece el alumno.

Categorías especiales: el resultado de la prueba de cribado, que indica si hay riesgo de dislexia, es un dato relativo a la salud (artículo 9 del RGPD). No es un diagnóstico.

5. Instrucciones del Responsable

Change Dyslexia solo trata los datos siguiendo las instrucciones documentadas del Responsable. Al aceptar este contrato, el Responsable da estas instrucciones:

Prestar el servicio con las finalidades de la cláusula 3.
Calcular medias de referencia por edad con los resultados de todos los alumnos de Dytective, agregados y sin identificar a nadie, para que cada informe compare a un alumno con la media de su edad.
Dar soporte técnico cuando el Responsable lo pida para resolver una incidencia, y solo entonces: entrar en su cuenta para revisar un error, reiniciar la prueba de un alumno o hacer una copia de un alumno en una cuenta de soporte para reproducir el problema sin tocar sus datos. La copia se borra al cerrar la incidencia. Lo hace solo personal autorizado de Change Dyslexia.
Centros del programa de la Fundación “la Caixa”. Si el Responsable accede gratis a Dytective a través del programa de colaboración con la Fundación “la Caixa”, autoriza además:
- La entrega a la Fundación “la Caixa” de datos del centro y de datos anonimizados de sus alumnos (sin ningún identificador del alumno y con las fechas recortadas) que describe el apartado 5.1 de la política de privacidad, para que mida el impacto del programa y elabore estadísticas sobre la prevalencia de la dislexia en España. Es una condición del acceso gratuito a través del programa.
- La entrega de datos anonimizados a un grupo de investigación universitario que estudia el impacto del programa, en las condiciones del apartado 5.2 de la política de privacidad. El Responsable puede oponerse en cualquier momento escribiendo a dpo@changedyslexia.org; desde entonces sus datos no se incluyen en ninguna entrega.

Si Change Dyslexia considera que una instrucción infringe la normativa de protección de datos, lo comunicará de inmediato al Responsable.

6. Obligaciones de Change Dyslexia

Change Dyslexia se compromete a:

Tratar los datos solo para los fines de este contrato y según las instrucciones del Responsable, también en lo que se refiere a transferencias internacionales. No los usará para fines propios distintos de los autorizados en la cláusula 5.
No comunicarlos a terceros salvo lo previsto en este contrato o cuando lo exija la ley. En ese caso, informará antes al Responsable, salvo que la ley lo prohíba.
Llevar un registro de las actividades de tratamiento que realiza por cuenta de sus clientes (artículo 30.2 del RGPD).
Cumplir el resto de las obligaciones de este contrato.

7. Confidencialidad

Change Dyslexia garantiza que las personas autorizadas a tratar los datos se han comprometido a respetar su confidencialidad o están sujetas a una obligación legal de confidencialidad, y que solo acceden a ellos cuando lo necesitan para su trabajo. Este deber se mantiene después de terminar el contrato.

8. Medidas de seguridad

Change Dyslexia aplica las medidas técnicas y organizativas adecuadas al riesgo, conforme al artículo 32 del RGPD, entre ellas:

Conexiones cifradas entre los usuarios y la plataforma.
Contraseñas guardadas con un algoritmo de cifrado irreversible (hash), de modo que nadie puede leerlas.
Control de acceso: cada cuenta solo accede a sus propios alumnos, y cada docente, a los de los grupos que el Responsable le asigna.
El área de administración de Change Dyslexia solo es accesible con una cuenta corporativa, que se comprueba en cada acceso; dar de baja a una persona le retira el acceso de inmediato.
Alojamiento de la base de datos y de los servidores en la Unión Europea, con copias de seguridad automáticas en la misma región, que se borran a los 7 días.
Registros de seguridad (intentos fallidos de acceso, altas rechazadas) que se conservan 10 días. Las contraseñas no se registran nunca.
Límites al número de altas desde una misma dirección IP para evitar abusos.
Los ficheros de importación de alumnos se borran en cuanto se procesan, y como mucho a las 3 horas.
Supresión real y verificada de los datos borrados, con constancia de cada supresión.

Change Dyslexia revisa estas medidas y las actualiza cuando cambia el riesgo o la técnica.

9. Subencargados

El Responsable da una autorización general para que Change Dyslexia recurra a los subencargados del Anexo I.

Change Dyslexia avisará al Responsable, por correo a la dirección de su cuenta y con 30 días de antelación, de cualquier subencargado nuevo o sustituido.
En ese plazo, el Responsable puede oponerse por motivos razonables relacionados con la protección de datos. Si las partes no llegan a un acuerdo, el Responsable puede resolver el contrato.
Change Dyslexia impondrá a cada subencargado, por contrato, las mismas obligaciones de protección de datos que este contrato, y responde ante el Responsable de su cumplimiento.

10. Transferencias internacionales

Algunos subencargados del Anexo I son de Estados Unidos o tienen filiales o proveedores fuera del Espacio Económico Europeo, y pueden tratar datos desde allí. Esas transferencias solo se hacen con las garantías del capítulo V del RGPD: el Marco de Privacidad de Datos UE-EE. UU., para las empresas adheridas, o las cláusulas contractuales tipo aprobadas por la Comisión Europea.

11. Derechos de los interesados

Quien atiende los derechos de las familias de los alumnos (acceso, rectificación, supresión, oposición, limitación y portabilidad) es el Responsable. Change Dyslexia le ayuda:

El Responsable puede consultar, corregir, descargar y borrar los datos de sus alumnos desde su panel de Dytective.
Si una solicitud llega a Change Dyslexia, la trasladará al Responsable sin demora y no la contestará por su cuenta salvo que el Responsable se lo pida.
Si el Responsable necesita ayuda para atender una solicitud, Change Dyslexia se la prestará. Una supresión pedida por esta vía se hace en el momento, sin el plazo de 30 días de la cláusula 14.

12. Violaciones de la seguridad de los datos

Si Change Dyslexia sufre una violación de la seguridad que afecte a los datos del Responsable (una pérdida, un acceso indebido, una alteración…), se lo comunicará sin dilación indebida y como máximo en 48 horas desde que la conozca, para que el Responsable pueda notificarla a la autoridad de control en las 72 horas que fija el artículo 33 del RGPD.

La comunicación incluirá, en la medida en que se conozca: qué ha pasado, qué datos y cuántos interesados están afectados, el contacto de la delegada de protección de datos, las consecuencias probables y las medidas adoptadas o propuestas. Si no se conoce todo de una vez, se irá facilitando por partes.

13. Evaluaciones de impacto y consultas previas

Change Dyslexia facilitará al Responsable la información de que disponga para que pueda hacer, si le corresponde, una evaluación de impacto relativa a la protección de datos y, en su caso, la consulta previa a la autoridad de control (artículos 35 y 36 del RGPD).

14. Fin del contrato: devolución y supresión de los datos

Devolución. Antes de dar por terminado el servicio, el Responsable puede descargar desde su panel los datos de sus alumnos (listados en CSV y resultados de las pruebas) y sus informes en PDF.

Supresión.

Cuando el Responsable borra su cuenta, o un alumno, desde Dytective, los datos se conservan 30 días para poder recuperarlos si fue un error, y a partir de entonces se suprimen de forma automática y definitiva: normalmente ese mismo día y, solo si hay muchas supresiones pendientes a la vez, en las noches siguientes, para no afectar al servicio.
Si el Responsable pide la supresión expresamente, se hace en el momento.
Si una cuenta pasa dos años sin usarse (ni la cuenta, ni sus docentes, ni sus alumnos), se borra y, a partir de los 30 días de margen, se suprime. Si el último uso fue hace menos de tres años, antes se avisa al Responsable por correo y tiene 7 días para entrar y conservarla. No se avisa cuando la dirección probablemente ya no es del Responsable (último uso hace más de tres años, una cuenta que nunca se llegó a usar o cuyo correo nunca se validó, o una cuenta cuya baja ya se había iniciado), para no revelar a otra persona que existe la cuenta.
Las copias de seguridad se borran solas a los 7 días.
A petición del Responsable, Change Dyslexia le confirmará por escrito que la supresión se ha hecho.

La supresión no alcanza a lo que ya se haya comunicado siguiendo las instrucciones de la cláusula 5.d, ni a lo que Change Dyslexia deba conservar por obligación legal.

15. Demostración del cumplimiento y auditorías

Change Dyslexia pondrá a disposición del Responsable la información necesaria para demostrar que cumple este contrato, y permitirá y contribuirá a las auditorías e inspecciones del Responsable o de un auditor que él designe (artículo 28.3.h del RGPD), así:

Primero, documentación. Change Dyslexia facilitará este contrato, la descripción de sus medidas de seguridad, la lista de subencargados y las respuestas a un cuestionario razonable sobre el tratamiento.
Inspección, si la documentación no basta o si la pide una autoridad de control. Se avisará con 30 días de antelación, como máximo una vez al año, preferentemente en remoto y en horario laboral, y la hará un auditor sujeto a confidencialidad.
Los costes de la auditoría corren a cargo del Responsable.
La auditoría no dará acceso a datos de otros clientes ni a información cuya divulgación comprometa la seguridad de la plataforma.

16. Obligaciones del Responsable

El Responsable se compromete a:

Tener una base jurídica para tratar los datos de sus alumnos e informar a sus familias. En particular, obtener el consentimiento de las familias por los medios que considere adecuados; al aceptar las condiciones del servicio declara que cuenta con él. Change Dyslexia pone a su disposición un formulario de ejemplo.
Dar a Change Dyslexia instrucciones conformes con la ley.
No introducir más datos de los necesarios y no usar nombres reales como nombre de usuario.
Mantener actualizados los datos de sus alumnos y de su cuenta, y gestionar el acceso de sus docentes.

17. Responsabilidad

La responsabilidad de las partes por el incumplimiento de este contrato se rige por el apartado 12 de las condiciones del servicio, de las que este contrato es anexo. Eso no limita la responsabilidad de cada parte frente a los interesados, que se rige por el artículo 82 del RGPD.

18. Aceptación, versiones y prevalencia

Este contrato es un anexo de las condiciones del servicio de Dytective, y se acepta al aceptarlas, al darse de alta o al aceptar una versión nueva. Quien lo acepta declara tener capacidad para hacerlo en nombre del Responsable. Change Dyslexia guarda qué versión se aceptó, cuándo y desde dónde.
Las partes pueden también firmarlo electrónicamente: el PDF que se descarga ya lleva la firma de Change Dyslexia, y el Responsable añade la suya con un certificado que lo identifica, de modo que cada parte conserva un ejemplar con las dos firmas. Ese ejemplar tiene el mismo texto que la versión publicada: cada página del PDF indica al pie la versión de las condiciones del servicio a la que pertenece y una huella digital de su texto.
Si Change Dyslexia cambia el contrato de forma relevante, publicará una versión nueva de las condiciones del servicio y pedirá que se acepte.
En lo relativo a la protección de los datos de los alumnos, este contrato prevalece sobre las condiciones del servicio.
Este contrato se publica en castellano, catalán e inglés. Si hay alguna discrepancia entre las versiones, prevalece la castellana.

19. Ley aplicable y jurisdicción

Este contrato se rige por la ley española. Para cualquier controversia, las partes se someten a los juzgados y tribunales de Madrid.

Anexo I. Subencargados

Proveedor	Para qué	Dónde	Garantías si sale del EEE
DigitalOcean, LLC (EE. UU.)	Servidores, base de datos y copias de seguridad	Fráncfort (Alemania) y Ámsterdam (Países Bajos); acceso posible desde EE. UU.	Marco de Privacidad UE-EE. UU.; cláusulas tipo
Brevo (Francia)	Envío de los correos de la plataforma	UE; subencargados en EE. UU. e India	Cláusulas tipo; Marco de Privacidad
Freshworks Inc., «Freshdesk» (EE. UU.)	Gestión de las incidencias de soporte	UE o EE. UU.	Cláusulas tipo
Functional Software, Inc., «Sentry» (EE. UU.)	Registro de errores de la app	UE; acceso posible desde EE. UU.	Marco de Privacidad; cláusulas tipo
Google (Google Analytics)	Medición de uso del panel, solo si el usuario acepta las cookies de medición	Donde Google tenga instalaciones	Marco de Privacidad; cláusulas tipo

Contrato de encargo del tratamiento, anexo de las condiciones del servicio, versión 2026-10-15 · Huella del texto (SHA-256): 4845f5432d3631689f090ec9d41889f68d1942baf8dba787679d585c5f66b35d