Anexo de tratamiento de datos

Este anexo forma parte de las condiciones del servicio entre Telegrade («el encargado») y la institución que creó un espacio de trabajo («el responsable»). Se aplica a los datos personales que el responsable introduce en su espacio.

1. Roles e instrucciones

El responsable decide qué datos se introducen y por qué. El encargado los trata solo para prestar el servicio, siguiendo las instrucciones documentadas del responsable, que incluyen los ajustes que el responsable elige en su espacio (roles, políticas de conservación, retenciones legales, integraciones). El encargado informa al responsable si una instrucción parece infringir la ley.

2. Confidencialidad y acceso

Solo el personal que lo necesita puede acceder a los sistemas del encargado. El personal de la plataforma debe usar autenticación multifactor y solo puede abrir un espacio con una autorización de soporte limitada en el tiempo que registra quién, por qué y hasta cuándo; el responsable puede ver cada uno de esos accesos en su vista de auditoría.

3. Medidas de seguridad

El encargado mantiene, como mínimo, las siguientes medidas:

• Aislamiento de cada espacio a nivel de base de datos, aplicado en cada consulta.
• Cifrado de los datos en tránsito, cifrado de los datos almacenados y cifrado de los archivos con una clave que pertenece al espacio y que puede destruirse cuando el espacio se cierra.
• Análisis de malware de cada archivo subido antes de que pueda abrirse.
• Un libro de auditoría de cambios que no puede editarse y un libro de accesos a lecturas sensibles.
• Cabeceras de seguridad estrictas del navegador en cada aplicación, y secretos guardados en un almacén gestionado, nunca en el código.
• Copias de seguridad gestionadas por el proveedor de alojamiento dentro de la región del espacio.

Las pruebas de intrusión por un tercero, los simulacros de recuperación ante desastres y una página pública de estado están planificados y se añadirán a esta lista cuando estén implantados.

4. Subencargados

El encargado usa los proveedores listados en la página de subencargados y avisa allí de los cambios. El responsable puede oponerse a un nuevo proveedor en los treinta días siguientes al aviso; si la oposición no puede resolverse, el responsable puede terminar la suscripción sin penalización.

5. Solicitudes de las personas interesadas

El encargado da al responsable herramientas para atender las solicitudes de las personas interesadas: un flujo de solicitudes con plazos, una exportación de los datos de una persona, la corrección a través del espacio y un borrado que seudonimiza a la persona mientras los expedientes educativos siguen siendo atribuibles. Las solicitudes que llegan directamente al encargado se trasladan al responsable sin demora.

6. Asistencia

El encargado asiste al responsable en incidentes de seguridad, evaluaciones de impacto y consultas con las autoridades de control, con la información que el encargado posee. El encargado notifica al responsable una violación de datos personales que afecte a su espacio sin dilación indebida después de tener conocimiento de ella.

7. Transferencias

Los datos de un espacio se tratan en la región que el responsable eligió. Cuando un subencargado requiera una transferencia fuera de esa región y haga falta un mecanismo de transferencia, las partes se acogen a las cláusulas contractuales tipo de la Comisión Europea o al apéndice del Reino Unido a dichas cláusulas, que el encargado facilita a petición.

8. Devolución y eliminación

El responsable puede exportar su espacio en cualquier momento. Cuando la suscripción termina, el encargado entrega una exportación, después purga el espacio, destruye sus claves de cifrado y conserva un registro de destrucción, salvo cuando una retención legal o una obligación legal exija una conservación más larga.

9. Auditorías

El encargado facilita al responsable la información necesaria para demostrar el cumplimiento de este anexo y, cuando eso no baste, permite una auditoría por el responsable o por un auditor que este designe, con preaviso razonable y no más de una vez al año salvo que una autoridad de control exija otra cosa.

10. Duración

Este anexo dura mientras el encargado trate datos personales por cuenta del responsable.