Acuerdo de Tratamiento de Datos

Última actualización: 18 de agosto de 2026

1. OBJETO Y NATURALEZA DEL ACUERDO

Este Acuerdo de Tratamiento de Datos (en adelante, "el Acuerdo") regula el tratamiento de datos personales que Edena Software S.L. (CIF: B27627462; en adelante, "Edena") realiza por cuenta de la organización cliente en el marco de la prestación del servicio, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD). El Acuerdo forma parte integrante de los Términos y Condiciones del servicio.

A efectos de este Acuerdo, la organización cliente (el centro educativo) es la Responsable del Tratamiento y Edena actúa como Encargado del Tratamiento.

2. NATURALEZA, FINALIDAD Y DURACIÓN DEL TRATAMIENTO

Edena tratará los datos personales facilitados o generados por el responsable únicamente para prestar los servicios de la plataforma (gestión de personas y expedientes, facturación, comunicaciones y funcionalidades asociadas), durante la vigencia de la relación contractual.

3. INTERESADOS Y CATEGORÍAS DE DATOS

- Interesados: alumnos, familias y tutores, personal del centro y demás usuarios que el responsable gestiona en la plataforma.

- Categorías de datos: identificativos y de contacto, académicos, de facturación y, en su caso, datos de salud esenciales (alergias o necesidades especiales) introducidos bajo la responsabilidad del centro.

4. INSTRUCCIONES DEL RESPONSABLE

Edena tratará los datos siguiendo exclusivamente las instrucciones documentadas del responsable, incluida la configuración y el uso que este hace de la plataforma, salvo que una norma de la Unión Europea o de un Estado miembro le obligue a otra cosa; en tal caso, Edena informará al responsable antes del tratamiento, salvo que dicha norma lo prohíba.

5. CONFIDENCIALIDAD

Edena garantiza que las personas autorizadas para tratar los datos personales se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad.

6. SEGURIDAD DEL TRATAMIENTO

Edena aplica medidas técnicas y organizativas apropiadas conforme al artículo 32 del RGPD, incluyendo cifrado de datos en tránsito y en reposo, control de acceso basado en roles (mínimo privilegio), aislamiento de datos entre organizaciones, copias de seguridad periódicas y registro de actividad.

7. SUBENCARGADOS

El responsable autoriza a Edena a recurrir a los subencargados enumerados a continuación. Todos ellos están vinculados por un contrato que les impone obligaciones de protección de datos equivalentes a las de este Acuerdo, y Edena responde frente al responsable de su actuación.

7.1 Infraestructura

- Supabase — base de datos y autenticación. Alemania (AWS eu-central-1, Fráncfort).

- Google Cloud (Cloud Run) — alojamiento de la aplicación. Bélgica (europe-west1).

- Cloudflare R2 — almacenamiento de archivos y documentos. Ubicación configurada en Europa Occidental; véase el apartado 13.

- Upstash — cola de tareas en segundo plano y caché. Bélgica (europe-west1).

7.2 Comunicaciones

- Resend — envío de correo transaccional (facturas, invitaciones y avisos). Estados Unidos.

- Expo — entrega de notificaciones push a los dispositivos móviles. Estados Unidos. Recibe el identificador del dispositivo y el texto de la notificación.

7.3 Pagos

- Stripe — tramitación de cobros y domiciliaciones. Irlanda y Estados Unidos.

7.4 Inteligencia artificial

- Scaleway — modelos de lenguaje. Francia (París). Es el único proveedor que puede tratar datos de la organización, y sus condiciones excluyen el entrenamiento con dichos datos.

- Mistral AI — traducción de los nombres de la estructura organizativa. Francia.

- Groq — respaldo de la función anterior. Estados Unidos. Recibe únicamente nombres de niveles organizativos (por ejemplo "Etapa", "Curso" o "Grupo"), nunca datos personales.

Edena no utiliza ningún otro proveedor de inteligencia artificial. Esta restricción está implementada en el propio código y no depende de la configuración del entorno, de modo que no puede ampliarse sin una modificación revisada del software.

7.5 Servicios conectados por el propio responsable

Cuando el responsable conecta voluntariamente un servicio externo (por ejemplo Google Calendar o Microsoft), los datos que se sincronizan con él salen de la plataforma por instrucción del propio responsable y hacia una cuenta que este controla. Dichos servicios no son subencargados de Edena, y su tratamiento se rige por la relación entre el responsable y ese proveedor.

7.6 Comunicaciones exigidas por la normativa

Cuando el responsable tiene activada la facturación conforme al sistema VeriFactu, la plataforma remite a la Agencia Estatal de Administración Tributaria los registros de facturación, que incluyen los datos identificativos y fiscales del destinatario de la factura. Esta comunicación da cumplimiento a una obligación legal del propio responsable, por lo que la Agencia Tributaria no actúa como subencargado de Edena, sino como destinatario previsto por la norma.

Edena comunicará al responsable cualquier cambio previsto en esta lista con una antelación mínima de 30 días, dándole la posibilidad de oponerse. Si el responsable se opusiera de forma motivada y no fuera posible una alternativa razonable, podrá resolver el contrato sin penalización.

8. ASISTENCIA AL RESPONSABLE

Edena asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, para responder a las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad), así como para cumplir las obligaciones de seguridad, notificación de violaciones de seguridad y evaluaciones de impacto.

La plataforma incorpora herramientas para exportar y anonimizar los datos de un interesado, permitiendo al responsable atender los derechos de acceso, portabilidad y supresión.

9. DATOS DE MENORES DE EDAD

Corresponde al responsable, en su condición de centro educativo, recabar los consentimientos de los padres o tutores legales que resulten necesarios antes de introducir datos de menores en la plataforma. Edena no utiliza los datos de menores para ninguna finalidad distinta de la prestación del servicio al responsable.

10. NOTIFICACIÓN DE VIOLACIONES DE SEGURIDAD

Edena notificará al responsable sin dilación indebida tras tener conocimiento de una violación de la seguridad de los datos personales, aportando la información relevante disponible para que el responsable pueda cumplir sus obligaciones de notificación ante la autoridad de control y los interesados.

11. SUPRESIÓN O DEVOLUCIÓN DE LOS DATOS

Finalizada la prestación del servicio, Edena suprimirá o devolverá al responsable, a su elección, los datos personales y las copias existentes, salvo que deba conservarlos por obligación legal (por ejemplo, registros de facturación con obligaciones fiscales), en cuyo caso permanecerán bloqueados durante los plazos legales.

12. AUDITORÍA

Edena pondrá a disposición del responsable la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 del RGPD y permitirá y contribuirá a la realización de auditorías razonables, incluidas inspecciones, conforme a un procedimiento acordado entre las partes.

13. TRANSFERENCIAS INTERNACIONALES

La base de datos, el alojamiento de la aplicación, la cola de tareas en segundo plano y los proveedores de inteligencia artificial que pueden tratar datos de la organización (apartado 7.4) se encuentran en la Unión Europea.

Los subencargados identificados en el apartado 7 como radicados en Estados Unidos (Resend, Expo, Stripe y Groq) implican una transferencia internacional de datos. Dichas transferencias se amparan en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea o, cuando el proveedor esté certificado, en el Marco de Privacidad de Datos UE-EE. UU., junto con las medidas complementarias que resulten necesarias tras la correspondiente evaluación de impacto de la transferencia.

El almacenamiento de archivos (Cloudflare R2) está configurado con ubicación en Europa Occidental. Al tratarse de una preferencia de ubicación y no de una restricción jurisdiccional vinculante, y siendo el proveedor una entidad estadounidense, esta relación se ampara en las mismas garantías señaladas en el párrafo anterior.

Si un subencargado modificara la ubicación desde la que trata los datos, Edena lo comunicará al responsable conforme a lo previsto en el apartado 7.

14. CONTACTO

Para cualquier consulta relacionada con este Acuerdo puede escribirnos a [email protected].