para academias

Contrato de encargo del tratamiento

Versión del 24 de octubre de 2026, la vigente.

Partes

Responsable del tratamiento («la Academia»): la academia que acepta este contrato, identificada por los datos que da al darse de alta y, al contratar, por su razón social, su NIF y su domicilio.
Encargado del tratamiento («Gestademy»): Christian González Acosta, profesional autónomo, NIF 54030317M, con domicilio en Carrer dels Pins, 4, 08629 Torrelles de Llobregat (Barcelona), que presta el servicio con el nombre comercial «Gestademy». Podrá ceder este contrato a una sociedad constituida para prestar el servicio, como prevé la cláusula 14 de las condiciones del servicio.

Este contrato forma parte del contrato de servicio de Gestademy entre las partes (las condiciones del servicio) y cumple el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).

Aceptación

La Academia puede aceptar este contrato de dos formas: firmándolo, o al darse de alta en app.gestademy.com/alta, marcando la casilla «Doy de alta la academia en su nombre. He leído la política de privacidad y acepto, en nombre de la academia, las condiciones del servicio y el contrato de encargo del tratamiento». Sin esa casilla no se crea la Academia. Estas condiciones y este contrato son condiciones generales de la contratación: la Academia puede leerlos completos antes de aceptar, enlazados junto a la casilla, y los recibe por correo al darse de alta (artículos 5 y 7 de la Ley 7/1998). El contrato electrónico cumple el requisito de forma escrita (artículo 28.9 RGPD y artículo 23.3 de la Ley 34/2002, LSSI) y su registro es prueba documental (artículo 24.2 LSSI).

Gestademy conserva como prueba de la aceptación:

la fecha y hora de la aceptación, guardadas con la Academia; la versión aceptada es la publicada con fecha en gestademy.com/encargo-del-tratamiento vigente en ese momento;
que quien aceptó controla el correo que dio: el enlace para entrar en la Academia solo llega a ese correo;
el correo de confirmación del alta, que recuerda la aceptación y enlaza este contrato y las condiciones del servicio para leerlos y guardarlos (artículos 27.4 y 28 LSSI).

Si quien aceptó no tuviera poder para obligar a la Academia, el contrato vincula a la Academia si lo ratifica (artículo 1259 del Código Civil), también por actos propios: al pagar la suscripción con su razón social y NIF y al seguir usando la aplicación. Cuando la Academia es una persona física (autónomo), quien acepta es el propio responsable del tratamiento.

Los datos de identificación de la Academia (razón social, NIF y domicilio) no se piden en el alta: durante la prueba no se factura nada. Se piden, obligatoriamente, al contratar, porque la factura completa los exige (artículo 6.1 c), d) 3.º y e) del Real Decreto 1619/2012), y completan las «Partes» de este contrato.

1. Objeto

Gestademy presta a la Academia una aplicación de gestión (equipo, horarios, matrícula, asistencia, seguimiento docente, comunicaciones con familias y portal de familias). Para prestarla, trata por cuenta de la Academia los datos personales descritos en el Anexo I. Gestademy trata esos datos solo para prestar el servicio y siguiendo las instrucciones documentadas de la Academia, que son este contrato y el uso que la Academia hace de la aplicación.

2. Duración

Mientras dure el contrato de servicio, incluida la prueba gratuita de 14 días que empieza con el alta. Al terminar se aplica la cláusula 11; también si la prueba acaba sin que la Academia contrate.

3. Obligaciones de Gestademy

Gestademy se compromete a:

Tratar los datos solo según las instrucciones de la Academia y avisarla si cree que una instrucción infringe la normativa.
No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados de la cláusula 6 o cuando lo exija la ley.
Garantizar que las personas autorizadas para tratar los datos se han comprometido a la confidencialidad.
Aplicar las medidas de seguridad del Anexo II.
Ayudar a la Academia a atender los derechos de los interesados (cláusula 8) y a cumplir sus obligaciones de seguridad, notificación de brechas y, en su caso, evaluaciones de impacto.
Llevar el registro de actividades de tratamiento como encargado (artículo 30.2 RGPD).
Poner a disposición de la Academia la información necesaria para demostrar el cumplimiento y permitir auditorías razonables (cláusula 10).

4. Obligaciones de la Academia

Tener una base jurídica para tratar los datos y haber informado a los interesados (alumnos, familias y equipo), incluida la existencia de Gestademy y sus subencargados.
Recabar los consentimientos que correspondan. Para los menores de 14 años, de quien ejerza la patria potestad o tutela (artículo 7 LOPDGDD). La aplicación registra los consentimientos de familias que gestiona (por ejemplo, «sale sin acompañante» o datos de salud) con prueba de cada concesión y retirada.
Decidir qué datos introduce y quién de su equipo accede a ellos mediante los roles de la aplicación.
Decidir si comunica a la familia una señal de conducta. Por defecto las señales no son visibles para la familia.

5. Acceso de Gestademy a los datos

Personal técnico: solo accede a la base de datos para mantener el servicio, resolver incidencias que la Academia comunique o cumplir una obligación legal, y siempre con el mínimo alcance necesario.
Área de plataforma: las personas de Gestademy con rol de propietario de la plataforma pueden crear la Academia, invitar a su dirección y ver los datos de su equipo: nombre, correo, roles, estado de las invitaciones y fecha del último acceso. Para dar soporte pueden también invitar a una nueva dirección, retirar o devolver el acceso a una persona del equipo, corregir el correo de una invitación pendiente, enviar a una persona del equipo un enlace para que elija una contraseña nueva (sin conocerla nunca), cerrar sus sesiones, desactivar o reactivar la Academia (desactivarla impide entrar a todo su equipo y sus familias y cancela los correos pendientes, sin borrar nada) y ver cifras de uso sin datos de nadie (número de alumnos matriculados, grupos, sedes, clases de la semana y fechas de la última lista y del último correo). No pueden ver datos de alumnos, familias, asistencia, señales, cuidados ni comunicaciones, y esa limitación está impuesta en la propia base de datos, no solo en la pantalla. Cada una de estas acciones y consultas queda registrada en el historial de la Academia como «Gestademy», visible para su dirección. De una Academia que se dio de alta sola ven además el tramo de alumnado y la forma de pago elegidos, la fecha en que acaba la prueba, si pidió el precio de fundador, la fecha en que aceptó este contrato y el estado de su suscripción (al día, pago pendiente, cancelada); y pueden aprobar el precio de fundador o dar la prueba por terminada como cliente.
Acceso de soporte concedido por la Academia: solo cuando la dirección de la Academia lo concede desde la aplicación («Dar acceso a soporte»), y durante un máximo de 2 horas, el personal de Gestademy puede entrar en la Academia como «Soporte de Gestademy» para ver lo que ve la dirección y ayudarla. Ese acceso es de solo lectura (no puede cambiar ni enviar nada) y excluye señales, datos de salud y alergias, personas autorizadas para recoger, consentimientos, correos y respuestas de las familias, documentos del portal, interesados y pruebas de nivel. Ambas limitaciones están impuestas en la propia base de datos. La dirección puede retirarlo en cualquier momento y deja de valer al instante. La concesión, su retirada y cada entrada y salida de Gestademy quedan en el historial de la Academia.

6. Subencargados

La Academia autoriza de forma general a Gestademy a recurrir a los subencargados del Anexo III. Gestademy:

impone a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este contrato;
avisará a la Academia con al menos 30 días de antelación de cualquier alta o sustitución de subencargado, para que pueda oponerse de forma motivada. Si la oposición no se resuelve, la Academia podrá resolver el contrato de servicio sin penalización;
responde ante la Academia del cumplimiento de sus subencargados.

7. Transferencias internacionales

Todos los datos se almacenan en la Unión Europea (Anexo III). Algunos subencargados son empresas establecidas en EE. UU., por lo que no se puede descartar un acceso desde fuera del EEE (por ejemplo, para soporte técnico o por requerimiento legal). Esos accesos están cubiertos por las cláusulas contractuales tipo de la Comisión Europea o por la adhesión del proveedor al Marco de Privacidad de Datos UE-EE. UU., según el DPA de cada uno.

8. Derechos de los interesados

Si un interesado (alumno, familia o miembro del equipo) ejerce ante Gestademy un derecho de acceso, rectificación, supresión, oposición, limitación o portabilidad, Gestademy lo trasladará a la Academia en un plazo máximo de 5 días hábiles y no responderá por su cuenta. Gestademy ayudará a la Academia a atenderlo con las funciones de la aplicación y, si hace falta, con extracciones o supresiones técnicas.

9. Brechas de seguridad

Gestademy notificará a la Academia, sin dilación indebida y en un máximo de 48 horas desde que tenga conocimiento, cualquier brecha que afecte a sus datos, con la información disponible: naturaleza, categorías y número aproximado de interesados y registros, consecuencias probables, medidas adoptadas y persona de contacto. Corresponde a la Academia notificar a la AEPD y, en su caso, a los interesados.

10. Auditoría

Gestademy facilitará la información y documentación que acredite el cumplimiento de este contrato. Las auditorías presenciales se acordarán con al menos 30 días de antelación, en horario laboral y sin acceso a datos de otros clientes. Los costes de la auditoría los asume la Academia, salvo que se detecte un incumplimiento grave.

11. Fin del contrato

Al terminar el servicio, la Academia podrá descargar sus datos durante 30 días.

Si la prueba gratuita acaba sin que la Academia contrate, el día siguiente a su último día la Academia se desactiva sola (nadie de ella puede entrar, salvo su dirección para descargar los datos, y se cancelan los correos pendientes) y la supresión queda programada 30 días después, igual que al terminar el servicio. Si contrata en ese plazo, se reactiva y la supresión se cancela. Pasado ese plazo, Gestademy suprimirá los datos de la Academia de la aplicación y de los ficheros en un máximo de 30 días. Las copias de seguridad se borran solas a los 30 días de hacerse (Anexo II), y la copia que guarda el proveedor de envío de cada correo, a los 30 días de enviarse (Anexo I), así que a los 60 días del fin del contrato no quedará ninguna copia, salvo las que una ley obligue a conservar. Gestademy certificará la supresión si la Academia lo pide.

12. Responsabilidad

Se aplica el régimen de responsabilidad de la cláusula 13 de las condiciones del servicio, salvo en los incumplimientos de la normativa de protección de datos, a los que no se aplica su límite.

13. Ley y jurisdicción

Ley española. Los juzgados y tribunales que correspondan según las reglas generales de competencia de la Ley de Enjuiciamiento Civil.

Anexo I — Descripción del tratamiento

Finalidad: gestionar la actividad académica de la Academia: equipo y roles, sedes y aulas, horarios y sesiones, interesados y pruebas de nivel, matrícula, renovaciones y listas de espera, asistencia, programación y lo trabajado en clase, deberes, señales de seguimiento, sustituciones, comunicaciones con familias, portal de familias e historial de operaciones.

Interesados:

Alumnos, muchos de ellos menores de edad.
Padres, madres, tutores y otros contactos de la familia, incluidas las personas autorizadas para recoger al alumno.
Interesados en matricularse (prematrícula).
Miembros del equipo de la Academia.

Categorías de datos:

Identificativos y de contacto: nombre, apellidos, correo, teléfono, fecha de nacimiento, curso escolar y, para las personas autorizadas a recoger, documento de identidad.
Académicos: grupos, matrícula, asistencia, faltas y su justificación, lo trabajado, deberes, resultados de pruebas de nivel y notas de sesión.
Señales de seguimiento de los profesores (material, conducta, nivel, deberes y seguimiento). Las de conducta no son visibles para la familia salvo que la Academia decida comunicarlas.
Datos de salud (categoría especial, artículo 9 RGPD): las notas de cuidados que la familia o la Academia registran (por ejemplo, alergias o medicación), con el consentimiento de la familia.
Comunicaciones: correos enviados a las familias y respuestas recibidas.
Documentos que la Academia comparte en el portal de familias y su logotipo.
Del equipo: roles, sedes asignadas y credenciales (la contraseña se guarda solo como resumen argon2, nunca en claro).
Técnicos: sesiones iniciadas e historial de operaciones (quién hizo qué y cuándo). Para limitar los intentos de acceso no se guarda la IP, solo un resumen con clave que no permite recuperarla.

Operaciones: recogida, registro, organización, conservación, consulta, comunicación a las familias por correo y en el portal, supresión y anonimización.

Plazos de conservación (aplicados automáticamente cada día):

Datos	Se suprimen
Asistencia, avisos y contactos por ausencia	12 meses después del fin del curso escolar
Correos enviados	12 meses después del fin del curso en que se enviaron (24 meses si no hay curso), salvo el que comunicó una señal que se conserva
Señales	Se archivan al acabar el curso y se suprimen 12 meses después, salvo las comunicadas a la familia
Interesados que no se matricularon	Se anonimizan 12 meses después de cerrarse
Notas de salud, «sale sin acompañante» y personas autorizadas para recoger	1 mes después de terminar la última matrícula del alumno (12 meses desde el alta si nunca se matriculó)
Prueba de los consentimientos	2 años después de terminar la última matrícula
Restricciones de horario y preferencias entre hermanos	Al caducar
Historial de operaciones	2 años
Enlaces de acceso, recuperación de contraseña y sesiones caducadas	24 horas
Copias de seguridad	30 días
Copia de cada correo en el proveedor de envío (Resend)	30 días después de enviarse o recibirse

Si la Academia necesita otro plazo por obligaciones propias, por ejemplo fiscales o educativas, lo pide y se pacta.

Anexo II — Medidas de seguridad

Ubicación: la aplicación, la base de datos, los ficheros y las copias se almacenan en la UE (Países Bajos y jurisdicción UE de Cloudflare R2).
Aislamiento entre academias: cada consulta se ejecuta con un rol de base de datos restringido y con seguridad a nivel de fila (Row Level Security) forzada en todas las tablas con datos de una academia. Una academia no puede leer datos de otra aunque falle el código de la aplicación. Una batería de pruebas automáticas lo comprueba en cada cambio.
Control de acceso por roles: dirección, administración, coordinación, profesorado y recepción ven y hacen solo lo que su rol permite, y se puede limitar a una sede. Las familias solo ven a sus propios hijos.
Autenticación: contraseñas con argon2, enlaces de acceso de un solo uso con caducidad y limitación de intentos.
Cifrado en tránsito: todo el tráfico va por HTTPS/TLS, también entre el proxy de Cloudflare y la aplicación.
Cifrado en reposo: discos de base de datos y ficheros cifrados por el proveedor. Las copias de seguridad además se cifran con una clave pública (age): la clave privada para restaurarlas no está en ningún servidor y solo la custodian los responsables de Gestademy.
Ficheros: los documentos y el logotipo nunca tienen una dirección pública. Toda descarga pasa por la aplicación, que comprueba los permisos.
Copias de seguridad: diarias, cifradas, en un almacenamiento separado y con caducidad a los 30 días. La restauración se ha probado.
Trazabilidad: historial de operaciones de cada academia, visible para su dirección.
Minimización: supresión y anonimización automáticas según el Anexo I.
Desarrollo: el código se prueba de forma automática en cada cambio (pruebas unitarias, de integración y de extremo a extremo). Los entornos de desarrollo y pruebas usan datos ficticios, nunca datos reales.

Anexo III — Subencargados autorizados

Subencargado	Servicio	Ubicación de los datos	Garantía de transferencia
Railway Corporation (EE. UU.)	Alojamiento de la aplicación y de la base de datos	UE: Ámsterdam (Países Bajos)	Cláusulas contractuales tipo (Decisión 2021/914), según su DPA
Cloudflare, Inc. (EE. UU.)	Almacenamiento de ficheros y copias de seguridad (R2); proxy y certificado TLS de la aplicación (`app.gestademy.com`)	Ficheros y copias: UE, jurisdicción UE de R2. Proxy: red global de Cloudflare; el tráfico pasa por ella cifrado entre el usuario y Cloudflare y entre Cloudflare y la aplicación, sin almacenarse	CCT y DPF, según su DPA
Resend, Inc. (EE. UU.)	Envío y recepción de correos a las familias y al equipo	UE: región eu-west-1	Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo, según su DPA

Nota sobre Stripe: Stripe Payments Europe, Ltd. (Irlanda) cobra a la Academia la suscripción a Gestademy (tarjeta o domiciliación SEPA) y emite sus facturas. Trata solo los datos de la Academia como cliente (razón social, NIF, dirección, correo y medio de pago), de los que Gestademy es responsable, y nunca datos de alumnos, familias o equipo. Por eso no figura como subencargado de este contrato, sino en la política de privacidad de Gestademy.

Versiones

24 de octubre de 2026 (vigente)