1. Partes del acuerdo

2. Antecedentes y finalidad

Este Acuerdo de Encargo de Tratamiento regula el tratamiento de datos personales por parte del Encargado del Tratamiento en nombre del Responsable del Tratamiento en relación con el uso del servicio Timeplaner.no.

Timeplaner.no es una herramienta digital de planificación para profesores que permite:

• Crear y gestionar horarios semanales y programaciones anuales
• Guardar notas de clase y tareas
• Organizar material didáctico
• Utilizar pantalla de aula para mostrar información a los alumnos
• Planificación de clases asistida por IA (opcional, activada por el profesor)
• Almacenamiento en la nube vía Google Drive o Microsoft OneDrive (opcional, activado por el profesor)
• Compartir programaciones con profesores sustitutos mediante enlace temporal (opcional)
• Compartir el calendario mediante enlace público (opcional)

3. Categorías de datos personales

3.1 Datos que se tratan

Categoría	Datos	Origen
Identificación	Nombre, correo electrónico	Feide / Google / Microsoft
Autenticación	ID de Feide, ID de Google, ID de Microsoft	Feide / Google / Microsoft
Afiliación organizativa	Centro educativo/municipio, rol en la organización (profesor/personal/alumno). El rol se utiliza únicamente para rechazar inicios de sesión de alumnos en el registro, y no se almacena en la base de datos del servicio	Feide
Contenido del usuario	Horarios semanales, programaciones anuales, notas, imágenes subidas por el docente (normalmente capturas de pantalla de páginas web y material didáctico)	Creado por el usuario
Datos técnicos	Fecha de inicio de sesión, preferencia de idioma	Generado por el sistema
Identificadores de alumnos	Apodo/número/iniciales, sexo (opcional), cumpleaños (MM-DD, opcional), las notas y etiquetas propias del profesor sobre el alumno (texto libre, opcional)	Registrado por el profesor
Actividad del alumno	Estado de tareas (entregada/no entregada/tardía), resultados de pruebas registrados por el profesor, evaluación sin calificación formal (apto/no apto, puntos, porcentaje, logro de objetivos) y el comentario del profesor sobre el resultado (texto libre, opcional)	Registrado por el profesor / generado por el sistema
Registro de seguridad	Dirección IP, agente de usuario (conservados 12 meses)	Generado por el sistema
Registro de actividad	Visitas a páginas, acciones en el servicio (agregadas)	Generado por el sistema
Contexto de la clase para IA	Tipo de centro, curso, nombre del centro, nombre de la asignatura, nombre de la clase, semana y día, contenido del plan anual (tema, objetivos de competencia, objetivos de aprendizaje, actividades, recursos), los enlaces de asignatura, las rutinas y las columnas personalizadas del profesor, así como las notas y mensajes propios del profesor (solo cuando se utiliza el asistente de IA). El profesor ve qué acompaña a cada mensaje y puede excluir partes concretas antes de enviarlo. Las listas de alumnos, los identificadores de alumnos, el estado de las tareas y los resultados de los tests nunca se envían al servicio de IA	Activado por el profesor
Contenido en la nube	Documentos creados por el profesor (solo cuando Drive/OneDrive está conectado)	Activado por el profesor

3.2 Datos que NO se tratan

• Diagnósticos, partes médicos o información sanitaria específica
• Religión, etnia u otras categorías especiales según el artículo 9 del RGPD
• DNI/NIE o número de la Seguridad Social
• Calificaciones formales (1-6) o evaluaciones finales

4. Interesados

Este acuerdo se aplica al tratamiento de datos personales de:

• Profesores empleados del Responsable del Tratamiento que utilizan Timeplaner.no
• Alumnos que el profesor registra en la lista de clase. El profesor lo hace por cuenta del Responsable del Tratamiento, que es también el responsable de estos datos. Lo que se introduce en el campo identificador se describe en el punto 3.1

El número de interesados variará en función de cuántos profesores decidan utilizar el servicio y cuántos alumnos registren.

5. Finalidad y base jurídica

El Encargado del Tratamiento trata los datos personales exclusivamente para los siguientes fines:

1. Autenticación: Verificar la identidad del usuario mediante Feide, Google o Microsoft
2. Prestación del servicio: Proporcionar la funcionalidad descrita en el apartado 2
3. Planificación asistida por IA: Generar sugerencias de contenido didáctico cuando el profesor utiliza activamente el asistente de IA
4. Almacenamiento en la nube: Almacenar los documentos del profesor en Google Drive o Microsoft OneDrive cuando el profesor ha activado la conexión
5. Soporte al usuario: Ayudar a los usuarios con problemas técnicos
6. Seguridad: Proteger contra accesos no autorizados y uso indebido

La base jurídica es el artículo 6(1)(b) del RGPD: ejecución de un contrato con el interesado.

6. Obligaciones del Encargado del Tratamiento

6.1 Obligaciones generales

El Encargado del Tratamiento deberá:

1. Tratar los datos personales únicamente siguiendo las instrucciones documentadas del Responsable del Tratamiento
2. Garantizar que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad
3. Adoptar todas las medidas requeridas en virtud del artículo 32 del RGPD (seguridad)
4. Asistir al Responsable del Tratamiento en el cumplimiento de los derechos de los interesados conforme al capítulo III del RGPD (artículos 12 a 23), cf. artículo 28.3.e)
5. Asistir al Responsable del Tratamiento en el cumplimiento de los artículos 32 a 36 del RGPD, incluidos la seguridad, la gestión de violaciones de seguridad, la evaluación de impacto relativa a la protección de datos y la consulta previa a la autoridad de control, cf. artículo 28.3.f)
6. Suprimir o devolver los datos personales a la finalización del contrato
7. Poner a disposición toda la información necesaria para demostrar el cumplimiento

6.2 Medidas de seguridad

El Encargado del Tratamiento ha implementado las siguientes medidas de seguridad:

• Transmisión de datos cifrada (HTTPS/TLS)
• Autenticación segura mediante Feide/Google/Microsoft OAuth 2.0
• Control de acceso basado en la identidad del usuario
• Copias de seguridad periódicas
• Registro de incidentes de seguridad
• Almacenamiento de datos en los países nórdicos (servidor en Finlandia, UE/EEE)

6.3 Asistencia en la evaluación de impacto (EIPD)

Realizar una evaluación de impacto relativa a la protección de datos conforme al artículo 35 del RGPD corresponde al Responsable del Tratamiento. El Encargado del Tratamiento asistirá con la documentación en la que se basa dicha evaluación, así como en la consulta previa a la autoridad de control conforme al artículo 36.

Esta asistencia es gratuita para el Responsable del Tratamiento e incluye:

• Un documento base para la EIPD que describe las finalidades, las categorías de datos, los interesados, los subencargados y su ubicación, los plazos de conservación, las medidas de seguridad, las transferencias a terceros países y los controles de que dispone el Responsable del Tratamiento a nivel de organización
• Un Transfer Impact Assessment para las transferencias a terceros países, cf. apartado 8
• Respuesta escrita a las preguntas del delegado de protección de datos del Responsable del Tratamiento, normalmente en un plazo de 10 días hábiles
• Una reunión en la que se muestra el flujo de datos real del servicio, si el Responsable del Tratamiento lo desea

Los documentos están disponibles previa solicitud a [email protected]. Si modificamos el tratamiento de manera que una evaluación ya realizada deba actualizarse, el Encargado del Tratamiento lo comunicará al Responsable del Tratamiento.

7. Subencargados del tratamiento

El Encargado del Tratamiento utiliza los siguientes subencargados:

7.1 Subencargados siempre activos

Subencargado	Servicio	Ubicación
Hetzner Online GmbH	Alojamiento web, base de datos y almacenamiento de archivos	Servidor en Finlandia (países nórdicos, UE/EEE)
Cloudflare, Inc.	CDN y protección DDoS, además de almacenamiento de copias de seguridad cifradas (AES-256, la clave la conserva únicamente el Encargado)	UE/EE.UU.*
SMTP2GO	Envío de correo electrónico (correos transaccionales, sin datos de alumnos)	UE (Ámsterdam, Países Bajos)**
Sikt, Agencia noruega de servicios compartidos para educación e investigación	Autenticación Feide (cuando se utiliza el inicio de sesión Feide)	Noruega
Google LLC	Google OAuth 2.0 (cuando se utiliza el inicio de sesión con Google)	UE/EE.UU.*
Microsoft Corporation	Microsoft OAuth 2.0 (cuando se utiliza el inicio de sesión con Microsoft)	UE/EE.UU.*

7.2 Subencargados opcionales (activados por el profesor)

Los siguientes subencargados tratan datos personales únicamente cuando el profesor activa una funcionalidad opcional:

Subencargado	Servicio / datos	Ubicación	Se activa cuando
Google LLC	Gemini IA: contexto de la clase (tipo de centro, curso, nombre del centro, asignatura, clase, semana y día, contenido del plan anual, enlaces de asignatura, rutinas, columnas personalizadas y las notas y mensajes propios del profesor). El profesor puede excluir partes concretas antes de cada mensaje. Ningún dato del registro de alumnos (listas de alumnos, identificadores, estado de las tareas, resultados de tests) se envía al servicio de IA. Plan de pago; los datos no se utilizan para entrenar los modelos de Google.	EE.UU.*	El profesor utiliza el asistente de IA
Google LLC	Google Drive: almacenamiento de documentos (documentos propios del profesor)	EE.UU.*	El profesor conecta Google Drive
Microsoft Corporation	Microsoft Graph / OneDrive: almacenamiento de documentos (documentos propios del profesor)	EE.UU.*	El profesor conecta OneDrive

* Las transferencias a EE.UU. se garantizan mediante el Marco de Privacidad de Datos UE-EE.UU. y las Cláusulas Contractuales Tipo (CCT).
** La cuenta de SMTP2GO de Timeplaner está alojada en el centro de datos europeo de SMTP2GO en Ámsterdam. Todo el correo se envía, almacena y procesa en servidores ubicados dentro de la UE/EEE. SMTP2GO cuenta con certificación ISO 27001 y cumple el RGPD; el centro de datos europeo está además certificado SOC 2 Type II e ISAE 3402. La sociedad matriz SMTP2GO Pty Ltd está constituida en Nueva Zelanda; la Comisión Europea cuenta con una decisión de adecuación para Nueva Zelanda (2013/65/UE), y además se aplican las Cláusulas Contractuales Tipo (CCT) a la relación con la matriz.

El Encargado del Tratamiento informará al Responsable del Tratamiento de cualquier cambio previsto en los subencargados con un mínimo de 30 días de antelación.

7.3 Funcionalidades de compartir activadas por el profesor

El servicio incluye dos mecanismos opcionales de compartir que el profesor activa:

• El enlace público al calendario da acceso de solo lectura al calendario del profesor mediante un token generado aleatoriamente. El profesor puede revocarlo.
• El enlace de plan para profesor sustituto (vikar) da acceso de solo lectura a un plan concreto mediante un token con caducidad.

Toda la compartición puede revocarse por el profesor, y los tokens son aleatorios e impredecibles.

8. Transferencias internacionales de datos

Los datos personales se almacenan principalmente en servidores ubicados en los países nórdicos (servidor en Finlandia, UE/EEE).

El correo electrónico se envía a través del centro de datos europeo de SMTP2GO en Ámsterdam, por lo que el contenido de los correos transaccionales se almacena y procesa dentro de la UE/EEE.

Los datos se transfieren a EE.UU. únicamente cuando se utilizan servicios de Google, Microsoft o Cloudflare (garantizado mediante el Marco de Privacidad de Datos UE-EE.UU. y Cláusulas Contractuales Tipo).

Las transferencias fuera de la UE/EEE se garantizan mediante:

• Marco de Privacidad de Datos UE-EE.UU. (para proveedores estadounidenses)
• Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea
• Decisión de adecuación de la Comisión Europea para Nueva Zelanda (2013/65/UE)

Se ha elaborado una Evaluación de Impacto de Transferencias (TIA) para las transferencias a terceros países, disponible previa solicitud a través de [email protected].

9. Derechos de los interesados

El Encargado del Tratamiento asistirá al Responsable del Tratamiento en el cumplimiento de los derechos de los interesados:

• Acceso: Los interesados pueden ver sus propios datos en el servicio
• Rectificación: Los usuarios pueden actualizar su información
• Supresión: Los usuarios pueden eliminar su cuenta desde Configuración
• Portabilidad: La exportación de datos está disponible previa solicitud

Las solicitudes sobre derechos de los interesados pueden dirigirse a: [email protected]

10. Gestión de brechas de seguridad

En caso de violación de la seguridad de los datos personales, el Encargado del Tratamiento deberá:

1. Notificar al Responsable del Tratamiento sin dilación indebida y a más tardar en 24 horas
2. Documentar todas las violaciones, incluyendo circunstancias, consecuencias y medidas adoptadas
3. Asistir al Responsable del Tratamiento en la notificación a la autoridad de control y a los interesados cuando sea necesario

La notificación se enviará a la persona de contacto indicada en el apartado 1, así como a: [email protected]

11. Derecho de auditoría

El Responsable del Tratamiento tiene derecho a:

• Realizar auditorías del tratamiento del Encargado del Tratamiento
• Recibir documentación sobre medidas de seguridad y procedimientos
• Solicitar confirmación del cumplimiento de este acuerdo

La auditoría se notificará con un mínimo de 14 días de antelación y se realizará de forma que no perturbe el funcionamiento normal.

12. Conservación y supresión

12.1 Período de conservación

• Los datos del usuario se conservan mientras la cuenta esté activa
• Las cuentas inactivas (sin inicio de sesión en 24 meses) serán notificadas antes de su supresión
• Los registros de seguridad se conservan durante 12 meses

12.2 A la finalización del acuerdo

A la terminación del acuerdo, el Encargado del Tratamiento deberá:

1. Dar al Responsable del Tratamiento la oportunidad de recuperar los datos (30 días)
2. Suprimir todos los datos personales, incluidas las copias de seguridad (90 días)
3. Confirmar por escrito que la supresión se ha completado

13. Duración del acuerdo

Este acuerdo entra en vigor en el momento de su firma y permanecerá vigente mientras el Responsable del Tratamiento tenga usuarios que utilicen Timeplaner.no mediante Feide.

El acuerdo puede ser resuelto por cualquiera de las partes con un preaviso por escrito de 3 meses.

14. Responsabilidad

El Encargado del Tratamiento será responsable de:

• Los daños derivados del tratamiento realizado en incumplimiento de este acuerdo
• Los daños derivados del tratamiento realizado en incumplimiento del RGPD o de las instrucciones del Responsable del Tratamiento

El Encargado del Tratamiento quedará exonerado de responsabilidad si demuestra que no es responsable del hecho que haya causado el daño.

15. Ley aplicable y jurisdicción

Este acuerdo se rige por el derecho noruego. Cualquier controversia se resolverá mediante negociación. Si las negociaciones no prosperan, la controversia será resuelta por los tribunales noruegos, siendo competente el Tribunal de Primera Instancia de Bergen.

Nota: Para centros educativos españoles, las cuestiones de protección de datos se regirán también por la LOPDGDD (Ley Orgánica 3/2018) en lo que sea de aplicación.