Anexo de tratamiento de datos (academias)

1. Partes

Responsable del tratamiento

La academia, escuela de idiomas o colegio que contrata las licencias («la Academia»).

Encargado del tratamiento

Lehrito (Einzelunternehmen (empresario individual / sole trader)), establecido en Deutschland / Alemania. Los datos identificativos completos se facilitan a la Academia a solicitud, escribiendo a seguimiento@profesorlehrer.com; se remiten en todo caso antes de la firma si la institución los precisa para su expediente.

2. Delimitación de responsabilidades

Actuamos como encargado, por cuenta de la Academia, únicamente respecto de: las direcciones de correo de los alumnos que la Academia introduce para asignarles una licencia; la asignación a clases y las fechas de vigencia; y la bitácora de auditoría de las actuaciones del personal de la Academia.

Actuamos como responsable independiente respecto de la actividad de aprendizaje del alumno: su vocabulario guardado, los textos que escribe, los análisis de escritura y pronunciación y su progreso. El alumno es nuestro usuario directo en relación con esos datos, y su tratamiento se rige por nuestra Política de privacidad.

Consecuencia práctica: la Academia no tiene acceso al contenido de aprendizaje del alumno y no puede darnos instrucciones sobre él. No entregamos a la institución los textos, las puntuaciones ni el historial de un alumno, ni siquiera a petición de la dirección del centro. La Academia solo ve el estado administrativo de las licencias que ha asignado.

3. Objeto, duración, naturaleza y finalidad

Objeto y finalidad

Administrar las licencias que la Academia asigna a sus alumnos: emisión, activación, asignación a clases, prórroga, revocación y trazabilidad de esas actuaciones.

Naturaleza del tratamiento

Recogida, registro, almacenamiento, consulta, comunicación por correo electrónico al alumno, modificación y supresión, mediante sistemas automatizados.

Duración

La del contrato de licencias, más el plazo de la Política de conservación para la bitácora de auditoría.

Categorías de interesados

Alumnos de la Academia; personal administrativo de la Academia.

Tipos de datos personales

Dirección de correo electrónico; plan y estado de la licencia; clase asignada; fechas de emisión, activación y vencimiento; identidad del administrador que ejecuta cada actuación y las notas que este escriba.

No se tratan categorías especiales de datos en el marco de este anexo. Si la Academia introdujera datos sensibles en un campo de texto libre —por ejemplo en una nota de la bitácora— lo haría al margen de las instrucciones acordadas y bajo su exclusiva responsabilidad.

4. Tratamiento conforme a instrucciones

Trataremos los datos personales exclusivamente para las finalidades de la cláusula 3 y siguiendo las instrucciones documentadas de la Academia. Las funciones de la plataforma que la Academia utiliza a través del portal constituyen esas instrucciones documentadas; cualquier instrucción adicional debe cursarse por escrito.

Si consideramos que una instrucción infringe el RGPD u otra norma de protección de datos, lo comunicaremos de inmediato y podremos suspender su ejecución hasta que la Academia la confirme o la modifique.

No trataremos los datos para finalidades propias, ni los cederemos a terceros distintos de los subencargados de la cláusula 7.

5. Confidencialidad

Las personas autorizadas para tratar los datos están sujetas a un deber de confidencialidad que subsiste tras la finalización de su relación. El acceso se limita a quien lo necesita para prestar el servicio y se controla mediante roles diferenciados.

6. Medidas de seguridad

Aplicamos las medidas técnicas y organizativas exigidas por el art. 32 RGPD, entre ellas:

• Cifrado en tránsito mediante TLS y cifrado en reposo de las bases de datos.
• Autenticación mediante tokens de vigencia limitada y control de acceso basado en roles.
• Separación estricta entre el entorno de identidad de los alumnos y el del personal institucional, de modo que un administrador no pueda operar sobre otra academia.
• Trazabilidad íntegra de las actuaciones administrativas en una bitácora de auditoría.
• Enmascaramiento de las direcciones de correo antes de escribirse en los registros técnicos.
• Copias de seguridad gestionadas por el proveedor de infraestructura y capacidad de restauración.

7. Subencargados

La Academia autoriza de forma general la intervención de los subencargados relacionados a continuación, conforme al art. 28.2 RGPD. Con cada uno de ellos hemos celebrado un contrato que impone obligaciones de protección de datos equivalentes a las de este anexo.

8. Asistencia a la Academia

Le prestaremos asistencia razonable para atender las solicitudes de los interesados relativas a los datos de licencias, así como para cumplir sus obligaciones de los arts. 32 a 36 RGPD.

Si un alumno nos dirige directamente una solicitud sobre datos en los que la Academia es responsable, no la resolveremos por cuenta propia: la remitiremos a la Academia sin demora indebida.

Le comunicaremos toda violación de la seguridad de los datos que afecte a datos tratados por su cuenta sin demora indebida desde que tengamos conocimiento de ella, con la información necesaria para que la Academia pueda cumplir su obligación de notificación del art. 33 RGPD.

9. Auditoría

Facilitaremos a la Academia la información razonablemente necesaria para acreditar el cumplimiento de este anexo, y en particular la descripción de las medidas técnicas y organizativas aplicadas y las certificaciones de los subencargados.

Las inspecciones se realizarán con un preaviso razonable, en horario laboral, sin interrumpir el servicio y sujetas a confidencialidad. Cuando la información documental sea suficiente para acreditar el cumplimiento, podrá sustituir a la inspección presencial.

10. Supresión al finalizar el encargo

A la terminación del contrato de licencias suprimiremos los datos tratados por cuenta de la Academia, salvo que exista una obligación legal de conservación. La bitácora de auditoría se conserva durante el plazo indicado en la Política de conservación, por ser el elemento probatorio de las actuaciones realizadas.

A petición de la Academia, y antes de la supresión, le entregaremos una copia de los datos de licencias en formato estructurado.

Las cuentas de los alumnos no se eliminan al finalizar el contrato de la Academia. El alumno mantiene su cuenta personal y su vocabulario en el plan gratuito, dado que respecto de esos datos somos responsables y nuestra relación es directamente con él.

11. Alumnos menores de edad

Cuando la Academia asigne licencias a menores de 16 años, le corresponde a ella obtener con carácter previo el consentimiento de los titulares de la patria potestad o tutela, conservar la prueba de dicho consentimiento e informar a las familias del tratamiento. Al asignar la licencia, la Academia declara haber cumplido estos requisitos.

En Colombia son de aplicación adicional el art. 7 de la Ley 1581 de 2012 y el art. 12 del Decreto 1377 de 2013, relativos al tratamiento de datos de niños, niñas y adolescentes.

12. Disposiciones finales

En caso de contradicción entre este anexo y los Términos de servicio, prevalecerá este anexo en lo relativo al tratamiento de datos personales.

Se aplica el Derecho alemán. La responsabilidad se rige por el art. 82 RGPD y por la cláusula de responsabilidad de los Términos de servicio.

Versión 1.1, en vigor desde el 2026-07-30.