El programari de gestió és la peça tecnològica central de qualsevol acadèmia moderna: allotja la base d'alumnes, gestiona matrícules i baixes, registra assistència i qualificacions, automatitza la comunicació amb famílies, integra la facturació, manté l'històric acadèmic. Sobre aquesta infraestructura viatgen diàriament les dades personals de l'alumnat, de les famílies i del personal docent. La relació entre l'acadèmia i el proveïdor del programari està subjecta a l'art. 28 RGPD i, tanmateix, és un dels punts on més acadèmies incompleixen sense saber-ho.
Aquesta guia explica com regular aquesta relació sota el RGPD (Reglament UE 2016/679) i la LOPDGDD (Llei Orgànica 3/2018): quin document signar, quin contingut mínim ha de tenir, com gestionar transferències internacionals i com procedir davant el canvi de proveïdor o davant una bretxa de seguretat.
El proveïdor del programari és encarregat del tractament
Qualsevol programari SaaS de gestió d'acadèmia que allotja dades de l'alumnat, gestiona comunicacions amb famílies, processa pagaments o registra qualificacions està tractant dades personals per compte de l'acadèmia. Això el converteix automàticament en encarregat del tractament en el sentit de l'art. 28 RGPD.
El que el proveïdor decideix per si mateix (l'arquitectura del seu producte, les funcionalitats, el roadmap, les mesures tècniques) no canvia aquest rol: executa el tractament seguint les instruccions de l'acadèmia, que és qui decideix quins alumnes s'inscriuen, quines dades es processen, per a quines finalitats i durant quant de temps.
El DPA: el que ha de signar l'acadèmia amb el proveïdor
L'art. 28.3 RGPD obliga a regular la relació responsable-encarregat mitjançant un contracte o un altre acte jurídic vinculant amb un contingut mínim. Aplicat al programari de gestió:
| Clàusula | Què ha de dir |
|---|---|
| Objecte i durada | Prestació del servei de programari durant la subscripció de l'acadèmia, sense ús de les dades per a finalitats pròpies del proveïdor. |
| Naturalesa i finalitat | Allotjament i processament de les dades de l'alumnat i operativa acadèmica conforme a les funcionalitats contractades. |
| Tipus de dades i interessats | Identificatives, contacte, acadèmiques, econòmiques, de família en menors; alumnes, pares, personal docent. |
| Personal del proveïdor | Confidencialitat per contracte, principi de mínim privilegi en accessos a dades de client. |
| Mesures de seguretat | Xifrat en trànsit i en repòs, doble factor per a administradors, registres d'accés, còpies de seguretat, certificacions (ISO 27001, SOC 2 quan escaigui). |
| Subencarregats | Llista accessible (cloud, monitorització, suport), mecanisme de notificació de canvis, dret d'oposició de l'acadèmia. |
| Transferències internacionals | Identificació de països fora de l'EEE, base de la transferència (DPF o SCC + TIA). |
| Assistència per als drets | Funcionalitats tècniques per exportar, suprimir, rectificar dades d'un alumne quan ho sol·liciti a través de l'acadèmia. |
| Notificació de bretxes | Termini concret (24-48 hores) i procediment de col·laboració amb l'acadèmia. |
| Devolució en finalitzar | Exportació íntegra de les dades en format útil abans de la rescissió, amb certificació de supressió posterior. |
El proveïdor professional ofereix aquest DPA com a annex d'adhesió a les seves condicions generals, descarregable i signable des del panell d'administració o disponible sota sol·licitud. Si el proveïdor no l'ofereix, l'acadèmia l'ha de demanar expressament; si es nega, convé valorar el canvi de proveïdor.
Canvi de proveïdor: la fase més crítica
El canvi de programari de gestió és un dels moments on més compliment es perd si no es gestiona ordenadament. Procediment:
- Inventari complet de les dades en el proveïdor sortint: llista d'alumnes, històrics acadèmics, assistència, qualificacions, facturació, comunicacions amb famílies, configuracions, plantilles personalitzades.
- Exportació íntegra en format útil: CSV, Excel, JSON, exportació nativa del producte, descàrrega de PDFs dels certificats. Verificació de la integritat abans de tancar el contracte sortint.
- Importació al nou proveïdor amb verificació que tots els registres han arribat correctament.
- Signatura del DPA del nou proveïdor abans d'iniciar l'operativa.
- Certificació escrita de supressió per part del proveïdor sortint, arxivada a l'acadèmia.
- Comunicació a les famílies si el canvi suposa canvi de plataforma visible per a elles (nova URL d'accés, nou procés de comunicació), idealment amb antelació raonable.
- Actualització del RAT de l'acadèmia amb el nou proveïdor i els seus subencarregats.
"L'error més car d'una acadèmia no és triar malament el programari de gestió: és no signar el DPA amb ell i descobrir-ho el dia que arriba una bretxa del proveïdor. L'AEPD pregunta primer pel contracte; el proveïdor l'invoca per limitar la seva responsabilitat; i l'acadèmia que no el té es queda sola assumint la conseqüència."
Mario P. Talamillo · Soci director, Certix®
Transferències internacionals: com verificar-les
Molts programaris de gestió, especialment els de major difusió internacional, allotgen dades o processen part de la infraestructura fora de l'Espai Econòmic Europeu. Verificació:
- Identificar el país de destinació de les dades: els EUA són el cas més freqüent; altres poden ser el Regne Unit, Suïssa, l'Índia, les Filipines (suport deslocalitzat).
- Verificar la base de la transferència:
- EUA: comprovar adhesió activa al Data Privacy Framework a dataprivacyframework.gov.
- Regne Unit i Suïssa: existeixen decisions d'adequació de la Comissió Europea.
- Altres països sense adequació: Standard Contractual Clauses + Transfer Impact Assessment documentat.
- Documentar la verificació al RAT amb data i reverificació anual.
- Informar les famílies en la clàusula de l'art. 13 RGPD sobre la transferència i la base.
Bretxes de seguretat: el que l'acadèmia ha de poder executar
L'art. 33 RGPD obliga el responsable a notificar a l'AEPD qualsevol bretxa de seguretat que pugui generar risc per als drets i llibertats dels afectats, en un termini no superior a 72 hores des que es té coneixement. Quan la bretxa ocorre en el proveïdor (encarregat), l'acadèmia (responsable) ha de poder activar el procediment de manera immediata.
Elements clau:
- Notificació ràpida del proveïdor: termini exprés al DPA (24-48 hores).
- Informació mínima inicial: naturalesa de l'incident, sistemes afectats, categories de dades compromeses, abast estimat, mesures immediates.
- Avaluació interna: l'acadèmia avalua si la bretxa pot generar risc per als afectats i decideix la notificació a l'AEPD.
- Registre intern de la bretxa amb anàlisi de causa, mesures adoptades i lliçons apreses (art. 33.5 RGPD).
- Comunicació als afectats quan el risc sigui alt (art. 34 RGPD), amb descripció de la situació, contacte del DPD si existeix i recomanacions per mitigar l'efecte.
Checklist mínim del programari de gestió
- DPA de l'art. 28 RGPD signat i arxivat amb el proveïdor.
- Llista de subencarregats del proveïdor accessible i actualitzada.
- Verificació documentada de les transferències internacionals (DPF o SCC + TIA).
- Funcionalitats d'exportació de dades i supressió per sol·licitud de drets de l'interessat, provades.
- Termini exprés de notificació de bretxes (24-48 hores) i procediment de col·laboració.
- Procediment documentat per a canvi de proveïdor amb exportació, certificació de supressió i signatura de DPA amb el nou.
- RAT actualitzat amb el proveïdor i els seus subencarregats.
- Configuració interna del programari amb principi de mínim privilegi: cada usuari de l'acadèmia veu només el que necessita.
Preguntes freqüents
El programari de gestió de la meva acadèmia és encarregat del tractament?
Sí. Qualsevol programari SaaS que allotja les dades de l'alumnat processa aquestes dades per compte de l'acadèmia i és encarregat del tractament (art. 28 RGPD). Cal signar un DPA amb el contingut de l'art. 28.3. Els proveïdors professionals ofereixen aquest DPA com a annex de les seves condicions generals.
Què passa amb les dades de l'alumne quan l'acadèmia canvia de programari de gestió?
L'art. 28.3.g RGPD obliga el proveïdor sortint a retornar les dades abans de destruir-les. L'acadèmia ha d'exportar-ho tot en format útil abans de rescindir, importar al nou proveïdor amb verificació d'integritat, exigir certificació escrita de supressió i signar DPA amb el nou proveïdor.
I si el programari està allotjat als Estats Units o té servidors fora de l'EEE?
Activa el Cap. V RGPD. Si el proveïdor estatunidenc està adherit al Data Privacy Framework, les transferències estan emparades. Si no està adherit, cal operar amb Standard Contractual Clauses i Transfer Impact Assessment documentat. Verificar a dataprivacyframework.gov, documentar al RAT, informar les famílies.
Quins riscos assumeix l'acadèmia si el proveïdor del programari pateix una bretxa?
L'acadèmia segueix sent responsable davant l'AEPD i els afectats. Mitigació: contractual (termini de notificació 24-48h al DPA), tècnica (certificacions, xifrat, doble factor) i procedimental (protocol propi per notificar a l'AEPD en 72h i als afectats si el risc és alt).
Aquest contingut és merament orientatiu i divulgatiu; no constitueix en cap cas assessorament jurídic especialitzat. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada. La normativa autonòmica sectorial pot ampliar o modificar terminis i requisits.
Tens signat el DPA de l'art. 28 RGPD amb el teu programari de gestió?
A Certix t'assignem un expert en compliment del sector formatiu. Sense intermediaris comercials, sense plantilles genèriques.
Parlar amb un expert