Kudeaketa-softwarea edozein akademia modernoren pieza teknologiko zentrala da: ikasleen oinarria ostatatzen du, matrikulak eta bajak kudeatzen ditu, asistentzia eta kalifikazioak erregistratzen ditu, familiekiko komunikazioa automatizatzen du, fakturazioa integratzen du, historia akademikoa mantentzen du. Azpiegitura horren gainean egunero bidaiatzen dute ikasleen, familien eta irakasle-langileen datu pertsonalek. Akademiaren eta softwarearen hornitzailearen arteko harremana RGPDren 28. artikuluaren mende dago eta, hala ere, akademia gehienek jakin gabe urratzen duten puntuetako bat da.
Gida honek azaltzen du nola arautu harreman hori RGPD (EB 2016/679 Erregelamendua) eta LOPDGDD (3/2018 Lege Organikoa) arauen pean: zer dokumentu sinatu, zer gutxieneko eduki izan behar duen, nola kudeatu nazioarteko transferentziak eta nola jokatu hornitzaile-aldaketaren edo segurtasun-hauste baten aurrean.
Softwarearen hornitzailea tratamenduaren eragilea da
Ikasleen datuak ostatatzen dituen, familiekiko komunikazioak kudeatzen dituen, ordainketak prozesatzen dituen edo kalifikazioak erregistratzen dituen edozein SaaS kudeaketa-softwarek datu pertsonalak akademiaren kontura tratatzen ari da. Horrek automatikoki tratamenduaren eragile bihurtzen du RGPDren 28. artikuluaren zentzuan.
Hornitzaileak berak erabakitzen duenak (bere produktuaren arkitektura, funtzionalitateak, roadmap-a, neurri teknikoak) ez du rol hori aldatzen: tratamendua exekutatzen du akademiaren argibideak jarraituz, hori baita zein ikasle inskribatzen diren, zein datu prozesatzen diren, zein helburutarako eta zenbat denboraz erabakitzen duena.
DPA: akademiak hornitzailearekin sinatu behar duena
RGPDren 28.3 artikuluak arduradun-eragile harremana kontratu edo bestelako egintza juridiko lotesle baten bidez arautzera behartzen du gutxieneko eduki batekin. Kudeaketa-softwareari aplikatuta:
| Klausula | Zer esan behar duen |
|---|---|
| Xedea eta iraupena | Software-zerbitzuaren prestazioa akademiaren harpidetzan zehar, datuak hornitzailearen helburu propioetarako erabili gabe. |
| Izaera eta helburua | Ikasleen datuen eta operatiba akademikoaren ostatatzea eta prozesatzea kontratatutako funtzionalitateen arabera. |
| Datu motak eta interesdunak | Identifikatzaileak, kontaktua, akademikoak, ekonomikoak, familiakoak adingabeetan; ikasleak, gurasoak, irakasle-langileak. |
| Hornitzailearen langileak | Konfidentzialtasuna kontratuz, gutxieneko pribilegioaren printzipioa bezeroaren datuetarako sarbideetan. |
| Segurtasun-neurriak | Zifratzea garraioan eta atsedenean, bigarren faktorea administratzaileentzat, sarbide-erregistroak, segurtasun-kopiak, ziurtagiriak (ISO 27001, SOC 2 dagokionean). |
| Azpieragileak | Zerrenda eskuragarria (cloud, monitorizazioa, soportea), aldaketak jakinarazteko mekanismoa, akademiaren aurka egiteko eskubidea. |
| Nazioarteko transferentziak | EEEtik kanpoko herrialdeen identifikazioa, transferentziaren oinarria (DPF edo SCC + TIA). |
| Eskubideetarako laguntza | Funtzionalitate teknikoak ikasle baten datuak esportatzeko, ezabatzeko, zuzentzeko akademiaren bidez eskatzen duenean. |
| Hausteen jakinarazpena | Epe zehatza (24-48 ordu) eta akademiarekin lankidetza-prozedura. |
| Amaieran itzultzea | Datuen esportazio osoa formatu erabilgarrian bertan behera utzi aurretik, ondorengo ezabaketa-ziurtapenarekin. |
Hornitzaile profesionalak DPA hori bere baldintza orokorretarako atxikimendu-eranskin gisa eskaintzen du, administrazio-paneletik deskargagarri eta sinagarri edo eskaeraz eskuragarri. Hornitzaileak eskaintzen ez badu, akademiak berariaz eskatu behar dio; uko egiten badio, komeni da hornitzaile-aldaketa baloratzea.
Hornitzaile-aldaketa: fase kritikoena
Kudeaketa-softwarearen aldaketa da ordenatuki kudeatzen ez bada betetze gehien galtzen den uneetako bat. Prozedura:
- Inbentario osoa hornitzaile irtenean dauden datuena: ikasleen zerrenda, historiko akademikoak, asistentzia, kalifikazioak, fakturazioa, familiekiko komunikazioak, konfigurazioak, txantiloi pertsonalizatuak.
- Esportazio osoa formatu erabilgarrian: CSV, Excel, JSON, produktuaren esportazio natiboa, ziurtagirien PDFen deskarga. Osotasunaren egiaztapena kontratu irtena itxi aurretik.
- Hornitzaile berrira inportatzea erregistro guztiak zuzen iritsi direla egiaztatuz.
- Hornitzaile berriaren DPA sinatzea operatiba hasi aurretik.
- Idatzizko ziurtapena hornitzaile irtenaren ezabaketarena, akademian artxibatua.
- Familiei komunikazioa aldaketak haientzat ikusgai den plataforma-aldaketa badakar (sarbide-URL berria, komunikazio-prozesu berria), idealki arrazoizko aurrerapenarekin.
- Akademiaren TJEaren eguneraketa hornitzaile berriarekin eta bere azpieragileekin.
"Akademia baten akatsik garestiena ez da kudeaketa-softwarea gaizki aukeratzea: DPA harekin ez sinatzea eta hornitzailearen hauste bat iristen den egunean deskubritzea da. AEPDk lehenengo kontratuaz galdetzen du; hornitzaileak hura inbokatzen du bere erantzukizuna mugatzeko; eta hori ez duen akademia bakarrik geratzen da ondorioa hartuz."
Mario P. Talamillo · Bazkide zuzendaria, Certix®
Nazioarteko transferentziak: nola egiaztatu
Kudeaketa-software askok, batez ere nazioarteko hedapen handienekoek, datuak ostatatzen dituzte edo azpiegituraren zati bat prozesatzen dute Europako Eremu Ekonomikotik kanpo. Egiaztapena:
- Datuen helmuga-herrialdea identifikatu: AEB kasu ohikoena da; besteak Erresuma Batua, Suitza, India, Filipinak izan daitezke (soporte deslokalizatua).
- Transferentziaren oinarria egiaztatu:
- AEB: Data Privacy Framework-ari atxikimendu aktiboa egiaztatu dataprivacyframework.gov-en.
- Erresuma Batua eta Suitza: Europako Batzordearen egokitasun-erabakiak daude.
- Egokitasunik gabeko beste herrialde batzuk: Standard Contractual Clauses + dokumentatutako Transfer Impact Assessment.
- Dokumentatu egiaztapena TJEan datarekin eta urteroko berregiaztapenarekin.
- Informatu familiei RGPDren 13. artikuluko klausulan transferentziari eta oinarriari buruz.
Segurtasun-hausteak: akademiak exekutatu ahal izan behar duena
RGPDren 33. artikuluak arduradunari behartzen dio AEPDri jakinaraztea kaltetuen eskubide eta askatasunentzat arriskua sor dezakeen edozein segurtasun-hauste, ezagutza duenetik 72 ordu baino gehiagoko epean. Hausteak hornitzailean (eragilean) gertatzen denean, akademiak (arduradunak) prozedura berehala aktibatu ahal izan behar du.
Elementu gakoak:
- Hornitzailearen jakinarazpen azkarra: epe espresa DPAn (24-48 ordu).
- Hasierako gutxieneko informazioa: gertakariaren izaera, eraginpean dauden sistemak, arriskuan dauden datu-kategoriak, gutxi gorabeherako norainokoa, berehalako neurriak.
- Barne-ebaluazioa: akademiak ebaluatzen du hausteak kaltetuentzat arriskua sor dezakeen eta AEPDra jakinarazpena erabakitzen du.
- Barne-erregistroa haustearena kausa-azterketarekin, hartutako neurriekin eta ikasitako ikasgaiekin (RGPD 33.5 art.).
- Kaltetuei komunikazioa arriskua handia denean (RGPD 34. art.), egoeraren deskribapenarekin, DBOaren kontaktuarekin existitzen bada eta efektua arintzeko gomendioekin.
Kudeaketa-softwarearen gutxieneko checklist-a
- RGPDren 28. artikuluko DPA sinatua eta artxibatua hornitzailearekin.
- Hornitzailearen azpieragileen zerrenda eskuragarria eta eguneratua.
- Nazioarteko transferentzien egiaztapen dokumentatua (DPF edo SCC + TIA).
- Datuak esportatzeko eta interesdunaren eskubide-eskaeraz ezabatzeko funtzionalitateak, probatuak.
- Hausteen jakinarazpen-epe espresa (24-48 ordu) eta lankidetza-prozedura.
- Hornitzaile-aldaketarako prozedura dokumentatua esportazioarekin, ezabaketa-ziurtapenarekin eta berriarekiko DPA sinadurarekin.
- Hornitzailearekin eta bere azpieragileekin eguneratutako TJEa.
- Softwarearen barne-konfigurazioa gutxieneko pribilegioaren printzipioarekin: akademiako erabiltzaile bakoitzak behar duena soilik ikusten du.
Ohiko galderak
Nire akademiaren kudeaketa-softwarea tratamenduaren eragilea da?
Bai. Ikasleen datuak ostatatzen dituen edozein SaaS softwarek datu horiek akademiaren kontura prozesatzen ditu eta tratamenduaren eragilea da (RGPD 28. art.). 28.3 artikuluaren edukiarekin DPA bat sinatu behar da. Hornitzaile profesionalek DPA hori beren baldintza orokorren eranskin gisa eskaintzen dute.
Zer gertatzen da ikaslearen datuekin akademiak kudeaketa-softwarea aldatzen duenean?
RGPDren 28.3.g artikuluak hornitzaile irtenari datuak suntsitu aurretik itzultzera behartzen du. Akademiak dena formatu erabilgarrian esportatu behar du bertan behera utzi aurretik, hornitzaile berrira inportatu osotasun-egiaztapenarekin, ezabaketaren idatzizko ziurtapena eskatu eta berriarekiko DPA sinatu.
Eta softwarea Estatu Batuetan ostatatuta badago edo EEEtik kanpo zerbitzariak baditu?
RGPDren V. Kap. aktibatzen du. Hornitzaile estatubatuarra Data Privacy Framework-ari atxikita badago, transferentziak babestuta daude. Atxikita ez badago, Standard Contractual Clauses eta dokumentatutako Transfer Impact Assessment erabili behar dira. dataprivacyframework.gov-en egiaztatu, TJEan dokumentatu, familiei informatu.
Zer arrisku hartzen ditu akademiak softwarearen hornitzaileak hauste bat jasaten badu?
Akademiak AEPDren eta kaltetuen aurrean erantzule izaten jarraitzen du. Arintzea: kontratuzkoa (jakinarazpen-epea 24-48 ordu DPAn), teknikoa (ziurtagiriak, zifratzea, bigarren faktorea) eta prozedurazkoa (protokolo propioa AEPDri 72 ordutan jakinarazteko eta kaltetuei arriskua handia bada).
Eduki hau orientagarria eta dibulgatiboa da soilik; ez du inola ere aholkularitza juridiko espezializatua osatzen. Araudia kasu zehatz bakoitzean aplikatzeak banakako azterketa eskatzen du. Sektoreko araudi autonomikoak epeak eta baldintzak zabaldu edo aldatu ditzake.
RGPDren 28. artikuluko DPA sinatuta al duzu zure kudeaketa-softwarearekin?
Certix-en, prestakuntza-sektoreko cumplimiento aditu bat esleitzen dizugu. Bitartekari komertzialik gabe, txantiloi generikorik gabe.
Aditu batekin hitz egin