O software de xestión da miña academia (Classlife, Wuolah Academy, AcademiaApp, etc.) é encargado do tratamento?

Si. Calquera software SaaS de xestión de academia que aloxa os datos do alumnado (matrículas, asistencia, cualificacións, comunicación con familias, facturación) procesa eses datos por conta da academia, que é a responsable do tratamento. O provedor do software actúa como encargado do tratamento conforme ao art. 28 RGPD e debe asinar coa academia un Data Processing Agreement co contido do art. 28.3: obxecto, natureza e finalidade do tratamento, tipos de datos, confidencialidade do persoal do provedor, medidas de seguridade, lista de subencargados (tipicamente o provedor cloud), notificación de violacións, asistencia para dereitos do interesado, transferencias internacionais se as hai e devolución dos datos ao cesar o servizo. Os provedores profesionais do sector ofrecen este DPA como anexo de adhesión ás súas condicións; os que non o ofrecen presentan un problema serio de cumprimento que debería resolverse antes de continuar con eles.

E se o software de xestión está aloxado en Estados Unidos ou ten servidores fóra do EEE?

Activa o réxime do Capítulo V RGPD sobre transferencias internacionais. A academia debe verificar a base xurídica da transferencia: se o provedor estadounidense está adherido ao Data Privacy Framework, as transferencias están amparadas pola Decisión de Adecuación 2023/1795. Se non está adherido ao DPF, cómpre operar con Standard Contractual Clauses (SCC) asinadas entre exportador e importador e, conforme á sentenza Schrems II, un Transfer Impact Assessment documentado que avalíe se as garantías son suficientes ante o marco legal do país de destino. Para academias con menores, convén ademais verificar que a versión contratada do software é adecuada para datos de menores e que o provedor ofrece garantías reforzadas (configuración de residencia europea cando estea dispoñible, cifrado en repouso con clave baixo control da academia, limitación de usos secundarios).

Software de xestión de academias: o contrato do art. 28 RGPD que moitas non teñen

Q: Que pasa cos datos do alumno cando a academia cambia de software de xestión?

É o momento máis delicado do réxime do encargado do tratamento. O art. 28.3.g RGPD obriga ao provedor saínte a devolver ao responsable (a academia) os datos persoais tratados por súa conta, ou permitir a súa exportación íntegra, antes de proceder á destrución segura. Aplicado ao cambio de software de xestión, isto significa: a academia debe poder exportar todos os datos en formato estruturado e útil (CSV, Excel, JSON, exportación nativa do provedor) antes de rescindir o contrato co provedor saínte; o saínte debe certificar por escrito a supresión dos datos nos seus sistemas tras a entrega; o novo provedor recibe os datos nunha canle segura e asina o seu propio DPA. O erro frecuente é rescindir o contrato sen exportar primeiro: a academia queda sen histórico de alumnos, sen cualificacións, sen facturación pasada e sen documentación da actividade formativa. A AEPD indicou que o provedor que se negue a devolver os datos antes de borralos incumpre o art. 28.3.g.

Q: Que riscos asume a academia se o provedor do software sofre unha violación de seguridade?

A academia, como responsable do tratamento, segue sendo responsable ante a AEPD e ante os alumnos e familias afectados, aínda que a violación ocorrese nos sistemas do encargado. A forma de mitigar o risco é tripla: contractual (o DPA co provedor inclúe prazo expreso de notificación de violacións, tipicamente 24-48 horas, e información mínima da comunicación), técnica (verificar que o provedor mantén certificacións razoables como ISO 27001 ou SOC 2, ofrece cifrado en tránsito e en repouso, dobre factor obrigatorio para administradores) e procedimental (a academia ten o seu propio protocolo de violacións con plantilla de notificación á AEPD para activar en menos de 72 horas desde o coñecemento). Cando chega unha violación do provedor, a academia debe avaliar o risco para os afectados, rexistrar internamente a incidencia, notificar á AEPD se procede (art. 33 RGPD) e, se o risco é alto, comunicar aos afectados (art. 34 RGPD).

O software de xestión é a peza tecnolóxica central de calquera academia moderna: aloxa a base de alumnos, xestiona matrículas e baixas, rexistra asistencia e cualificacións, automatiza a comunicación con familias, integra a facturación, mantén o histórico académico. Sobre esa infraestrutura viaxan diariamente os datos persoais do alumnado, das familias e do persoal docente. A relación entre a academia e o provedor do software está suxeita ao art. 28 RGPD e, con todo, é un dos puntos onde máis academias incumpren sen sabelo.

Esta guía explica como regular esa relación baixo o RGPD (Regulamento UE 2016/679) e a LOPDGDD (Lei Orgánica 3/2018): que documento asinar, que contido mínimo debe ter, como xestionar transferencias internacionais e como proceder ante o cambio de provedor ou ante unha violación de seguridade.

O provedor do software é encargado do tratamento

Calquera software SaaS de xestión de academia que aloxa datos do alumnado, xestiona comunicacións con familias, procesa pagos ou rexistra cualificacións está a tratar datos persoais por conta da academia. Iso convérteo automaticamente en encargado do tratamento no sentido do art. 28 RGPD.

O que o provedor decide por si mesmo (a arquitectura do seu produto, as funcionalidades, o roadmap, as medidas técnicas) non cambia ese rol: executa o tratamento seguindo as instrucións da academia, que é quen decide que alumnos se inscriben, que datos se procesan, para que finalidades e durante canto tempo.

O DPA: o que debe asinar a academia co provedor

O art. 28.3 RGPD obriga a regular a relación responsable-encargado mediante un contrato ou outro acto xurídico vinculante cun contido mínimo. Aplicado ao software de xestión:

Cláusula	Que debe dicir
Obxecto e duración	Prestación do servizo de software durante a subscrición da academia, sen uso dos datos para finalidades propias do provedor.
Natureza e finalidade	Aloxamento e procesamento dos datos do alumnado e operativa académica conforme ás funcionalidades contratadas.
Tipos de datos e interesados	Identificativos, contacto, académicos, económicos, de familia en menores; alumnos, pais, persoal docente.
Persoal do provedor	Confidencialidade por contrato, principio de mínimo privilexio en accesos a datos de cliente.
Medidas de seguridade	Cifrado en tránsito e en repouso, dobre factor para administradores, rexistros de acceso, copias de seguridade, certificacións (ISO 27001, SOC 2 cando proceda).
Subencargados	Lista accesible (cloud, monitorización, soporte), mecanismo de notificación de cambios, dereito de oposición da academia.
Transferencias internacionais	Identificación de países fóra do EEE, base da transferencia (DPF ou SCC + TIA).
Asistencia para dereitos	Funcionalidades técnicas para exportar, suprimir, rectificar datos dun alumno cando o solicite a través da academia.
Notificación de violacións	Prazo concreto (24-48 horas) e procedemento de colaboración coa academia.
Devolución ao finalizar	Exportación íntegra dos datos en formato útil antes da rescisión, con certificación de supresión posterior.

O provedor profesional ofrece este DPA como anexo de adhesión ás súas condicións xerais, descargable e asinable desde o panel de administración ou dispoñible baixo solicitude. Se o provedor non o ofrece, a academia debe pedilo expresamente; se se nega, convén valorar o cambio de provedor.

Cambio de provedor: a fase máis crítica

O cambio de software de xestión é un dos momentos onde máis cumprimento se perde se non se xestiona ordenadamente. Procedemento:

Inventario completo dos datos no provedor saínte: lista de alumnos, históricos académicos, asistencia, cualificacións, facturación, comunicacións con familias, configuracións, plantillas personalizadas.
Exportación íntegra en formato útil: CSV, Excel, JSON, exportación nativa do produto, descarga de PDFs dos certificados. Verificación da integridade antes de pechar o contrato saínte.
Importación ao novo provedor con verificación de que todos os rexistros chegaron correctamente.
Firma do DPA do novo provedor antes de iniciar a operativa.
Certificación escrita de supresión por parte do provedor saínte, arquivada na academia.
Comunicación ás familias se o cambio supón cambio de plataforma visible para elas (nova URL de acceso, novo proceso de comunicación), idealmente con antelación razoable.
Actualización do RAT da academia co novo provedor e os seus subencargados.

"O erro máis caro dunha academia non é elixir mal o software de xestión: é non asinar o DPA con el e descubrilo o día que chega unha violación do provedor. A AEPD pregunta primeiro polo contrato; o provedor invócao para limitar a súa responsabilidade; e a academia que non o ten queda soa asumindo a consecuencia."

Mario P. Talamillo · Socio director, Certix®

Transferencias internacionais: como verificalas

Moitos software de xestión, especialmente os de maior difusión internacional, aloxan datos ou procesan parte da infraestrutura fóra do Espazo Económico Europeo. Verificación:

Identificar o país de destino dos datos: EE.UU. é o caso máis frecuente; outros poden ser Reino Unido, Suíza, India, Filipinas (soporte deslocalizado).
Verificar a base da transferencia:
- EE.UU.: comprobar adhesión activa ao Data Privacy Framework en dataprivacyframework.gov.
- Reino Unido e Suíza: existen decisións de adecuación da Comisión Europea.
- Outros países sen adecuación: Standard Contractual Clauses + Transfer Impact Assessment documentado.
Documentar a verificación no RAT con data e reverificación anual.
Informar ás familias na cláusula do art. 13 RGPD sobre a transferencia e a base.

Violacións de seguridade: o que a academia debe poder executar

O art. 33 RGPD obriga ao responsable a notificar á AEPD calquera violación de seguridade que poida xerar risco para os dereitos e liberdades dos afectados, nun prazo non superior a 72 horas desde que se ten coñecemento. Cando a violación ocorre no provedor (encargado), a academia (responsable) debe poder activar o procedemento de inmediato.

Elementos clave:

Notificación rápida do provedor: prazo expreso no DPA (24-48 horas).
Información mínima inicial: natureza do incidente, sistemas afectados, categorías de datos comprometidos, alcance estimado, medidas inmediatas.
Avaliación interna: a academia avalía se a violación pode xerar risco para os afectados e decide a notificación á AEPD.
Rexistro interno da violación con análise de causa, medidas adoptadas e leccións aprendidas (art. 33.5 RGPD).
Comunicación aos afectados cando o risco sexa alto (art. 34 RGPD), con descrición da situación, contacto do DPD se existe e recomendacións para mitigar o efecto.

Checklist mínimo do software de xestión

DPA do art. 28 RGPD asinado e arquivado co provedor.
Lista de subencargados do provedor accesible e actualizada.
Verificación documentada das transferencias internacionais (DPF ou SCC + TIA).
Funcionalidades de exportación de datos e supresión por solicitude de dereitos do interesado, probadas.
Prazo expreso de notificación de violacións (24-48 horas) e procedemento de colaboración.
Procedemento documentado para cambio de provedor con exportación, certificación de supresión e firma de DPA co novo.
RAT actualizado co provedor e os seus subencargados.
Configuración interna do software con principio de mínimo privilexio: cada usuario da academia ve só o que necesita.

Preguntas frecuentes

O software de xestión da miña academia é encargado do tratamento?

Si. Calquera software SaaS que aloxa os datos do alumnado procesa eses datos por conta da academia e é encargado do tratamento (art. 28 RGPD). Debe asinarse un DPA co contido do art. 28.3. Os provedores profesionais ofrecen este DPA como anexo das súas condicións xerais.

Que pasa cos datos do alumno cando a academia cambia de software de xestión?

O art. 28.3.g RGPD obriga ao provedor saínte a devolver os datos antes de destruílos. A academia debe exportar todo en formato útil antes de rescindir, importar ao novo provedor con verificación de integridade, esixir certificación escrita de supresión e asinar DPA co novo provedor.

E se o software está aloxado en Estados Unidos ou ten servidores fóra do EEE?

Activa o Cap. V RGPD. Se o provedor estadounidense está adherido ao Data Privacy Framework, as transferencias están amparadas. Se non está adherido, cómpre operar con Standard Contractual Clauses e Transfer Impact Assessment documentado. Verificar en dataprivacyframework.gov, documentar no RAT, informar ás familias.

Que riscos asume a academia se o provedor do software sofre unha violación?

A academia segue sendo responsable ante a AEPD e os afectados. Mitigación: contractual (prazo de notificación 24-48h no DPA), técnica (certificacións, cifrado, dobre factor) e procedimental (protocolo propio para notificar á AEPD en 72h e aos afectados se o risco é alto).

Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizado. A normativa autonómica sectorial pode ampliar ou modificar prazos e requisitos.

Tes asinado o DPA do art. 28 RGPD co teu software de xestión?

En Certix asignámosche un experto en cumprimento do sector formativo. Sen intermediarios comerciais, sen plantillas xenéricas.

Falar cun experto

Software de xestión de academias: o contrato do art. 28 RGPD que moitas academias non teñen