El software de gestión es la pieza tecnológica central de cualquier academia moderna: aloja la base de alumnos, gestiona matrículas y bajas, registra asistencia y calificaciones, automatiza la comunicación con familias, integra la facturación, mantiene el histórico académico. Sobre esa infraestructura viajan diariamente los datos personales del alumnado, de las familias y del personal docente. La relación entre la academia y el proveedor del software está sujeta al art. 28 RGPD y, sin embargo, es uno de los puntos donde más academias incumplen sin saberlo.
Esta guía explica cómo regular esa relación bajo el RGPD (Reglamento UE 2016/679) y la LOPDGDD (Ley Orgánica 3/2018): qué documento firmar, qué contenido mínimo debe tener, cómo gestionar transferencias internacionales y cómo proceder ante el cambio de proveedor o ante una brecha de seguridad.
El proveedor del software es encargado del tratamiento
Cualquier software SaaS de gestión de academia que aloja datos del alumnado, gestiona comunicaciones con familias, procesa pagos o registra calificaciones está tratando datos personales por cuenta de la academia. Eso lo convierte automáticamente en encargado del tratamiento en el sentido del art. 28 RGPD.
Lo que el proveedor decide por sí mismo (la arquitectura de su producto, las funcionalidades, el roadmap, las medidas técnicas) no cambia ese rol: ejecuta el tratamiento siguiendo las instrucciones de la academia, que es quien decide qué alumnos se inscriben, qué datos se procesan, para qué finalidades y durante cuánto tiempo.
El DPA: lo que debe firmar la academia con el proveedor
El art. 28.3 RGPD obliga a regular la relación responsable-encargado mediante un contrato u otro acto jurídico vinculante con un contenido mínimo. Aplicado al software de gestión:
| Cláusula | Qué debe decir |
|---|---|
| Objeto y duración | Prestación del servicio de software durante la suscripción de la academia, sin uso de los datos para finalidades propias del proveedor. |
| Naturaleza y finalidad | Alojamiento y procesamiento de los datos del alumnado y operativa académica conforme a las funcionalidades contratadas. |
| Tipos de datos e interesados | Identificativos, contacto, académicos, económicos, de familia en menores; alumnos, padres, personal docente. |
| Personal del proveedor | Confidencialidad por contrato, principio de mínimo privilegio en accesos a datos de cliente. |
| Medidas de seguridad | Cifrado en tránsito y en reposo, doble factor para administradores, registros de acceso, copias de seguridad, certificaciones (ISO 27001, SOC 2 cuando proceda). |
| Subencargados | Lista accesible (cloud, monitorización, soporte), mecanismo de notificación de cambios, derecho de oposición de la academia. |
| Transferencias internacionales | Identificación de países fuera del EEE, base de la transferencia (DPF o SCC + TIA). |
| Asistencia para derechos | Funcionalidades técnicas para exportar, suprimir, rectificar datos de un alumno cuando lo solicite a través de la academia. |
| Notificación de brechas | Plazo concreto (24-48 horas) y procedimiento de colaboración con la academia. |
| Devolución al finalizar | Exportación íntegra de los datos en formato útil antes de la rescisión, con certificación de supresión posterior. |
El proveedor profesional ofrece este DPA como anexo de adhesión a sus condiciones generales, descargable y firmable desde el panel de administración o disponible bajo solicitud. Si el proveedor no lo ofrece, la academia debe pedirlo expresamente; si se niega, conviene valorar el cambio de proveedor.
Cambio de proveedor: la fase más crítica
El cambio de software de gestión es uno de los momentos donde más cumplimiento se pierde si no se gestiona ordenadamente. Procedimiento:
- Inventario completo de los datos en el proveedor saliente: lista de alumnos, históricos académicos, asistencia, calificaciones, facturación, comunicaciones con familias, configuraciones, plantillas personalizadas.
- Exportación íntegra en formato útil: CSV, Excel, JSON, exportación nativa del producto, descarga de PDFs de los certificados. Verificación de la integridad antes de cerrar el contrato saliente.
- Importación al nuevo proveedor con verificación de que todos los registros han llegado correctamente.
- Firma del DPA del nuevo proveedor antes de iniciar la operativa.
- Certificación escrita de supresión por parte del proveedor saliente, archivada en la academia.
- Comunicación a las familias si el cambio supone cambio de plataforma visible para ellas (nueva URL de acceso, nuevo proceso de comunicación), idealmente con antelación razonable.
- Actualización del RAT de la academia con el nuevo proveedor y sus subencargados.
"El error más caro de una academia no es elegir mal el software de gestión: es no firmar el DPA con él y descubrirlo el día que llega una brecha del proveedor. La AEPD pregunta primero por el contrato; el proveedor lo invoca para limitar su responsabilidad; y la academia que no lo tiene se queda sola asumiendo la consecuencia."
Mario P. Talamillo · Socio director, Certix®
Transferencias internacionales: cómo verificarlas
Muchos software de gestión, especialmente los de mayor difusión internacional, alojan datos o procesan parte de la infraestructura fuera del Espacio Económico Europeo. Verificación:
- Identificar el país de destino de los datos: EE.UU. es el caso más frecuente; otros pueden ser Reino Unido, Suiza, India, Filipinas (soporte deslocalizado).
- Verificar la base de la transferencia:
- EE.UU.: comprobar adhesión activa al Data Privacy Framework en dataprivacyframework.gov.
- Reino Unido y Suiza: existen decisiones de adecuación de la Comisión Europea.
- Otros países sin adecuación: Standard Contractual Clauses + Transfer Impact Assessment documentado.
- Documentar la verificación en el RAT con fecha y reverificación anual.
- Informar a las familias en la cláusula del art. 13 RGPD sobre la transferencia y la base.
Brechas de seguridad: lo que la academia debe poder ejecutar
El art. 33 RGPD obliga al responsable a notificar a la AEPD cualquier brecha de seguridad que pueda generar riesgo para los derechos y libertades de los afectados, en un plazo no superior a 72 horas desde que se tiene conocimiento. Cuando la brecha ocurre en el proveedor (encargado), la academia (responsable) debe poder activar el procedimiento de inmediato.
Elementos clave:
- Notificación rápida del proveedor: plazo expreso en el DPA (24-48 horas).
- Información mínima inicial: naturaleza del incidente, sistemas afectados, categorías de datos comprometidos, alcance estimado, medidas inmediatas.
- Evaluación interna: la academia evalúa si la brecha puede generar riesgo para los afectados y decide la notificación a la AEPD.
- Registro interno de la brecha con análisis de causa, medidas adoptadas y lecciones aprendidas (art. 33.5 RGPD).
- Comunicación a los afectados cuando el riesgo sea alto (art. 34 RGPD), con descripción de la situación, contacto del DPD si existe y recomendaciones para mitigar el efecto.
Checklist mínimo del software de gestión
- DPA del art. 28 RGPD firmado y archivado con el proveedor.
- Lista de subencargados del proveedor accesible y actualizada.
- Verificación documentada de las transferencias internacionales (DPF o SCC + TIA).
- Funcionalidades de exportación de datos y supresión por solicitud de derechos del interesado, probadas.
- Plazo expreso de notificación de brechas (24-48 horas) y procedimiento de colaboración.
- Procedimiento documentado para cambio de proveedor con exportación, certificación de supresión y firma de DPA con el nuevo.
- RAT actualizado con el proveedor y sus subencargados.
- Configuración interna del software con principio de mínimo privilegio: cada usuario de la academia ve solo lo que necesita.
Preguntas frecuentes
¿El software de gestión de mi academia es encargado del tratamiento?
Sí. Cualquier software SaaS que aloja los datos del alumnado procesa esos datos por cuenta de la academia y es encargado del tratamiento (art. 28 RGPD). Debe firmarse un DPA con el contenido del art. 28.3. Los proveedores profesionales ofrecen este DPA como anexo de sus condiciones generales.
¿Qué pasa con los datos del alumno cuando la academia cambia de software de gestión?
El art. 28.3.g RGPD obliga al proveedor saliente a devolver los datos antes de destruirlos. La academia debe exportar todo en formato útil antes de rescindir, importar al nuevo proveedor con verificación de integridad, exigir certificación escrita de supresión y firmar DPA con el nuevo proveedor.
¿Y si el software está alojado en Estados Unidos o tiene servidores fuera del EEE?
Activa el Cap. V RGPD. Si el proveedor estadounidense está adherido al Data Privacy Framework, las transferencias están amparadas. Si no está adherido, hace falta operar con Standard Contractual Clauses y Transfer Impact Assessment documentado. Verificar en dataprivacyframework.gov, documentar en el RAT, informar a las familias.
¿Qué riesgos asume la academia si el proveedor del software sufre una brecha?
La academia sigue siendo responsable ante la AEPD y los afectados. Mitigación: contractual (plazo de notificación 24-48h en el DPA), técnica (certificaciones, cifrado, doble factor) y procedimental (protocolo propio para notificar a la AEPD en 72h y a los afectados si el riesgo es alto).
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. La normativa autonómica sectorial puede ampliar o modificar plazos y requisitos.
¿Tienes firmado el DPA del art. 28 RGPD con tu software de gestión?
En Certix te asignamos un experto en cumplimiento del sector formativo. Sin intermediarios comerciales, sin plantillas genéricas.
Hablar con un experto