Tratamendu-enkarguko Akordioa (DPA)

[object Object]

Datuen Tratamendu-enkarguko Kontratua (DPA)

2.1 bertsioa · 2026ko iraila

(EB) 2016/679 Erregelamenduaren (DBEO) 28. artikuluarekin eta 3/2018 Lege Organikoarekin (LOPDGDD) bat etorriz, Tratamendu-enkarguko Kontratu honek («DPA») **KLUPPY, S.L.**k («Eragilea») Hezkuntza Zentroaren edo Erakundearen («Arduraduna») izenean egiten duen datu pertsonalen tratamendua arautzen du, Kluppy hezkuntza-plataformaren zerbitzua emateko.

DPA hau B2B Kontratazio Baldintzen (Terminoak eta Baldintzak) zati banaezina da, eta haiei nagusitzen zaie datu pertsonalen babesari dagokion guztian.

Alderdien identifikazioa

Tratamenduaren Eragilea

• Sozietate-izena: KLUPPY, S.L.
• IFZ: B75131953
• Helbidea: Mikeletegi pasealekua 65 (Planta Baja, Local 1), 20009 Donostia-San Sebastián, Gipuzkoa
• Erregistro-datuak: Registro Mercantil de Gipuzkoa, Tomo 2693, Folio 44, Hoja SS-37422
• Datuen babeseko kontaktua: info@kluppy.com

Tratamenduaren Arduraduna («Zentroa»)

• Sozietate-izena / izendapena: _______________________________
• IFZ/IFK: _______________________________
• Helbidea: _______________________________
• Legezko ordezkaria: _______________________________
• Kontaktu-emaila: _______________________________

1. Tratamenduaren xedea, izaera, helburua eta iraupena

1.1. Xedea. Arduradunak Kluppyri enkargatzen dio bere ikasleen eta irakasleen datu pertsonalen tratamendua, mekanografia ikasteko Kluppy plataformaren zerbitzua emateko beharrezkoa dena.

1.2. Izaera eta helburua. Tratamenduak honako hauek hartzen ditu barne: datuak ostatatzea eta prozesatzea, ariketak sortzea, errendimendua neurtzea (PPM —minutuko hitzak—, zehaztasuna, mailak), hezkuntza- eta gamifikazio-metrikak aurkeztea eta, Arduradunak aktibatzen duenean, neurketa horiek aldika antolatzen dituzten ebidentzia-txostenak egitea, teklatuz idazteko blokearen ebaluazioari laguntzeko (12. klausula); soil-soilik kontratatutako zerbitzua emateko. Kluppyk ez ditu datuak helburu propioetarako tratatuko (marketina, ondorio juridikoak dituzten profilak egitea, ezta IA ereduak entrenatzea ere).

1.3. Iraupena. Enkarguak alderdien artean sinatutako lizentzia- edo zerbitzu-kontratuaren iraupen bera du. Hura amaitzean, 9. klausulan (itzultzea edo ezabatzea) aurreikusitakoari jarraituko zaio.

2. Argibide dokumentatuak

2.1. Kluppyk datu pertsonalak Arduradunaren argibide dokumentatuei jarraituz soilik tratatuko ditu, nazioarteko transferentziei buruzkoak barne, legezko betebeharrik izan ezean; kasu horretan, aurretiaz jakinaraziko dio, legez debekatuta ez badago.

2.2. Zerbitzuaren kontratazioak, haren baldintzek eta DPA honek osatzen dituzte Arduradunaren hasierako argibideak. Kluppyk Arduradunari jakinaraziko dio, bere ustez argibideren batek datuen babeseko araudia urratzen badu.

3. Konfidentzialtasuna

Kluppyk bermatzen du datuak tratatzeko baimendutako pertsonek konfidentzialtasuna gordetzeko konpromisoa berariaz eta idatziz hartu dutela, edo legezko konfidentzialtasun-betebehar baten mende daudela, eta beharrezko prestakuntza jasotzen dutela.

4. Tratamenduaren segurtasuna (DBEO 32. art.)

Kluppyk II. Eranskinean zehaztutako neurri tekniko eta antolakuntzako egokiak aplikatuko ditu, arriskuaren araberako segurtasun-maila egokia bermatzeko, teknikaren egoera, kostuak eta tratamenduaren izaera, irismena, testuingurua eta helburuak kontuan hartuta, bai eta interesdunen eskubide eta askatasunetarako arriskuak ere (arreta berezia jarriz, adingabeen datuak direlako).

5. Azpi-eragileak (DBEO 28.2 eta 28.4 art.)

5.1. Arduradunak baimena ematen du III. Eranskinean zerrendatutako azpi-eragileak erabiltzeko.

5.2. Kluppyk azpi-eragile bakoitzari idatziz ezarriko dizkio DPA honetan hitzartutako datuen babeseko betebehar berak, bereziki neurri tekniko eta antolakuntzako egokiak aplikatzeko berme nahikoak. Kluppyk erabat erantzule izaten jarraituko du Arduradunaren aurrean, azpi-eragileak betebehar horiek betetzeari dagokionez.

5.3. Kluppyk Arduradunari jakinaraziko dio azpi-eragileak gehitzeko edo ordezkatzeko aurreikusitako edozein aldaketa, gutxienez 30 eguneko aurrerapenarekin, eta Arduradunari datuen babeseko arrazoi legitimoengatik aurka egiteko aukera emango dio.

6. Arduradunari laguntzea (DBEO 28.3.e eta 28.3.f art.)

6.1. Interesdunen eskubideak. Kluppyk Arduradunari lagunduko dio, neurri tekniko eta antolakuntzako egokien bidez (plataformako esportatzeko eta ezabatzeko tresnak barne), eskubideak baliatzeko eskaerei erantzuten (sarbidea, zuzenketa, ezabatzea, mugatzea, eramangarritasuna eta aurka egitea; DBEO 15-22 art.). Interesdun batek eskaera bat Kluppyri zuzentzen badio, Kluppyk atzerapenik gabe helaraziko dio Arduradunari.

6.2. Segurtasuna, EIPD eta aurretiazko kontsulta. Kluppyk Arduradunari lagunduko dio DBEOren 32.etik 36.era arteko artikuluetako betebeharrak betetzen (segurtasuna, urraketen jakinarazpena, eraginaren ebaluazioak eta kontrol-agintaritzari egin beharreko aurretiazko kontsulta), plataformari buruzko beharrezko informazio teknikoa emanez.

7. Segurtasun-urraketen jakinarazpena (DBEO 33.2 art.)

Datu pertsonalen segurtasun-urraketa baten berri duenetik, Kluppyk bidegabeko atzerapenik gabe jakinaraziko dio Arduradunari, eta gutxienez DBEOren 33.3 artikuluko informazioa emango dio: urraketaren izaera (eragindako interesdunen eta erregistroen kategoriak eta gutxi gorabeherako kopurua), informazio gehiago lortzeko harremanetarako datuak, izan litzakeen ondorioak eta hartutako edo proposatutako neurriak. Jakinarazpen horri esker, Arduradunak bete ahal izango du, hala badagokio, kontrol-agintaritzari (72 ordu, 33.1 art.) eta interesdunei (34. art.) jakinarazteko berak duen betebeharra.

8. Auditoriak eta ikuskapenak (DBEO 28.3.h art.)

8.1. Kluppyk Arduradunaren eskura jarriko du 28. artikuluko betebeharrak betetzen direla frogatzeko beharrezkoa den informazio guztia (oinarrian dagoen azpiegituraren auditoria-txostenak eta ziurtagiriak barne).

8.2. Halaber, Kluppyk auditoriak egitea ahalbidetuko du eta haietan lagunduko du, ikuskapenak barne, Arduradunak berak edo hark agindutako beste auditore batek eginda, honako baldintza arrazoizko hauekin: gutxienez 15 laneguneko aurretiazko abisua, gehienez urtean behingo maiztasuna (kontrol-agintaritzaren errekerimendua edo segurtasun-urraketa gertatzen denean izan ezik), beste bezero batzuen konfidentzialtasuna eta segurtasuna errespetatzea, eta Kluppyren ez-betetze batetik eratortzen ez diren kostuak Arduradunak bere gain hartzea.

9. Enkarguaren amaieran datuak itzultzea edo ezabatzea (DBEO 28.3.g art.)

9.1. Zerbitzuaren prestazioa amaitzean, eta Arduradunak aukeratzen duenaren arabera, Kluppyk haren izenean tratatutako datu pertsonal guztiak itzuliko edo ezabatuko ditu, eta dauden kopiak ezabatuko ditu, gordetzeko legezko betebeharrik egon ezean. Horretarako, Kluppyk Arduradunaren eskura jarriko du datuen esportazio osoa formatu egituratuan (JSON). Itzultzeko edo aurretiaz ezabatzeko argibiderik eman ezean, amaieratik 180 egun igarotakoan Kluppyk behin betiko ezabatuko ditu. [2026-08-03an eguneratua: 90→180 egun, ikasturtearekin eta plataformako gainerako epeekin bat etorriz — aholkularitzak balioztatzeko]

9.2. Enkargua indarrean dagoen bitartean, Arduradunak ikasle bati administrazio-paneletik baja ematen dionean, interesdun horren datuak blokeatuta eta sarbiderik gabe gordetzen dira gehienez 180 egunez (aurrerapena galdu gabe berriz sartzeko aukera emanez), eta epe hori igarotakoan behin betiko eta automatikoki ezabatzen dira. Arduradunak edozein unetan agin dezake interesdun jakin baten datuak berehala ezabatzeko, eta Kluppyk agindu hori bidegabeko atzerapenik gabe gauzatuko du.

10. Nazioarteko transferentziak (DBEO V. kapitulua, 44-49 art.)

10.1. Oro har, datuak Europako Esparru Ekonomikoaren (EEE) barruan tratatzen eta gordetzen dira.

10.2. Zenbait azpi-eragile AEBn egoitza nagusia duten enpresa-taldeen parte dira (Google, Stripe, Microsoft, Mailjet). EEEtik kanpotik datuak atzitzea saihestezina denean (adibidez, laguntza teknikorako), tratamendu hori DBEOren 46. artikuluko berme egokien babesean egiten da: EB-AEB Datuen Pribatutasunerako Esparrua (EU-US Data Privacy Framework), hornitzaileak ziurtagiria duenean, edo, bestela, Europako Batzordeak onartutako kontratu-klausula estandarrak (Standard Contractual Clauses, SCC). Hornitzaile bakoitzari dagokion xehetasuna III. Eranskinean jasotzen da. [hornitzaile bakoitzari aplikatu beharreko mekanismoa balioztatzeko]

11. Adimen Artifizialaren erabilerari buruzko gardentasuna ((EB) 2024/1689 Erreg. 50. art.)

11.1. Kluppyk praktikatzeko testuen zati bat IA sortzaileko sistema baten bidez sortzen du (Google Vertex AI, EBko eu multi-eskualdea). IAra bidaltzen diren prompt-etan ez da ikasleen datu pertsonalik sartzen; sistema ez da erabiltzen ikasleria modu automatizatuan ebaluatzeko, ezta ondorio juridikoak dituzten erabakiak hartzeko ere. 12. klausulako ebidentzia-txostenek ez dute IArik erabiltzen: erregistratutako neurketei arau aritmetiko deterministak aplikatuta kalkulatzen dira.

11.2. Kluppyk argi eta nabarmen identifikatzen du IAk sortutako edukia, eta Arduradunari beharrezko informazioa ematen dio hark, bere aldetik, ikasleei eta familiei horren berri eman diezaien, (EB) 2024/1689 Erregelamenduaren 50. artikuluko gardentasun-betebeharrarekin bat. Sistemak Erregelamendu horren arabera duen arrisku-sailkapena bereizita dokumentatzen da. [arrisku-sailkapena aholkularitza juridikoak balioztatzeko]

12. Ebaluaziorako ebidentzia-txostenak (giza gainbegiratzea)

12.1. Xedea. Arduradunak eskatuta, Kluppyk ikasle bakoitzaren mekanografia-neurketak (abiadura, zehaztasuna, lortutako maila, metatutako sakatzeak eta landutako saioak) aldika antolatzen eta lorpen-tarteetan kokatzen dituzten txostenak egiten ditu, Arduradunaren irakasleei ebidentzia objektiboa emateko helburuz.

12.2. Txostenaren izaera. Txostena interpretazio-proposamena da, ez kalifikazioa. Berez ez du inolako ondoriorik sortzen ikaslearengan: ez du aldatzen ez haren maila, ez haren sarbidea, ez haren aurrerapena Plataforman, eta ez zaie Arduradunetik kanpoko hirugarrenei helarazten.

12.3. Metodoa. Tarteak arau aritmetiko determinista eta auditagarrien bidez lortzen dira, erregistratutako neurketei eta Arduradunarekin adostutako ebaki-puntuei aplikatuta. Ez dute IA sistemek parte hartzen, eta ez da profilik egiten, ezta ikaslearen ezaugarri pertsonalei buruzko inferentziarik ere. Kluppyk ez du ikasleriaren adina tratatzen ondorio horietarako.

12.4. Erabaki automatizaturik eza (DBEO 22. art.). Kalifikazioa beti Arduradunaren langile batek zehazten duenez —proposatutako edozein tarte aldatu edo baztertu dezakeen pertsona batek—, tratamendua ez da soilik tratamendu automatizatuan oinarritutako erabakia DBEOren 22. artikuluaren zentzuan. Kluppyk Arduradunari emango dio, hark eskatzen duenean, tarte jakin baten kalkuluaren azalpena, interesdunen eskubideak baliatzeko eskaerei erantzun ahal izan diezaien.

12.5. Erabilera-muga. B2B Kontratazio Baldintzen arabera, Arduradunak ezingo ditu txostenak ikaslearen ebaluazio ofizialaren oinarri bakar edo nagusi gisa erabili. Arduradunak irakasgaiaren barruan teklatuz idazteko blokeari ematen dion pisua finkatu eta dokumentatuko du; tresnak derrigorrezko parametro gisa eskatzen du, eta %100eko konfigurazioa baztertzen du.

12.6. Klaseko lanaren seinalea. Testuingurua emateko, Plataformak talde bakoitzak zein saiotan lan egin duen ondorioztatzen du taldearen beraren jarduera agregatutik, eta ikasle bakoitzak saio horietako zenbatetan lan egin duen islatzen du. Ez da bertaratze-kontrola, ez da halakotzat ez aurkezten ez esportatzen, eta ez du lorpen-tarteetan parte hartzen.

12.7. Trazabilitatea. Igorritako txostenak eta aplikatutako ebaki-puntuak modu aldaezinean erregistratuta geratzen dira, Arduradunak interesdunen eta kontrol-agintaritzaren aurrean egiaztatu ahal izan dezan zer ebidentzia eman zitzaion eta zer parametrorekin.

13. Adingabearen babes indartua (LOPDGDD 7. art.; LOPIVI)

13.1. Arduradunak bermatzen du bere ikasleen datuak tratatzeko oinarri juridiko baliozkoa duela —oro har, bere hezkuntza-funtzioaren egikaritza (interes publikoa / hezkuntza-eginkizuna) eta, hala badagokio, 14 urtetik beherakoen kasuan guraso-ahala dutenen baimena (LOPDGDD 7. art.)—, eta interesdunei eta haien legezko ordezkariei horren berri eman diela.

13.2. Kluppyk minimizazio-neurriak aplikatzen ditu funtzionalitate sozialetan (pseudonimizazioa ligetan eta sailkapenetan), eta ez du adingabeen gaineko ondorio juridikoak dituen profilik egiten. Kluppyk edukiak moderatzeko mekanismoak eta gorabeherak jakinarazteko komunikazio-kanala ditu.

13.3. Hezkuntzaren esparruan adingabearen ongizateari buruzko LOPIVIren (8/2021 Lege Organikoa) betebeharrak Zentroari dagozkio, bere ikasleen kasuan; Kluppyk, teknologia-hornitzaile den aldetik, deskribatutako moderazio- eta komunikazio-tresnak eskaintzen ditu, eta Zentroko ongizate eta babeserako koordinatzailearekin lankidetzan aritzen da. [LOPIVIren irismena aholkularitza juridikoak balioztatzeko]

14. Arduradunaren betebeharrak

Arduradunak honako betebehar hauek hartzen ditu bere gain: (a) oinarri juridiko baliozkoa izatea eta interesdunei informazioa eman izana; (b) bere Tratamendu Jardueren Erregistroan dokumentatzea Kluppy eragile gisa erabiltzen duela; (c) argibide zilegiak ematea; (d) arduradun den aldetik, interesdunen eskubideak baliatzeko eskaerei erantzutea; eta (e) ebidentzia-txostenak aktibatzen dituenean, horren berri interesdunei eta haien legezko ordezkariei ematea, 12.5 klausularekin bat blokearen pisua finkatu eta dokumentatzea, eta kalifikazioa beti bere irakasleek zehazten dutela bermatzea.

15. Aplikatu beharreko legedia eta sinadura

DPA hau DBEOk, LOPDGDDk eta Espainiako legediak arautzen dute. DPA honetatik eratorritako eztabaidak ebazteko, alderdiak Donostia-San Sebastiánko Epaitegi eta Auzitegien mende jartzen dira.

I. ERANSKINA — Tratamenduaren deskribapena

• Interesdunen kategoriak: ikasleria (adingabeak barne) eta Zentroko irakasleak eta administrazio-langileak.
• Datu-kategoriak: izen-abizenak, ezizena/erabiltzaile-izena, emaila (korporatiboa edo pertsonala, hala badagokio), mekanografiako aurrerapen-datuak (PPM, zehaztasuna, denborak), gamifikazioko mailak eta lorpenak, erabileraren metadatu teknikoak eta, Arduradunak ebidentzia-txostenak aktibatzen dituenean, aurrekoetatik eratorritako aldiko datu agregatuak (proposatutako lorpen-tartea, metatutako sakatzeak eta landutako talde-saioak). Ez da ikasleriaren adina tratatzen, ezta jaiotze-data ere.
• Datu-kategoria bereziak (DBEO 9. art.): ez dira tratatzen. Zentroak kategoria bereziko daturik ez sartzeko konpromisoa hartzen du (adibidez, osasun-datuak testu libreko eremuetan).
• Helburua: hezkuntza-zerbitzua ematea, errendimendu-metrikak, jarraipena eta eskola-gamifikazioa, eta, Arduradunak aktibatzen duenean, ebaluazioa sostengatzeko ebidentzia-txostenak egitea (12. klausula), erabaki automatizaturik gabe eta IA erabili gabe.
• Iraupena: zerbitzu-kontratuaren indarraldia.

II. ERANSKINA — Segurtasuneko neurri tekniko eta antolakuntzakoak (DBEO 32. art.)

1. Pseudonimizazioa: identifikatzaile kriptografikoak (UID) eta ezizenak ligetan eta sailkapenetan.
2. Zifratzea: igorpenean, HTTPS/TLS bidez; atsedenean, azpiegiturak kudeatutako zifratzearen bidez (AES-256), Google Clouden.
3. Sarbide-kontrola (RBAC): autentifikazio sendoa eta segurtasun-arau zehatzak (Firestore Security Rules); Zentro bakoitzaren datuak logikoki isolatuta daude, eta beste Zentro batzuek ezin dituzte atzitu.
4. Erresilientzia eta erabilgarritasuna: eskalatze automatikoko serverless arkitektura eta datu-basearen eguneroko babeskopiak.
5. Erregistroa eta trazabilitatea: administrazioko eta segurtasuneko gertaera esanguratsuen erregistroa.
6. Oinarrian dagoen azpiegituraren ziurtagiriak (Google Cloud): ISO 27001, ISO 27017, ISO 27018 eta SOC 2.
7. Gorabeheren kudeaketa: urraketak detektatzeko eta jakinarazteko prozedura, 7. klausularen arabera.

III. ERANSKINA — Baimendutako azpi-eragileak

Dokumentu hau formalki sinatzeko edo edozein zalantza argitzeko, jarri gurekin harremanetan helbide honetan: info@kluppy.com