Tratamendu-enkarguko Akordioa (DPA)

2026(e)ko urriaren 2(a)

Datuen Tratamendu-enkarguko Kontratua (DPA)

2.3 bertsioa · 2026ko urria

DBEOren 28. artikuluko datuen tratamenduaren enkargu kontratua, B2B kanalerako (ikastetxeak). 2026ko iraileko 2.2 eta 2.1 bertsioak, 2026ko uztaileko 2.0 bertsioa eta 2026ko martxoko eskema ordezten ditu. Gaztelaniazko jatorrizkoaren euskarazko itzulpena da; desadostasunik izanez gero, gaztelaniazko bertsioak balio du.

2.3 bertsioaren aldaketak: ikasle bati lizentzia kentzeak berriro uzten du kontua Ikastetxearen barruan blokeatuta, eta 180 egunera ezabatzen da (9.2). Araubide bera aplikatzen zaie lizentziarik eskuragarri izan gabe sortutako kontuei. 2.2 bertsioak zioen kontua kontu pertsonal doako bihurtzen zela; portaera hori 2026ko urriaren 1ean kendu zen. Ikastetxera sartu aurretik jada pertsonalak ziren kontuak baino ez dira titularrarengana itzultzen. 9.4 klausulak orain 2.2 bertsioaren eredua indarrean egon zen bitartean lizentzia kendu zitzaien kontuak arautzen ditu. Paneletik berehala ezabatzea (9.3) eta legezko betebeharrez salbuetsitako datuak (9.5) ez dira aldatzen. Horrez gain, III. eranskina zuzendu da: ElevenLabs-en ahots sintesia Estatu Batuetan exekutatzen da, ez EBn, eta irakasleek idazten dituzten diktaketen testua ere jasotzen du; 10.3 klausula berriak azaltzen du.

(EB) 2016/679 Erregelamenduaren (DBEO) 28. artikuluarekin eta 3/2018 Lege Organikoarekin (LOPDGDD) bat etorriz, Tratamendu-enkarguko Kontratu honek («DPA») **KLUPPY, S.L.**k («Eragilea») Hezkuntza Zentroaren edo Erakundearen («Arduraduna») izenean egiten duen datu pertsonalen tratamendua arautzen du, Kluppy hezkuntza-plataformaren zerbitzua emateko.

DPA hau B2B Kontratazio Baldintzen (Terminoak eta Baldintzak) zati banaezina da, eta haiei nagusitzen zaie datu pertsonalen babesari dagokion guztian.

Alderdien identifikazioa

Tratamenduaren Eragilea

• Sozietate-izena: KLUPPY, S.L.
• IFZ: B75131953
• Helbidea: Mikeletegi pasealekua 65 (Planta Baja, Local 1), 20009 Donostia-San Sebastián, Gipuzkoa
• Erregistro-datuak: Registro Mercantil de Gipuzkoa, Tomo 2693, Folio 44, Hoja SS-37422
• Datuen babeseko kontaktua: info@kluppy.com

Tratamenduaren Arduraduna («Zentroa»)

• Sozietate-izena / izendapena: _______________________________
• IFZ/IFK: _______________________________
• Helbidea: _______________________________
• Legezko ordezkaria: _______________________________
• Kontaktu-emaila: _______________________________

1. Tratamenduaren xedea, izaera, helburua eta iraupena

1.1. Xedea. Arduradunak Kluppyri enkargatzen dio bere ikasleen eta irakasleen datu pertsonalen tratamendua, mekanografia ikasteko Kluppy plataformaren zerbitzua emateko beharrezkoa dena.

1.2. Izaera eta helburua. Tratamenduak honako hauek hartzen ditu barne: datuak ostatatzea eta prozesatzea, ariketak sortzea, errendimendua neurtzea (PPM —minutuko hitzak—, zehaztasuna, mailak), hezkuntza- eta gamifikazio-metrikak aurkeztea eta, Arduradunak aktibatzen duenean, neurketa horiek aldika antolatzen dituzten ebidentzia-txostenak egitea, teklatuz idazteko blokearen ebaluazioari laguntzeko (12. klausula); soil-soilik kontratatutako zerbitzua emateko. Kluppyk ez ditu datuak helburu propioetarako tratatuko (marketina, ondorio juridikoak dituzten profilak egitea, ezta IA ereduak entrenatzea ere).

1.3. Iraupena. Enkarguak alderdien artean sinatutako lizentzia- edo zerbitzu-kontratuaren iraupen bera du. Hura amaitzean, 9. klausulan (itzultzea edo ezabatzea) aurreikusitakoari jarraituko zaio.

2. Argibide dokumentatuak

2.1. Kluppyk datu pertsonalak Arduradunaren argibide dokumentatuei jarraituz soilik tratatuko ditu, nazioarteko transferentziei buruzkoak barne, legezko betebeharrik izan ezean; kasu horretan, aurretiaz jakinaraziko dio, legez debekatuta ez badago.

2.2. Zerbitzuaren kontratazioak, haren baldintzek eta DPA honek osatzen dituzte Arduradunaren hasierako argibideak. Kluppyk Arduradunari jakinaraziko dio, bere ustez argibideren batek datuen babeseko araudia urratzen badu.

3. Konfidentzialtasuna

Kluppyk bermatzen du datuak tratatzeko baimendutako pertsonek konfidentzialtasuna gordetzeko konpromisoa berariaz eta idatziz hartu dutela, edo legezko konfidentzialtasun-betebehar baten mende daudela, eta beharrezko prestakuntza jasotzen dutela.

4. Tratamenduaren segurtasuna (DBEO 32. art.)

Kluppyk II. Eranskinean zehaztutako neurri tekniko eta antolakuntzako egokiak aplikatuko ditu, arriskuaren araberako segurtasun-maila egokia bermatzeko, teknikaren egoera, kostuak eta tratamenduaren izaera, irismena, testuingurua eta helburuak kontuan hartuta, bai eta interesdunen eskubide eta askatasunetarako arriskuak ere (arreta berezia jarriz, adingabeen datuak direlako).

5. Azpi-eragileak (DBEO 28.2 eta 28.4 art.)

5.1. Arduradunak baimena ematen du III. Eranskinean zerrendatutako azpi-eragileak erabiltzeko.

5.2. Kluppyk azpi-eragile bakoitzari idatziz ezarriko dizkio DPA honetan hitzartutako datuen babeseko betebehar berak, bereziki neurri tekniko eta antolakuntzako egokiak aplikatzeko berme nahikoak. Kluppyk erabat erantzule izaten jarraituko du Arduradunaren aurrean, azpi-eragileak betebehar horiek betetzeari dagokionez.

5.3. Kluppyk Arduradunari jakinaraziko dio azpi-eragileak gehitzeko edo ordezkatzeko aurreikusitako edozein aldaketa, gutxienez 30 eguneko aurrerapenarekin, eta Arduradunari datuen babeseko arrazoi legitimoengatik aurka egiteko aukera emango dio.

6. Arduradunari laguntzea (DBEO 28.3.e eta 28.3.f art.)

6.1. Interesdunen eskubideak. Kluppyk Arduradunari lagunduko dio, neurri tekniko eta antolakuntzako egokien bidez (plataformako esportatzeko eta ezabatzeko tresnak barne; ezabatzeko eskubiderako, 9.3 klausulako tresna), eskubideak baliatzeko eskaerei erantzuten (sarbidea, zuzenketa, ezabatzea, mugatzea, eramangarritasuna eta aurka egitea; DBEO 15-22 art.). Interesdun batek eskaera bat Kluppyri zuzentzen badio, Kluppyk atzerapenik gabe helaraziko dio Arduradunari.

6.2. Segurtasuna, EIPD eta aurretiazko kontsulta. Kluppyk Arduradunari lagunduko dio DBEOren 32.etik 36.era arteko artikuluetako betebeharrak betetzen (segurtasuna, urraketen jakinarazpena, eraginaren ebaluazioak eta kontrol-agintaritzari egin beharreko aurretiazko kontsulta), plataformari buruzko beharrezko informazio teknikoa emanez.

7. Segurtasun-urraketen jakinarazpena (DBEO 33.2 art.)

Datu pertsonalen segurtasun-urraketa baten berri duenetik, Kluppyk bidegabeko atzerapenik gabe jakinaraziko dio Arduradunari, eta gutxienez DBEOren 33.3 artikuluko informazioa emango dio: urraketaren izaera (eragindako interesdunen eta erregistroen kategoriak eta gutxi gorabeherako kopurua), informazio gehiago lortzeko harremanetarako datuak, izan litzakeen ondorioak eta hartutako edo proposatutako neurriak. Jakinarazpen horri esker, Arduradunak bete ahal izango du, hala badagokio, kontrol-agintaritzari (72 ordu, 33.1 art.) eta interesdunei (34. art.) jakinarazteko berak duen betebeharra.

8. Auditoriak eta ikuskapenak (DBEO 28.3.h art.)

8.1. Kluppyk Arduradunaren eskura jarriko du 28. artikuluko betebeharrak betetzen direla frogatzeko beharrezkoa den informazio guztia (oinarrian dagoen azpiegituraren auditoria-txostenak eta ziurtagiriak barne).

8.2. Halaber, Kluppyk auditoriak egitea ahalbidetuko du eta haietan lagunduko du, ikuskapenak barne, Arduradunak berak edo hark agindutako beste auditore batek eginda, honako baldintza arrazoizko hauekin: gutxienez 15 laneguneko aurretiazko abisua, gehienez urtean behingo maiztasuna (kontrol-agintaritzaren errekerimendua edo segurtasun-urraketa gertatzen denean izan ezik), beste bezero batzuen konfidentzialtasuna eta segurtasuna errespetatzea, eta Kluppyren ez-betetze batetik eratortzen ez diren kostuak Arduradunak bere gain hartzea.

9. Enkarguaren amaieran datuak itzultzea edo ezabatzea (DBEO 28.3.g art.)

9.1. Zerbitzua amaitzean, eta Arduradunak aukeratuta, Kluppyk haren kontura tratatutako datu pertsonal guztiak itzuli edo ezabatuko ditu, eta dauden kopiak ezabatuko ditu, legezko kontserbazio betebeharrik ez badago. Horretarako, Kluppyk Arduradunaren eskura jarriko du datuen esportazio osoa formatu egituratuan (JSON). Itzultzeko edo aurretiaz ezabatzeko jarraibiderik ezean, amaieratik 180 egun igarotakoan Kluppyk behin betiko ezabaketa egingo du. Epe hori eskola zikloarekin lerrokatuta dago, hurrengo ikasturtean zerbitzua berritzen duen Ikastetxe batek bere ikasleen aurrerapena gal ez dezan.

9.2. Ikasle bakar bati baja ematea enkargua indarrean dagoen bitartean. Arduradunak ikasle bati lizentzia administrazio-paneletik kentzen dionean, kontuak Ikastetxearena izaten jarraitzen du: ikaslearentzat blokeatuta eta sarbiderik gabe geratzen da, plaza Ikastetxearen kupora itzultzen da lizentzia-kontratuan ezarritakoaren arabera, eta datuak gehienez 180 egunez gordetzen dira. Epe horren barruan Arduradunak ikaslea berriz sar dezake lizentzia berriro esleituz, aurrerapenik galdu gabe, edo ezabaketa agin dezake 9.3 klausularen arabera. 180 egunak berriz sartu gabe igarotakoan, datuak behin betiko eta automatikoki ezabatzen dira. Kluppyk ez du kontu hori kontu pertsonal bihurtzen, eta ez ditu haren datuak bere helburuetarako tratatzen. Araubide bera aplikatzen zaie Arduradunak lizentziarik eskuragarri izan gabe sortzen dituen kontuei: blokeatuta sortzen dira, ikaslearentzat sarbiderik gabe, lizentzia bat esleitu arte, eta automatikoki ezabatzen dira sortu zirenetik 180 egun igarotzen badira lizentziarik esleitu gabe. Salbuespena: kontua Ikastetxera sartu aurretik jada interesdunarena zenean —bere ordainpeko harpidetza du, edo Ikastetxeak ez zuen kontua sortu ez inportatu eta interesdunak bere kabuz erabiltzen zuen sartu baino zazpi egun baino gehiago lehenagotik—, lizentzia kentzeak titularrari itzultzen dio kontu pertsonal gisa, Kluppyren Pribatutasun Politikaren mende: Arduradunak haren datuetarako sarbidea galtzen du eta Kluppyk Arduradunaren kontura tratatzeari uzten dio.

9.3. Berehalako ezabaketa, Arduradunaren aginduz. Arduradunak edozein unetan agin dezake ikasle jakin baten datuak behin betiko ezabatzeko. Horretarako, eta 6.1 klausula betez, Kluppyk administrazio-panelean bertan ezabatzeko tresna jartzen du haren eskura; Ikastetxeko administratzaile batek berak gauzatzen du, Kluppyren esku-hartzerik gabe eta itxaronaldirik gabe. Ezabaketa itzulezina da, eta interesdunaren sarbide-kontua, aurrerapena, estatistikak, lorpenak, fitxategiak eta datu sozialak hartzen ditu. Ez ditu hartzen: (i) legezko betebehar batek gordetzea agintzen dituen datuak, 9.5 klausularen arabera; ez eta (ii) gaitasunen bidezko ebaluazio-moduluaren erregistroak ere, Arduradunak modulua aktibatuta duenean, 12.7 klausulak modu aldaezinean gordetzea eskatzen baitu, Arduradunak zer ebidentzia eman zitzaion egiaztatu ahal izan dezan. Arduradunak azken horiek ere ezabatu behar baditu, Kluppyri eskatu behar dio, eta hark bidegabeko atzerapenik gabe gauzatuko du. Kontuak Ikastetxetik kanpo bizitza propioa duenean (interesdunaren beraren ordainpeko harpidetza, ikasleak berak bere ekimenez egindako erregistroa, edo bajaren ondoren zerbitzua erabiltzen jarraitzea), paneleko tresna desgaitu egiten da eta hala adierazten du: kasu horietan ezabaketa Kluppyri eskatzen zaio, eta hark bidegabeko atzerapenik gabe gauzatuko du, Arduradunaren legitimazioa egiaztatu ondoren.

9.4. 2026ko irailaren 2tik urriaren 1era bitartean lizentzia kendu zitzaien kontuak. Epe horretan, lizentzia kentzeak kontua titularraren kontu pertsonal doako bihurtzen zuen. Horrela Ikastetxetik atera ziren kontuek kontu pertsonal izaten jarraitzen dute, Kluppyren Pribatutasun Politikaren mende, eta Arduradunak ez du haietarako sarbiderik. Arduradunak kontu horiek ezabatzea behar badu, Kluppyri eska diezaioke, eta hark bidegabeko atzerapenik gabe gauzatuko du, Arduradunaren legitimazioa egiaztatu ondoren. 2026ko irailaren 2a baino lehen baja emandako kontuek 9.2 klausulako 180 eguneko zikloari jarraitzen diote. Arduradunak 2026ko urriaren 2a baino lehen lizentziarik eskuragarri izan gabe sortutako kontuek lehen zuten lizentziarik gabeko sarbidea mantentzen dute; Arduradunak lizentzia esleitu diezaieke edo 9.3 klausularen arabera ezabatu ditzake.

9.5. Ezabaketatik salbuetsitako datuak. 9.1etik 9.4rako klausulek ez dituzte hartzen lege-mailako arau batek gordetzea agintzen duen datuak, eta bereziki fakturak eta fakturazio-erregistroak, Kluppyk Espainiako zerga-araudiak eskatzen duen epean gordetzen dituenak, betebehar hori betetzeko helburu bakarrarekin.

10. Nazioarteko transferentziak (DBEO V. kapitulua, 44-49 art.)

10.1. Datuak Europako Esparru Ekonomikoaren (EEE) barruan tratatzen eta gordetzen dira. Zehazki, datu basea Europako eur3 multi-eskualdean dago (Belgika eta Herbehereak), zerbitzariko logika europe-southwest1 (Madril) eta europe-west1 (Belgika) eskualdeetan exekutatzen da, eta segurtasun kopiak Europako multi-eskualdeko biltegi batean gordetzen dira. Azpienkargudun bakoitzaren xehetasunak III. eranskinean daude.

10.2. Zenbait azpienkargudun Estatu Batuetan egoitza duten enpresa taldeetakoak dira (Google, Stripe, Microsoft, Mailjet). EEEtik kanpotik datuetara sartzea saihestezina denean (adibidez, laguntza teknikorako), tratamendu hori 46. artikuluko berme egokien pean dago: Europako Batzordeak onartutako kontratu klausula tipoak (KKT), azpienkargudun bakoitzarekin sinatutako datuen tratamendu kontratuetan txertatuta, eta, metatuz, EB-EB Datuen Pribatutasunerako Esparrua (EU-US Data Privacy Framework) Estatu Batuetako Merkataritza Departamentuaren zerrenda ofizialean ziurtatuta agertzen diren hornitzaileei dagokienez. Kluppyk azpienkargudun bakoitzari aplikatzen zaion mekanismoa eguneratuta mantentzen du eta Arduradunaren eskura jartzen du hark eskatzen duenean.

10.3. Ahots sintesia. Tutorialen gidoiak, aplikazioaren argibideak eta irakasleek idazten dituzten diktaketen testua audio bihurtzeko, Kluppyk testu hori ahots sintesiko hornitzaile bati bidaltzen dio: ElevenLabs, zerbitzariak Estatu Batuetan dituena, edo Elhuyar Fundazioa (Espainia) hizkuntza euskara denean. Testua eta ahotsaren identifikatzailea soilik bidaltzen dira, Kluppyren zerbitzarietatik: ez erabiltzailearen identifikatzailerik, ez haren IP helbiderik, ez testua idazten edo entzuten duenaren kontuko daturik. Testu horrek ez du datu pertsonalik, eta, beraz, hura bidaltzea ez da datu pertsonalen nazioarteko transferentzia. Panelak irakasleei ohartarazten die, diktaketaren eremuaren ondoan, testua hornitzaile horrengana doala eta ez duela izenik edo datu pertsonalik izan behar; Arduradunak bermatzen du bere langileek hori betetzen dutela. Hala ere testu batek datu pertsonalak balitu, bidalketa 10.2 klausulako bermeen pean geratuko litzateke.

11. Adimen Artifizialaren erabilerari buruzko gardentasuna ((EB) 2024/1689 Erreg. 50. art.)

11.1. Kluppyk praktikatzeko testuen zati bat IA sortzaileko sistema baten bidez sortzen du (Google Vertex AI, EBko eu multi-eskualdea). IAra bidaltzen diren prompt-etan ez da ikasleen datu pertsonalik sartzen; sistema ez da erabiltzen ikasleria modu automatizatuan ebaluatzeko, ezta ondorio juridikoak dituzten erabakiak hartzeko ere. 12. klausulako ebidentzia-txostenek ez dute IArik erabiltzen: erregistratutako neurketei arau aritmetiko deterministak aplikatuta kalkulatzen dira.

11.2. Kluppyk modu ikusgarrian identifikatzen du IAk sortutako edukia eta Arduradunari beharrezko informazioa ematen dio, honek, bere aldetik, ikasleei eta familiei jakinaraz diezaien, (EB) 2024/1689 Erregelamenduaren 50. artikuluko gardentasun betebeharrarekin bat etorriz. Kluppyk erabiltzen dituen IA sistemak arrisku mugatukotzat sailkatuta daude, 50. artikuluko gardentasun betebeharren pean, eta ez dira Erregelamendu horren III. eranskineko arrisku handiko kasuetan sartzen. Sailkapen hori arrisku sailkapen formalaren txostenean dokumentatuta dago, eta Kluppyk Arduradunaren eskura jartzen du hark eskatzen duenean.

12. Ebaluaziorako ebidentzia-txostenak (giza gainbegiratzea)

12.1. Xedea. Arduradunak eskatuta, Kluppyk ikasle bakoitzaren mekanografia-neurketak (abiadura, zehaztasuna, lortutako maila, metatutako sakatzeak eta landutako saioak) aldika antolatzen eta lorpen-tarteetan kokatzen dituzten txostenak egiten ditu, Arduradunaren irakasleei ebidentzia objektiboa emateko helburuz.

12.2. Txostenaren izaera. Txostena interpretazio-proposamena da, ez kalifikazioa. Berez ez du inolako ondoriorik sortzen ikaslearengan: ez du aldatzen ez haren maila, ez haren sarbidea, ez haren aurrerapena Plataforman, eta ez zaie Arduradunetik kanpoko hirugarrenei helarazten.

12.3. Metodoa. Tarteak arau aritmetiko determinista eta auditagarrien bidez lortzen dira, erregistratutako neurketei eta Arduradunarekin adostutako ebaki-puntuei aplikatuta. Ez dute IA sistemek parte hartzen, eta ez da profilik egiten, ezta ikaslearen ezaugarri pertsonalei buruzko inferentziarik ere. Kluppyk ez du ikasleriaren adina tratatzen ondorio horietarako.

12.4. Erabaki automatizaturik eza (DBEO 22. art.). Kalifikazioa beti Arduradunaren langile batek zehazten duenez —proposatutako edozein tarte aldatu edo baztertu dezakeen pertsona batek—, tratamendua ez da soilik tratamendu automatizatuan oinarritutako erabakia DBEOren 22. artikuluaren zentzuan. Kluppyk Arduradunari emango dio, hark eskatzen duenean, tarte jakin baten kalkuluaren azalpena, interesdunen eskubideak baliatzeko eskaerei erantzun ahal izan diezaien.

12.5. Erabilera-muga. B2B Kontratazio Baldintzen arabera, Arduradunak ezingo ditu txostenak ikaslearen ebaluazio ofizialaren oinarri bakar edo nagusi gisa erabili. Arduradunak irakasgaiaren barruan teklatuz idazteko blokeari ematen dion pisua finkatu eta dokumentatuko du; tresnak derrigorrezko parametro gisa eskatzen du, eta %100eko konfigurazioa baztertzen du.

12.6. Klaseko lanaren seinalea. Testuingurua emateko, Plataformak talde bakoitzak zein saiotan lan egin duen ondorioztatzen du taldearen beraren jarduera agregatutik, eta ikasle bakoitzak saio horietako zenbatetan lan egin duen islatzen du. Ez da bertaratze-kontrola, ez da halakotzat ez aurkezten ez esportatzen, eta ez du lorpen-tarteetan parte hartzen.

12.7. Trazabilitatea. Igorritako txostenak eta aplikatutako ebaki-puntuak modu aldaezinean erregistratuta geratzen dira, Arduradunak interesdunen eta kontrol-agintaritzaren aurrean egiaztatu ahal izan dezan zer ebidentzia eman zitzaion eta zer parametrorekin.

13. Adingabearen babes indartua (LOPDGDD 7. art.; LOPIVI)

13.1. Arduradunak bermatzen du bere ikasleen datuak tratatzeko oinarri juridiko baliozkoa duela —oro har, bere hezkuntza-funtzioaren egikaritza (interes publikoa / hezkuntza-eginkizuna) eta, hala badagokio, 14 urtetik beherakoen kasuan guraso-ahala dutenen baimena (LOPDGDD 7. art.)—, eta interesdunei eta haien legezko ordezkariei horren berri eman diela.

13.2. Kluppyk minimizazio-neurriak aplikatzen ditu funtzionalitate sozialetan (pseudonimizazioa ligetan eta sailkapenetan), eta ez du adingabeen gaineko ondorio juridikoak dituen profilik egiten. Kluppyk edukiak moderatzeko mekanismoak eta gorabeherak jakinarazteko komunikazio-kanala ditu.

13.3. LOPIVIren (8/2021 Lege Organikoa) adingabearen ongizateari buruzko betebeharrak hezkuntza eremuan Ikastetxeari dagozkio bere ikasleei dagokienez; Kluppyk, teknologia hornitzaile gisa, ez du arau horrek behartutako erakundearen izaera hartzen Ikastetxearen ikasleei dagokienez. Kluppyk deskribatutako moderazio eta komunikazio tresnak eskaintzen ditu eta Ikastetxeko ongizate koordinatzailearekin lankidetzan aritzen da hark eskatzen duenean.

14. Arduradunaren betebeharrak

Arduradunak honako betebehar hauek hartzen ditu bere gain: (a) oinarri juridiko baliozkoa izatea eta interesdunei informazioa eman izana; (b) bere Tratamendu Jardueren Erregistroan dokumentatzea Kluppy eragile gisa erabiltzen duela; (c) argibide zilegiak ematea; (d) arduradun den aldetik, interesdunen eskubideak baliatzeko eskaerei erantzutea; eta (e) ebidentzia-txostenak aktibatzen dituenean, horren berri interesdunei eta haien legezko ordezkariei ematea, 12.5 klausularekin bat blokearen pisua finkatu eta dokumentatzea, eta kalifikazioa beti bere irakasleek zehazten dutela bermatzea.

15. Aplikatu beharreko legedia eta sinadura

DPA hau DBEOk, LOPDGDDk eta Espainiako legediak arautzen dute. DPA honetatik eratorritako eztabaidak ebazteko, alderdiak Donostia-San Sebastiánko Epaitegi eta Auzitegien mende jartzen dira.

I. ERANSKINA — Tratamenduaren deskribapena

• Interesdunen kategoriak: ikasleria (adingabeak barne) eta Zentroko irakasleak eta administrazio-langileak.
• Datu-kategoriak: izen-abizenak, ezizena/erabiltzaile-izena, emaila (korporatiboa edo pertsonala, hala badagokio), mekanografiako aurrerapen-datuak (PPM, zehaztasuna, denborak), gamifikazioko mailak eta lorpenak, erabileraren metadatu teknikoak eta, Arduradunak ebidentzia-txostenak aktibatzen dituenean, aurrekoetatik eratorritako aldiko datu agregatuak (proposatutako lorpen-tartea, metatutako sakatzeak eta landutako talde-saioak). Ez da ikasleriaren adina tratatzen, ezta jaiotze-data ere.
• Datu-kategoria bereziak (DBEO 9. art.): ez dira tratatzen. Zentroak kategoria bereziko daturik ez sartzeko konpromisoa hartzen du (adibidez, osasun-datuak testu libreko eremuetan).
• Helburua: hezkuntza-zerbitzua ematea, errendimendu-metrikak, jarraipena eta eskola-gamifikazioa, eta, Arduradunak aktibatzen duenean, ebaluazioa sostengatzeko ebidentzia-txostenak egitea (12. klausula), erabaki automatizaturik gabe eta IA erabili gabe.
• Iraupena: zerbitzu-kontratuaren indarraldia.

II. ERANSKINA — Segurtasuneko neurri tekniko eta antolakuntzakoak (DBEO 32. art.)

1. Pseudonimizazioa: identifikatzaile kriptografikoak (UID) eta ezizenak ligetan eta sailkapenetan.
2. Zifratzea: igorpenean, HTTPS/TLS bidez; atsedenean, azpiegiturak kudeatutako zifratzearen bidez (AES-256), Google Clouden.
3. Sarbide-kontrola (RBAC): autentifikazio sendoa eta segurtasun-arau zehatzak (Firestore Security Rules); Zentro bakoitzaren datuak logikoki isolatuta daude, eta beste Zentro batzuek ezin dituzte atzitu.
4. Erresilientzia eta erabilgarritasuna: eskalatze automatikoko serverless arkitektura eta datu-basearen eguneroko babeskopiak.
5. Erregistroa eta trazabilitatea: administrazioko eta segurtasuneko gertaera esanguratsuen erregistroa.
6. Oinarrian dagoen azpiegituraren ziurtagiriak (Google Cloud): ISO 27001, ISO 27017, ISO 27018 eta SOC 2.
7. Gorabeheren kudeaketa: urraketak detektatzeko eta jakinarazteko prozedura, 7. klausularen arabera.

III. ERANSKINA — Baimendutako azpi-eragileak

Dokumentu hau formalki sinatzeko edo edozein zalantza argitzeko, jarri gurekin harremanetan helbide honetan: info@kluppy.com