Este documento regula cómo Tiza trata los datos de estudiantes que los docentes registran en la plataforma. Las partes son el responsable (la institución educativa o el docente que usa Tiza para tratar datos de estudiantes) y el encargado (Centro Académico APDE, titular de Tiza). No se aplica a los datos de las cuentas de docentes, de los que Centro Académico APDE es responsable (ver la política de privacidad).
1. Objeto
El encargado tratará, por cuenta del responsable, los datos personales que este registre en Tiza (módulos de Gestión escolar, casos de debido proceso y evaluaciones en vivo), con la única finalidad de prestarle el servicio descrito en los términos de uso.
2. Datos y personas afectadas
- Personas: estudiantes (incluidas niñas, niños y adolescentes) y sus representantes.
- Datos: identificación (nombres, apellidos, cédula, fecha de nacimiento), contacto del representante, matrícula, asistencia, calificaciones, informes, necesidades educativas específicas, casos de convivencia y de debido proceso con sus documentos, y los nombres o alias, respuestas y resultados de las evaluaciones en vivo.
- Algunos de estos datos son especialmente protegidos. El responsable decide cuáles registrar y debe registrar solo los necesarios.
3. Duración
Mientras el responsable use Tiza para tratar esos datos, y hasta que se devuelvan o eliminen según la cláusula 11.
4. Instrucciones del responsable
El encargado tratará los datos solo siguiendo las instrucciones documentadas del responsable, que son las funciones del sistema que este utiliza y las solicitudes que haga por escrito. No los usará para fines propios, no los combinará con otros datos, no los venderá ni los cederá a terceros, salvo lo que la ley exija. Si una instrucción le parece contraria a la ley, el encargado lo avisará.
5. Confidencialidad
Las personas que, por su función, puedan acceder a estos datos (por ejemplo, quienes administran el sistema) están obligadas a guardar reserva y acceden únicamente cuando es indispensable para operar el servicio o resolver una falla.
6. Medidas de seguridad
El encargado aplica medidas técnicas y organizativas adecuadas al riesgo, entre ellas: conexión cifrada (HTTPS); contraseñas almacenadas con un método de un solo sentido; límite de intentos y bloqueo temporal; separación de los datos de cada cuenta y permisos por rol; cabeceras de seguridad en las páginas; registro de los accesos y cambios importantes; archivos de datos no accesibles desde internet; y copias de seguridad: las que se descargan dejan fuera, de forma predeterminada, los casos confidenciales, y las copias automáticas del servidor son completas, están en una carpeta protegida que no se abre desde internet y se destruyen solas a más tardar a los 30 días. El detalle está en la página de Seguridad.
7. Subencargados
El responsable autoriza de forma general al encargado a apoyarse en proveedores para alojar el sistema (DreamHost, LLC (Estados Unidos)) y enviar correos del sistema. El encargado exige a esos proveedores un nivel de protección equivalente, sigue siendo responsable ante el responsable por ellos y le informará cualquier cambio importante. Puedes pedir la lista actualizada en [email protected].
8. Derechos de las personas
Si el encargado recibe una solicitud de acceso, rectificación, eliminación, oposición, portabilidad o suspensión que se refiera a datos de estudiantes, la trasladará sin demora al responsable, que es quien decide, y lo ayudará a atenderla dentro de los plazos que fija la ley.
9. Vulneraciones de seguridad
Si el encargado detecta una vulneración que afecte datos de estudiantes, avisará al responsable sin demora injustificada, con la información disponible (qué pasó, qué datos y personas pueden estar afectados, qué se hizo), y lo ayudará a notificar a la autoridad y a las personas afectadas cuando la ley lo exija.
10. Transferencias al exterior
Los datos pueden almacenarse en servidores fuera del Ecuador (DreamHost, LLC (Estados Unidos)). El encargado aplicará las garantías que exige la ley para esa transferencia y informará al responsable que las pida.
11. Devolución o eliminación
Al terminar el servicio, o cuando el responsable lo pida, el encargado le entregará los datos en un archivo y los eliminará del sistema, salvo que la ley obligue a conservarlos. Las copias de seguridad que contengan esos datos se destruyen según su rotación (ninguna se conserva más de 30 días), y las que haya descargado el administrador deben destruirse cuando ya no se necesiten. Cada docente puede descargar sus datos y eliminar su cuenta desde «Mi cuenta», con lo que se borran también los datos de estudiantes que registró; si el responsable es una institución que necesita la entrega o la eliminación de varias cuentas, la hace una persona del equipo a su pedido por escrito.
12. Información y verificaciones
El encargado pondrá a disposición del responsable la información necesaria para demostrar que cumple este documento y permitirá verificaciones razonables, previo aviso.
13. Obligaciones del responsable
El responsable declara que cuenta con el fundamento legal para tratar los datos (incluido, cuando la ley lo exija, el consentimiento de las familias o de los adolescentes), que ha informado a las personas afectadas, que registra solo lo necesario y mantiene los datos exactos, y que sus instrucciones son lícitas.
14. Aceptación y ley aplicable
Este documento se entiende aceptado cuando el responsable acepta los términos de uso de Tiza. Si tu institución necesita una versión firmada o con datos específicos, escribe a [email protected]. Se rige por las leyes de la República del Ecuador.