Acuerdo de Procesamiento de Datos

Este Acuerdo de Procesamiento de Datos (DPA) es un borrador operativo RD-first. Debe revisarse por abogado dominicano antes de incorporarse como contrato final.

Si existe conflicto entre este DPA y otros documentos, debe prevalecer la regla que ofrezca mayor proteccion a datos educativos y de menores, salvo instruccion legal distinta aprobada por las partes.

La escuela actua como responsable/controlador de los datos educativos y determina finalidades, bases legales, usuarios autorizados, politicas de retencion y respuesta a titulares.

GenBeli actua como encargado/procesador de esos datos para alojar, organizar, transmitir, proteger, respaldar, mostrar y soportar la plataforma bajo instrucciones documentadas de la escuela.

GenBeli actua como responsable independiente respecto de datos propios de facturacion, soporte, seguridad, prevencion de abuso, cumplimiento y operacion interna.

El procesamiento dura mientras la escuela use GenBeli y durante los periodos posteriores necesarios para soporte, respaldo, auditoria, retencion legal, defensa ante reclamaciones, retorno o eliminacion ordenada de datos.

Las finalidades autorizadas incluyen administracion escolar, gestion academica, comunicacion, intervencion autorizada, reportes, archivos, cuentas de usuarios, seguridad, auditoria, soporte, facturacion y cumplimiento contractual.

• Titulares: estudiantes, padres, madres, tutores, familiares, personal escolar, administradores, proveedores o contactos institucionales.
• Datos: identificacion, contacto, relacion familiar, datos academicos, asistencia, conducta, intervencion, psicologia u orientacion escolar, mensajes, archivos, pagos, HR, logs y evidencia legal.
• Datos reforzados: informacion de menores, documentos de identidad, imagenes, salud escolar o datos psicopedagogicos cuando la escuela los cargue.

GenBeli procesara datos educativos conforme a instrucciones documentadas de la escuela, configuracion del servicio, contratos, tickets, solicitudes autorizadas y funciones utilizadas por usuarios con permisos.

GenBeli debe rechazar o escalar instrucciones que parezcan ilegales, imposibles, excesivas o incompatibles con seguridad, retencion o derechos de menores.

• Contar con base legal y avisos adecuados para tratar datos en GenBeli.
• Obtener consentimiento parental verificable antes de activar cuentas de estudiantes menores cuando corresponda.
• Mantener roles, permisos y usuarios actualizados.
• No subir datos innecesarios, no autorizados, excesivos o contrarios a derechos de menores.
• Responder solicitudes de titulares y autoridades, con asistencia razonable de GenBeli.
• Aprobar exportaciones, bloqueos, retornos o eliminaciones de expedientes educativos segun retencion aplicable.

• Limitar acceso interno a personal o sistemas que necesiten los datos para operar, asegurar o soportar el servicio.
• Mantener confidencialidad y controles razonables de seguridad.
• Registrar eventos criticos de autenticacion, autorizacion, exports, uploads, aceptaciones y consentimientos cuando el sistema lo permita.
• Redactar o minimizar PII en logs operativos cuando sea viable.
• Asistir a la escuela ante solicitudes verificables e incidentes.
• No vender datos educativos ni usarlos para publicidad comportamental de estudiantes.

Las medidas incluyen autenticacion, autorizacion por objeto y escuela, RLS donde corresponda, validacion de entradas, controles CSRF, filtros de archivos, nombres opacos, storage privado o descargas autenticadas, cifrado en transito, registros redactados, revision de accesos, rotacion de secretos y respuesta a incidentes.

Las medidas pueden evolucionar segun riesgo, costo, tecnologia, regulacion y madurez de la plataforma.

GenBeli puede usar subprocesadores listados publicamente para prestar el servicio. GenBeli sigue siendo responsable frente a la escuela por las obligaciones asumidas respecto del procesamiento encargado, en la medida aplicable por contrato y ley.

La escuela puede revisar la lista de subprocesadores y plantear objeciones razonables conforme al contrato comercial aplicable.

GenBeli no debe entregar ni eliminar expedientes educativos directamente sin verificar identidad y coordinar con la escuela responsable, salvo obligacion legal directa. Las solicitudes de padres o tutores pueden requerir validacion de autoridad, custodia o representacion.

GenBeli investigara eventos de seguridad relevantes, documentara acciones razonables y notificara a la escuela cuando el incidente pueda afectar datos bajo responsabilidad de la escuela. La escuela conserva responsabilidad de notificar a familias, titulares o autoridades cuando la ley o su politica lo exija, con asistencia razonable de GenBeli.

Al finalizar la relacion, GenBeli debe permitir retorno o exportacion razonable de datos, sujeto a disponibilidad tecnica, seguridad, pagos pendientes y retencion legal. La eliminacion se ejecutara conforme a politica de retencion, respaldo y obligaciones probatorias.

La evidencia legal, aceptaciones, consentimientos e incidentes puede conservarse mientras sea necesaria para cumplimiento, auditoria o defensa legal.

La escuela puede solicitar informacion razonable sobre controles, subprocesadores e incidentes. Auditorias tecnicas invasivas, pruebas de penetracion o revisiones especiales deben coordinarse por escrito para proteger seguridad, disponibilidad y datos de otras escuelas.