Acuerdo de procesamiento de datos (DPA)
Fecha de entrada en vigor: 22 de agosto de 2026
Este Acuerdo de procesamiento de datos forma parte de nuestros Términos de servicio y se aplica siempre que Galactic Matrix - Portugal procesa datos personales en nombre de una institución educativa. Está redactado para cumplir con los requisitos del Artículo 28 del Reglamento General de Protección de Datos (RGPD).
1. Alcance y aplicabilidad
Este Acuerdo de procesamiento de datos ("DPA") se aplica al procesamiento de datos personales de estudiantes y usuarios por parte de Galactic Matrix - Portugal (el "Procesador") en nombre de instituciones educativas y educadores (el "Cliente") al usar la plataforma ZunoTales. No se aplica a las cuentas familiares de consumidores, donde actuamos como controladores y nuestra Política de privacidad rige.
2. Roles y responsabilidades
El Cliente actúa como el Responsable del tratamiento de datos, y Galactic Matrix - Portugal actúa como el Procesador de datos. El Cliente es responsable de obtener cualquier consentimiento parental necesario según lo exijan las leyes aplicables (por ejemplo, COPPA, FERPA, RGPD), de la exactitud de los datos que proporciona y de asegurar que tiene una base legal para el procesamiento que instruye.
3. Objeto, duración, naturaleza y propósito
El objeto del procesamiento es la provisión de la plataforma de aprendizaje basada en historias ZunoTales. La naturaleza y el propósito del procesamiento son crear, almacenar, narrar, traducir y mostrar historias personalizadas y actividades de aprendizaje para los estudiantes, y proporcionar herramientas de enseñanza y administración de cuentas al Cliente. El procesamiento continúa durante la duración de la suscripción del Cliente y finaliza según se describe en la sección 14.
4. Categorías de datos y sujetos de datos
Los sujetos de los datos son los estudiantes del Cliente y sus educadores y administradores. Los datos procesados bajo este acuerdo incluyen:
- Nombres de pila de los estudiantes, edades o grupos de edad, y preferencias de perfil como intereses y nivel de lectura.
- Nombres y datos de contacto de maestros, educadores y administradores.
- Contenido de historias generado por el usuario, indicaciones y cualquier transcripción opcional de conversación guiada por IA.
- Uso en el aula, actividad de aprendizaje y análisis del rendimiento de los cuestionarios.
- Fotografías opcionales de los estudiantes, si el Cliente decide habilitarlas y subirlas con fines ilustrativos.
Los Servicios no están destinados al procesamiento de categorías especiales de datos personales conforme al Artículo 9 del RGPD. El Cliente no debe instruir o permitir la introducción de dichos datos, o de identificadores nacionales de estudiantes, direcciones de domicilio o historiales de salud, en los Servicios.
5. Procesamiento basado en instrucciones documentadas
El Procesador solo procesará datos personales según las instrucciones documentadas del Cliente, incluso en lo que respecta a las transferencias internacionales, a menos que la ley aplicable exija lo contrario; en cuyo caso, el Procesador informará al Cliente sobre ese requisito legal antes de procesar, a menos que la ley lo prohíba. Este ADP, los Términos de Servicio y el uso y configuración de los Servicios por parte del Cliente constituyen las instrucciones documentadas completas del Cliente. El Procesador informará de inmediato al Cliente si, en su opinión, una instrucción infringe la ley de protección de datos aplicable.
6. Confidencialidad del personal
El Procesador garantiza que todo el personal autorizado para procesar datos personales está sujeto a una obligación de confidencialidad adecuada, recibe capacitación en protección de datos proporcional a su rol y se le otorga acceso solo con base en el principio de menor privilegio documentado.
7. Medidas de seguridad
Galactic Matrix - Portugal implementa medidas técnicas y organizativas adecuadas según el Artículo 32 del RGPD, incluyendo el cifrado de datos personales en tránsito y en reposo, autenticación segura y controles de acceso, acceso administrativo de menor privilegio, controles de seguridad de red y aplicaciones, incluyendo una estricta política de seguridad de contenido, registro de acceso administrativo y revisión periódica de estas medidas cada vez que nuestros sistemas o actividades de procesamiento cambian materialmente.
8. No uso de datos del Cliente para entrenamiento de IA
El Procesador no entrena modelos de inteligencia artificial. El Procesador utiliza modelos fundamentales de terceros para generar texto de historias, ilustraciones y narración, y exige contractualmente que los datos personales de los estudiantes y el contenido del Cliente enviados a esos modelos no se utilicen para entrenarlos o mejorarlos. Los datos del Cliente no se utilizan para desarrollar, comparar o mejorar ningún modelo, y no se divulgan a ningún proveedor de IA para ese fin.
9. Subprocesadores
El Cliente otorga al Procesador autorización general para contratar subprocesadores. El Procesador impone a cada subprocesador obligaciones de protección de datos no menos protectoras que las de este ADP, y sigue siendo totalmente responsable ante el Cliente por su desempeño. Los subprocesadores actualmente contratados son:
- Google Cloud Platform / Firebase — alojamiento de aplicaciones, base de datos, autenticación y almacenamiento de archivos.
- Google Cloud AI (Gemini y Cloud Text-to-Speech) — generación de texto e ilustraciones de historias y narración de audio.
- Stripe — procesamiento de pagos para suscripciones con tarjeta. Stripe no recibe datos de estudiantes.
- Resend — entrega de correo electrónico transaccional como invitaciones y avisos de cuenta. Resend no recibe datos de estudiantes.
El Procesador avisará al Cliente con al menos 30 días de antelación antes de añadir o reemplazar un subprocesador que procese datos personales de estudiantes. El Cliente podrá oponerse por motivos razonables de protección de datos dentro de ese período; si las partes no pueden resolver la objeción, el Cliente podrá rescindir los Servicios afectados sin penalización y recibir un reembolso prorrateado de las tarifas prepagadas.
10. Transferencias internacionales de datos
Los datos personales se almacenan en infraestructura operada por Google Cloud. Cuando los datos personales se transfieren fuera del Espacio Económico Europeo o el Reino Unido, el Procesador garantiza que existe un mecanismo de transferencia adecuado según el Capítulo V del RGPD, a saber, una decisión de adecuación cuando corresponda, o de lo contrario las Cláusulas Contractuales Estándar de la Comisión Europea (y el Anexo de Transferencia Internacional de Datos del Reino Unido para transferencias del Reino Unido), junto con medidas técnicas suplementarias que incluyen cifrado en tránsito y en reposo. Los detalles de los mecanismos de transferencia utilizados están disponibles a solicitud del Oficial de Protección de Datos.
11. Asistencia con los derechos del interesado
Teniendo en cuenta la naturaleza del procesamiento, el Procesador asistirá al Cliente mediante medidas técnicas y organizativas adecuadas, en la medida de lo posible, en el cumplimiento de la obligación del Cliente de responder a las solicitudes para ejercer los derechos del interesado según el Capítulo III del RGPD. La mayoría de las solicitudes pueden ser satisfechas directamente por el Cliente: los educadores y los propietarios de cuentas pueden acceder, corregir, exportar y eliminar los perfiles de los estudiantes y sus historias asociadas desde el panel de control. Si el Procesador recibe una solicitud directamente de un interesado relacionada con los datos del Cliente, no responderá sustancialmente y remitirá la solicitud al Cliente sin demora indebida.
12. Evaluaciones de impacto de la protección de datos
El Procesador proporcionará asistencia razonable al Cliente con las evaluaciones de impacto de la protección de datos y cualquier consulta previa con una autoridad de supervisión según los Artículos 35 y 36 del RGPD, teniendo en cuenta la naturaleza del procesamiento y la información disponible para el Procesador.
13. Notificación de violación de datos personales
En caso de una brecha de datos personales que afecte a los datos personales del Cliente, Galactic Matrix - Portugal notificará al Cliente sin demora indebida y, en cualquier caso, dentro de las 72 horas siguientes a tener conocimiento de la misma. La notificación describirá la naturaleza de la brecha, las categorías y el número aproximado de interesados y registros afectados, las posibles consecuencias, las medidas tomadas o propuestas para abordarla, y un punto de contacto para obtener más información. Si esa información no está disponible de inmediato, se proporcionará en fases sin más demoras indebidas. El Procesador no notificará directamente a los interesados afectados a menos que el Cliente le indique que lo haga o que sea legalmente requerido.
14. Devolución y Eliminación de Datos
Al finalizar o expirar los Servicios, el Cliente puede exportar sus datos desde el panel de control. A elección del Cliente, el Procesador eliminará o devolverá todos los datos personales procesados en nombre del Cliente y eliminará las copias existentes, a menos que la ley aplicable requiera un almacenamiento continuo. A menos que el Cliente solicite lo contrario, los datos asociados a una cuenta de institución cerrada se eliminan dentro de los 90 días posteriores a la terminación. La eliminación de un perfil de estudiante elimina las historias de ese estudiante y los datos asociados. Las copias de seguridad se purgan en nuestra rotación ordinaria de copias de seguridad.
15. Retención
Los datos personales se conservan mientras la cuenta del Cliente esté activa y, posteriormente, como se describe en la sección 14. Las transcripciones de conversaciones guiadas por IA se eliminan automáticamente después de 12 meses, e inmediatamente si el perfil de estudiante relevante o la cuenta se elimina.
16. Auditorías e Información
El Procesador pondrá a disposición del Cliente toda la información necesaria para demostrar el cumplimiento del Artículo 28 del RGPD, y permitirá y contribuirá a las auditorías, incluidas las inspecciones, realizadas por el Cliente o un auditor que este designe. Las auditorías se realizarán con un aviso previo razonable por escrito, no más de una vez en cualquier período de doce meses, excepto después de una brecha de datos personales o cuando lo exija una autoridad de supervisión, durante el horario comercial, sujetas a obligaciones de confidencialidad y de una manera que no interrumpa las operaciones del Procesador ni la seguridad de los datos de otros clientes. El Procesador puede satisfacer una solicitud de auditoría proporcionando su documentación de seguridad y respondiendo a un cuestionario de seguridad razonable.
17. FERPA — Designación de Funcionario Escolar
Para los Clientes sujetos a la Ley de Derechos Educativos y Privacidad Familiar de EE. UU. (FERPA), el Procesador actúa como un "funcionario escolar" con un "interés educativo legítimo" en los registros educativos de los estudiantes, bajo el control directo del Cliente con respecto a su uso y mantenimiento. El Procesador utiliza los registros educativos solo para proporcionar los Servicios al Cliente, no los vuelve a divulgar excepto según lo permita la FERPA o lo instruya el Cliente, y no los utiliza para publicidad o para crear perfiles no educativos de los estudiantes.
18. Responsabilidad y Orden de Precedencia
En caso de conflicto entre este DPA y los Términos de Servicio, este DPA prevalece con respecto al procesamiento de datos personales del Cliente. Cuando el Cliente ha celebrado un acuerdo de procesamiento de datos por escrito separado con Galactic Matrix - Portugal, ese acuerdo prevalece. La responsabilidad de cada parte bajo este DPA está sujeta a las limitaciones de responsabilidad en los Términos de Servicio, excepto donde esas limitaciones no puedan aplicarse legalmente.
19. Información de Contacto
Para consultas relacionadas con el procesamiento de datos, para solicitar una copia de los mecanismos de transferencia utilizados, o para ejercer cualquier derecho bajo este DPA, por favor, contacta a nuestro Oficial de Protección de Datos en dpo@zunotales.com.
20. Idioma
Este DPA puede estar disponible en otros idiomas además del inglés para tu conveniencia. Si hay algún conflicto entre la versión en inglés y una traducción, la versión en inglés prevalece.