1. Partes y roles
La escuela es la responsable del tratamiento: determina las finalidades y los medios. sabondojo es el encargado: trata los datos personales por cuenta de la escuela y únicamente conforme a sus instrucciones documentadas, incluidas las transferencias internacionales.
Si sabondojo entendiera que una instrucción infringe la normativa aplicable, se lo informará a la escuela sin demora y podrá suspender su ejecución hasta que se aclare.
2. Objeto, duración y alcance del tratamiento
| Elemento | Detalle |
|---|---|
| Objeto | Prestación del software de gestión de escuelas de artes marciales sabondojo |
| Duración | Mientras esté vigente la suscripción, más los plazos de conservación publicados |
| Naturaleza y finalidad | Alojamiento, almacenamiento, consulta, modificación y supresión de datos para gestionar alumnos, clases, asistencia, cuotas y comunicaciones |
| Categorías de interesados | Alumnos (incluidos menores de edad), adultos responsables, instructores, personal administrativo |
| Categorías de datos | Identidad y contacto, fecha de nacimiento, asistencia, progresión técnica, datos económicos y de pago, mensajes y publicaciones, y — sólo con consentimiento explícito — datos de salud e imagen |
3. Reparto de obligaciones
| Obligación | A cargo de |
|---|---|
| Base lícita para inscribir y tratar los datos del alumno | La escuela |
| Obtener el consentimiento del adulto responsable | La escuela, a través de la interfaz que proveemos |
| Verificar el vínculo del adulto responsable | La escuela |
| Responder pedidos de acceso, rectificación o supresión | La escuela, con las herramientas que le damos |
| Notificar a la autoridad de control un incidente | La escuela; sabondojo notifica a la escuela sin dilación indebida |
| Seguridad de la base de datos, resguardos y control de acceso | sabondojo |
| Aplicar en el código los plazos de conservación | sabondojo; la escuela los configura dentro de los límites publicados |
| Registro de la base de datos ante la autoridad, donde sea exigible | Cada parte, por la base que le corresponde |
4. Confidencialidad
Todo el personal de sabondojo con acceso a datos personales está sujeto a un deber de confidencialidad que subsiste tras el fin de la relación laboral o contractual, conforme a los arts. 9 y 10 de la Ley 25.326 y al art. 28.3.b del RGPD. El acceso se otorga por necesidad de servicio y se revoca al terminar la tarea.
5. Medidas de seguridad
Medidas técnicas y organizativas implementadas hoy:
- Cifrado en tránsito (TLS) en toda la aplicación y hacia la base de datos.
- Contraseñas almacenadas con hash bcrypt; nunca en texto claro.
- Archivos adjuntos (comprobantes, fotos de perfil, formularios de consentimiento escaneados) en un almacenamiento privado, accesible sólo mediante enlaces firmados de corta duración emitidos tras verificar permisos.
- Un único punto de control de visibilidad por alumno, atravesado por toda lectura de la ficha de salud y de los datos sensibles asociados.
- Acceso por rol y por sede: el equipo ve su escuela, un instructor su propio grupo, un alumno sólo a sí mismo, y un adulto responsable a su hijo — la ficha de salud sólo con el vínculo verificado.
- Aislamiento entre escuelas a nivel de consulta, con filtros de alcance aplicados en el servidor y nunca en el navegador.
- Copias de resguardo administradas por el proveedor de base de datos, con recuperación a un punto en el tiempo.
Mejoras comprometidas y aún no implementadas, declaradas acá porque una escuela merece saberlas antes de firmar: registro de auditoría de accesos a la ficha de salud, revocación inmediata de sesiones al desvincular a una persona, y cifrado a nivel de columna de la ficha de salud.
6. Subencargados
La escuela autoriza de forma general el uso de los subencargados publicados en la página de Subprocesadores. sabondojo les impone por contrato obligaciones no menos exigentes que las de este acuerdo y responde frente a la escuela por su actuación.
Toda incorporación o cambio se avisa con al menos 30 días de anticipación, con derecho de oposición fundada y, si no hay alternativa razonable, derecho a rescindir sin penalidad.
7. Asistencia al responsable
sabondojo asiste a la escuela, en la medida de lo razonable y considerando la naturaleza del tratamiento, para: atender los pedidos de los interesados; cumplir los deberes de seguridad, notificación de incidentes y evaluación de impacto; y aportar la información necesaria para demostrar el cumplimiento.
Si un interesado se dirige directamente a sabondojo, no responderemos por cuenta propia: derivamos el pedido a la escuela y se lo informamos al interesado.
8. Incidentes de seguridad
sabondojo notificará a la escuela sin dilación indebida —con el objetivo de hacerlo dentro de las 24 horas— desde que tome conocimiento de un incidente que afecte datos personales tratados por su cuenta.
La notificación incluirá lo que se sepa hasta ese momento: naturaleza del incidente, categorías y volumen aproximado de datos e interesados afectados, consecuencias probables, medidas adoptadas y contacto para el seguimiento. La información se completa a medida que avanza la investigación.
Los plazos que la escuela debe cumplir ante su autoridad son suyos: 3 días hábiles ante la ANPD en Brasil, 72 horas en la Unión Europea. Nuestro compromiso está calibrado para que pueda cumplirlos.
9. Transferencias internacionales
Cuando el tratamiento implique una transferencia fuera del país de la escuela, se ampara en una decisión de adecuación cuando exista —Argentina la tiene respecto de la Unión Europea— o, en su defecto, en cláusulas contractuales tipo con el proveedor correspondiente. La región de alojamiento efectiva se informa en la página de Subprocesadores y puede fijarse en la Unión Europea a pedido de una escuela de la UE.
10. Auditoría
sabondojo pondrá a disposición de la escuela la información necesaria para acreditar el cumplimiento de este acuerdo y permitirá auditorías, incluidas inspecciones, realizadas por la escuela o por un auditor que designe, con preaviso razonable, en horario laboral, una vez por año salvo que exista un incidente que justifique otra, y sujeto a confidencialidad.
11. Devolución y supresión
Al terminar la prestación, la escuela elige entre la devolución de los datos en un formato estructurado y de uso común, o su supresión. En ausencia de instrucción, se aplican los plazos publicados en el Aviso de privacidad: 30 días para exportar, supresión de los sistemas activos a los 90 días.
Se exceptúa lo que la normativa obligue a conservar —registros contables y registros de consentimiento—, que se conserva por el plazo legal y sólo para esa finalidad. Las copias de resguardo caducan por rotación dentro de los 35 días y no se restauran de forma selectiva.
12. Vigencia y prevalencia
Este acuerdo se aplica desde el alta de la escuela y mientras se traten datos por su cuenta. En caso de contradicción con los Términos del servicio en materia de protección de datos, prevalece este acuerdo.
Una escuela que necesite un ejemplar firmado, o una versión negociada de este texto, puede pedírnoslo al contacto del pie.