CONTRATO DE ENCARGO DE TRATAMIENTO

Versión 2.0. Última actualización: octubre de 2026

El presente contrato de encargo de tratamiento (el "Contrato de Encargo") forma parte de:

• Los Términos y Condiciones de Monk; o, en su caso,
• De cualquier otro acuerdo firmado entre usted y Monk para regular la contratación y el uso de la Plataforma (conjuntamente, el “Acuerdo”).

El presente Contrato de Encargo y el resto del clausulado del Acuerdo son complementarios, sin embargo, en caso de conflicto sobre protección de datos, el presente Contrato de Encargo prevalecerá.

I. ENTRADA EN VIGOR

El presente Contrato de Encargo de Tratamiento forma parte integrante de los Términos y Condiciones del Servicio Monk y entrará en vigor cuando el Cliente, a través de una persona debidamente autorizada, acepte expresamente dichos Términos mediante el procedimiento electrónico habilitado por Monk. Esta aceptación implicará igualmente la formalización del presente Contrato de Encargo, sin necesidad de firma manuscrita independiente, sin perjuicio de que las partes puedan acordar su firma separada.

II. EFICACIA

La persona que acepta o, en su caso, firma el Acuerdo o el Contrato de Encargo de forma independiente en nombre del Cliente, declara frente a Monk que tiene la autoridad legal para vincular al Cliente y que está legalmente capacitado para celebrar contratos.

La duración del presente Contrato de Encargo será la misma que la del Acuerdo. Esto quiere decir que el presente Contrato de Encargo se extinguirá automáticamente en el momento de la rescisión del Acuerdo o cuando se resuelva antes de conformidad con los términos del presente Contrato de Encargo.

Para evitar cualquier duda, este Contrato de Encargo no se aplica con respecto a los tratamientos de datos personales sobre los que Monk sea Responsable, que se regirán por la Política de Privacidad de Monk disponible en todo momento en su página web principal.

III. TÉRMINOS DEL CONTRATO DE ENCARGO

1. Definiciones

Los términos que figuran a continuación tendrán el siguiente significado:

"Monk", "nosotros", "nos", "nuestro" hace referencia a Sistemas Virtuales de Aprendizaje S.L. empresa española situada en la calle Avenida María de Orueta (Urb. El Olivar), 14, 29140, Málaga, autora, creadora y desarrolladora de la Plataforma, que actuará como Encargado del tratamiento.

"Plataforma” significa nuestro software desarrollado y ejecutado en una plataforma cuyo objetivo es prestar servicios on-line vinculados a la enseñanza y que ha desarrollado, es titular y comercializa un servicio de evaluación del conocimiento matemático, que se ofrece en la modalidad “software como servicio”, mediante pruebas de nivel dirigidas a alumnos entre primero y sexto de primaria (en adelante, el “Servicio”) que se presta a través de una plataforma (en adelante, la “Plataforma”) accesible a través del sitio web ubicado en la dirección https://monkedu.org (en adelante, el “Sitio Web”). La Plataforma es el producto que se le proporciona a Usted en virtud del Acuerdo, e incluye cualquier otro producto añadido a la Plataforma.

"Responsable del tratamiento", "encargado del tratamiento", "interesado", "datos personales", "tratamiento" y "medidas técnicas y organizativas adecuadas" "cláusulas contractuales tipo", "violación de la seguridad de los datos personales", tal como se utilizan en el presente Contrato de Encargo, tendrán el significado que se les atribuye en el RGPD.

"Colegio",”Cliente”, "usted", "su" se refiere a la entidad que contrata la Plataforma de Monk.

"Usuarios finales" significa la(s) persona(s) a las que usted permite o invita a utilizar la Plataforma. Para evitar dudas, Usuarios Finales incluye a los individuos que se hallan detrás de cuentas gestionadas por usted, en particular, sus empleados y alumnos.

"Normativa de Protección de Datos" significa: (i) el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos ("RGPD"); (ii) la Directiva 2002/58/CE relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas; y (iii) cualquier normativa nacional aplicable, ya sea de desarrollo o de transposición de la normativa europea o internacional.

“Subencargados del tratamiento” tendrá el significado que se le da al término "otro encargado" en el artículo 28.4 del RGPD.

2. Identificación de las partes

A los efectos del presente Contrato de Encargo:

• Monk tendrá la consideración de encargado de tratamiento.
• El Cliente tendrá la consideración de responsable de tratamiento.

3. Descripción del tratamiento y estándares de seguridad

Adjunto al presente Contrato de Encargo como Apéndice 1 puede encontrarse una descripción detallada del tratamiento a realizar (naturaleza y finalidad del tratamiento, tipos de datos personales y categorías de interesados). En el Apéndice 2 puede encontrarse la lista de los subencargados del tratamiento nombrados por Monk.

4. Responsabilidad del Cliente

El Cliente, en su calidad de responsable de tratamiento, es responsable de asegurar que su uso de la Plataforma cumple con la Normativa de Protección de Datos y de velar y supervisar, durante todo el tratamiento, por el cumplimiento de la Normativa de Protección de Datos por parte de Monk.

En este sentido, y previo a la contratación de la Plataforma o a la solicitud de activación de funcionalidades adicionales, el Cliente se compromete a determinar por su cuenta la necesidad de realizar una evaluación de impacto relativa a la protección de datos, realizar las consultas previas que correspondan y cumplir con cualesquiera obligaciones que le sean de aplicación de conformidad con la Normativa de Protección de Datos.

El Cliente se compromete a abstenerse de solicitar a Monk la contratación o activación de cualquier funcionalidad de la Plataforma para la que una evaluación de impacto relativa a la protección de datos haya dado un resultado negativo o, dando resultado positivo, el Cliente no haya implementado las medidas identificadas en la evaluación de impacto. El Cliente exonera a Monk de la responsabilidad derivada del incumplimiento por parte del Cliente de la presente cláusula.

Del mismo modo, El Cliente, en su calidad de responsable del tratamiento se compromete a cumplir con todas las obligaciones de información establecidas en el Reglamento General de Protección de Datos (RGPD). En particular, El Cliente deberá proporcionar a los interesados la información completa y adecuada en el momento de la recogida de datos, de acuerdo con los artículos 13 y 14 del RGPD, incluyendo pero no limitado a: la identidad y datos de contacto del responsable del tratamiento, los fines del tratamiento, la base jurídica, los destinatarios o categorías de destinatarios de los datos, y los derechos que asisten a los interesados en relación con sus datos personales.

Por su parte, El Cliente deberá informar y orientar a los responsables del uso de la plataforma sobre su uso adecuado, en concreto, en lo referente a la no introducción de nombres y/o apellidos de los participantes, debiendo ser identificados a través de un ID anónimo.

IV. ESTIPULACIONES GENERALES DEL TRATAMIENTO DE DATOS PERSONALES

En el tratamiento de los datos personales por cuenta del Cliente, Monk se compromete a cumplir con la Normativa de Protección de Datos.

La finalidad del tratamiento de los datos personales por cuenta del Cliente será exclusivamente proporcionar el servicio de la Plataforma en los términos dictados por el Cliente.

Monk realizará el tratamiento por cuenta del Cliente cumpliendo con las obligaciones establecidas en el artículo 28 del RGPD, esto es, Monk:

a. Tratará los datos personales del Cliente únicamente de acuerdo con las instrucciones documentadas del Cliente (tal y como se establece en el presente Contrato de Encargo o en el Acuerdo, o según las indicaciones dictadas por el Cliente a través de la Plataforma o correo electrónico) para la consecución del servicio.

b. Adoptará las medidas técnicas y organizativas apropiadas de conformidad con el artículo 32 del RGPD, en los términos establecidos en la cláusula VII de este Contrato de Encargo, las cuales se encuentran alineadas y acreditadas mediante la certificación en el Esquema Nacional de Seguridad (ENS), categoría media e ISO 27001.

c. Informará inmediatamente al Cliente si, en su opinión, una instrucción infringe la Normativa de Protección de Datos;

d. Pondrá a disposición del Cliente toda la información que razonablemente solicite con el fin de demostrar el cumplimiento de las obligaciones establecidas en el artículo 28 del RGPD y permitirá la realización de auditorías por parte del Cliente o de un auditor autorizado por el Cliente.

En cualquier caso, cualquier auditoría deberá llevarse a cabo durante el horario de trabajo habitual de Monk, avisando a Monk con una antelación razonable no inferior a 15 días y con sujeción a protocolos de confidencialidad razonables.

En ningún caso las auditorías podrán obligar a Monk a revelar ni a permitir al Cliente o a sus auditores o representantes autorizados el acceso: (i) a cualquier dato o información de cualquier otro cliente de Monk; (ii) cualquier información contable o financiera interna de Monk; (iii) cualquier secreto comercial de Monk; (iv) cualquier información que, en opinión razonable de Monk, pueda comprometer la seguridad de sus sistemas o instalaciones o hacer que Monk incumpla sus obligaciones en virtud de la Normativa de Protección de Datos o cualquier otra normativa aplicable; o (v) cualquier información a la que el Cliente, sus auditores o sus representantes autorizados traten de acceder por cualquier motivo que no sea la verificación del cumplimiento por parte de Monk de los términos del artículo 28 del RGPD.

Asimismo, las auditorías se limitarán a una vez al año, a menos que Monk haya sufrido alguna violación de la seguridad de los datos personales en los doce (12) meses anteriores que haya afectado a los datos personales tratados por cuenta del Cliente.

e. Ayudará al Cliente a garantizar el cumplimiento de las obligaciones establecidas en los artículos 35 y 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información a disposición de Monk.

f. Asistirá al Cliente, teniendo en cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III del RGPD;

g. Garantizará que el personal de Monk que deba acceder a los datos personales tratados por cuenta del Cliente se haya comprometido a respetar la confidencialidad o esté sujeto a una obligación de confidencialidad de naturaleza estatutaria;

h. Notificará al Cliente las violaciones de la seguridad de los datos personales que afecten a los datos personales tratados por cuenta del Cliente. La notificación se producirá en los términos indicados en la Cláusula VII de este Contrato de Encargo;

i. A la finalización del servicio, Monk devolverá o suprimirá los datos personales tratados por cuenta del Cliente conforme a sus instrucciones, eliminando las copias existentes salvo obligación legal de conservación. Cuando así esté previsto y autorizado por el Cliente, los datos podrán mantenerse temporalmente en estado inactivo para permitir su recuperación o devolución hasta el proceso de cierre del curso académico correspondiente, momento en que serán suprimidos o anonimizados de manera irreversible. La información efectivamente anonimizada podrá conservarse para los fines estadísticos previstos en el Acuerdo;

V. DERECHOS DE LOS INTERESADOS

Monk notificará sin demoras indebidas, a la mayor brevedad y en ningún caso más allá del plazo de 48 horas al Cliente las solicitudes que reciba del interesado. No responderá a dicha solicitud por sí mismo, a menos que el responsable le haya autorizado a hacerlo.

Asimismo, Monk ayudará al Cliente a cumplir sus obligaciones al responder a las solicitudes de ejercicio de derechos de los interesados teniendo en cuenta la naturaleza del tratamiento.

VI. SUBENCARGADOS DE TRATAMIENTO

Monk cuenta con una autorización general del Cliente para contratar a subencargados que figuren en el Apéndice 2. Monk informará al Cliente específicamente y por escrito de las adiciones o sustituciones de subencargados previstas en dicha lista con al menos 5 días de antelación, de modo que el Cliente tenga tiempo suficiente para formular objeción a tales cambios antes de que se contrate al subencargado o subencargados de que se trate. Monk proporcionará al Cliente la información necesaria para que pueda ejercer su derecho a formular objeciones.

En caso de que el Cliente se oponga a la sustitución o contratación de un nuevo subencargado, las partes negociarán de buena fe soluciones alternativas que sean comercialmente razonables.

Cuando Monk decida contratar a un subencargado para llevar a cabo actividades de tratamiento por cuenta del cliente lo hará por medio de un contrato que imponga al subencargado, en esencia, las mismas obligaciones en materia de protección de datos que las impuestas a Monk en el presente contrato. Monk se asegurará de que el subencargado cumpla las obligaciones a las que éste sujeto en virtud del presente contrato y de la Normativa de Protección de Datos.

VII. SEGURIDAD DEL TRATAMIENTO Y VIOLACIONES DE LA SEGURIDAD DE LOS DATOS PERSONALES

Monk aplicará y mantendrá las medidas técnicas y organizativas adecuadas para proteger los datos personales que trate por cuenta del Cliente, de conformidad con lo dispuesto en el artículo 32 del RGPD y el presente Contrato de Encargo. Dichas medidas serán apropiadas para garantizar un nivel de seguridad adecuado al riesgo y se adoptarán teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, siendo, como mínimo, las exigidas por el ENS en su categoría media e ISO 27001, conforme a la certificación vigente de Monk.

En particular, dichas medidas comprenden controles organizativos, operativos y de protección relativos, entre otros, al control de accesos, la gestión de usuarios, la protección de los datos, el registro de actividad, la continuidad del negocio y la segregación de entornos.

En este sentido, Monk podrá actualizar las medidas técnicas y organizativas, siempre y cuando dichas modificaciones no disminuyan el nivel general de seguridad.

En caso de violación de la seguridad de los datos personales tratados por Monk, este lo notificará al Cliente sin dilación indebida y, en cualquier caso, en 48 horas desde que Monk haya tenido constancia de ella. Dicha notificación deberá incluir como mínimo:

• Una descripción de la naturaleza de la violación de la seguridad (inclusive, cuando sea posible, las categorías y el número aproximado de interesados y de registros de datos afectados),
• Los datos de un punto de contacto en el que pueda obtenerse más información sobre la violación de la seguridad de los datos personales;
• Sus consecuencias probables y las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad, incluyendo las medidas adoptadas para mitigar los posibles efectos negativos.

Cuando, y en la medida en que no se pueda proporcionar toda la información al mismo tiempo, en la notificación inicial se proporcionará la información de la que se disponga en ese momento y, a medida que se vaya recabando, la información adicional se irá proporcionando sin dilación indebida.

VIII. TRANSFERENCIAS DE DATOS

Monk garantiza que, en caso de realizar transferencias internacionales de datos personales tratados por cuenta del Cliente se realizarán de conformidad con el capítulo V del RGPD.

Las transferencias de datos a un tercer país o a una organización internacional por parte de Monk solo podrán realizarse siguiendo las instrucciones documentadas del Cliente o en virtud de una exigencia expresa del Derecho de la Unión Europea o del Estado Miembro al que esté sujeto Monk y se llevarán a cabo de conformidad con el capítulo V del RGPD.

El Cliente se aviene a que cuando Monk recurra a un subencargado de conformidad con el apartado VI de este Contrato para llevar a cabo actividades del tratamiento necesarias para el cumplimiento del presente Contrato y dichas actividades conlleven una transferencia internacional de datos, Monk y el subencargado puedan garantizar que la transferencia de datos se realizará de conformidad con lo indicado en el capítulo V del RGPD. Monk facilitará al Cliente la información suficiente para demostrar que dichas garantías son vigentes, o los medios para obtener una copia de estas o del hecho que se hayan adoptado, previa firma de un acuerdo de confidencialidad en caso de ser necesario.

Si Monk realizase alguna transferencia internacional a un tercer país o una organización internacional para la cual el mecanismo de transferencia empleado dejase de ser válido conforme al RGPD, el Cliente concederá a Monk un período de tiempo razonable para subsanar el incumplimiento, con la finalidad de identificar qué salvaguardas adicionales u otras medidas pueden adoptarse para garantizar su cumplimiento de la Normativa de Protección de Datos.

IX. VARIOS

El Cliente reconoce y acepta que, como parte de la provisión de la Plataforma, Monk tiene derecho a utilizar los datos relacionados u obtenidos en relación con el funcionamiento, la asistencia o el uso de la Plataforma para sus fines empresariales internos legítimos, consistentes en el apoyo a los procesos de facturación, la administración de la Plataforma, la mejora, la evaluación comparativa y el desarrollo de sus productos y servicios, la realización de estudios o investigaciones académicas, el cumplimiento de las leyes aplicables (incluidas las solicitudes de aplicación de la ley), la garantía de la seguridad de la Plataforma y la prevención del fraude o la mitigación del riesgo.

En relación con los datos personales tratados, Monk garantiza que no los utilizará para sus propios fines a menos que haya agregado y anonimizando los datos para que no identifiquen al Cliente ni a ninguna otra persona, en particular a los Usuarios Finales. La información anonimizada o agregada podrá ser utilizada por Monk o puesta a disposición de universidades, investigadores u otras entidades colaboradoras para fines de investigación académica o científica.En ningún caso dicha información podrá ser utilizada para reidentificar a los interesados.

El Cliente autoriza e instruye a Monk para realizar operaciones de agregación y anonimización de los datos derivados del uso de la Plataforma con la finalidad de elaborar estadísticas, estudios e informes comparativos en el ámbito educativo. Una vez garantizada su anonimización efectiva, los resultados podrán utilizarse y compartirse con entidades colaboradoras del sector educativo. En ningún caso se facilitará información que permita identificar razonablemente, directa o indirectamente, a alumnos, docentes, clases o centros participantes.

El presente Contrato de Encargo está sujeto a la ley aplicable y a las condiciones de jurisdicción del Acuerdo.

Sin perjuicio de lo anterior, en la medida en que lo permita la legislación aplicable, toda la responsabilidad derivada de este Contrato de Encargo se regirá por las limitaciones de responsabilidad (incluidos los topes de responsabilidad) del Acuerdo.

Apéndice 1

(Descripción del tratamiento)

Apéndice 2

(Listado de subencargados de tratamiento)