Acuerdo de tratamiento de datos

Última actualización: 22 de octubre de 2026

Imprimir o guardar en PDF

Acuerdo de tratamiento de datos personales conforme al art. 28 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, RGPD). Forma parte integrante de los Términos del servicio de Quizhat y se aplica automáticamente, sin necesidad de firma, a toda cuenta que use Quizhat con datos de participantes. Para obtener una copia firmada o si tienes preguntas, escribe a festalaurea.info@gmail.com.

1. Partes y objeto

• Responsable del tratamiento («Responsable»): el cliente titular de la cuenta de Quizhat, o la organización (entidad de formación, empresa, centro educativo, organizador de eventos) por cuenta de la cual actúa, que organiza las sesiones.
• Encargado del tratamiento («Encargado»): FESTALAUREA SRLS, Via Luigi Mascherpa 18, 35131 Padova (PD), Italia, P. IVA 05743150285, PEC festalaurea@pec.it, que presta el servicio Quizhat.
• Objeto: el tratamiento, por parte del Encargado y por cuenta del Responsable, de los datos personales de los participantes en las sesiones y de los inscritos, necesario para prestar el servicio Quizhat. Los datos de la cuenta del Responsable, en cambio, los trata FESTALAUREA SRLS como responsable independiente, según la Política de privacidad.

2. Descripción del tratamiento

• Naturaleza y finalidad: recogida, registro, conservación, consulta, elaboración, comunicación al Responsable y supresión de los datos para realizar quiz y exámenes en directo o a distancia, calcular puntuaciones y resultados, generar informes, actas, certificados y exportaciones, y enviar por email los enlaces a las pruebas y los cuestionarios de seguimiento solicitados por el Responsable.
• Categorías de interesados: participantes en las sesiones (por ejemplo, trabajadores en formación, estudiantes, invitados a un evento) e inscritos cargados por el Responsable.
• Tipos de datos: apodo, avatar y equipo; nombre y apellidos; empresa y los demás campos que el Responsable decida solicitar; email de los inscritos, si el Responsable lo introduce; respuestas, tiempos, puntuaciones, resultados e intentos; eventos de la sesión (entrada, salida, entrega, salidas de la página durante el examen); datos de los certificados (nombre, curso, fecha, resultado, código de verificación); respuestas a los cuestionarios de seguimiento; datos técnicos de conexión necesarios para el funcionamiento en tiempo real.
• Categorías especiales de datos y datos penales: el servicio no está pensado para tratar categorías especiales de datos (art. 9 RGPD) ni datos relativos a condenas e infracciones penales (art. 10). El Responsable se compromete a no recogerlos mediante los campos adicionales o las preguntas.
• Duración: durante la vigencia del contrato, salvo lo previsto en el punto 11.

3. Obligaciones del Responsable

• El Responsable determina los fines y los medios del tratamiento y garantiza que dispone de una base jurídica válida, que ha facilitado a los interesados la información exigida (arts. 13 y 14 RGPD), también sobre el uso de Quizhat, el envío de emails y los seguimientos, y que recoge solo los datos necesarios (minimización).
• En el caso de participantes menores de edad, el Responsable respeta las normas aplicables al centro educativo o a la organización y da preferencia al uso de apodos no identificativos.
• El Responsable custodia las credenciales de su cuenta y gestiona con cuidado los informes, las actas y las exportaciones que descarga, de los que responde una vez que salen del servicio.

4. Instrucciones

El Encargado trata los datos solo siguiendo instrucciones documentadas del Responsable (art. 28.3.a RGPD). Las instrucciones están constituidas por este acuerdo, por los Términos del servicio y por las configuraciones y acciones que el Responsable realiza en el servicio (por ejemplo, los campos que se solicitan, el envío de los enlaces, la programación de los seguimientos, la eliminación de una sesión o de la cuenta). Las instrucciones adicionales deben darse por escrito, también por email, y, si implican costes o actividades no previstas por el servicio, pueden acordarse por separado. El Encargado informa sin demora al Responsable si considera que una instrucción infringe el RGPD u otras normas de protección de datos. Si el Derecho de la Unión o el Derecho italiano impone un tratamiento distinto, el Encargado informa de ello al Responsable antes del tratamiento, salvo que la ley lo prohíba.

5. Confidencialidad

El Encargado autoriza para el tratamiento solo a las personas que lo necesitan para prestar, mantener y dar soporte al servicio, les da instrucciones y garantiza que se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad (art. 28.3.b). El Encargado no accede a los contenidos de las sesiones salvo para prestar el servicio, para la asistencia solicitada por el Responsable, por motivos de seguridad o por obligaciones legales.

6. Medidas de seguridad

El Encargado aplica medidas técnicas y organizativas adecuadas al riesgo (art. 32 RGPD), entre ellas:

• conexiones siempre cifradas (HTTPS/TLS), también para la conexión en tiempo real de los teléfonos;
• control de acceso: cada cuenta ve solo sus propias sesiones y sus propios informes; contraseñas conservadas solo como hash Argon2; acceso con Google o Microsoft mediante OpenID Connect;
• servidores en un centro de datos en Italia, con cortafuegos, acceso de administración solo mediante clave criptográfica y protección frente a intentos de acceso repetidos;
• límites a los intentos de acceso y a los registros, controles sobre los archivos subidos;
• copia de seguridad diaria de la base de datos y de las imágenes, con verificación de la integridad de la copia, y procedimiento de restauración;
• actualización del software y pruebas automáticas de los controles de acceso.

El Encargado puede actualizar las medidas con el tiempo, siempre que el nivel de seguridad global no disminuya.

7. Subencargados

El Responsable otorga una autorización general para recurrir a otros encargados (subencargados, art. 28.2 y 28.4 RGPD). El Encargado impone a cada uno de ellos, por contrato, obligaciones de protección de datos sustancialmente equivalentes a las de este acuerdo y sigue siendo responsable ante el Responsable de su actuación. Los subencargados actuales son:

El Encargado comunica al Responsable por email, con al menos 15 días de antelación, la incorporación o sustitución de un subencargado y actualiza esta página. El Responsable puede oponerse por motivos razonables relacionados con la protección de datos dentro del mismo plazo; si no se encuentra una solución, el Responsable puede resolver el contrato con el reembolso de la parte de la suscripción no disfrutada.

No son subencargados, porque actúan como responsables independientes y no reciben del Encargado los datos de los participantes por su cuenta: Stripe (pagos del Responsable), Google y Microsoft (acceso a la cuenta del Responsable). En los quiz con vídeos de YouTube insertados por el Responsable, el dispositivo del participante carga el reproductor directamente desde YouTube (Google), que recibe la dirección IP como responsable independiente: el Responsable lo tiene en cuenta en su propia información sobre privacidad o usa quiz sin vídeo.

8. Transferencias fuera de la UE

La base de datos, las imágenes y las copias de seguridad se conservan en Italia. Una transferencia de datos a países fuera del Espacio Económico Europeo, también a través de un subencargado, solo se realiza si está asegurada una garantía prevista en el capítulo V del RGPD: una decisión de adecuación (como el Marco de Privacidad de Datos UE-EE. UU., EU-US Data Privacy Framework, para los proveedores certificados) o las cláusulas contractuales tipo aprobadas por la Comisión Europea.

9. Asistencia al Responsable

• Derechos de los interesados (art. 28.3.e): el servicio permite al Responsable consultar y exportar los datos de las sesiones y suprimirlos eliminando la sesión concreta desde su informe. El Encargado transmite al Responsable, sin demora y por regla general en un plazo de 5 días hábiles, las solicitudes que recibe directamente de los interesados, sin responder sobre el fondo salvo instrucción del Responsable, y le ayuda a atender las solicitudes que el Responsable no pueda satisfacer por sí mismo con las funciones del servicio (por ejemplo, eliminando a petición suya a un participante concreto).
• Seguridad, evaluaciones de impacto y consulta previa (art. 28.3.f): el Encargado facilita al Responsable la información razonablemente necesaria para cumplir las obligaciones de los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone.

10. Violaciones de datos

El Encargado notifica al Responsable sin dilación indebida, y en cualquier caso en un plazo de 48 horas desde que tenga conocimiento de ella, toda violación de la seguridad de los datos personales que afecte a los datos tratados por su cuenta (art. 33.2 RGPD). La comunicación se envía al email de la cuenta y contiene, en la medida en que estén disponibles, la naturaleza de la violación, las categorías y el número aproximado de interesados y de datos afectados, las consecuencias probables, las medidas adoptadas o propuestas y un contacto; la información que no esté disponible de inmediato se facilita en cuanto sea posible. El Encargado adopta sin demora las medidas para contener la violación y ayuda al Responsable en las notificaciones al Garante per la protezione dei dati personali (autoridad italiana de protección de datos) y a los interesados.

11. Supresión y devolución de los datos

• Durante la vigencia del contrato, el Responsable puede descargar en cualquier momento informes, actas, certificados y la exportación completa de los datos de la cuenta (formato JSON) desde la página Cuenta.
• El Responsable puede eliminar en cualquier momento una sesión concreta desde su informe («Eliminar sesión»): el Encargado suprime de inmediato los participantes, las respuestas, las puntuaciones, las salidas de la página, los inscritos y los enlaces personales, los certificados (su página de verificación deja de mostrarlos como válidos) y los seguimientos de la sesión. Las copias en las copias de seguridad se sobrescriben en un plazo de 14 días.
• Cuando el Responsable elimina la cuenta, el Encargado suprime de inmediato los datos tratados por su cuenta (art. 28.3.g). Las copias en las copias de seguridad se sobrescriben en un plazo de 14 días; hasta entonces no se usan salvo para la restauración en caso de avería.
• Si el contrato termina por otros motivos, el Encargado conserva los datos durante 30 días para permitir que el Responsable los descargue y después los suprime, salvo que el Derecho de la Unión o el Derecho italiano exija su conservación.
• A petición del Responsable, el Encargado confirma por escrito que se ha realizado la supresión.

12. Información y auditorías

El Encargado pone a disposición del Responsable la información necesaria para demostrar el cumplimiento del art. 28 RGPD y permite y contribuye a la realización de auditorías, incluidas inspecciones, por parte del Responsable o de un auditor designado por este y sujeto a confidencialidad (art. 28.3.h). Salvo en caso de violaciones de datos o de solicitudes de una autoridad, las auditorías se realizan por regla general una vez al año, con un preaviso por escrito de al menos 30 días, en horario laboral, sin acceso a los datos de otros clientes y sin comprometer la seguridad del servicio; se realizan en primer lugar mediante la documentación y las respuestas por escrito del Encargado. Los costes de la auditoría corren a cargo del Responsable, salvo que se detecten incumplimientos relevantes por parte del Encargado.

13. Duración y disposiciones finales

• Este acuerdo está vigente mientras el Encargado trate datos por cuenta del Responsable y finaliza con la supresión prevista en el punto 11.
• Cada parte responde frente a los interesados y frente a la otra parte conforme al art. 82 RGPD. En las relaciones entre las partes se aplican los límites de responsabilidad de los Términos del servicio, en la medida permitida por la ley.
• En caso de contradicción entre este acuerdo y los Términos del servicio en materia de protección de datos, prevalece este acuerdo.
• Se aplican la ley italiana y la jurisdicción indicada en los Términos del servicio. El Encargado puede actualizar el acuerdo en la forma prevista en los Términos del servicio, sin reducir las garantías para los interesados.