Anexo de tratamiento de datos

1. Objeto y delimitación de roles

1.1. El Responsable

El Responsable determina las finalidades y los medios del tratamiento de los datos personales de los estudiantes. Le corresponde decidir qué datos se cargan en la Plataforma, con qué propósito y bajo qué autorización institucional o parental.

1.2. El Encargado

Nexus TMA trata dichos datos únicamente por cuenta y siguiendo las instrucciones documentadas del Responsable, con el exclusivo fin de prestar el Servicio contratado.

Nexus TMA no determina las finalidades del tratamiento de los datos de estudiantes y no los utiliza para fines propios.

1.3. Cuándo el docente es Responsable y cuándo lo es el centro

Cuando el docente actúa por delegación de su centro educativo, el centro es el Responsable último y el docente actúa dentro del marco de autorización que aquel le confiere. El docente declara contar con dicha autorización al cargar datos en la Plataforma.

Un centro educativo puede solicitar la suscripción directa de este Anexo escribiendo a legal@nexustma.com.

2. Detalles del tratamiento

2.1. Objeto y naturaleza

Alojamiento, organización, cálculo, procesamiento asistido por Inteligencia Artificial, generación de reportes y respaldo de información académica de estudiantes, en el marco de la prestación del Servicio Califika.

2.2. Finalidad

Exclusivamente permitir al Responsable registrar, calcular, consultar y reportar las calificaciones y el desempeño académico de sus estudiantes conforme al marco de evaluación por competencias del MINERD.

2.3. Duración

Mientras esté vigente la relación contractual entre el Responsable y Nexus TMA, más los plazos de eliminación previstos en la cláusula 9.

2.4. Categorías de titulares

Estudiantes matriculados en centros educativos de la República Dominicana, mayoritariamente personas menores de edad.

2.5. Categorías de datos tratados

2.6. Datos expresamente excluidos

El Responsable se obliga a no cargar en la Plataforma las siguientes categorías de datos:

• Datos de salud, diagnósticos, condiciones médicas o necesidades educativas especiales de carácter clínico.
• Datos biométricos o genéticos.
• Origen racial o étnico, convicciones religiosas, filosóficas o políticas.
• Vida u orientación sexual.
• Datos sobre la situación judicial, migratoria o socioeconómica del estudiante o su familia.
• Documentos de identidad (cédula, acta de nacimiento, pasaporte) de estudiantes o de sus familias.
• Fotografías de estudiantes, salvo cuando estén incidentalmente contenidas en un documento de registro cargado.
• Datos de contacto de padres, madres o tutores.

Nexus TMA no ha diseñado la Plataforma para el tratamiento de estas categorías y no asume responsabilidad alguna por su carga indebida.

3. Obligaciones del Responsable

El Responsable declara y garantiza que:

1. Cuenta con la base legal válida —autorización institucional del centro educativo y/o consentimiento de los padres, madres o tutores— para tratar los datos de los estudiantes y para encargar su tratamiento a Nexus TMA.
2. Ha informado a los titulares o a sus representantes legales, en la forma que corresponda, sobre el uso de herramientas digitales para la gestión de calificaciones.
3. Los datos que carga son exactos, pertinentes y limitados a lo necesario para la finalidad académica.
4. No cargará ninguna de las categorías excluidas en la cláusula 2.6.
5. Gestionará el acceso a su cuenta con diligencia y no compartirá credenciales.
6. Atenderá, como Responsable que es, las solicitudes de derechos ARCO que le dirijan los titulares o sus representantes.

El Responsable mantendrá indemne a Nexus TMA frente a reclamaciones derivadas del incumplimiento de estas obligaciones.

4. Obligaciones del Encargado

Nexus TMA se obliga a:

1. Tratar los datos únicamente conforme a las instrucciones del Responsable y para prestar el Servicio. Si considerase que una instrucción infringe la Ley 172-13, lo informará al Responsable.
2. No utilizar los datos para fines propios, incluyendo publicidad, elaboración de perfiles comerciales o cesión a terceros.
3. No utilizar los datos de estudiantes para entrenar, afinar ni evaluar modelos de Inteligencia Artificial, propios o de terceros. Esta obligación se traslada contractualmente a los proveedores de IA.
4. No comercializar, vender, alquilar ni ceder los datos bajo ninguna circunstancia.
5. Garantizar que el personal con acceso a los datos esté sujeto a deber de confidencialidad, subsistente tras la terminación de su vínculo.
6. Aplicar las medidas de seguridad descritas en la cláusula 5.
7. Asistir razonablemente al Responsable en la atención de solicitudes de derechos ARCO y en la respuesta ante autoridades.
8. Notificar las vulneraciones de seguridad conforme a la cláusula 7.
9. Eliminar o devolver los datos al terminar la relación, conforme a la cláusula 9.
10. Poner a disposición del Responsable la información razonablemente necesaria para acreditar el cumplimiento de este Anexo.

5. Medidas de seguridad

Nexus TMA implementa, como mínimo:

Técnicas

• Cifrado en tránsito mediante TLS 1.2 o superior.
• Cifrado en reposo de la base de datos y del almacenamiento de archivos.
• Contraseñas protegidas mediante funciones de hashing irreversibles.
• Segregación lógica de datos por cuenta (aislamiento entre docentes y centros).
• Copias de seguridad periódicas cifradas, con rotación controlada.
• Actualización de dependencias y aplicación de parches de seguridad.

Organizativas

• Control de acceso basado en roles y principio de mínimo privilegio.
• Acuerdos de confidencialidad con todo el personal y colaboradores.
• Registro de auditoría de accesos administrativos.
• Procedimiento documentado de respuesta a incidentes.
• Revisión periódica de permisos de acceso.

Nexus TMA podrá modificar estas medidas siempre que el nivel de seguridad resultante no sea inferior.

6. Subencargados

6.1. Autorización general

El Responsable autoriza de forma general a Nexus TMA a contratar subencargados para prestar el Servicio, siempre que estos queden vinculados por obligaciones de protección de datos sustancialmente equivalentes a las de este Anexo.

Nexus TMA responde frente al Responsable por el cumplimiento de sus subencargados.

6.2. Categorías de subencargados

Nexus TMA recurre a subencargados de las siguientes categorías funcionales:

Todos los subencargados están vinculados contractualmente por obligaciones de confidencialidad y seguridad sustancialmente equivalentes a las de este Anexo, y tienen prohibido utilizar los datos para fines propios o para el entrenamiento de modelos de Inteligencia Artificial.

6.3. Identificación bajo solicitud

Por razones de confidencialidad comercial, la identidad concreta de los subencargados no se publica. El Responsable —en particular cuando se trate de un centro educativo que deba realizar una evaluación institucional de riesgos— puede solicitar esta información por escrito a legal@nexustma.com, y Nexus TMA la facilitará dentro de los diez (10) días hábiles siguientes, bajo compromiso de confidencialidad.

6.4. Cambios

Nexus TMA notificará al Responsable, con al menos treinta (30) días calendario de anticipación, la incorporación o sustitución de un subencargado que trate datos de estudiantes. El Responsable podrá oponerse por motivos razonables de protección de datos; de no alcanzarse una solución, podrá resolver la suscripción sin penalidad y con reembolso proporcional.

7. Notificación de vulneraciones de seguridad

Ante una vulneración de seguridad que afecte datos personales de estudiantes, Nexus TMA:

1. Notificará al Responsable sin dilación indebida y, en todo caso, dentro de las setenta y dos (72) horas siguientes a tener conocimiento del incidente.
2. Incluirá en la notificación: naturaleza del incidente, categorías y volumen aproximado de datos y titulares afectados, consecuencias probables, medidas adoptadas o propuestas, y un punto de contacto.
3. Adoptará de inmediato las medidas de contención y mitigación a su alcance.
4. Cooperará con el Responsable en las comunicaciones a titulares o autoridades que este deba realizar.

Corresponde al Responsable, como tal, decidir y ejecutar las notificaciones a los titulares, a sus representantes legales y a las autoridades competentes.

8. Asistencia en derechos ARCO

Si Nexus TMA recibe directamente una solicitud de Acceso, Rectificación, Cancelación u Oposición relativa a datos de un estudiante:

1. No responderá sustantivamente por sí misma.
2. Redirigirá al solicitante al Responsable correspondiente.
3. Informará al Responsable dentro de los cinco (5) días hábiles siguientes.
4. Asistirá al Responsable con los medios técnicos necesarios (exportación, rectificación o eliminación de registros) para atender la solicitud dentro de plazo.

9. Devolución y eliminación de datos

Al terminar la relación contractual, por cualquier causa:

Nexus TMA emitirá, a solicitud escrita del Responsable, una constancia de eliminación.

Se exceptúan los datos cuya conservación sea exigida por una obligación legal, los cuales permanecerán bloqueados y con acceso restringido hasta el vencimiento del plazo legal.

10. Auditoría

El Responsable podrá solicitar, con treinta (30) días calendario de preaviso y no más de una vez al año, información documental razonable que acredite el cumplimiento de este Anexo.

Cuando se trate de un centro educativo y exista causa justificada, podrá solicitarse una auditoría técnica más amplia, coordinada previamente, en horario laborable, sujeta a confidencialidad y a costo del Responsable, sin que pueda comprometer la seguridad ni la confidencialidad de los datos de otros clientes.

11. Vigencia y modificaciones

Este Anexo entra en vigor con la aceptación de los Términos y Condiciones y permanece vigente mientras Nexus TMA trate datos de estudiantes por cuenta del Responsable.

Toda modificación sustancial será notificada con al menos treinta (30) días calendario de anticipación.

12. Ley aplicable y jurisdicción

Este Anexo se rige por las leyes de la República Dominicana, en particular por la Ley No. 172-13. Las partes se someten a los tribunales del Distrito Nacional, República Dominicana.

13. Contacto