Subencargados del tratamiento
Aulia actúa como encargada del tratamiento por cuenta de cada centro educativo. Para prestar el servicio nos apoyamos en los proveedores siguientes, que son nuestros subencargados conforme al artículo 28 del RGPD. Esta página es la lista vigente a la que remite el contrato de encargo del tratamiento que firma cada centro.
Última revisión: 2026-08-23
Cómo se comunican los cambios
El alta o la sustitución de un subencargado se comunica al centro por correo electrónico con una antelación mínima de 15 días, y el centro puede oponerse dentro de ese plazo. La baja de un subencargado se comunica sin plazo de espera, porque ningún tercero nuevo accede a los datos.
| Proveedor | Finalidad | Datos alcanzados | Ubicación del tratamiento | Garantía de transferencia |
|---|---|---|---|---|
| Vercel Inc.EE. UU. | Alojamiento de las aplicaciones y ejecución de las funciones de servidor | Todas las categorías, en tránsito por las funciones de servidor; identificadores técnicos en los registros | Unión Europea (Fráncfort). Los procesos de construcción del software se ejecutan en EE. UU. | DPF + CCT |
| Neon, LLCfilial de Databricks, Inc.EE. UU. | Base de datos gestionada: todo el dato estructurado de la plataforma | Datos identificativos y de contacto de alumnado, familias y personal; seguimiento diario; evaluación; autorizaciones | Unión Europea (Fráncfort) | DPF + CCT |
| Cloudflare, Inc.ImagesEE. UU. | Almacenamiento y entrega de fotografías | Imágenes del alumnado y del personal | Red global de Cloudflare. Este servicio no ofrece garantía de residencia en la UE; las imágenes se almacenan en privado y se sirven mediante enlaces firmados temporales. | DPF + CCT |
| Cloudflare, Inc.R2EE. UU. | Almacenamiento de documentos y archivos adjuntos | Documentos escolares, adjuntos de mensajes y documentos de identidad de personas autorizadas | Unión Europea (bucket bajo jurisdicción UE: almacenamiento y tratamiento garantizados dentro de la UE) | DPF + CCT |
| Cloudflare, Inc.DNS y correo entranteEE. UU. | DNS del dominio y enrutado del correo entrante | Remitente, destinatario y contenido de los mensajes dirigidos al dominio (tránsito) | Red global (tránsito) | DPF + CCT |
| Amazon Web Services EMEA SARLTranscribeLuxemburgo | Transcripción de las notas de voz del personal docente | Voz del personal docente; el dictado puede nombrar al alumnado. El audio no se almacena: sólo se conserva la transcripción. | Unión Europea (Fráncfort) | DPF + CCT |
| Anthropic, PBCEE. UU. | Modelos de lenguaje: estructuración del dictado de voz y borradores de informes para el profesorado | Transcripción del dictado y nombres del alumnado del aula; nombre de pila y anotaciones del personal. Sin datos de contacto ni campos médicos. | EE. UU. | DPF + CCT; compromiso contractual de no entrenar modelos con estos datos |
| Resend, Inc.EE. UU. | Correo transaccional: códigos de acceso y avisos de la plataforma | Direcciones de correo, nombres y contenido de los avisos | EE. UU. | DPF + CCT |
| Functional Software, Inc. (Sentry)EE. UU. | Monitorización de errores de las aplicaciones | Identificadores de usuario y de centro, datos técnicos del dispositivo y trazas de error | Unión Europea (región de datos UE, Fráncfort). Metadatos operativos en EE. UU. | DPF + CCT |
| Google Ireland Limitedcopia en Drive (opcional)Irlanda | Copia de seguridad de las fotografías en la unidad de Google Drive del propio centro. Función opcional, desactivada por defecto y activada expresamente por el centro. | Imágenes del alumnado | La que el centro tenga configurada en su propio Google Workspace | DPF + el acuerdo de tratamiento del propio centro con Google |
Previstos, todavía sin uso
Proveedores cuya incorporación se contempla. Se publican antes de tratar dato alguno, de modo que el centro los conoce al firmar y no en un aviso posterior. Un proveedor que figure aquí puede no llegar a usarse nunca.
| Proveedor | Finalidad | Estado |
|---|---|---|
| OpenAI, L.L.C. | Modelos de lenguaje, como alternativa o complemento para las funciones asistidas | Previsto, no activo. |
| DeepSeek | Modelos de lenguaje de bajo coste para las mismas funciones | Evaluado y bloqueado. China no cuenta con decisión de adecuación: su uso exigiría cláusulas contractuales tipo y una evaluación de impacto de la transferencia. No se activará para datos de centros educativos sin un dictamen jurídico favorable. |
| Google Workspace | Correo corporativo; recibirá el correo entrante cuando cambien los MX | Previsto, pendiente de contratación. |
Evaluados y excluidos
Estos servicios se utilizan pero no son subencargados, porque no tratan datos personales por cuenta de Aulia. Se enumeran para que la valoración sea visible y no quede implícita.
- Google FCM · Apple · Mozilla — Notificaciones push: el contenido viaja cifrado de extremo a extremo, de modo que el proveedor sólo ve un identificador seudónimo. Mero tránsito.
- Telegram — Canal de aviso interno al equipo de Aulia. Sólo recibe un titular de evento y un enlace; no recibe datos personales.
- Google Fonts — Las tipografías se descargan durante la construcción del software y se sirven desde nuestro propio alojamiento: el navegador nunca contacta con Google.
Dudas
Las consultas en materia de protección de datos, incluida la oposición a un nuevo subencargado, se dirigen a rgpd@auliafamily.com. Las familias deben dirigirse a su centro educativo, que es el responsable del tratamiento.