Acuerdo de Tratamiento de Datos
Objeto
Este acuerdo regula el tratamiento de datos personales que , que opera comercialmente como DojoPay, realiza por cuenta de la academia para prestarle las funcionalidades contratadas. Forma parte integrante de los Términos y Condiciones y aplica desde que la academia registra a su primer alumno.
Roles de las partes
La academia es la responsable. Determina las finalidades y los medios principales del tratamiento de los datos de sus alumnos, decide a quién inscribe, cuánto le cobra, qué le comunica y por qué canal, y es quien debe poner a disposición de sus alumnos —o de sus padres o tutores— el aviso de privacidad que le corresponde.
DojoPay es el encargado. Trata esos datos únicamente por cuenta de la academia y conforme a las instrucciones que ésta le da a través del uso del servicio y de este acuerdo.
Respecto de los datos de la propia cuenta de la academia y de las personas que la administran, DojoPay actúa como responsable y aplica su Aviso de Privacidad.
Datos tratados
Según las funcionalidades que la academia utilice, DojoPay puede tratar por su cuenta:
- nombre del alumno;
- teléfono del alumno o de la persona que paga por él;
- correo electrónico del alumno, sólo si la academia lo captura: es un campo opcional que se usa únicamente para que el procesador de pagos le envíe el recibo de un cargo con tarjeta;
- su relación con la academia: plan, alta, baja y estado de actividad;
- monto de la mensualidad, día de cobro y periodicidad;
- estado de pago e historial mensual de cobranza;
- identificadores del procesador de pagos asociados a ese alumno;
- autorizaciones de cobro recurrente y su evidencia: texto aceptado, versión, fecha, IP y agente de usuario;
- consentimientos de comunicación por canal, y sus bajas;
- mensajes intercambiados con el alumno por los canales habilitados;
- comprobantes de pago que el alumno envía y los datos extraídos de ellos.
Minimización aplicada. DojoPay no pide ni almacena de los alumnos: CURP, credencial de elector, RFC, fecha de nacimiento, domicilio, datos de tarjeta ni datos personales sensibles de ninguna categoría. El correo electrónico es opcional y ninguna función del producto lo exige: si la academia no lo captura, todo opera igual. Si en el futuro alguna funcionalidad requiriera un dato nuevo, se agregará a esta lista antes de empezar a recabarlo.
Datos de menores de edad
DojoPay puede contener información de alumnos menores de edad, porque existen academias infantiles. Frente a esa realidad, el diseño del producto aplica tres reglas:
- Minimización reforzada. Del alumno solo se guarda nombre, teléfono, lo relativo a su mensualidad y —si la academia lo captura— un correo opcional para el recibo del procesador de pagos. No se recaba ninguna categoría de dato sensible.
- El pagador es quien autoriza. Cuando quien paga es el padre, la madre o el tutor, es esa persona adulta —no el menor— quien otorga la autorización de cobro recurrente y el consentimiento de comunicación, y es a ella a quien se dirigen los avisos de cobro y de cambio de tarifa.
- La academia responde por las autorizaciones. La academia declara contar con las autorizaciones y avisos que correspondan frente a sus alumnos menores, sus padres o sus tutores, conforme a la legislación aplicable.
Instrucciones de tratamiento
DojoPay:
- trata los datos únicamente para prestar el servicio contratado;
- no los vende, alquila ni comercializa;
- no los utiliza para marketing propio dirigido a los alumnos;
- no utiliza los datos de una academia para beneficiar comercialmente a otra;
- no envía datos de alumnos a plataformas de medición publicitaria;
- no construye perfiles publicitarios de alumnos;
- restringe el acceso interno conforme a funciones.
Si DojoPay considerara que una instrucción de la academia infringe la legislación aplicable, se lo hará saber y podrá abstenerse de ejecutarla.
Confidencialidad
Las personas que tengan acceso autorizado a estos datos están obligadas a guardar confidencialidad, obligación que subsiste después de terminada su relación con DojoPay.
Medidas de seguridad
DojoPay aplica, entre otras:
- aislamiento entre academias a nivel de base de datos, mediante políticas que hacen que una academia solo pueda leer y escribir sus propias filas, con independencia de lo que pida el navegador;
- autenticación de las personas usuarias y control de acceso por roles;
- cifrado en tránsito;
- almacenamiento privado de los comprobantes, accesibles solo mediante enlaces firmados de vigencia corta;
- verificación criptográfica de la firma de los mensajes que se reciben de los proveedores de pago y mensajería, para no aceptar como válido lo que solo conoce la dirección del endpoint;
- bitácora de las acciones relevantes, con quién las hizo y cuándo;
- respaldos gestionados por el proveedor de base de datos;
- proceso documentado de respuesta a incidentes.
Subprocesadores
DojoPay utiliza los proveedores tecnológicos necesarios para prestar el servicio. La lista vigente, con la finalidad y las categorías de datos de cada uno, está en /legal/subprocesadores.
La academia autoriza el uso de esos subprocesadores. Cuando DojoPay incorpore uno nuevo que trate datos de alumnos, lo publicará en esa página y lo comunicará a las academias con antelación razonable antes de que empiece a operar.
Derechos de los titulares
DojoPay colabora razonablemente con la academia para que ésta pueda atender las solicitudes de acceso, rectificación, cancelación y oposición de sus alumnos, poniendo a su disposición las herramientas del producto para consultar, corregir y exportar la información.
Si un alumno se dirige directamente a DojoPay, DojoPay no resolverá la solicitud como si fuera el responsable: la canalizará a la academia correspondiente y se lo informará al titular.
Incidentes de seguridad
DojoPay mantiene un proceso interno de respuesta a incidentes. Cuando detecte una vulneración de seguridad que afecte datos personales tratados por cuenta de una academia, se lo notificará sin demora indebida y le proporcionará la información razonablemente disponible para evaluar el incidente y cumplir con las obligaciones que le correspondan, incluyendo: qué ocurrió, cuándo, qué categorías de datos y qué titulares se vieron afectados, y qué medidas se tomaron.
Devolución y eliminación
Al terminar el servicio, DojoPay permite a la academia exportar la información razonablemente disponible: su padrón de alumnos, el historial de pagos y el estado de cada mensualidad.
Concluido el periodo de acceso, los datos se bloquean o eliminan conforme a la política de conservación, salvo aquellos que sea legalmente necesario conservar —entre otros, los que respaldan cobros efectivamente realizados y las autorizaciones que los ampararon—, que se conservan por el plazo aplicable y con acceso restringido.
Prohibición de uso independiente
DojoPay no utiliza los datos de alumnos para finalidades propias distintas de prestar el servicio a la academia. En particular, no crea con ellos perfiles publicitarios, no los cede a terceros con fines comerciales y no los vende.
DojoPay puede utilizar información agregada y sin capacidad de identificar a persona alguna —por ejemplo, el total de mensualidades cobradas en el mes en toda la plataforma— para operar y mejorar su servicio.
Prevalencia
En caso de conflicto entre este acuerdo y los Términos y Condiciones respecto del tratamiento de datos de alumnos, prevalecen las disposiciones de este acuerdo.
Aviso de privacidad de la academia
La academia es responsable de poner a disposición de sus alumnos su propio aviso de privacidad. DojoPay pone a su disposición una plantilla y un espacio en la configuración de su cuenta para publicar el enlace a ese aviso, que se incluye en las pantallas donde el alumno autoriza sus cobros.
DojoPay no redacta ni asume el aviso de privacidad de ninguna academia. La plantilla es un punto de partida, no asesoría legal, y la academia debe adaptarla a su propia operación.