Transferencias y proveedores de identidad

Cuando un colegio contrata un servicio de inicio de sesión único en la nube, esa empresa pasa a tratar los datos de cuentas por cuenta del colegio: es un proveedor o encargado. La responsabilidad sobre esos datos no se va con el contrato. Si el servicio procesa en otro país, además, hay una transferencia internacional, y eso exige que el contrato exista, esté vigente y diga qué puede hacer el proveedor con los datos.

El glosario fija el país del colegio. Procesar los datos en otro país es una transferencia internacional, aunque el proveedor tenga oficina local. En proveedores.txt la columna «procesa en» dice dónde se procesan realmente los datos, que no siempre es donde está el contacto comercial.

La combinación más grave es un dato sensible en manos de un proveedor sin contrato: el colegio no tiene escrito qué puede hacer con él ni cuánto tiempo lo guarda. El glosario enumera cuáles atributos son sensibles. Cruza la columna de «datos que recibe» con esa lista y con la columna de contrato.

Un contrato con fecha pasada es un contrato que no existe: el proveedor sigue tratando datos sin respaldo escrito. El glosario separa «no» (nunca hubo) de «vencido» (hubo y se acabó). Compara las fechas con el corte.

No todo proveedor sin contrato falla igual. El que recibe solo datos que no son sensibles es un incumplimiento menos urgente que uno sensible, pero sigue siendo un incumplimiento: hay un tratamiento sin acuerdo. Sirve para ordenar la corrección, no para dejarlo.