Data Processing Agreement
This Data Processing Agreement ("DPA") is entered into between RAIWTID AI, LLC, operator of Raiwtid AI Academy ("Provider"), and the school or district identified at execution ("Educational Institution").
raiwtidaiacademy.com
burchell.porter@raiwtid.com
Represented by an authorized
school or district official.
1. Definitions
- "Student Data" means any data about students that is submitted to, generated by, or stored in Raiwtid AI Academy in connection with the Educational Institution's use of the Service.
- "Service" means the Raiwtid AI Academy web application available at raiwtidaiacademy.com.
- "FERPA" means the Family Educational Rights and Privacy Act, 20 U.S.C. § 1232g.
- "COPPA" means the Children's Online Privacy Protection Act, 15 U.S.C. §§ 6501–6506.
- "Subprocessor" means a third-party service provider engaged by Provider that processes Student Data.
- "School Official" has the meaning given in FERPA regulations at 34 C.F.R. § 99.31(a)(1).
2. Scope and Purpose
This DPA governs the processing of Student Data by Provider on behalf of the Educational Institution in connection with the delivery of the Service for educational purposes. Provider processes Student Data solely as a service provider acting on the Educational Institution's documented instructions.
3. Student Data Processed
The following categories of Student Data may be processed through the Service:
| Data Element | Purpose | Where Stored |
|---|---|---|
| Student nickname (not required to be real name) | Personalize learning experience | Student's device (localStorage) |
| Grade band (grades 2–5 or 6–8) | Deliver age-appropriate curriculum | Student's device (localStorage) |
| Lesson progress, mission completions | Track curriculum progress | Student's device (localStorage) |
| Quiz scores, XP, badges | Gamified progress tracking | Student's device (localStorage) |
| Class code check-in (nickname, grade, mission count, XP, badges, streak, date) | Teacher progress visibility | Netlify Forms (U.S. servers) |
| AI chat messages (ARIA) | Generate tutoring responses | Transmitted to Anthropic; not retained by Provider |
| Voice input audio (optional, transcribed to text only) | Allow spoken input to ARIA as an alternative to typing | Processed by the browser's built-in speech recognition (Google or Apple, depending on browser); audio itself is not retained by Provider |
4. Roles of the Parties
The Educational Institution is the data controller with respect to Student Data. Provider acts as a data processor (or "school official" as defined under FERPA) processing Student Data solely on behalf of and under the instructions of the Educational Institution.
The Educational Institution retains all rights to Student Data at all times. Provider acquires no ownership interest in Student Data.
5. COPPA — School Official Exception
By executing this DPA, the Educational Institution confirms that:
- It is deploying the Service for educational purposes only;
- It acts as the authorized agent for parental consent under COPPA's school official exception (16 C.F.R. § 312.5(b)(1)) for students under 13;
- It has provided appropriate notice to parents and students regarding the use of the Service;
- Provider's collection of Student Data is limited to what is necessary for the educational purpose and does not require separate direct parental consent for each student.
6. FERPA Compliance
Provider agrees to:
- Use Student Data only for the purpose of providing the Service as directed by the Educational Institution;
- Not re-disclose Student Data to any third party without the Educational Institution's written consent, except as required by law or to Subprocessors listed in Section 9;
- Allow the Educational Institution to review, correct, and request deletion of Student Data upon written request;
- Maintain Student Data confidentiality consistent with FERPA's requirements;
- Return or destroy Student Data upon contract termination as described in Section 13.
7. Processing Instructions
Provider shall process Student Data only in accordance with the Educational Institution's documented instructions, which are set forth in this DPA and any applicable order form or service agreement. Provider shall promptly inform the Educational Institution if it believes any instruction violates applicable law.
8. Confidentiality
Provider shall ensure that all personnel who have access to Student Data are bound by appropriate confidentiality obligations. Provider shall not use Student Data for any purpose other than providing the Service, including:
- No behavioral or targeted advertising to students;
- No sale, rent, or lease of Student Data to any third party;
- No use of Student Data to build profiles on students for non-educational purposes;
- No use of Student Data for Provider's own commercial benefit beyond delivering the Service.
9. Subprocessors
Provider currently uses the following Subprocessors that may process Student Data. Provider will notify the Educational Institution of any changes to this list at least 30 days in advance.
| Subprocessor | Purpose | Data Location | Privacy Policy |
|---|---|---|---|
| Netlify, Inc. | Application hosting; class check-in form submissions | United States | netlify.com/privacy |
| Anthropic, PBC | ARIA AI tutoring responses (chat messages processed; not retained for training) | United States | anthropic.com/privacy |
| Pollinations AI | Fallback AI responses; AI art generation (safety filters enabled) | European Union | pollinations.ai/privacy |
| Google LLC / Apple Inc. | Browser-based speech-to-text transcription, used only if a student taps the optional microphone button; audio is not retained by Provider | Varies by browser vendor | policies.google.com/privacy · apple.com/legal/privacy |
Provider shall impose data protection obligations on Subprocessors equivalent to those in this DPA and shall remain liable to the Educational Institution for any Subprocessor's failure to fulfill its obligations.
10. Security Measures
Provider implements and maintains reasonable technical and organizational measures to protect Student Data, including:
- Encryption in transit: All data transmitted between students and Provider's servers is encrypted via HTTPS/TLS.
- Minimal server-side storage: Student progress is stored on the student's own device (localStorage). Only class check-in submissions (limited fields) are stored on Provider's servers via Netlify Forms.
- Access controls: Class check-in data is accessible only through the teacher's class code and Provider administrative accounts.
- No passwords stored: The Service does not use passwords or user accounts; there is no password database to breach.
- Content safety filters: ARIA chat is filtered before transmission to AI providers to prevent submission of sensitive personal information.
11. Security Breach Notification
In the event Provider becomes aware of a security breach that affects Student Data, Provider will:
- Notify the Educational Institution within 72 hours of becoming aware of the breach;
- Provide a written description of the nature of the breach, categories of data affected, approximate number of students affected, and steps taken to mitigate the breach;
- Cooperate with the Educational Institution's investigation and response.
Notification shall be sent to the contact email provided by the Educational Institution at execution.
12. Student Data Rights
The Educational Institution may exercise the following rights with respect to Student Data held by Provider (i.e., class check-in submission data):
- Access: Request a copy of all Student Data associated with the Educational Institution's class code(s).
- Correction: Request correction of inaccurate Student Data.
- Deletion: Request deletion of all Student Data for specific students or the entire institution. Provider will complete deletion within 30 days of written request.
Note: Student Data stored on students' own devices (via browser localStorage) is not accessible to or controlled by Provider. The Educational Institution should instruct students or parents to use the in-app reset function to clear device-based data.
13. Data Retention and Return
- During the agreement: Provider retains class check-in submission data for up to 12 months or until a deletion request is received.
- On termination: Within 30 days of the end of the agreement or written request, Provider will delete all Student Data held on its servers associated with the Educational Institution and provide written confirmation of deletion.
- Legal hold exception: Provider may retain Student Data beyond these periods if required by law, court order, or regulatory authority, and will notify the Educational Institution of any such requirement.
14. Audit Rights
No more than once per calendar year, the Educational Institution may request written confirmation from Provider regarding its data protection practices as they relate to Student Data. Provider will respond to such requests within 30 business days.
15. Prohibited Uses
Provider expressly agrees that it will not:
- Sell Student Data;
- Use Student Data for advertising or to amass a profile on a student for non-educational purposes;
- Disclose Student Data to third parties other than authorized Subprocessors without written consent of the Educational Institution;
- Retain Student Data beyond the periods specified in Section 13.
16. Term and Termination
This DPA is effective upon execution and remains in force for the duration of the Educational Institution's use of the Service. Either party may terminate this DPA with 30 days' written notice. Sections 6 (FERPA), 8 (Confidentiality), 13 (Data Retention), and 15 (Prohibited Uses) survive termination.
17. Indemnification
Each party agrees to indemnify and hold harmless the other party from claims, damages, and expenses (including reasonable legal fees) arising from that party's breach of this DPA or violation of applicable law, including FERPA and COPPA.
18. Governing Law
This DPA is governed by the laws of the United States and, where applicable, the laws of the state where the Educational Institution is located. Any dispute arising under this DPA shall be resolved by good-faith negotiation before resorting to formal dispute resolution.
19. Entire Agreement
This DPA, together with any applicable service agreement or order form, constitutes the entire agreement between the parties with respect to the processing of Student Data and supersedes all prior agreements on this subject.
20. Signatures
By signing below (or by email confirmation), both parties agree to the terms of this Data Processing Agreement.
Questions? burchell.porter@raiwtid.com · Privacy Policy · Terms of Service
Acuerdo de Procesamiento de Datos
Este Acuerdo de Procesamiento de Datos ("DPA") se celebra entre RAIWTID AI, LLC, operador de Raiwtid AI Academy ("Proveedor"), y la escuela o distrito identificado al momento de la ejecución ("Institución Educativa").
raiwtidaiacademy.com
burchell.porter@raiwtid.com
Representada por un funcionario
escolar o distrital autorizado.
1. Definiciones
- "Datos del Estudiante" significa cualquier dato sobre estudiantes que se envíe, genere o almacene en Raiwtid AI Academy en relación con el uso del Servicio por parte de la Institución Educativa.
- "Servicio" significa la aplicación web Raiwtid AI Academy disponible en raiwtidaiacademy.com.
- "FERPA" significa la Ley de Derechos Educativos y Privacidad Familiar, 20 U.S.C. § 1232g.
- "COPPA" significa la Ley de Protección de la Privacidad Infantil en Línea, 15 U.S.C. §§ 6501–6506.
- "Subprocesador" significa un proveedor de servicios externo contratado por el Proveedor que procesa Datos del Estudiante.
- "Funcionario Escolar" tiene el significado que se le da en las regulaciones de FERPA en 34 C.F.R. § 99.31(a)(1).
2. Alcance y Propósito
Este DPA rige el procesamiento de Datos del Estudiante por parte del Proveedor en nombre de la Institución Educativa en relación con la entrega del Servicio con fines educativos. El Proveedor procesa los Datos del Estudiante únicamente como proveedor de servicios que actúa bajo las instrucciones documentadas de la Institución Educativa.
3. Datos del Estudiante Procesados
Las siguientes categorías de Datos del Estudiante pueden procesarse a través del Servicio:
| Elemento de Datos | Propósito | Dónde se Almacena |
|---|---|---|
| Apodo del estudiante (no se requiere que sea el nombre real) | Personalizar la experiencia de aprendizaje | Dispositivo del estudiante (localStorage) |
| Nivel de grado (grados 2–5 o 6–8) | Ofrecer un plan de estudios apropiado para la edad | Dispositivo del estudiante (localStorage) |
| Progreso de lecciones, misiones completadas | Seguimiento del progreso curricular | Dispositivo del estudiante (localStorage) |
| Puntajes de cuestionarios, XP, insignias | Seguimiento de progreso gamificado | Dispositivo del estudiante (localStorage) |
| Registro con código de clase (apodo, grado, cantidad de misiones, XP, insignias, racha, fecha) | Visibilidad del progreso para el maestro | Netlify Forms (servidores en EE. UU.) |
| Mensajes de chat con IA (ARIA) | Generar respuestas de tutoría | Transmitidos a Anthropic; no retenidos por el Proveedor |
| Audio de entrada de voz (opcional, transcrito solo a texto) | Permitir hablarle a ARIA como alternativa a escribir | Procesado por el reconocimiento de voz integrado del navegador (Google o Apple, según el navegador); el Proveedor no retiene el audio en sí |
4. Roles de las Partes
La Institución Educativa es el controlador de datos con respecto a los Datos del Estudiante. El Proveedor actúa como procesador de datos (o "funcionario escolar" según se define en FERPA) que procesa los Datos del Estudiante únicamente en nombre de y bajo las instrucciones de la Institución Educativa.
La Institución Educativa conserva todos los derechos sobre los Datos del Estudiante en todo momento. El Proveedor no adquiere ningún interés de propiedad sobre los Datos del Estudiante.
5. COPPA — Excepción de Funcionario Escolar
Al ejecutar este DPA, la Institución Educativa confirma que:
- Está implementando el Servicio únicamente con fines educativos;
- Actúa como agente autorizado para el consentimiento parental bajo la excepción de funcionario escolar de COPPA (16 C.F.R. § 312.5(b)(1)) para estudiantes menores de 13 años;
- Ha proporcionado el aviso adecuado a padres y estudiantes respecto al uso del Servicio;
- La recopilación de Datos del Estudiante por parte del Proveedor se limita a lo necesario para el propósito educativo y no requiere consentimiento parental directo por separado para cada estudiante.
6. Cumplimiento de FERPA
El Proveedor acepta:
- Usar los Datos del Estudiante únicamente para el propósito de brindar el Servicio según lo indicado por la Institución Educativa;
- No volver a divulgar los Datos del Estudiante a ningún tercero sin el consentimiento por escrito de la Institución Educativa, excepto cuando lo exija la ley o a los Subprocesadores enumerados en la Sección 9;
- Permitir que la Institución Educativa revise, corrija y solicite la eliminación de los Datos del Estudiante mediante solicitud por escrito;
- Mantener la confidencialidad de los Datos del Estudiante conforme a los requisitos de FERPA;
- Devolver o destruir los Datos del Estudiante al finalizar el contrato, como se describe en la Sección 13.
7. Instrucciones de Procesamiento
El Proveedor procesará los Datos del Estudiante únicamente de acuerdo con las instrucciones documentadas de la Institución Educativa, establecidas en este DPA y en cualquier formulario de pedido o acuerdo de servicio aplicable. El Proveedor informará prontamente a la Institución Educativa si considera que alguna instrucción viola la ley aplicable.
8. Confidencialidad
El Proveedor se asegurará de que todo el personal con acceso a los Datos del Estudiante esté sujeto a las obligaciones de confidencialidad adecuadas. El Proveedor no usará los Datos del Estudiante para ningún propósito que no sea brindar el Servicio, incluyendo:
- Sin publicidad conductual o dirigida a estudiantes;
- Sin venta, alquiler o arrendamiento de Datos del Estudiante a ningún tercero;
- Sin uso de Datos del Estudiante para crear perfiles de estudiantes con fines no educativos;
- Sin uso de Datos del Estudiante para el beneficio comercial propio del Proveedor más allá de brindar el Servicio.
9. Subprocesadores
El Proveedor actualmente utiliza los siguientes Subprocesadores que pueden procesar Datos del Estudiante. El Proveedor notificará a la Institución Educativa de cualquier cambio a esta lista con al menos 30 días de anticipación.
| Subprocesador | Propósito | Ubicación de los Datos | Política de Privacidad |
|---|---|---|---|
| Netlify, Inc. | Alojamiento de la aplicación; envíos de formularios de registro de clase | Estados Unidos | netlify.com/privacy |
| Anthropic, PBC | Respuestas de tutoría de IA de ARIA (los mensajes de chat se procesan; no se retienen para entrenamiento) | Estados Unidos | anthropic.com/privacy |
| Pollinations AI | Respuestas de IA de respaldo; generación de arte con IA (filtros de seguridad activados) | Unión Europea | pollinations.ai/privacy |
| Google LLC / Apple Inc. | Transcripción de voz a texto en el navegador, usada solo si un estudiante toca el botón de micrófono opcional; el Proveedor no retiene el audio | Varía según el proveedor del navegador | policies.google.com/privacy · apple.com/legal/privacy |
El Proveedor impondrá a los Subprocesadores obligaciones de protección de datos equivalentes a las de este DPA y seguirá siendo responsable ante la Institución Educativa por cualquier incumplimiento de un Subprocesador.
10. Medidas de Seguridad
El Proveedor implementa y mantiene medidas técnicas y organizativas razonables para proteger los Datos del Estudiante, incluyendo:
- Encriptación en tránsito: Todos los datos transmitidos entre los estudiantes y los servidores del Proveedor se encriptan mediante HTTPS/TLS.
- Almacenamiento mínimo en el servidor: El progreso del estudiante se almacena en su propio dispositivo (localStorage). Solo los envíos de registro de clase (campos limitados) se almacenan en los servidores del Proveedor a través de Netlify Forms.
- Controles de acceso: Los datos de registro de clase son accesibles solo a través del código de clase del maestro y las cuentas administrativas del Proveedor.
- Sin contraseñas almacenadas: El Servicio no usa contraseñas ni cuentas de usuario; no hay una base de datos de contraseñas que pueda ser vulnerada.
- Filtros de seguridad de contenido: El chat de ARIA se filtra antes de transmitirse a los proveedores de IA para evitar el envío de información personal sensible.
11. Notificación de Violación de Seguridad
En caso de que el Proveedor tenga conocimiento de una violación de seguridad que afecte los Datos del Estudiante, el Proveedor:
- Notificará a la Institución Educativa dentro de 72 horas de haber tenido conocimiento de la violación;
- Proporcionará una descripción escrita de la naturaleza de la violación, las categorías de datos afectados, el número aproximado de estudiantes afectados y las medidas tomadas para mitigarla;
- Cooperará con la investigación y respuesta de la Institución Educativa.
La notificación se enviará al correo electrónico de contacto proporcionado por la Institución Educativa al momento de la ejecución.
12. Derechos sobre los Datos del Estudiante
La Institución Educativa puede ejercer los siguientes derechos con respecto a los Datos del Estudiante en poder del Proveedor (es decir, los datos de envío de registro de clase):
- Acceso: Solicitar una copia de todos los Datos del Estudiante asociados con el/los código(s) de clase de la Institución Educativa.
- Corrección: Solicitar la corrección de Datos del Estudiante inexactos.
- Eliminación: Solicitar la eliminación de todos los Datos del Estudiante para estudiantes específicos o para toda la institución. El Proveedor completará la eliminación dentro de 30 días de la solicitud por escrito.
Nota: Los Datos del Estudiante almacenados en los propios dispositivos de los estudiantes (a través del localStorage del navegador) no son accesibles ni controlados por el Proveedor. La Institución Educativa debe indicar a los estudiantes o padres que usen la función de reinicio dentro de la app para borrar los datos almacenados en el dispositivo.
13. Retención y Devolución de Datos
- Durante el acuerdo: El Proveedor conserva los datos de envío de registro de clase hasta por 12 meses o hasta que se reciba una solicitud de eliminación.
- Al finalizar: Dentro de los 30 días posteriores al final del acuerdo o a la solicitud por escrito, el Proveedor eliminará todos los Datos del Estudiante que tenga en sus servidores asociados con la Institución Educativa y proporcionará confirmación por escrito de la eliminación.
- Excepción de retención legal: El Proveedor puede conservar los Datos del Estudiante más allá de estos períodos si así lo exige la ley, una orden judicial o una autoridad regulatoria, y notificará a la Institución Educativa de dicho requisito.
14. Derechos de Auditoría
No más de una vez por año calendario, la Institución Educativa puede solicitar confirmación por escrito del Proveedor sobre sus prácticas de protección de datos en relación con los Datos del Estudiante. El Proveedor responderá a dichas solicitudes dentro de 30 días hábiles.
15. Usos Prohibidos
El Proveedor acepta expresamente que no:
- Venderá Datos del Estudiante;
- Usará Datos del Estudiante para publicidad o para acumular un perfil de un estudiante con fines no educativos;
- Divulgará Datos del Estudiante a terceros que no sean Subprocesadores autorizados sin el consentimiento por escrito de la Institución Educativa;
- Conservará Datos del Estudiante más allá de los períodos especificados en la Sección 13.
16. Vigencia y Terminación
Este DPA entra en vigor al momento de su ejecución y permanece vigente durante la duración del uso del Servicio por parte de la Institución Educativa. Cualquiera de las partes puede terminar este DPA con 30 días de aviso por escrito. Las Secciones 6 (FERPA), 8 (Confidencialidad), 13 (Retención de Datos) y 15 (Usos Prohibidos) sobreviven a la terminación.
17. Indemnización
Cada parte acepta indemnizar y eximir de responsabilidad a la otra parte por reclamos, daños y gastos (incluyendo honorarios legales razonables) que surjan del incumplimiento de este DPA por esa parte o de la violación de la ley aplicable, incluyendo FERPA y COPPA.
18. Ley Aplicable
Este DPA se rige por las leyes de los Estados Unidos y, cuando corresponda, las leyes del estado donde se encuentra la Institución Educativa. Cualquier disputa que surja bajo este DPA se resolverá mediante negociación de buena fe antes de recurrir a la resolución formal de disputas.
19. Acuerdo Completo
Este DPA, junto con cualquier acuerdo de servicio o formulario de pedido aplicable, constituye el acuerdo completo entre las partes con respecto al procesamiento de los Datos del Estudiante y reemplaza todos los acuerdos previos sobre este tema.
20. Firmas
Al firmar a continuación (o mediante confirmación por correo electrónico), ambas partes aceptan los términos de este Acuerdo de Procesamiento de Datos.
¿Preguntas? burchell.porter@raiwtid.com · Política de Privacidad · Términos de Servicio