Quem é de fato o Controlador e do Processador de dados em uma Instituição de Ensino?

Analisando as responsabilidades de cada pessoa no processo como um todo, me surgiu uma dúvida sobre quem seria de fato o Controlador e o Processador de dados quando trata-se de uma Instituição de Ensino. Para explicar melhor o meu questionamento pense em uma escola que aluga, com pagamento mensal, um sistema de gestão escolar. Nesse caso, a escola não desenvolve nenhum sistema, mas utiliza um que é oriundo de terceiros. Sendo que essa Desenvolvedora também aluga o sistema para outras Instituições de Ensino. Lembrando que todos os dados são armazenados nesse sistema, que pode ser hospedado pela Instituição ou pela Desenvolvedora. Assim, a Instituição de Ensino é a Controladora dos Dados? A Desenvolvedora do Sistema é a Processadora dos Dados? Existe algum caso onde a Instituição não seria a Controladora?