CUARTA.- OBLIGACIONES DEL RESPONSABLE DEL TRATAMIENTO

El RESPONSABLE DEL TRATAMIENTO se compromete, además de cumplir con cuantas obligaciones se le imputen a lo largo del presente contrato, a:

• Cumplir con todas las medidas técnicas y organizativas necesarias para garantizar la seguridad del tratamiento.
• Entregar al ENCARGADO DEL TRATAMIENTO los datos a los que se refiere la cláusula TERCERA de este documento, así como las instrucciones necesarias para llevar a cabo el tratamiento de los datos en los términos establecidos.
• Realizar, en su caso, las Evaluaciones de Impacto necesarias en materia de protección de datos personales sobre las operaciones de tratamiento a realizar por el ENCARGADO DEL TRATAMIENTO.
• Velar, de forma previa y durante el tratamiento, por el cumplimiento de la normativa aplicable en materia de protección de datos por parte del ENCARGADO DEL TRATAMIENTO.
• Supervisar el tratamiento por el ENCARGADO DEL TRATAMIENTO, incluida la realización de inspecciones y auditorías.
• Comunicar al ENCARGADO DEL TRATAMIENTO cualquier variación que se produzca de los datos personales facilitados, para que éste proceda a su actualización.

QUINTA.- OBLIGACIONES DEL ENCARGADO DEL TRATAMIENTO

El ENCARGADO DEL TRATAMIENTO se compromete, además de cumplir con cuantas obligaciones se le imputen a lo largo del presente contrato, a:

• Utilizar los datos personales objeto del tratamiento, o los que recoja para su inclusión, sólo para la finalidad objeto de este encargo y de acuerdo a las instrucciones del RESPONSABLE DEL TRATAMIENTO. 

• Implementar las medidas técnicas y organizativas necesarias que garanticen la seguridad e integridad de los datos de carácter personal y que eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos. Estas medidas se concentrarán en la adopción de, como mínimo, las siguientes:

• • Implantación de los mecanismos de identificación y autenticación en los sistemas de información y, en su caso, la gestión del correspondiente registro de accesos.

• • Incorporación de un registro de incidencias.

• • Adopción de mecanismos para la identificación y gestión de los soportes que contengan datos de carácter personal.

• • Incorporación de las medidas de gestión de transmisión segura de la información a través de redes de telecomunicaciones.

• • Realización de los procedimientos de verificación, comprobación y auditoría.

• • Implementación de sistemas de recuperación de datos.

• Informar a su personal de la obligación de mantener secreto profesional respecto de los datos personales objeto del tratamiento y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el RESPONSABLE DEL TRATAMIENTO. 

• Llevar por escrito, un registro de las categorías de actividades de tratamiento efectuadas por cuenta del RESPONSABLE DEL TRATAMIENTO, cuyo contenido deberá contemplar, como mínimo, lo dispuesto en el artículo 30 del RGPD.

• No comunicar, divulgar o transferir los datos personales a terceros, salvo que cuente con la autorización expresa del responsable del tratamiento, y/o en los supuestos legalmente admisibles. Únicamente podrá comunicar los datos a otros encargados del tratamiento del mismo RESPONSABLE DEL TRATAMIENTO de acuerdo con las instrucciones de éste, previa identificación por escrito de la entidad a la que se deben comunicar los datos.

• Garantizar la formación necesaria en materia de protección de datos de carácter personal de las personas autorizadas para tratar datos personales. 

• Auxiliar al RESPONSABLE DEL TRATAMIENTO a implantar las medidas de seguridad necesarias para:

• • Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.

• • Restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico.

• • Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnico-organizativas implantadas para garantizar la seguridad del tratamiento.
    

SEXTA.- ASISTENCIA Y DEBER DE COLABORACIÓN ENTRE LAS PARTES

El ENCARGADO DE TRATAMIENTO pondrá a disposición del RESPONSABLE DE TRATAMIENTO toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente contrato, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del RESPONSABLE DE TRATAMIENTO o de un auditor autorizado por éste.

En todo caso, el ENCARGADO DE TRATAMIENTO colaborará con el RESPONSABLE DE TRATAMIENTO ante cualquier requerimiento hecho por la autoridad competente en relación al tratamiento de datos personales encomendado.

SÉPTIMA.- EJERCICIO DE DERECHOS POR LOS INTERESADOS

Los derechos de acceso, rectificación, supresión, limitación, portabilidad u oposición, se ejercerán por los interesados ante el RESPONSABLE DE TRATAMIENTO.

Si el ENCARGADO DEL TRATAMIENTO recibiese una petición de ejercicio de derechos, deberá informar, de forma inmediata y en ningún caso más allá del día laborable siguiente al de la recepción de la solicitud, al interesado, o solicitante, de la identidad del RESPONSABLE DEL TRATAMIENTO, para que aquél se dirija al mismo.

OCTAVA.- NOTIFICACIÓN DE INCIDENCIAS

Sin dilación indebida, y en cualquier caso antes del plazo máximo de veinticuatro horas, el ENCARGADO DEL TRATAMIENTO deberá notificar al RESPONSABLE DEL TRATAMIENTO, a través del medio que le indique éste, de las violaciones de la seguridad de los datos personales a su cargo de las que tenga conocimiento, juntamente con toda la información relevante para la documentación y comunicación de la incidencia. A estos efectos se facilitará, como mínimo, la información requerida por el art. 33.3 del RGPD.

En caso de que no fuera posible facilitar la información simultáneamente, la información se facilitará de manera gradual, sin dilación indebida.

NOVENA.- SUBCONTRATACIÓN

No está permitida la subcontratación de ninguno de los servicios que formen parte del objeto contractual que legitima el tratamiento, salvo aquellos servicios auxiliares necesarios para el normal funcionamiento de los servicios prestados por el ENCARGADO DEL TRATAMIENTO. 

Si fuera necesaria la subcontratación de servicios no auxiliares, deberá comunicarse previamente y por escrito al RESPONSABLE DEL TRATAMIENTO con una antelación mínima de 14 días, indicando los tratamientos que se pretende subcontratar e identificando, de forma clara e inequívoca, la empresa subcontratista y sus datos de contacto. La subcontratación podrá llevarse a cabo si el RESPONSABLE DEL TRATAMIENTO no manifiesta su oposición en el plazo establecido

El subcontratista, que también tendrá la condición de encargado del tratamiento, está obligado igualmente a cumplir las obligaciones establecidas en este documento para el ENCARGADO DEL TRATAMIENTO y las instrucciones del RESPONSABLE DEL TRATAMIENTO, correspondiendo al ENCARGADO inicial regular la nueva relación, de forma que el nuevo encargado quede sujeto a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad…).

En caso de incumplimiento por el sub-encargado, el encargado inicial seguirá siendo plenamente responsable ante el RESPONSABLE DEL TRATAMIENTO en lo referente al cumplimiento de las obligaciones.

DÉCIMA.- LEGITIMACIÓN DE DATOS PERSONALES DE CONTRATACIÓN

El tratamiento de los datos de los arriba firmantes se realizará bajo la responsabilidad de cada parte con la finalidad de llevar a cabo la gestión de la relación contractual.

Las partes conservarán los datos durante el tiempo necesario para llevar a cabo la finalidad para la que fueron recogidos y, una vez finalizada esta, durante el tiempo requerido para  dar cumplimiento a las obligaciones legales derivadas de la misma.

Las partes también podrán dirigirse a la Agencia Española de Protección de Datos (www.aepd.es) para iniciar los trámites en defensa de sus derechos.  

DECIMOPRIMERA.- RESPONSABILIDAD

En el caso de incumplimiento por parte del ENCARGADO DEL TRATAMIENTO de cualquiera de las estipulaciones de este contrato, será considerado Responsable del Tratamiento, debiendo responder de las infracciones en que hubiese incurrido personalmente.

DECIMOSEGUNDA- DURACIÓN

La duración del presente contrato queda supeditada a la vigencia de la prestación del servicio acordado entre el RESPONSABLE DEL TRATAMIENTO y el ENCARGADO DEL TRATAMIENTO.

DECIMOTERCERA.- RESCISIÓN, RESOLUCIÓN O EXTINCIÓN

La rescisión, resolución o extinción de la relación contractual de prestación de servicios entre el RESPONSABLE DEL TRATAMIENTO y el ENCARGADO DEL TRATAMIENTO obligará a este último a cancelar los datos de carácter personal facilitados por parte del RESPONSABLE DEL TRATAMIENTO. 

El ENCARGADO DEL TRATAMIENTO deberá destruir o devolver los datos al RESPONSABLE DEL TRATAMIENTO, igual que cualquier otro soporte o documento en el que conste algún dato de carácter personal objeto del tratamiento. Sin perjuicio de lo anterior, el ENCARGADO DEL TRATAMIENTO podrá conservar los datos cuando esté legalmente obligado a hacerlo, y únicamente por el plazo de tiempo y para los fines legalmente establecidos. 

DECIMOCUARTA.- LEGISLACIÓN APLICABLE Y TRIBUNALES COMPETENTES

En lo no previsto en este contrato, así como en la interpretación y resolución de los conflictos que pudieran surgir entre las partes como consecuencia del mismo, será de aplicación la legislación española.

Para la resolución de cualquier controversia que pudiera derivarse del presente contrato, ambas partes se someterán a la jurisdicción de los tribunales de Barcelona, con renuncia expresa a cualquier otro fuero que pudiera corresponderles.