a) Utilizar los datos personales objeto de tratamiento, o los que recoja para su inclusión, sólo
para la finalidad objeto del convenio En ningún caso podrá utilizar los datos para fines propios.
b) Tratar los datos de acuerdo con las instrucciones documentadas del Responsable. Inclusive
con respecto a las transferencias internacionales de datos, si el Encargado debe transferir
datos personales a un tercer país o a una organización internacional, en virtud del Derecho
de la Unión o de los Estados miembros que le sea aplicable, informará al Responsable de esa
exigencia legal de manera previa, salvo que tal Derecho lo prohíba por razones importantes
de interés público.
c) Llevar, por escrito, salvo que pueda acogerse a alguna de las excepciones del artículo 30.5
del RGPD, un registro de todas las categorías de actividades de tratamiento efectuadas por
cuenta del Responsable, que contenga, conforme al artículo 30.2 del RGPD:
1. El nombre y los datos de contacto del Encargado y de cada responsable por cuenta del
cual actúe el Encargado.
2. Las categorías de tratamientos efectuados por cuenta de cada responsable.
3. Una descripción general de las medidas técnicas y organizativas de seguridad apropiadas
que esté aplicando al tratamiento de los datos.
d) No comunicar los datos a terceras personas, salvo que cuente con la autorización expresa
del Responsable, en los supuestos legalmente admisibles.
e) Mantener el deber de secreto respecto a los datos de carácter personal a los que haya tenido
acceso en virtud del presente convenio, incluso después de que finalice el mismo.
f) Garantizar que las personas autorizadas para tratar datos personales se comprometan de
forma expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de
seguridad correspondientes, de las que el encargado les informará convenientemente. El
Encargado mantendrá a disposición del Responsable la documentación acreditativa del
cumplimiento de esta obligación.
g) Garantizar la formación necesaria en materia de protección de datos personales de las
personas autorizadas para tratar datos personales.
h) Cuando las personas afectadas ejerzan los derechos de acceso, rectificación, supresión y
oposición, limitación del tratamiento y portabilidad de datos ante el Encargado, éste debe
comunicarlo por correo electrónico a la dirección que indique el Responsable. La
comunicación debe hacerse de forma inmediata y en ningún caso más allá del día laborable
siguiente al de la recepción de la solicitud, juntamente, en su caso, con otras informaciones
que puedan ser relevantes para resolver la solicitud.
i) Notificación de violaciones de la seguridad de los datos. El encargado notificará al
Responsable, sin dilación indebida y a través de la dirección de correo electrónico que le
indique el Responsable, las violaciones de la seguridad de los datos personales a su cargo de
las que tenga conocimiento, juntamente con toda la información relevante para la
documentación y comunicación de la incidencia. Se facilitará, como mínimo, la información
siguiente
▪ Descripción de la naturaleza de la violación de la seguridad de los datos personales,
inclusive, cuando sea posible, las categorías y el número aproximado de interesados
afectados, y las categorías y el número aproximado de registros de datos personales
afectados.
CVE:
BOP-2024-5512
Verificable
en:
http://bop.dip-caceres.es
Martes, 29 de octubre de 2024
N.º 0210
Pág. 23137