BOLETÍN OFICIAL DEL ESTADO
Sábado 24 de julio de 2021

Sec. III. Pág. 89177

más largo. Como fecha del fin del contrato se considera aquella en la que finalice el
último contrato marco.
Durante el período de conservación, las personas responsables deben guardar los
datos con seguridad contra el acceso no autorizado en estricto cumplimiento del
artículo 32 del RGPD.
2. Los datos tienen que borrarse o destruirse inmediatamente después de
transcurrir el plazo de conservación. Esta obligación comprende de igual modo tanto los
datos tratados de forma automatizada como los tratados manualmente. Hay que informar
a la otra persona responsable de la supresión o destrucción de los datos.
3. En el caso de que haya disposiciones legales (por ejemplo, normas de derecho
extranjero o fiscal) que prevean un plazo de conservación más largo, la obligación de
destruir los datos recogidos surtirá efecto una vez transcurridos dichos plazos legales.
4. Si no es posible eliminar los datos por razones técnicas o sólo resulte posible
con un esfuerzo desproporcionado, entonces la persona responsable de la conservación
de los datos está obligada a almacenar los datos manteniendo de forma análoga sus
obligaciones que emanan de este Acuerdo hasta que se borren irrevocablemente en los
soportes de datos de copia de seguridad existentes, por ejemplo, mediante
sobreescritura repetida.
X.

Control e inspecciones

1. Las personas responsables se comprometen a facilitar toda la información
necesaria para demostrar el cumplimiento de las obligaciones contractuales y a permitir y
contribuir a las verificaciones, incluyendo inspecciones.
2. Los controles deben llevarse a cabo sin estorbar innecesariamente las
operaciones comerciales. A menos que se exija lo contrario por razones a documentar y
urgentes, los controles sólo se llevarán a cabo con una antelación razonable, durante el
horario laboral y con una frecuencia no superior a 12 meses. El control se limitará a
muestras aleatorias en la medida en que una persona responsable proporcione pruebas
de la correcta aplicación de las obligaciones de protección de datos acordadas según lo
dispuesto en el presente contrato.
XI.

Condiciones

1. Las personas responsables deben cumplir las condiciones que les afecten, total
o parcialmente, impuestas por las autoridades de inspección a cuya competencia están
sujetas. Una negativa a cumplir las condiciones pertinentes de las autoridades de
inspección constituye una razón para rescindir el contrato marco por causa justificada.
2. El Acuerdo de protección de datos debe ser adaptado adecuadamente en caso
de cambios en el contrato que se basa en este Acuerdo, así como en caso de cambios
legales o del derecho de la Unión Europea.
XII.

Responsabilidad

1. Básicamente, cada persona responsable asume ella sola la responsabilidad ante
la persona interesada por los perjuicios causados en la relación interna debidos a la
infracción de los derechos de terceros en el marco de este Acuerdo de protección de
datos.
2. Las personas responsables se mantienen indemnes y se exoneran de toda
responsabilidad mutuamente en todos aquellos casos en que una persona afectada
presente demandas judicial o extrajudicialmente, en particular, pero no exclusivamente,
exigiendo la abstención, supresión (en particular, borrado) y/o la indemnización por
daños y perjuicios contra la persona responsable que no sea culpable de la infracción de
las disposiciones de protección de datos en las que se basa la reclamación de la
persona afectada, o que sea (co)culpable sólo de una parte insignificante.

cve: BOE-A-2021-12425
Verificable en https://www.boe.es

Núm. 176