BOLETÍN OFICIAL DEL ESTADO
Núm. 229

Viernes 24 de septiembre de 2021

b)

Sec. III. Pág. 116769

Los corresponsables asumen las siguientes obligaciones:

i) Cumplir con las obligaciones en materia de protección de datos establecidas por
el RGPD y demás legislación aplicable manteniendo indemne a la otra parte de los
daños y perjuicios que pudieran irrogársele como consecuencia de su incumplimiento.
ii) Garantizar por parte de los interesados ante cualquiera de los corresponsables el
ejercicio de los derechos de acceso, rectificación, supresión y oposición, limitación del
tratamiento, portabilidad de datos y a no ser objeto de decisiones individualizadas
(incluida la elaboración de perfiles), dentro del plazo legalmente establecido para ello, y
comunicar a la otra parte la recepción de la solicitud a fin de que puedan resolver
conjuntamente dichas solicitudes y e implantar los derechos ejercitados.
iii) Las partes cumplirán con el deber de información a los interesados en el
momento de la recogida de los datos personales mediante el aviso de privacidad que se
incorpora a este Convenio en su Anexo 3.
iv) Las partes notificarán al otro responsable del tratamiento, sin dilación indebida, y
en cualquier caso antes del plazo máximo de 48 horas, y a través de comunicación
electrónica, las violaciones de la seguridad de los datos personales a su cargo de las
que tenga conocimiento, juntamente con toda la información relevante para la
documentación y comunicación de la incidencia. No será necesaria la notificación
cuando sea improbable que dicha violación de la seguridad constituya un riesgo para los
derechos y las libertades de las personas físicas.
v) Corresponde al corresponsable del tratamiento que haya sufrido una violación de
seguridad de los datos personales comunicar dicha circunstancia en el menor tiempo
posible a los interesados, cuando sea probable que la violación suponga un alto riesgo
para los derechos y las libertades de las personas físicas. La comunicación debe
realizarse en un lenguaje claro y sencillo y deberá, como mínimo: a) Explicar la
naturaleza de la violación de datos. b) Indicar el nombre y los datos de contacto del
delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse
más información. c) Describir las posibles consecuencias de la violación de la seguridad
de los datos personales. d) Describir las medidas adoptadas o propuestas por el
responsable del tratamiento para poner remedio a la violación de la seguridad de los
datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los
posibles efectos negativos.
vi) Realizar conjuntamente las evaluaciones de impacto relativas a la protección de
datos, cuando proceda.
vii) Ambas partes se obligan a poner mutuamente a su disposición toda la
información necesaria para demostrar el cumplimiento de sus obligaciones, así como
para la realización de las auditorías o las inspecciones que realicen el responsable u otro
auditor autorizado por él.
Decimotercera. Modificación del Convenio.
El Convenio podrá ser modificado por acuerdo expreso de las partes durante su
vigencia, que seguirá los mismos trámites de autorización y publicidad que los
establecidos para el Convenio original.
Extinción del Convenio.

El presente Convenio se extinguirá por el cumplimiento de las actuaciones que
constituyen su objeto así como por el cumplimiento del plazo de vigencia. Se extinguirá
también por incurrir en alguna de las siguientes causas de resolución anticipada:
1. Por denuncia de cualquier de las partes, poniéndolo en conocimiento de la otra,
al menos con un (1) mes de anticipación a la fecha en que deseara dejarlo sin efecto.
2. Por mutuo acuerdo de las partes. Las cantidades que hayan de satisfacerse en
su caso, serán liquidadas por las partes conjuntamente mediante acuerdo de resolución

cve: BOE-A-2021-15510
Verificable en https://www.boe.es

Decimocuarta.