BOLETÍN OFICIAL DEL ESTADO
Núm. 306

Jueves 22 de diciembre de 2022

Sec. III. Pág. 179555

Los corresponsables mantendrán a disposición de la otra parte la documentación
acreditativa del cumplimiento de la obligación establecida en el párrafo anterior.
Cuarta.

Obligaciones de las partes.

Acceder a los datos personales únicamente cuando sea imprescindible para el buen
desarrollo de los servicios.
Tratar los datos con la única finalidad de dar cumplimiento al objeto del convenio.
Seguir los procedimientos e instrucciones establecidos por la normativa vigente,
especialmente en lo relativo al deber de información y, en su caso, la obtención del
consentimiento de los interesados.
Si cualquiera de las partes considera que otra infringe el RGPD, la LOPDGDD, o
cualquier otra disposición en materia de protección de datos de la Unión o de los
Estados miembros, informará inmediatamente a las otras, con el fin de proceder a su
rápida subsanación.
Asumir la responsabilidad que corresponda en caso de que destine los datos a otra
finalidad distinta del cumplimiento del objeto del convenio, los comunique o los utilice
incumpliendo las estipulaciones de la normativa vigente, respondiendo de las
infracciones en que hubiera incurrido personalmente.
No permitir el acceso a los datos personales a ningún empleado de su
responsabilidad que no tenga la necesidad de conocerlos para la prestación de los
servicios.
No revelar, transferir, ceder o de otra forma comunicar los datos personales, ya sea
verbalmente o por escrito, por medios electrónicos, papel o mediante acceso informático,
ni siquiera para su conservación, a ningún tercero, salvo que exista autorización o
instrucción previa para ello.
En caso de estar obligado a ello por el artículo 30 del RGPD y el 31 de la LOPDGDD,
mantendrá un registro de todas las categorías de actividades de tratamiento efectuadas
en cumplimiento del convenio, que contenga la información exigida por el artículo 30.2
del RGPD.
Garantizar la formación necesaria en materia de protección de datos personales de
las personas autorizadas para tratar datos personales.
Darse apoyo mutuamente en la realización de las evaluaciones de impacto relativas
a la protección de datos, cuando proceda.
Darse apoyo mutuamente en la realización de las consultas previas a la Autoridad de
Control, cuando proceda.
Poner a disposición de la otra parte toda la información necesaria para demostrar el
cumplimiento de sus obligaciones, así como para la realización de las auditorías o las
inspecciones que realice la otra parte con la finalidad de verificar el correcto
cumplimiento del convenio.
Adoptar y aplicar las medidas de seguridad estipuladas en el presente Acuerdo,
conforme lo previsto en el artículo 32 del RGPD, que garanticen la seguridad de los
datos personales y eviten su alteración, pérdida, tratamiento o acceso no autorizado,
habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los
riesgos a que estén expuestos, ya provengan de la acción humana o del medio físico o
natural. En particular, serán de aplicación las medidas de seguridad establecidas en el
anexo II del Esquema Nacional de Seguridad.
En caso de estar obligado a ello por el artículo 37.1 del RGPD, y por el artículo 34 de
la LOPDGDD, designar un delegado de protección de datos y comunicar su identidad y
datos de contacto a la otra parte, así como cumplir con todo lo dispuesto en los
artículos 37, 38 y 39 del RGPD, y 35 a 37 de la LOPDGDD.
Respetar todas las obligaciones que pudieran corresponderle con arreglo al RGPD y
a la LOPDGDD, o de cualquier otra disposición o regulación complementaria que le fuera
igualmente aplicable.

cve: BOE-A-2022-21797
Verificable en https://www.boe.es

Los corresponsables del tratamiento, asumen las siguientes obligaciones: