BOLETÍN OFICIAL DEL ESTADO
Núm. 43

Lunes 20 de febrero de 2023

Sec. III. Pág. 25880

Decimocuarta.
En relación con la seguridad de la información y la protección de datos de carácter
personal, las partes asumen las siguientes actuaciones y compromisos:
1. En el tratamiento de los datos de carácter personal, las partes tendrán la
consideración de «Corresponsables del Tratamiento», en aplicación del Reglamento
(UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a
la protección de las personas físicas en lo que respecta al tratamiento de datos
personales y a la libre circulación de estos datos (en adelante, RGPD).
2. Los datos derivados de este convenio serán de carácter identificativo y
financiero, estrictamente necesarios para dar cumplimiento a lo dispuesto en el objeto
establecido en el convenio.
Los alumnos deberán prestar para ello su consentimiento informado, expreso y por
escrito, así como para la difusión de grabaciones que contengan su imagen y/o voz. Los
alumnos podrán ejercer los derechos que les reconoce el RGPD ante cualquiera de las
partes.
Las partes, en el momento de la obtención de los datos, facilitarán a los alumnos la
información indicada en el artículo 13 del RGPD, como corresponsables del tratamiento.
3. La base de legitimación para la obtención de los datos vendrá dada; por un lado
por los fines del convenio; y por otro, de la legitimación de las partes dada su naturaleza.

4. En el caso de que se produzcan incidentes de seguridad que afecten a los
sistemas objeto de este convenio, las partes se comprometen a informarse mutuamente
con la máxima celeridad posible con objeto de identificar si el incidente es susceptible de
comunicación a la Autoridad de Control (la Agencia Española de Protección de Datos) y
a las personas concernidas, sin sobrepasar el límite de setenta y dos horas, según
establece el RGPD en su artículo 33. A su vez, las partes se comprometen a colaborar
para resolver el incidente y poner los medios para que no se vuelvan a producir
incidentes similares.
5. Las partes fijarán interlocutores relativos a la seguridad de la información y a la
protección de datos personales, que se encargarán de comunicar y coordinar el
tratamiento de los posibles incidentes de seguridad que se produzcan.
Las partes se comprometen a cumplir, en los términos que sea de aplicación, lo
establecido en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
Personales y garantía de derechos digitales, y disposiciones de desarrollo, así como en
el RGPD y demás normativa vigente.
Las partes conocen y aceptan que cualquier información o material proporcionado y
relacionado con la ejecución del presente convenio tendrá el carácter de confidencial y
será tratado como tal, empleando para tal fin idénticos dispositivos, medidas y
procedimientos de seguridad a los utilizados para proteger su propia documentación
confidencial durante toda la vigencia del convenio y de forma indefinida desde su
terminación.
Cada una de las partes se compromete a no revelar información confidencial a
ningún tercero salvo que sea estrictamente necesario en virtud de los derechos y
compromisos derivados del presente convenio. En este caso se requerirá autorización
por escrito de la otra parte, además de obligarse a poner en marcha los procedimientos
necesarios para prohibir la revelación, la duplicación sin autorización, el uso fraudulento
o la eliminación de dicha información confidencial.

cve: BOE-A-2023-4485
Verificable en https://www.boe.es

a. El IEF está legitimado mediante el Real Decreto 63/2001, de 26 de enero, por el
que se aprueba su Estatuto, entre cuyas funciones (art. 3.d) se encuentra la cooperación
y coordinación con otros centros, universidades, etc. en materia de estudios e
investigación.
b. El CIAT está legitimado por sus Estatutos.