BOLETÍN OFICIAL DEL ESTADO
Núm. 130

Jueves 1 de junio de 2023

Sec. III. Pág. 76785

Décimo. Comisión de Seguimiento y Control.
Para el adecuado seguimiento, coordinación, control e interpretación del presente
convenio se creará una Comisión de Seguimiento y Control integrada por un/a
representante del CDTI, nombrado por su Director/a, y un/a representante de la UPM,
nombrado por su Vicerrector/a con competencias en Investigación. Esta institución de
seguimiento se reunirá tantas veces estime conveniente y al menos una vez durante
cada curso académico. Asimismo, se atribuye a esta comisión de seguimiento la función
de acordar las direcciones donde las partes deberán realizar las notificaciones y
comunicaciones que sean necesarias.
Protección de Datos de Carácter Personal.

Las partes se comprometen a cumplir durante la vigencia de este convenio, e
inclusive una vez finalizada su vigencia por la causa que sea, lo dispuesto en el
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril
de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento
de datos personales y a la libre circulación de estos datos y por el que se deroga la
Directiva 95/46/CE, en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de
Datos Personales y Garantía de los Derechos Digitales, y resto de normativa europea y
nacional de protección de datos.
Si para la realización del objeto del presente convenio fuese necesario que CDTI
accediera a los datos personales responsabilidad de la FGUPM o de la UPM, asumirá la
figura de encargado del tratamiento, de acuerdo al art. 28 del Reglamento General de
Protección de Datos. En tal caso, dicho acceso se regirá por las obligaciones dispuestas
en la presente cláusula.
El acceso y el tratamiento de los datos realizado por CDTI se harán conforme a las
instrucciones que proporcione la FGUPM o la UPM, sin que pueda hacer uso de los
datos para una finalidad distinta de la que es objeto este convenio. Únicamente se verán
afectados por este encargo los datos y las categorías de interesados cuyo tratamiento
sea indispensable para la ejecución del objeto del convenio.
CDTI mantendrá el deber de secreto respecto a los datos suministrados, incluso
después de la finalización del convenio. También asume expresamente la obligación de
contar con el compromiso de confidencialidad, de forma expresa y por escrito, por parte
del personal que realice los tratamientos, debiendo esta obligación estar documentada y
a disposición de la FGUPM.
CDTI no podrá subcontratar a un tercero la realización de ningún tratamiento de
datos, salvo que hubiera obtenido de la UPM o la FGUPM una autorización previa y por
escrito para ello; la cual, de existir, se anexará al presente convenio.
CDTI realizará un análisis de los posibles riesgos derivados del tratamiento para
determinar las medidas de seguridad apropiadas para garantizar la seguridad de la
información tratada y los derechos de los interesados. En concreto, garantiza que se
implementarán las medidas necesarias de protección de datos, teniendo en cuenta el
estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los
fines del tratamiento, Entre otras medidas, aplicará las siguientes: i) seudonimización y
cifrado de datos personales (cuando proceda); ii) garantizar la confidencialidad,
integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de
tratamiento; iii) restaurar la disponibilidad y el acceso a datos de forma rápida en caso de
incidente físico o técnico; iv) procedimientos de verificación, evaluación y valoración
regulares de la eficacia de las medidas técnicas y organizativas para garantizar la
seguridad del tratamiento.
CDTI deberá notificar las violaciones de seguridad de las que tenga conocimiento,
sin dilación indebida y en un máximo de 24 horas, a la UPM y FGUPM para su
conocimiento y aplicación de medidas para remediar y mitigar los efectos ocasionados.
CDTI pondrá a disposición de la UPM y FGUPM toda la información necesaria para
demostrar su cumplimiento con respecto a la normativa de protección de datos,

cve: BOE-A-2023-13076
Verificable en https://www.boe.es

Undécimo.