BOLETÍN OFICIAL DEL ESTADO
Núm. 1

Lunes 1 de enero de 2024

Sec. III. Pág. 289

Tratamiento, deberá asumir los gastos que se deriven de la comunicación a los
interesados de estas violaciones de seguridad, cuando sea probable que la violación
suponga un alto riesgo para los derechos y las libertades de las personas físicas.
Sexta.
El Encargado del Tratamiento permitirá al IDIBELL revisar la consecución de los fines
del proyecto y realizar auditorías de los procedimientos seguidos, el grado de
cumplimiento de los estándares y los niveles pactados. El alcance de estas revisiones o
auditorías únicamente pueden estar relacionados con los aspectos del proyecto,
incluyendo cualquier tipo de dato y/o archivo, confidencial de la información, registros,
manuales de procedimiento, de calidad, niveles de servicios, etc. IDIBELL podrá llevar a
término una auditoría al año, como máximo, dentro del horario laboral del Encargado del
Tratamiento, y tendrá únicamente acceso a aquellas instalaciones directamente
relacionadas con la prestación de los servicios. La realización de la auditoría tendrá que
comunicarse con un periodo mínimo de 30 días. IDIBELL será responsable de todos los
gastos de cada auditoría. Toda la información obtenida y derivada de las auditorías será
tratada como información confidencial. IDIBELL podrá realizar la auditoría mediante un
tercero, previa firma de un acuerdo de confidencialidad aceptable por el Encargado del
Tratamiento. En ningún caso IDIBELL podrá requerir, ni el Encargado del Tratamiento
estará obligado a suministrar información sobre otros proveedores del Encargado del
Tratamiento o sobre el coste interno de la prestación de los servicios, información
privilegiada, interna o confidencial.
Séptima.
El Encargado del Tratamiento, su personal contratado, así como todos los que
intervengan en cualquier fase de éstos, se comprometen, de forma expresa y por escrito,
a observar el secreto profesional, a cumplir las medidas de seguridad pertinentes, y a
respectar el deber de custodia respecto de los datos de carácter personal,
independientemente del soporte o forma en que tengan conocimiento de estas, con el
objeto de la ejecución de este proyecto. Estas obligaciones subsistirán, aunque finalice la
relación contractual. El Encargado del Tratamiento se obliga a no comunicar datos, tan
siquiera a los efectos de su conservación, a otras personas ni dispositivos electrónicos,
ni tampoco a cuantos resultados se deriven de los procesos del tratamiento de los datos
citados anteriormente, así como a no duplicar o reproducir todo o parte de la información,
resultado del mencionado tratamiento. En caso de que el Encargado del Tratamiento
subcontrate a un tercero, según las previsiones previstas en este convenio, se asegurará
de que este quede obligado a guardar la confidencialidad debida. El Encargado del
Tratamiento mantendrá a disposición del Responsable del Tratamiento la documentación
acreditativa del cumplimiento de las obligaciones establecidas en este apartado.
Octava.

a) Facilitar el acceso al Encargado del Tratamiento los datos descritos en estas
cláusulas, de manera que resulten adecuados, pertinentes y no excesivos en relación
con su finalidad.
b) Adoptar e implementar las medidas necesarias para facilitar a los interesados la
información sobre el tratamiento de sus datos personales, en virtud de los principios de
información y transparencia.
c) Velar, antes y durante todo el tratamiento, para que el Encargado del Tratamiento
cumpla el RGPD.
d) Mantener al Encargado del Tratamiento libre de cualquier responsabilidad que le
fuese exigible por una autoridad competente o un tercero en virtud de un procedimiento

cve: BOE-A-2024-70
Verificable en https://www.boe.es

IDIBELL, sin perjuicio de las obligaciones que le sean exigibles en virtud de la
legislación de protección de datos personales aplicable, se obliga específicamente a: