BOLETÍN OFICIAL DEL ESTADO
Lunes 6 de mayo de 2024

Sec. III. Pág. 51042

c) Llevar, por escrito, un registro de las actividades de tratamiento efectuadas por
cuenta del Responsable, que contenga:
– El nombre y los datos de contacto del Encargado o Encargados y de cada
Responsable por cuenta del cual actúe el Encargado y, en su caso, del representante del
Responsable o del Encargado y del delegado de protección de datos.
– Las categorías de tratamientos efectuados por cuenta de cada Responsable.
– En su caso, las transferencias de datos personales a un tercer país u organización
internacional, incluida la identificación de dicho tercer país u organización internacional y,
en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo
del RGPD, la documentación de garantías adecuadas.
– Una descripción general de las medidas técnicas y organizativas de seguridad
relativas a (i) a seudonimización y el cifrado de datos personales, (ii) la capacidad de
garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los
sistemas y servicios de tratamiento (iii) la capacidad de restaurar la disponibilidad y el
acceso a los datos personales de forma rápida, en caso de incidente físico o técnico y
(iv) al proceso de verificación, evaluación y valoración regulares de la eficacia de las
medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
El registro se pondrá a disposición del Responsable previa solicitud motivada de este.
d) No comunicar los datos a terceras entidades o personas, salvo en los supuestos
de subcontratación autorizados por el Responsable del Tratamiento. En caso de que se
autorice la subcontratación, el Encargado será requisito imprescindible que se cumplan
las siguientes condiciones:
– Que el tratamiento de los datos por parte del subcontratista se ajuste a las
instrucciones del Responsable.
– Que el Encargado y el subcontratista formalicen un contrato de encargo de
tratamiento de datos que recoja las mismas obligaciones de esta cláusula.
– Que el contrato suscrito entre el Encargado y el subcontratista sea puesto a
disposición del Responsable a su mera solicitud para verificar su existencia y contenido.
En caso de incumplimiento, el Encargado inicial seguirá siendo plenamente
responsable ante el Responsable en lo referente al cumplimiento de las obligaciones.
e) Mantener el deber de secreto respecto a los datos personales a los que haya
tenido acceso en virtud del presente contrato, incluso después de que finalice su objeto.
f) Garantizar que las personas autorizadas para tratar los datos personales se
comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las
medidas de seguridad correspondientes, de las que hay que informarles convenientemente.
g) Asistir al Responsable, cuando sea necesario, en la respuesta al ejercicio de los
derechos del afectado.
h) Dar apoyo al Responsable del Tratamiento en la realización de las evaluaciones
de impacto relativas a la protección de datos, cuando proceda.
i) Llevar a cabo un análisis de riesgos e implementar medidas de seguridad adecuadas
en base al mismo, teniendo en cuenta el Esquema Nacional de Seguridad en todo caso.
j) Comunicar al Responsable las violaciones de la seguridad de los datos accedidos en
un plazo máximo de 48 horas desde que tenga constancia de las mismas. El Encargado,
además, colaborará con el Responsable en cualquier investigación relacionada con
violaciones de seguridad que afecten a los datos personales. La comunicación de la brecha
de seguridad se realizará al correo electrónico: datos.personales@aecid.es.
k) Una vez finalice el presente contrato, suprimir o devolver al Responsable o a otro
encargado del tratamiento que designe el Responsable los datos y suprimir cualquier
copia que esté en su poder. El Encargado podrá conservar una copia, con los datos
debidamente bloqueados, mientras puedan derivarse responsabilidades de la ejecución
de la prestación.

cve: BOE-A-2024-9081
Verificable en https://www.boe.es

Núm. 110