BOLETÍN OFICIAL DEL ESTADO
Lunes 13 de mayo de 2024

Sec. III. Pág. 54507

correspondientes, de las que les debe informar convenientemente. Y mantener a
disposición de ambas partes dicha documentación acreditativa.
f) Garantizar la formación necesaria en materia de protección de Datos Personales
de las personas autorizadas a su tratamiento.
g) Salvo que cuente en cada caso con la autorización expresa del Responsable del
Tratamiento, no comunicar (ceder) ni difundir los Datos Personales a terceros, ni siquiera
para su conservación.
h) Nombrar Delegado de Protección de Datos, en caso de que sea necesario según
el RGPD, y comunicarlo a la AEPD, también cuando la designación sea voluntaria, así
como la identidad y datos de contacto de la(s) persona(s) física(s) designada(s) por
ambas partes como sus representante(s) a efectos de protección de los Datos
Personales, responsable(s) del cumplimiento de la regulación del tratamiento de Datos
Personales, en las vertientes legales/formales y en las de seguridad.
i) Una vez finalizada la prestación objeto del presente convenio, se compromete, a
destruirlos, sin conservar copia alguna o, si alguna de las partes así se lo indica,
devolvérselos, así como también los soportes o documentos en que consten. En caso de
que se opte por su destrucción cada una de las partes acreditarán dicha destrucción
presentando una certificación firmada por persona debidamente facultada. No obstante,
ambas partes podrá conservar una copia, con los datos debidamente bloqueados,
mientras puedan derivarse responsabilidades de la ejecución de la prestación.
j) Salvo que se indique otra cosa o se instruya así expresamente por alguna de las
partes, a tratar los Datos Personales dentro del Espacio Económico Europeo u otro
espacio considerado por la normativa aplicable como de seguridad equivalente, no
tratándolos fuera de este espacio ni directamente ni a través de cualesquiera
subcontratistas autorizados conforme a lo establecido en este convenio o demás
documentos, salvo que esté obligado a ello en virtud del Derecho de la Unión o del
Estado miembro que le resulte de aplicación. En el caso de que por causa de Derecho
nacional o de la Unión Europea alguna de las partes se vea obligada a llevar a cabo
alguna transferencia internacional de datos, informará por escrito a la otra parte de esa
exigencia legal, con antelación suficiente a efectuar el tratamiento, y garantizará el
cumplimiento de cualesquiera requisitos legales que sean aplicables a según la parte
que actúe como Responsable, salvo que el Derecho aplicable lo prohíba por razones
importantes de interés público.
k) De conformidad con el artículo 33 RGPD, comunicar a la otra parte, de forma
inmediata y a más tardar en el plazo de 24 horas, cualquier violación de la seguridad de
los datos personales a su cargo de la que tenga conocimiento, juntamente con toda la
información relevante para la documentación y comunicación de la incidencia o cualquier
fallo en su sistema de tratamiento y gestión de la información que haya tenido o pueda
tener que ponga en peligro la seguridad de los Datos Personales, su integridad o su
disponibilidad, así como cualquier posible vulneración de la confidencialidad como
consecuencia de la puesta en conocimiento de terceros de los datos e informaciones
obtenidos durante la ejecución del convenio. Comunicará con diligencia información
detallada al respecto, incluso concretando qué interesados sufrieron una pérdida de
confidencialidad.
l) Cuando una persona ejerza un derecho (de acceso, rectificación, supresión y
oposición, limitación del tratamiento, portabilidad de datos y a no ser objeto de
decisiones individualizadas automatizadas, u otros reconocidos por la normativa
aplicable (conjuntamente, los «Derechos»), ante una de las partes, éste debe
comunicarlo a la otra parte con la mayor prontitud. La comunicación debe hacerse de
forma inmediata y en ningún caso más allá del día laborable siguiente al de la recepción
del ejercicio de derecho, juntamente, en su caso, con la documentación y otras
informaciones que puedan ser relevantes para resolver la solicitud que obre en su poder,
e incluyendo la identificación fehaciente de quien ejerce el derecho.
Asistirá al Responsable, siempre que sea posible, para que ésta pueda cumplir y dar
respuesta a los ejercicios de Derechos.

cve: BOE-A-2024-9617
Verificable en https://www.boe.es

Núm. 116