BOLETÍN OFICIAL DEL ESTADO
Lunes 13 de mayo de 2024

Sec. III. Pág. 54508

m) Colaborar, ambas partes, en el cumplimiento de sus obligaciones en materia de
(i) medidas de seguridad, (ii) comunicación y/o notificación de brechas (logradas e
intentadas) de medidas de seguridad a las autoridades competentes o los interesados, y
(iii) colaborar en la realización de evaluaciones de impacto relativas a la protección de
datos personales y consultas previas al respecto a las autoridades competentes;
teniendo en cuenta la naturaleza del tratamiento y la información de la que disponga.
Asimismo, pondrá a disposición de la parte que figure como responsable, toda la
información necesaria para demostrar el cumplimiento de las obligaciones previstas en
este convenio y demás documentos contractuales y colaborará en la realización de
auditorías e inspecciones llevadas a cabo, en su caso, por el Responsable.
n) En los casos en que la normativa así lo exija (véase artículo 30.5 RGPD), llevar
por escrito, incluso en formato electrónico, y de conformidad con lo previsto en el
artículo 30.2 del RGPD un registro de todas las categorías de actividades de tratamiento
efectuadas por cuenta del Responsable, que contenga, al menos, las circunstancias a
que se refiere dicho artículo.
o) Disponer de evidencias que demuestren su cumplimiento de la normativa de
protección de Datos Personales y del deber de responsabilidad activa, como, a título de
ejemplo, certificados previos sobre el grado de cumplimiento o resultados de auditorías,
que habrá de poner a disposición del Responsable a requerimiento de esta. Asimismo,
durante la vigencia del convenio, pondrá a disposición del Responsable toda
información, certificaciones y auditorías realizadas en cada momento.
p) Derecho de información: El encargado del tratamiento, en el momento de la
recogida de los datos, debe facilitar la información relativa a los tratamientos de datos
que se van a realizar. La redacción y el formato en que se facilitará la información se
debe consensuar con el responsable antes del inicio de la recogida de los datos.
Lo dispuesto a lo largo del presente apartado junto con las obligaciones en él
establecidas, constituyen las bases del contrato de encargo de tratamiento entre el
responsable y el encargado del tratamiento a que hace referencia el artículo 28.3 RGPD,
Estipulaciones como Responsable de Tratamiento:
Corresponde al responsable del tratamiento:
I. Entregar al encargado los datos a los que se refiere el convenio.
II. Realizar las consultas previas que corresponda.
III. Velar, de forma previa y durante todo el tratamiento, por el cumplimiento del
RGPD por parte del encargado.
IV. Supervisar el tratamiento, incluida la realización de inspecciones y auditorías.
Datos de carácter personal, base jurídica y finalidad del tratamiento:
El tratamiento consistirá en matriculación de alumnos y alta en la plataforma virtual
EOI.
Categoría de interesados: alumnos.
Categoría de datos: A continuación, se detallan los datos a los que puede tener
acceso el encargado del tratamiento:
Datos personales del tratamiento a los que se puede acceder
Datos personales. Nombre, apellidos, correo electrónico y DNI.

Subencargos de tratamiento asociados a Subcontrataciones:
Una vez iniciado el convenio, cuando para la prestación objeto del mismo se permita
la subcontratación y en caso de que el encargado pretenda subcontratar con terceros la
ejecución de la prestación objeto del convenio y el subcontratista, si fuera contratado,

cve: BOE-A-2024-9617
Verificable en https://www.boe.es

Núm. 116