BOLETÍN OFICIAL DEL ESTADO
Viernes 9 de agosto de 2024

Sec. III. Pág. 102672

c) Llevar, por escrito, un registro de las actividades de tratamiento efectuadas por
cuenta del Responsable, que contenga:
– El nombre y los datos de contacto del Encargado o Encargados y de cada
responsable por cuenta del cual actúe el Encargado y, en su caso, del representante del
Responsable o del Encargado y del delegado de protección de datos.
– Las categorías de tratamientos efectuados por cuenta de cada responsable.
– En su caso, las transferencias de datos personales a un tercer país u organización
internacional, incluida la identificación de dicho tercer país u organización internacional y,
en el caso de las transferencias indicadas en el artículo 49 apartado 1, párrafo segundo
del RGPD, la documentación de garantías adecuadas.
– Una descripción general de las medidas técnicas y organizativas de seguridad
relativas a (i) a seudonimización y el cifrado de datos personales, (ii) la capacidad de
garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los
sistemas y servicios de tratamiento (iii) la capacidad de restaurar la disponibilidad y el
acceso a los datos personales de forma rápida, en caso de incidente físico o técnico
y (iv) al proceso de verificación, evaluación y valoración regulares de la eficacia de las
medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
El registro se pondrá a disposición del Responsable previa solicitud motivada de este.
d) No comunicar los datos a terceras entidades o personas, salvo en los supuestos
de subcontratación autorizados por el Responsable del Tratamiento. En caso de que se
autorice la subcontratación, el Encargado será requisito imprescindible que se cumplan
las siguientes condiciones:
– Que el tratamiento de los datos por parte del subcontratista se ajuste a las
instrucciones del Responsable.
– Que el Encargado y el subcontratista formalicen un contrato de encargo de
tratamiento de datos que recoja las mismas obligaciones de esta cláusula.
– Que el contrato suscrito entre el Encargado y el subcontratista sea puesto a
disposición del Responsable a su mera solicitud para verificar su existencia y contenido.
En caso de incumplimiento, el Encargado inicial seguirá siendo plenamente
responsable ante el Responsable en lo referente al cumplimiento de las obligaciones.
e) Mantener el deber de secreto respecto a los datos personales a los que haya
tenido acceso en virtud del presente contrato, incluso después de que finalice su objeto.
f) Garantizar que las personas autorizadas para tratar los datos personales
se comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a
cumplir las medidas de seguridad correspondientes, de las que hay que informarles
convenientemente.
g) Asistir al Responsable, cuando sea necesario, en la respuesta al ejercicio de los
derechos del afectado.
h) Dar apoyo al Responsable del Tratamiento en la realización de las evaluaciones
de impacto relativas a la protección de datos, cuando proceda.
i) Llevar a cabo un análisis de riesgos e implementar medidas de seguridad
adecuadas en base al mismo, teniendo en cuenta el Esquema Nacional de Seguridad en
todo caso.
j) Comunicar al Responsable las violaciones de la seguridad de los datos accedidos
en un plazo máximo de cuarenta y ocho horas desde que tenga constancia de las mismas.
El Encargado, además, colaborará con el Responsable en cualquier investigación relacionada
con violaciones de seguridad que afecten a los datos personales. La comunicación de la
brecha de seguridad se realizará al correo electrónico: datos.personales@aecid.es.
k) Una vez finalice el presente contrato, suprimir o devolver al Responsable o a otro
encargado del tratamiento que designe el Responsable los Datos y suprimir cualquier
copia que esté en su poder. El Encargado podrá conservar una copia, con los datos

cve: BOE-A-2024-16565
Verificable en https://www.boe.es

Núm. 192