BOLETÍN OFICIAL DEL ESTADO
Sábado 10 de agosto de 2024

Sec. III. Pág. 103532

datos personales correspondientes a los solicitantes de las ayudas y adhesión de las
entidades al citado programa (personas interesados y representantes legales).
– TRAGSATEC obtiene, a través de la plataforma tecnológica de la FNMT-RCM, los
datos personales necesarios para realizar la revisión documental de los expediente de
concesión de ayudas y de adhesión de las entidades.
– La Sociedad Estatal Correos y Telégrafos, SA, S.M.E., como entidad encargada de
facilitar los medios de pago de las tarjetas prepago y de gestión de altas, modificaciones
y bajas de TPVs de las entidades adheridas, recibe de forma segura a través de la
plataforma informática mediante APIs, los datos personales necesarios de las personas
beneficiarias del «Bono Cultural Joven» y de las entidades adheridas al programa.
k) En caso de duda en el acceso a los datos por personal autorizado o en el flujo de
estos, se consultará al responsable la manera de proceder y siempre de manera que se
respete la confidencialidad y la seguridad de la información.
l) El Encargado del Tratamiento siempre colaborará tanto en el cumplimiento de las
obligaciones del responsable como en su demostración.
m) En el ámbito de actuación del encargado, se atenderán las siguientes
indicaciones:
– No se permitirá el uso para fines particulares de aquellos ordenadores y
dispositivos destinados al tratamiento de los datos personales.
– Cuando el mismo ordenador o dispositivo se utilice para el tratamiento de datos
personales y fines de uso personal, se recomienda disponer de varios perfiles o usuarios
distintos para cada una de las finalidades. Deben mantenerse separados los usos
profesional y personal del ordenador o dispositivo.
– Si, en el procedimiento de tratamiento o acceso a los datos a través de un equipo
de los Encargados del Tratamiento, se realice mediante acceso remoto, se debe
disponer de las medidas de seguridad adecuadas contando, al menos, de una VPN y
doble factor de autenticación, 2FA, o medidas de seguridad equivalentes y que cumplan
con el nivel requerido del ENS para en el nivel que corresponda.
– Se recomienda disponer de perfiles con derechos de administración para la
instalación y configuración del sistema y usuarios sin privilegios o derechos de
administración para el acceso a los datos personales. Esta medida evitará que, en caso
de ataque de ciberseguridad, puedan obtenerse privilegios de acceso o modificar el
sistema operativo.
– Se garantizará la existencia de contraseñas (o mecanismos equivalentes) para el
acceso a los datos personales almacenados en sistemas electrónicos. La contraseña
tendrá, al menos, 16 caracteres, mezcla de números y letras, y se renovarán
periódicamente (al menos de forma trimestral).
– Cuando a los datos personales accedan distintas personas, para cada persona
con acceso a los datos personales, se dispondrá de un usuario y contraseña específicos
(identificación inequívoca).
– Se garantizará la confidencialidad de las contraseñas, evitando que queden
expuestas a terceros. En ningún caso se compartirán las contraseñas ni se dejarán
anotadas en lugar común y el acceso de personas distintas del usuario.
– Actualización de ordenadores y dispositivos. Los dispositivos y ordenadores
utilizados para el almacenamiento y el tratamiento de los datos personales deberán
mantenerse actualizados en la media posible.
– En los ordenadores y dispositivos donde se realice el tratamiento de los datos
personales, se dispondrá de un sistema de antivirus que garantice en la medida posible
el robo y destrucción de la información y datos personales. El sistema de antivirus
deberá ser actualizado de forma periódica.
– Para evitar accesos remotos indebidos a los datos personales, se velará para
garantizar la existencia de un cortafuegos activado en aquellos sistemas en los que se
realice el almacenamiento y/o tratamiento de datos personales.

cve: BOE-A-2024-16672
Verificable en https://www.boe.es

Núm. 193