BOLETÍN OFICIAL DEL ESTADO
Lunes 7 de octubre de 2024

Sec. III. Pág. 123731

Las partes se comprometen a cumplir, en los términos que sean de aplicación, con
las obligaciones y deberes relativos al tratamiento de datos personales en virtud de lo
dispuesto en ambas normas, especialmente:
1. El tratamiento de los datos personales que realicen las partes en el marco del
convenio se limitará a las actuaciones necesarias para desempeñar correctamente los
servicios en él determinados. Las partes se comprometen a guardar secreto respecto de
los datos personales que traten en aplicación del convenio, a efectuar dicho tratamiento
de acuerdo con lo en él dispuesto y, en todo caso, con las normas legales y
reglamentarias aplicables.
2. Los datos personales no se cederán ni se comunicarán a terceros, salvo cuando
se cedan a encargado de tratamiento legitimado, en las condiciones y circunstancias
previstas en el artículo 28 del RGPD, o cuando la cesión tenga lugar conforme a la
legalidad.
3. Las partes intervinientes en el convenio asumen los compromisos de:
a) Informar a los titulares de los datos personales de las características del
tratamiento que, en el marco del convenio, se llevará a cabo.
b) Incorporar las actividades de tratamiento de datos personales que se realicen
con objeto del convenio a los Registros de Actividades de Tratamiento (RAT) de cada
una de las partes intervinientes.
c) Implantar las medidas técnicas y organizativas que garanticen la seguridad,
integridad y confidencialidad de los datos de carácter personal y eviten su alteración,
pérdida, tratamiento o acceso no autorizado. Además, informarán a los trabajadores que
estén legitimados para prestar los servicios de acuerdo con lo dispuesto en el convenio,
de las obligaciones contenidas en esta cláusula y les exigirán su cumplimiento. En
particular, deberán advertirles del carácter confidencial de los datos y de su
responsabilidad en caso de divulgarlos ilícitamente.
d) Implantar los mecanismos de prevención, comunicación y resolución de las
violaciones de la seguridad de los datos personales que pudieran producirse.
e) Establecer el mecanismo de respuesta al ejercicio por parte de los titulares de
los datos personales de los derechos que derivan de la normativa de su protección.
4. Los titulares de los datos personales podrán ejercitar frente a, y en contra de,
cada uno de los responsables, los derechos de acceso, rectificación, supresión y
portabilidad de los datos personales, y de limitación u oposición al tratamiento. Las
partes se comprometen a trasladarse de forma inmediata las solicitudes y/o resoluciones
emitidas a este respecto.
5. Cada parte será considerada responsable del tratamiento de datos de carácter
personal y responderá como tal de las infracciones en que hubiese incurrido, en el caso
de que los destine a finalidad distinta de la establecida en este convenio, los comunique
a terceras personas, vulnere el deber de guardar secreto sobre ellos o los utilice
indebidamente en contravención de lo dispuesto en la normativa sobre protección de
datos personales, sin perjuicio de lo previsto en el artículo 82.5 del RGPD europeo.
6. En caso de que se produzca una violación de la seguridad de los datos
personales, el corresponsable afectado trasladará de inmediato la comunicación a la otra
parte y, en su caso, a la Agencia Española de Protección de Datos y al propio interesado
conforme a lo dispuesto en los artículos 33 y 34 RGPD y artículos equivalentes de la
LOPD.
7. Las garantías que, en orden a los datos personales, se establecen tendrán
validez durante la vigencia del convenio y de sus prórrogas.
Octava. Modificación del convenio y consecuencias en caso de incumplimiento.
La modificación del convenio se realizará, mediante adenda, por acuerdo unánime de
los firmantes.

cve: BOE-A-2024-20244
Verificable en https://www.boe.es

Núm. 242