BOLETÍN OFICIAL DEL ESTADO
Viernes 11 de julio de 2025

Sec. III. Pág. 92795

fácil como darlo, y en la medida de lo posible, se evitará supeditar dicho consentimiento
a la prestación de un servicio al interesado.
Ocho. En virtud de sus respectivas competencias y de acuerdo con su autonomía
organizativa, cada entidad asumirá sus respectivas responsabilidades en lo que se
refiere a la implantación de medidas técnicas y organizativas para garantizar la
seguridad en el tratamiento de los datos personales. En especial, adoptarán cuantas
medidas sean oportunas a fin de garantizar la protección de datos desde el diseño y por
defecto, en los términos recogidos por el artículo 25 del RGPD.
Nueve. En caso de que se produzca una violación en la seguridad de los datos
personales, la parte que tenga conocimiento de la misma asumirá la obligación de
notificarla a la autoridad de control, y en su caso, a los interesados, en los términos
recogidos por los artículos 33 y 34 del RGPD. Las violaciones de seguridad que se
notifiquen a la autoridad de control también deberán ser notificadas a las otras partes
firmantes del presente acuerdo.
Cada una de las partes, en tanto que corresponsables del tratamiento, deberán
documentar toda violación de seguridad de los datos personales de la que tengan
conocimiento.
Diez. Toda persona que haya sufrido daños y perjuicios materiales o inmateriales
como consecuencia de una infracción del RGPD tendrá derecho a recibir del
responsable del tratamiento una indemnización por los daños y perjuicios sufridos.
Cualquier responsable que participe en la operación de tratamiento responderá de
los daños y perjuicios causados en caso de que dicha operación no cumpla lo dispuesto
por dicho reglamento.
No obstante, el responsable del tratamiento estará exento de responsabilidad si
demuestra que no es en modo alguno responsable del hecho que haya causado los
daños y perjuicios.
Cuando más de un responsable del tratamiento hayan participado en la misma
operación de tratamiento y sean responsables de cualquier daño o perjuicio causado por
dicho tratamiento, cada responsable será considerado responsable de todos los daños y
perjuicios, a fin de garantizar la indemnización efectiva del interesado.
Cuando un responsable del tratamiento haya pagado una indemnización total por el
perjuicio ocasionado, dicho responsable tendrá derecho a reclamar al otro responsable
que haya participado en esa misma operación de tratamiento la parte de la
indemnización correspondiente a su parte de responsabilidad por los daños y perjuicios
causados.
Once. El presente acuerdo entrará en vigor en el momento de su firma por las
partes y tendrá la misma duración que la del convenio matriz al que está vinculado. Se
incorporará como adenda al convenio matriz.
Doce. Las modificaciones a este acuerdo deberán realizarse de mutuo acuerdo
entre las partes. A tal efecto, la parte que proponga la modificación solicitará la
conformidad escrita de la otra parte con al menos quince (15) días de antelación a la
fecha efectiva de modificación, debiendo esta última dar su contestación por escrito,
dentro de los quince (15) días siguientes a la recepción de la solicitud. La falta de
contestación a la solicitud de modificación o la contestación fuera del plazo previsto para
hacerlo, se entenderá como una no aceptación a la misma. En todo caso, las
modificaciones que se propongan no podrán contravenir lo establecido en la normativa
vigente en materia de protección de datos o el criterio de la Agencia Española de
Protección de Datos.
Trece. El presente acuerdo se extinguirá, además de por el cumplimiento de su
período de vigencia y cuando no sea prorrogado, de la misma forma que el convenio
matriz al que está vinculado, por las siguientes causas:
a) Por acuerdo mutuo de los firmantes del acuerdo.
b) Si se produjesen circunstancias que hicieran imposible o innecesaria la
realización o continuación de las actuaciones descritas en el presente acuerdo.

cve: BOE-A-2025-14361
Verificable en https://www.boe.es

Núm. 166