NÚMERO 1
Martes 2 de enero de 2024

39

Las Partes se comprometen a cumplir, en todo momento, las disposiciones contenidas en el
Reglamento (UE) 2016/679, de 27 de abril de 2016, relativo a la protección de personas físicas en lo que respecta al tratamiento de datos personales (“RGPD”) y la Ley Orgánica 3/2018,
de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales
(LOPDGDD).
Encargo del tratamiento.
En la medida en que las actividades de una de las Partes (Encargado del Tratamiento) implique el tratamiento y/o el acceso a datos personales titularidad de otra de las Partes (Responsable del Fichero), ello determinará que el Encargado del Tratamiento deba cumplir las
siguientes obligaciones: (a) tratar los datos personales exclusivamente conforme a las instrucciones facilitadas por escrito por el Responsable del Tratamiento; (b) llevar un registro de
los tratamientos efectuados por cuenta del Responsable del Tratamiento; (c) cuando proceda,
designar un Delegado de Protección de Datos y comunicar sus datos de contacto al Responsable del Tratamiento; (d) no comunicar los datos personales a ningún tercero salvo cuando
cuente con la autorización expresa del Responsable del Tratamiento; (e) garantizar que las
personas autorizadas para tratar los datos personales reciban la formación necesaria en materia de protección de datos personales y se comprometan, de forma expresa y por escrito, a
respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes; (f) permitir al Responsable del Tratamiento revisar toda la documentación necesaria para acreditar
el cumplimiento de las obligaciones aquí previstas, así como permitir y contribuir a la realización de inspecciones y auditorías por parte de Responsable del Tratamiento; (g) dar apoyo
al Responsable del Tratamiento en la realización de las evaluaciones de impacto relativas a
la protección de datos y/o en la realización de consultas previas a la autoridad de control,
cuando proceda; (h) notificar al Responsable del Tratamiento, sin dilación indebida y en cualquier caso en un plazo máximo de 48 horas, y a través del correo electrónico, las violaciones
de seguridad de los datos personales a su cargo de las que tenga conocimiento; (i) prestar
al Responsable del Tratamiento la asistencia que sea razonable en cualesquiera solicitudes,
instancias, requerimientos y cualesquiera otros trámites que fueran precisos o convenientes
ante las autoridades administrativas o judiciales competentes y, en concreto, ante la Agencia
Española de Protección de Datos; (j) de acuerdo con las instrucciones del Responsable del
Tratamiento, devolver, suprimir o entregar a terceros todos los datos personales y, si procede, los soportes donde consten, una vez hayan dejado de ser pertinentes para dicha finalidad
o el Contrato quede terminado, pudiendo sólo conservar los datos en caso de que exista un
deber legal de conservación; y (k) aplicar medidas técnicas y organizativas apropiadas para
garantizar un nivel de seguridad adecuado al riesgo (probabilidad y gravedad), que en su caso
incluya, entre otros: (1) la seudonimización y el cifrado de datos personales; (2) la capacidad
de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los
sistemas y servicios de tratamiento; (3) la capacidad de restaurar la disponibilidad y el acceso