BOCM
Pág. 70

BOLETÍN OFICIAL DE LA COMUNIDAD DE MADRID
MARTES 30 DE MARZO DE 2021

B.O.C.M. Núm. 75

Cifrado de datos
Se cifrarán por defecto los Datos del Cliente (incluyendo cualesquiera Datos Personales presentes
en ellos) que se encuentren en tránsito a través de redes públicas entre el Cliente y Microsoft o entre
los centros de datos de Microsoft.
Microsoft cifrará además los Datos del Cliente que se encuentren almacenados en reposo en los
Servicios Online. En el caso de los Servicios Online en los que el Cliente, o un tercero que actúa por
cuenta del Cliente, puede crear aplicaciones (p. ej., determinados Servicios de Azure), se podrá
emplear el cifrado de los datos almacenados en dichas aplicaciones a criterio del Cliente, usando
las capacidades proporcionadas por Microsoft u obtenidas por el Cliente de terceros.
Acceso a datos
Microsoft empleará mecanismos de acceso de privilegio mínimo para controlar el acceso a los Datos
del Cliente (incluyendo los Datos Personales presentes en ellos). Para los Servicios Online
Principales, Microsoft mantendrá en vigor los mecanismos de Control de Acceso que se describen
en la tabla titulada “Medidas de Seguridad” del Apéndice A, sin que exista acceso permanente por
parte del personal de Microsoft a los Datos del Cliente. Se utilizarán controles de acceso basados
en roles para garantizar que el acceso a Datos del Cliente que sea requerido para operaciones de
servicio es para una finalidad apropiada, por un tiempo limitado, y es aprobado con supervisión de
responsables superiores.
Responsabilidades del Cliente
El Cliente es el único responsable de determinar de manera independiente si las medidas técnicas
y organizativas correspondientes a un Servicio Online satisfacen los requisitos del Cliente, incluidas
las obligaciones de seguridad que tenga el Cliente en virtud de la Normativa sobre Protección de
Datos que sea de aplicación. El Cliente reconoce y acepta que —teniendo en cuenta el estado de la
técnica, el coste de la implementación y la naturaleza, ámbito, contexto y fines del tratamiento de
sus Datos Personales, así como los riesgos para las personas— las prácticas y políticas de
seguridad implementadas y mantenidas en vigor por Microsoft proporcionan un nivel de seguridad
adecuado al riesgo con respecto a sus Datos Personales. El Cliente es responsable de implementar
y mantener en vigor protecciones de privacidad y medidas de seguridad para los componentes que
el Cliente proporcione o controle (tales como dispositivos registrados con Microsoft Intune o dentro
de una aplicación o máquina virtual de un cliente de Microsoft Azure).
Auditoría del cumplimiento
Microsoft llevará a cabo auditorías de la seguridad de los equipos, del entorno informático y de los
centros de datos físicos que utiliza en el tratamiento de los Datos del Cliente y los Datos Personales,
de la siguiente manera:

x
x

Cuando un estándar o marco de control establezca auditorías, se iniciará una auditoría de dicho
estándar o marco de control al menos anualmente.
Cada auditoría se realizará de conformidad con los estándares y reglas del organismo regulador
o de acreditación correspondiente a cada estándar o marco de control aplicable.
Cada auditoría será realizada por auditores externos, independientes y cualificados en materia
de seguridad, a elección y coste de Microsoft.

Cada auditoría dará como resultado un informe de auditoría (“Informe de Auditoría de Microsoft”),
que Microsoft pondrá a disposición en https://servicetrust.microsoft.com/ o en otra ubicación
identificada por Microsoft. El Informe de Auditoría de Microsoft constituirá Información Confidencial
de Microsoft y revelará claramente cualquier hallazgo importante del auditor. Microsoft remediará sin
demora, a satisfacción del auditor, las cuestiones que se deriven de un Informe de Auditoría de
Microsoft. Si el Cliente lo solicita, Microsoft le proporcionará cada Informe de Auditoría de Microsoft.
El Informe de Auditoría de Microsoft estará sujeto a limitaciones de distribución y no revelación de
Microsoft y del auditor.
En la medida que los requisitos de auditoría del Cliente en virtud de las Cláusulas Contractuales Tipo
o de la Normativa sobre Protección de Datos no se puedan satisfacer razonablemente a través de
los informes de auditoría o de las documentaciones o informaciones de cumplimiento que Microsoft

BOCM-20210330-26

x