BOCM
B.O.C.M. Núm. 75

BOLETÍN OFICIAL DE LA COMUNIDAD DE MADRID
MARTES 30 DE MARZO DE 2021

Pág. 71

ponga a disposición de sus clientes con carácter general, Microsoft responderá sin demora a las
instrucciones de auditoría adicionales del Cliente. Antes del inicio de una auditoría, el Cliente y
Microsoft estipularán de mutuo acuerdo las condiciones de alcance, plazos, duración, control y
evidencias, además de los honorarios de la auditoría, en el bien entendido de que esta necesidad
de llegar a un acuerdo no permitirá que Microsoft retrase irrazonablemente la realización de la
auditoría. En la medida que sea necesario para realizar la auditoría, Microsoft pondrá a disposición
los sistemas de tratamiento, las instalaciones y las documentaciones de respaldo que sean
relevantes para el tratamiento de los Datos del Cliente y los Datos Personales por parte de Microsoft,
sus Filiales y sus Subencargados. Dicha auditoría será realizada por una firma de auditoría externa,
independiente y acreditada, durante el horario laboral normal, con preaviso razonable a Microsoft, y
estará sujeta a procedimientos de confidencialidad razonables. Ni el Cliente ni el auditor tendrán
acceso a los datos de otros clientes de Microsoft ni a los sistemas o instalaciones de Microsoft que
no estén involucrados en los Servicios Online. El Cliente será responsable de todos los costes y
honorarios relacionados con dicha auditoría, incluidos todos los costes y honorarios razonables
correspondientes a todo el tiempo que Microsoft dedique a dicha auditoría, además de los honorarios
por los servicios que realice Microsoft. Si el informe de auditoría generado como resultado de la
auditoría del Cliente incluyese alguna observación de falta de cumplimiento importante, el Cliente
compartirá dicho informe de auditoría con Microsoft y Microsoft subsanará sin demora cualquier falta
de incumplimiento importante.
Si las Cláusulas Contractuales Tipo son de aplicación, esta sección es adicional a lo previsto en la
Cláusula 5, párrafo f, y en la Cláusula 12, párrafo 2, de las Cláusulas Contractuales Tipo. Nada de
lo dispuesto en esta sección del DPA varía o modifica las Cláusulas Contractuales Tipo o los
Términos del RGPD, ni afecta a ningún derecho de la autoridad de control o de los interesados que
se derive de las Cláusulas Contractuales Tipo o de la Normativa sobre Protección de Datos. La
presente sección se estipula en favor de Microsoft Corporation como tercero beneficiario.
Notificación de Incidentes de Seguridad
Si Microsoft tuviese conocimiento de una brecha de seguridad que ocasione la destrucción, pérdida
o alteración accidental o ilícita de los Datos del Cliente o los Datos Personales, o la revelación o
acceso no autorizados a dichos datos, todo ello durante su tratamiento por parte de Microsoft (cada
caso, un “Incidente de Seguridad”), Microsoft, sin demora ni dilación indebida, (1) notificará el
Incidente de Seguridad al Cliente; (2) investigará el Incidente de Seguridad y proporcionará al Cliente
información detallada sobre el Incidente de Seguridad; y (3) tomará medidas razonables para mitigar
los efectos y minimizar los daños que resulten del Incidente de Seguridad.
Las notificaciones de Incidentes de Seguridad se remitirán a uno o más administradores del Cliente
a través de cualquier medio que Microsoft seleccione, incluyendo correo electrónico. Es
responsabilidad exclusiva del Cliente asegurarse de que sus administradores mantengan en todo
momento unos datos de contacto exactos en el portal de cada Servicio Online aplicable. El Cliente
es el único responsable de cumplir con sus obligaciones con arreglo a las leyes relativas a la
notificación de incidentes que sean aplicables al Cliente y de satisfacer las obligaciones de
notificación a terceros relacionadas con cualquier Incidente de Seguridad.
Microsoft empleará esfuerzos razonables para ayudar al Cliente a satisfacer su obligación derivada
del artículo 33 del RGPD u otra ley o reglamento aplicable, con respecto a notificar dicho Incidente
de Seguridad a la correspondiente autoridad de control y a los interesados.

El Cliente deberá notificar a Microsoft, sin demora, acerca de cualquier posible uso indebido que se
haya producido en sus cuentas o credenciales de autenticación, o acerca de cualquier incidente de
seguridad relacionado con un Servicio Online.

BOCM-20210330-26

La notificación de un Incidente de Seguridad por parte de Microsoft, o la respuesta que Microsoft dé
a un Incidente de Seguridad, según lo previsto en esta sección, no constituirá reconocimiento por
parte de Microsoft en cuanto a incumplimiento o responsabilidad alguna con respecto al Incidente
de Seguridad.