BOCM
B.O.C.M. Núm. 75

BOLETÍN OFICIAL DE LA COMUNIDAD DE MADRID
MARTES 30 DE MARZO DE 2021

Pág. 73

se describe en este DPA, y (ii) tendrá la obligación de mantener la confidencialidad y seguridad de
tales datos, incluso tras cesar dichas personas en sus funciones. Microsoft llevará a cabo actividades
periódicas y obligatorias de formación y concienciación sobre la seguridad y privacidad de los datos
para sus empleados con acceso a Datos del Cliente y Datos Personales de acuerdo con la Normativa
sobre Protección de Datos y los estándares del sector aplicables.
Notificaciones y controles sobre el uso de Subencargados
Microsoft podrá contratar a Subencargados para que presten ciertos servicios limitados o auxiliares
por cuenta de Microsoft. El Cliente consiente esta contratación, así como la designación de las
Filiales de Microsoft como Subencargados. Estas autorizaciones constituirán el consentimiento
previo y por escrito del Cliente para la subcontratación por parte de Microsoft del tratamiento de los
Datos del Cliente y los Datos Personales en la medida que dicho consentimiento sea necesario en
virtud de las Cláusulas Contractuales Tipo o los Términos del RGPD.
Microsoft es responsable de que los Subencargados cumplan las obligaciones que Microsoft asume
en este DPA. Microsoft pondrá a disposición información sobre los Subencargados en un sitio web
de Microsoft. Cuando contrate a un Subencargado, Microsoft se asegurará, a través de un contrato
por escrito, de que el Subencargado solamente pueda acceder a, y utilizar, los Datos del Cliente o
Datos Personales con la única finalidad de prestar los servicios que Microsoft le haya contratado,
prohibiéndole utilizar los Datos del Cliente o los Datos Personales para cualquier otra finalidad.
Microsoft se asegurará de que los Subencargados se obliguen, mediante contratos por escrito, a
proporcionar, al menos, el mismo nivel de protección de datos que se exige a Microsoft en el DPA,
incluidas las limitaciones sobre revelación de Datos Procesados. Microsoft se compromete a
supervisar a los Subencargados para asegurarse de que se cumplan estas obligaciones
contractuales.
Cada cierto tiempo, Microsoft podrá contratar a nuevos Subencargados. Microsoft notificará al
Cliente (actualizando el sitio web y proporcionando al Cliente un mecanismo para obtener
notificación de dicha actualización) acerca de cualquier nuevo Subencargado al menos 6 meses
antes de proporcionar al Subencargado acceso a los Datos del Cliente. Además, Microsoft notificará
al Cliente (actualizando el sitio web y proporcionando al Cliente un mecanismo para obtener
notificación de dicha actualización) acerca de cualquier nuevo Subencargado al menos 30 días antes
de proporcionar al Subencargado acceso a Datos Personales distintos de los incluidos en los Datos
del Cliente. Si Microsoft contrata a un nuevo Subencargado para un nuevo Servicio Online, Microsoft
notificará al Cliente antes de que ese Servicio Online pase a estar disponible.
Si el Cliente no aprobase a un nuevo Subencargado, el Cliente podrá terminar cualquier subscripción
relativa al Servicios Online afectado, sin penalización alguna, remitiendo para ello, antes de que
finalice el periodo de notificación en cuestión, una notificación escrita de terminación. Junto con la
notificación de terminación, el Cliente también podrá incluir una explicación de los motivos para la
no aprobación, con el fin de permitir que Microsoft pueda reevaluar a dicho nuevo Subencargado a
la luz de las inquietudes manifestadas. Si el Servicio Online afectado formase parte de una suite (o
de una contratación conjunta de servicios de carácter similar), la terminación se aplicará a la suite
completa. Tras la terminación, Microsoft retirará, de cualquier factura posterior que emita al Cliente
o a su revendedor, las obligaciones de pago asociadas a toda subscripción relativa al Servicio Online
que haya sido objeto de terminación.

Si el Cliente es una agencia o institución educativa a la cual se apliquen las regulaciones de la ley
estadounidense Family Educational Rights and Privacy Act, 20 U.S.C. § 1232g (FERPA), Microsoft
reconoce que, a los efectos del DPA, Microsoft constituye un “school official” con “legitimate
educational interests” en los Datos del Cliente, tal y como se definen dichos términos en virtud de
FERPA y sus regulaciones de implementación, y Microsoft se compromete a cumplir las limitaciones
y requisitos impuestos por la norma estadounidense 34 CFR 99.33(a) a los “school officials”.
El Cliente comprende que Microsoft puede poseer información de contacto limitada —o no poseer
información de contacto en absoluto— relativa a los estudiantes y a los padres de los estudiantes.
Por consiguiente, el Cliente será responsable de obtener cualquier consentimiento parental que
pueda ser necesario bajo la ley aplicable para el uso que cualquiera de los usuarios finales haga del

BOCM-20210330-26

Instituciones educativas