BOCM
Pág. 92

BOLETÍN OFICIAL DE LA COMUNIDAD DE MADRID
MARTES 30 DE MARZO DE 2021

B.O.C.M. Núm. 75

los compromisos en materia de protección de datos que Microsoft asume ante el Cliente en los
Derechos de Uso o en cualquier otro acuerdo entre Microsoft y el Cliente. Los presentes Términos
del RGPD no se aplican cuando Microsoft es el responsable del tratamiento de los Datos Personales.
Obligaciones pertinentes con arreglo al RGPD: artículos 28, 32 y 33
1. Microsoft no recurrirá a otro encargado sin la autorización previa por escrito, específica o general,
del Cliente. En el caso de una autorización escrita de carácter general, Microsoft informará al Cliente
de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al
Cliente la oportunidad de oponerse a dichos cambios. (Artículo 28(2))
2. El tratamiento por Microsoft se regirá por los presentes Términos del RGPD con arreglo al Derecho
de la Unión Europea (“Unión”) o de los Estados miembros, que vinculan a Microsoft respecto del
Cliente. En el contrato de licencias por volumen del Cliente, que incluye los presentes Términos del
RGPD, se establecen el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de
Datos Personales, las categorías de interesados, y las obligaciones y derechos del Cliente. En
particular, Microsoft:
(a)

tratará los Datos Personales únicamente siguiendo instrucciones documentadas del Cliente,
inclusive con respecto a las transferencias de Datos Personales a un tercer país o una
organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o
de los Estados miembros que se aplique a Microsoft; en tal caso, Microsoft informará al Cliente
de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones
importantes de interés público;

(b)

garantizará que las personas autorizadas para tratar los Datos Personales se hayan
comprometido a respetar la confidencialidad o estén sujetas a una obligación de
confidencialidad de naturaleza estatutaria

(c)

tomará todas las medidas necesarias de conformidad con el artículo 32 del RGPD;

(d)

respetará las condiciones indicadas en los párrafos 1 y 3 para recurrir a otro encargado del
tratamiento;

(e)

asistirá al Cliente, teniendo en cuenta la naturaleza del tratamiento, a través de medidas
técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir su
obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de
los interesados establecidos en el capítulo III del RGPD;

(f)

ayudará al Cliente a garantizar el cumplimiento de las obligaciones establecidas en los artículos
32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información a
disposición de Microsoft

(g)

a elección del Cliente, suprimirá o devolverá todos los Datos Personales al Cliente una vez
finalice la presentación de los servicios de tratamiento, y suprimirá las copias existentes a
menos que se requiera la conservación de los Datos Personales bajo el Derecho de la Unión
o de los Estados miembros;

(h)

pondrá a disposición del Cliente toda la información necesaria para demostrar el cumplimiento
de las obligaciones establecidas en el artículo 28 del RGPD, así como para permitir y contribuir
a la realización de auditorías, incluidas inspecciones, por parte del Cliente o de otro auditor
autorizado por el Cliente.

3. Cuando Microsoft recurra a otro encargado para llevar a cabo determinadas actividades de
tratamiento por cuenta del Cliente, se impondrá a este otro encargado, mediante contrato u otro acto
jurídico establecido con arreglo al Derecho de la Unión o de los Estados Miembros, las mismas
obligaciones de protección de datos que las estipuladas en los presentes Términos del RGPD, en
particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas
apropiadas de manera que el tratamiento sea conforme con las disposiciones del RGPD. Si ese otro

BOCM-20210330-26

Microsoft informará inmediatamente al Cliente si, en su opinión, una instrucción infringe el RGPD u
otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros.
(Artículo 28(3))