a) Utilizar los datos personales objeto de tratamiento, o los que recoja para su inclusión, sólo para la finalidad objeto de este encargo. En ningún caso podrá utilizar los datos para fines propios.
b) Tratar los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público. Si el encargado del tratamiento considera que alguna de las instrucciones infringe el RGPD o cualquier otra disposición en materia de protección de datos de la Unión o de los Estados miembros, el Encargado del Tratamiento informará inmediatamente al Responsable del Tratamiento.
c) Garantizar que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria, así como se hayan comprometido al cumplimiento estricto de las medidas de seguridad previstas para la provisión del servicio previsto en el OBJETO del presente contrato.
d) Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas para tratar datos personales.
e) Tomar todas las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento. En todo caso, deberá implantar mecanismos para:
a. Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.
b. Restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico.
c. Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento.
d. Pseudonimizar y cifrar los datos personales, en su caso.
f) No comunicar los datos a terceras personas, salvo que cuente con la autorización previa del Responsable del Tratamiento, en los supuestos legalmente admisibles. El Encargado del Tratamiento puede comunicar los datos a otros encargados del tratamiento del mismo Responsable del Tratamiento, de acuerdo con las instrucciones del Responsable del Tratamiento. En este caso, el Responsable del Tratamiento identificará, de forma previa y por escrito, la entidad a la que se deben comunicar los datos, los datos a comunicar y las medidas de seguridad a aplicar para proceder a la comunicación. Si el encargado debe transferir datos personales a un tercer país o a una organización internacional, en virtud del Derecho de la Unión o de los Estados miembros que le sea aplicable, informará al responsable de esa exigencia legal de manera previa, salvo que tal Derecho lo prohíba por razones importantes de interés público.
g) Respetar las condiciones para recurrir a otro Encargado del Tratamiento, según lo establecido en la normativa vigente y aplicable en Protección de Datos de Carácter Personal. El Encargado del Tratamiento no podrá subcontratar ninguna de las prestaciones que formen parte del objeto del presente contrato que comporten el tratamiento de datos personales, salvo los servicios auxiliares necesarios para el normal funcionamiento de los servicios del Encargado del Tratamiento. Si fuera necesario subcontratar algún tratamiento, este hecho se deberá comunicar previamente y por escrito al Responsable del Tratamiento, con una antelación de 15 días hábiles, indicando los tratamientos que se pretende subcontratar e identificando de forma clara e inequívoca la empresa subcontratista y sus datos de contacto. La subcontratación podrá llevarse a cabo si el responsable no manifiesta su oposición en el plazo establecido. El subcontratista, que también tendrá la condición de Encargado del Tratamiento, está obligado igualmente a cumplir las obligaciones establecidas en este documento para el Encargado del Tratamiento y las instrucciones que dicte el responsable. Corresponde al Encargado del Tratamiento inicial regular la nueva relación contractual de forma que el nuevo encargado quede sujeto a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad), previstas en la cláusula SEXTA del presente contrato, y con los mismos requisitos formales que él, en lo referente al adecuado tratamiento de los datos personales y a la garantía de los derechos de las personas afectadas. En el caso de incumplimiento por parte del sub encargado, el Encargado del Tratamiento inicial seguirá siendo plenamente responsable ante el responsable del Tratamiento en lo referente al cumplimiento de las obligaciones.
h) Dar apoyo al Responsable del Tratamiento en la realización de las evaluaciones de impacto relativas a la protección de datos, cuando proceda. Así como en la realización de las consultas previas a la autoridad de control, cuando proceda.
i) Poner a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable.
j) Asistir al Responsable del Tratamiento en cuanto a la detección de violaciones de seguridad de los datos, el Encargado del Tratamiento, notificará al Responsable del Tratamiento, sin dilación indebida, con un plazo máximo de 24 Horas a través del medio de contacto indicado entre ambas partes, las violaciones de la seguridad de los datos personales a su cargo de las que tenga conocimiento, complementándolo con lo dispuesto en el art. 33.3. Si no es posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida.
k) Tratar los datos personales puestos a disposición del Encargado de Tratamiento de manera que garantice que el personal a su cargo sigue con las instrucciones del Responsable de Tratamiento
l) Garantizar que el Delegado de Protección de Datos o, en su defecto el Responsable de Privacidad participe de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la protección de datos personales.
m) Llevar un registro, en caso de tratar datos personales que supongan un riesgo para los derechos y libertades del interesado o de manera no ocasional, o que implique el tratamiento de categorías especiales de datos y/o datos relativos a condenas e infracciones, de todas las categorías de actividades de tratamiento efectuadas por cuenta del responsable o en su caso, cuando la entidad Encargada cuente con más de 250 empleados.
n) Asistir al Responsable del Tratamiento en cuanto al ejercicio de derechos del interesado y cumpliendo las estipulaciones del contrato. Cuando las personas afectadas ejerzan cualquiera de estos derechos frente al Encargado del Tratamiento, relativos a los tratamientos previstos en el objeto del presente contrato, éste debe comunicarlo por el canal de comunicación acordado durante la firma del contrato. La comunicación debe hacerse de forma inmediata y en ningún caso más allá del día laborable siguiente al de la recepción de la solicitud, juntamente, en su caso, con otras informaciones que puedan ser relevantes para resolver la solicitud.