Resolución de 15 de abril de 2024, de la Entidad Pública Empresarial Red.es, M.P., por la que se publica el Convenio con la Fundación Once para la Cooperación e Inclusión Social de Personas con Discapacidad, la Universidad Carlos III de Madrid y el Observatorio de Impacto Social y Ético de la Inteligencia Artificial, para impulsar la implementación de la carta de derechos digitales en el ámbito de los derechos de igualdad en el mundo digital.

REUNIDOS

De una parte, la agrupación de entidades, que tendrá la consideración de «Responsables del Tratamiento» o «Entidades Solicitantes», y que está formada por: – Fundación ONCE para la Cooperación e Inclusión Social de Personas con Discapacidad, con domicilio en C/ Sebastián Herrera, 15, código postal, 28012, Madrid, y CIF G-78661923, representada por doña Virginia Carcedo Illera, Secretaria General. – La Universidad Carlos III de Madrid, con domicilio en Getafe, calle Madrid, 126, CP 28903, MADRID, y CIF Q2818029G, representada por don Ángel Arias Hernández, en su calidad de Rector Magnífico. – Observatorio de Impacto Social y Ético de la Inteligencia Artificial, OdiseIA, con domicilio en Madrid, Paseo de Juan XXIII, 3, 28040 Madrid, y CIF G88555354, representada por don Victor Richard Benjamins, Vicepresidente y apoderado. Y, de otra parte, la Entidad Pública Empresarial Red.es, M.P. (en adelante, «Red.es»), con domicilio en Madrid, Plaza de Manuel Gómez Moreno, s/n, código postal 28020 y CIF Q2891006-E, representada por su Director General, don Jesús Herrero Poza, nombrado por el Consejo de Administración en su sesión de 28 de noviembre de 2023 y facultado para este acto en virtud de las facultades delegadas a su favor de acuerdo con lo dispuesto en el artículo 14.1.k) del Real Decreto 164/2002, de 8 de febrero, por el que se aprueba el Estatuto de Red.es, que tendrá la consideración de «Encargado del Tratamiento» (en adelante, «Red.es» o «Encargado de Tratamiento»).

EXPONEN

I. Que las Partes suscriben el convenio entre la Entidad Pública Empresarial RED.ES, M.P., y la agrupación de entidades formada por la Fundación ONCE para la Cooperación e Inclusión Social de Personas con Discapacidad, la Universidad Carlos III de Madrid, y el Observatorio de Impacto Social y Ético de la Inteligencia Artificial, para impulsar la implementación de la carta de derechos digitales en el ámbito de los derechos de igualdad en el mundo digital, al que este acuerdo va anexo. Para la ejecución del convenio, Red.es debe recabar o acceder a datos personales de los que la Entidades Solicitantes son Responsables. II. Que, de acuerdo con lo dispuesto en el artículo 28 del Reglamento (EU) 2016/679 («RGPD»), las Entidades Solicitantes, como responsables del tratamiento (el «Responsable»), y Red.es, como encargado del tratamiento (el «Encargado»), han convenido suscribir el presente acuerdo de encargo de tratamiento de datos de carácter personal (el «Acuerdo»), que se regirá por las siguientes

CLÁUSULAS

1. Objeto del encargo del tratamiento

1.1 El presente Acuerdo tiene como fin la regulación del tratamiento de datos realizado al amparo del expositivo primero por parte de Red.es para la gestión de las actuaciones señaladas, gestión de los proveedores necesarios para la realización de las actividades cofinanciadas según lo establecido en el expositivo primero mediante licitación o concurso público convocado directamente por Red.es.

1.2 El tratamiento podría consistir en, sin ánimo de ser exhaustivos, la recogida, estructuración, conservación, consulta, cotejo, comunicación, supresión y cuantos tratamientos sean necesarios para la prestación del servicio indicado en el convenio.

1.3 Cualquier tipo de tratamiento que no esté expresamente relacionado con las actuaciones contempladas en el convenio de colaboración o en el punto 1.1, no forma para del alcance del presente acuerdo, salvo pacto previo expreso y escrito de las Partes.

2. Identificación de la información afectada

Para la ejecución de las prestaciones derivadas del cumplimiento del objeto del presente encargo, las Entidades Solicitantes, pondrá a disposición del Encargado la información necesaria para la realización de las actividades referenciadas en el apartado 1.1, siendo habitualmente datos de colaboradores, expertos, investigadores, personal técnico y de apoyo, relacionados con las actividades de tratamiento declaradas en: – https://www.fundaciononce.es/es/politica-de-privacidad, y con vinculación laboral con la Fundación ONCE para la Cooperación e Inclusión Social de Personas con Discapacidad como Entidad Solicitante. – https://www.uc3m.es/inicio/informacion-legal/politica-privacidad, y con vinculación laboral con la Universidad Carlos III de Madrid como Entidad Solicitante. – https://www.odiseia.org/politica-privacidad/, y con vinculación laboral con el Observatorio de Impacto Social y Ético de la Inteligencia Artificial como Entidad Solicitante.

3. Duración

La duración del Acuerdo será la estipulada en el convenio. Una vez cumplida la prestación contractual, en caso de que hubiera acceso a datos personales del Responsable, estos datos de carácter personal deberán ser devueltos al Responsable del tratamiento, al igual que cualquier soporte o documento en que conste algún dato de carácter personal objeto del tratamiento, en los términos desarrollados en este Acuerdo. No obstante, el Encargado puede conservar una copia, con los datos debidamente bloqueados, mientras puedan derivarse responsabilidades de la ejecución de la prestación.

4. Obligaciones del encargado del tratamiento

4.1 Obligación de utilizar los datos solo para la finalidad objeto del encargo y bajo las instrucciones del Responsable.

Red.es está obligado a utilizar los datos personales objeto del tratamiento, o los que recoja para su inclusión, sólo para la finalidad objeto de este encargo. En ningún caso podrá aplicarlos o utilizarlos para fines propios ni con un fin distinto al que figuran en el presente Acuerdo. El Encargado tratará los datos de acuerdo con las instrucciones del Responsable. Si el Encargado considera que alguna de las instrucciones infringe el RGPD o cualquier otra disposición en materia de protección de datos que fuera aplicable, el Encargado informará inmediatamente al responsable.

4.2 Registro de las actividades de tratamiento por cuenta del Responsable.

El Encargado llevará por escrito un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del Responsable, que contenga, como mínimo, el contenido del artículo 30 RGPD.

4.3 Cesión y transferencia de datos.

El Encargado podrá comunicar los datos a terceras personas, ya que cuenta con la autorización de las Entidades Solicitantes, en virtud del Expositivo primero, siendo la finalidad de Red.es la ejecución del convenio firmado entre las partes, dentro de dichas actuaciones se realizará la gestión de la licitación y elegir a los Prestadores de Servicios que mejor se adapten a las necesidades de las Entidades Solicitantes. Por tanto Red.es, como Encargado, podrá comunicar los datos a otros encargados del tratamiento del mismo Responsable, de acuerdo con sus instrucciones. Si el Encargado debe transferir datos personales a un tercer país, en virtud del derecho aplicable, informará al Responsable de esta exigencia legal de manera previa, salvo que tal normativa lo prohíba por razones importantes de interés público.

4.4 Contratación de Sub-encargos de Tratamiento.

En virtud del objeto del convenio establecido en la Estipulación Primera, se autoriza a Red.es a subcontratar, por medio de licitación conforme a la normativa de Contratos del Sector Público, los servicios que serán prestados en para las Entidades Solicitantes con la empresa o empresas que estime como ofertas más ventajosas para la prestación de los servicios a las Entidades Solicitantes. Además, para la realización de las actividades objeto del presente Acuerdo, de conformidad con lo establecido en la cláusula 1.1, Red.es podrá contratar con la empresa o empresas que estime conveniente en la medida necesaria para la prestación de los servicios objeto del Acuerdo. En todo caso, el Encargado elegirá únicamente Entidades licitantes que ofrezcan garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del RGPD y garantice la protección de los derechos del interesado. El subcontratista, que también tendrá la condición de encargado del tratamiento, está obligado igualmente a cumplir las obligaciones establecidas en este Acuerdo para el Encargado y las instrucciones que dicte el Responsable. Corresponde al Encargado regular la nueva relación de forma que el nuevo encargado quede sujeto a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad…) y con los mismos requisitos formales que él, en lo referente al adecuado tratamiento de los datos personales y a la garantía de los derechos de las personas afectadas. En el caso de incumplimiento por parte del sub-encargado, este último será plenamente responsable ante las Entidades Solicitantes en lo referente al cumplimiento de las obligaciones derivadas de la licitación o concurso.

4.5 Deber de secreto, confidencialidad y seguridad.

El Encargado tiene la obligación de mantener el deber de secreto respecto a los datos de carácter personal a los que haya tenido acceso en virtud del presente encargo, incluso después de que finalice su objeto. El Encargado garantizará que las personas autorizadas para tratar datos personales se comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes, de las que hay que informarles convenientemente. El Encargado deberá mantener a disposición del Responsable la documentación acreditativa del cumplimiento de la obligación establecida en el apartado anterior.

4.6 Formación.

El Encargado garantizará la formación necesaria en materia de protección de datos personales de las personas autorizadas para tratar datos personales por cuenta del Responsable, así como las informará sobre el contenido del encargo y toda otra información relevante para el cumplimiento del encargo.

4.7 Deber de información.

Corresponde al Responsable facilitar el derecho de información en el momento de la recogida de los datos.

4.8 Derechos del interesado.

Cuando las personas afectadas ejerzan estos derechos ante el Encargado, éste debe comunicarlo por correo electrónico al Delegado de Protección de Datos de las Entidades Solicitantes: – Fundación ONCE para la Cooperación e Inclusión Social de Personas con Discapacidad. C/ Sebastián Herrera, 15, 28012 Madrid. [email protected] – Universidad Carlos III de Madrid. C/ Madrid, 126, 28903 Getafe, Madrid. [email protected] – Observatorio de Impacto Social y Ético de la Inteligencia Artificial. Paseo de Juan XXIII, 3, 28040 Madrid. [email protected] La comunicación debe hacerse de forma inmediata y en ningún caso más allá del día laborable siguiente a la recepción de la solicitud, juntamente, en su caso, con otras informaciones que puedan ser relevantes para resolver dicha solicitud.

4.9 Violaciones de seguridad.

El Encargado notificará al Responsable del tratamiento, sin dilación indebida, y en cualquier caso antes del plazo máximo de cuarenta y ocho horas, y a través de correo electrónico al Delegado de Protección de Datos de las Entidades Solicitantes, las violaciones de la seguridad de los datos personales a su cargo de las que tenga conocimiento, juntamente con toda la información relevante para la documentación y comunicación de la incidencia. Si se dispone de información suficiente, el Encargado facilitará, como mínimo, los extremos incluidos en el artículo 33.3 RGPD.

4.10 Asistencia al Responsable.

El Encargado debe dar apoyo al Responsable del tratamiento en: – La realización de las evaluaciones de impacto relativas a la protección de datos, cuando proceda. – La realización de las consultas previas a la autoridad de control, cuando proceda. El Encargado pondrá a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de sus obligaciones conforme a la normativa de protección de datos.

4.11 Medidas de seguridad.

El Encargado adoptará las medidas necesarias de índole técnica y organizativa que garanticen la seguridad de los datos que se evite la alteración, pérdida, tratamiento o acceso no autorizado a los citados datos personales. En particular, el Encargado pondrá en marcha las medidas de seguridad que se corresponden con las previstas en el anexo II (Medidas de seguridad) del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica, y los controles de seguridad del Sistema de Gestión de la Seguridad de la Información basado en la Norma UNE-EN ISO/IEC 27001. Durante el periodo de vigencia del Acuerdo, el Responsable deberá adaptar estas medidas de seguridad a los resultados de un Análisis de Riesgos o. en su caso, de una Evaluación de Impacto en Protección de Datos, de conformidad con el artículo 32 RGPD. En tanto no se realice la evaluación de riesgos, se aplicarán de forma supletoria las medidas que se estuviesen aplicando de conformidad con este Acuerdo.

4.12 Delegado de Protección de Datos.

El Encargado pondrá a disposición del Responsable los datos de contacto de su Delegado de Protección de Datos, que son los siguientes: Red.es: Edificio Bronce. Plaza Manuel Gómez Moreno, s/n.

28020 Madrid, email: [email protected]

4.13 Finalización del encargo.

En el caso de que se produzca alguna comunicación de información, el Encargado devolverá al Responsable los datos de carácter personal y, si procede, los soportes donde consten, una vez cumplida la prestación. La devolución debe comportar el borrado total de los datos existentes en los equipos informáticos utilizados por el Encargado. No obstante, el Encargado podrá conservar una copia de los datos debidamente bloqueados, mientras puedan derivarse responsabilidades de la ejecución de la prestación.

5. Obligaciones específicas por parte del responsable

Corresponde al responsable para dar cumplimiento al presente Acuerdo: i. Poner a disposición del Encargado los datos a los que se refiere la cláusula segunda del presente Acuerdo. ii. Realizar una evaluación del impacto en la protección de datos personales de las operaciones de tratamiento a realizar por el Encargado, si fuera necesario. iii. Realizar las consultas previas que en su caso corresponda. iv. Velar y dar soporte, de forma previa y durante todo el tratamiento, por el cumplimiento del RGPD y la LOPDGDD y su normativa de desarrollo por parte del Encargado. v. Obtener con carácter previo a la entrega de los datos al Encargado, legitimación suficiente para el tratamiento de los datos de carácter personal de los afectados.

6. Responsabilidad

6.1 Sin perjuicio de lo establecido en el presente Acuerdo en la Ley, el Encargado responderá única y exclusivamente de los daños directos que sufra el Responsable y que hayan sido causados directamente por las acciones, omisiones o desviaciones de las instrucciones del encargo en relación con las obligaciones estipuladas en el este Acuerdo o en la Ley.

6.2 El Encargado no será responsable por los daños directos e indirectos causados por acciones u omisiones del Responsable relativos a las obligaciones establecidas en este Acuerdo o en la Ley. Sin perjuicio de lo anterior, el Responsable se compromete a indemnizar todos los gastos, costas procesales, indemnizaciones por daños y perjuicios, multas, sanciones y cualesquiera otros gastos incurridos por el Encargado en su defensa en estos procedimientos y que surjan de acciones u omisiones por parte del Responsable o del correcto y debido cumplimiento de las instrucciones del encargo.

6.3 El Encargado no será responsable de los problemas, daños y/o perjuicios causados que tuvieran su origen en causas ajenas a su control o que no hubieran podido ser previstas por las Partes o que, aun siendo previsibles, el Encargado haya realizado todos los esfuerzos razonables e implementado las medidas pertinentes para evitarlas o que sean consideradas como fuerza mayor o caso fortuito.

7. Aplicación de las estipulaciones del acuerdo

En todo lo no estipulado expresamente en el presente Acuerdo se estará a lo establecido en el convenio, el cual las Partes expresamente ratifican y del que el presente Acuerdo forma parte integrante e inseparable. subir Contactar Sobre la sede electrnica Mapa Aviso legal Accesibilidad Proteccin de datos Sistema Interno de Informacin Tutoriales Empleo en la AEBOE Agencia Estatal Boletn Oficial del Estado Avda. de Manoteras, 54 - 28050 Madrid