Allegato IV

Contrato de Encargado de Tratamiento Mediante el presente documento se habilita a FUNDACIÓN EOI, F.S.P., como Encargada del tratamiento, para tratar por cuenta del IDAE como Responsable del tratamiento, los datos de carácter personal necesarios para llevar a cabo el presente convenio suscrito para planificar, diseñar, impartir, gestionar administrativamente y evaluar los cursos de formación en las materias establecidas por el IDAE. El tratamiento consistirá en la matriculación de alumnos y alta en la plataforma virtual de EOI. Los tratamientos a realizar son: ⊠ Recogida ⊠ Registro ☐ Estructuración ☐ Modificación ⊠ Conservación ☐ Extracción ⊠ Consulta ☐ Comunicación por transmisión ☐ Difusión ☐ Interconexión ☐ Cotejo ☐ Limitación ⊠ Supresión ☐ Destrucción ☐ Comunicación ☐ Otros: I. Identificación de la información afectada Para la ejecución de las prestaciones derivadas del cumplimiento del objeto de este convenio, el IDAE, en calidad de Responsable del tratamiento, pone a disposición de EOI, en calidad de Encargada del tratamiento, la información que se describe a continuación: Tipologías de datos a tratar en la prestación de servicios: ⊠ Nombre, apellidos ☐ Bancarios ⊠ DNI/NIE ☐ Teléfono ⊠ Correo electrónico ☐ Currículos ☐ Otros: …………………………………… Se tratarán datos de las personas trabajadoras de IDAE, así como de otras que vayan a asistir a las formaciones. Categorías de interesados cuyos datos personales se tratarán en la prestación de servicios: ☐ Identificación ☐ Contacto ☐ Datos económicos ☐ Académicos y profesionales ☐ Características personales ☐ Categorías especiales: ☐ Circunstancias familiares/sociales ⊠ Empleados de IDAE ☐ Otros:………………….…… II. Obligaciones del Encargado del tratamiento El Encargado del tratamiento y todo su personal se obliga a: a. Utilizar los datos personales objeto de tratamiento, o los que recoja para su inclusión, sólo para la finalidad objeto de este acuerdo. En ningún caso podrá utilizar los datos para fines propios. b. Tratar los datos de acuerdo con las instrucciones del IDAE. Si el Encargado del tratamiento considera que alguna de las instrucciones infringe el RGPD o cualquier otra disposición en materia de protección de datos de la Unión o de los Estados miembros, informará inmediatamente al IDAE. Como norma general, las instrucciones que debe cumplir el Encargado en el tratamiento de datos personales son las que, en buena lógica se deducen de la propia naturaleza de los servicios contratados y son necesarias para su cumplimiento. La obligación de sujetarse a las instrucciones de IDAE y a la autorización previa para el tratamiento alcanzará también, en su caso, a las eventuales transferencias internacionales de datos que el Encargado se plantease llevar a cabo, salvo que esté legalmente obligado a efectuarlas, en cuyo caso se limitará a informar por escrito a IDAE de esa exigencia legal previa al tratamiento. c. Llevar, por escrito, un registro 1 de todas las categorías de actividades de tratamiento (RAT) efectuadas por cuenta del IDAE. 1 «Esta obligación no se aplicará a ninguna empresa ni organización que emplee a menos de 250 personas, salvo que el tratamiento que realice pueda suponer un riesgo para los derechos y las libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos personales indicadas en el artículo 9, apartado 1 del RGPD, o datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10 de dicho Reglamento.» (artículo 30.5 RGPD). d. No comunicar los datos a terceras personas, salvo que cuente con la autorización expresa del IDAE, en los supuestos legalmente admisibles. El Encargado de tratamiento podrá comunicar los datos a otros Encargados del tratamiento del IDAE, de acuerdo con las instrucciones indicadas por la misma. En este caso, el IDAE identificará, de forma previa y por escrito, las entidades a las que se deben comunicar los datos, los datos a comunicar y las medidas de seguridad a aplicar para proceder a la comunicación. Si el Encargado debe transferir datos personales a un tercer país o a una organización internacional, en virtud del Derecho de la Unión o de los Estados miembros que le sea aplicable, informará al IDAE de esa exigencia legal de manera previa, salvo que tal Derecho lo prohíba por razones importantes de interés público. e. Si durante la prestación del servicio, fuera necesario subcontratar algún tratamiento, este hecho se deberá comunicar previamente y por escrito a IDAE, indicando los tratamientos que se pretenden subcontratar e identificando de forma clara e inequívoca la empresa subcontratista y sus datos de contacto. La subcontratación podrá llevarse a cabo si el IDAE lo autoriza de forma expresa y por escrito. f. Mantener el deber de secreto respecto a los datos de carácter personal a los que haya tenido acceso, incluso después de que finalice el acuerdo. g. Garantizar que las personas autorizadas para tratar datos personales se comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes, de las que hay que informarles convenientemente. h. Mantener a disposición del IDAE la documentación acreditativa del cumplimiento de la obligación establecida en el apartado anterior. i. Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas para tratar datos personales. j. Asistir al IDAE en la respuesta al ejercicio de los derechos contemplados en los artículos 15 al 22 del RGPD. Cuando las personas afectadas ejerzan los derechos ante el Encargado del tratamiento, éste debe comunicarlo inmediatamente al IDAE a través del correo electrónico [email protected]. A la comunicación se acompañará el resto de información que pueda ser relevante para resolver la solicitud. En todo caso, será responsabilidad de IDAE dar respuesta a los derechos ejercicios por los afectados, salvo que se solicite expresamente al Encargado que proceda a dar respuesta a los mismos. k. El Encargado del tratamiento notificará al IDAE, sin dilación indebida, y en cualquier caso antes de 48 horas los incidentes de la seguridad de los datos personales de los que es Encargado con toda la información relevante para la documentación y comunicación de la incidencia. Si se dispone de ella se facilitará, como mínimo, la información siguiente:

a) Descripción de la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados;

b) el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información;

c) descripción de las posibles consecuencias de la violación de la seguridad de los datos personales;

d) descripción de las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos. Si no es posible facilitar toda la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida.

l. Es el Responsable de tratamiento quien decidirá si se realiza la notificación a la Autoridad y/o interesados afectados, en el caso de que sea improbable que dicho incidente constituya un riesgo para los derechos y las libertades de las personas físicas, debiendo el Encargado de tratamiento notificar en todo caso los incidentes de seguridad de los datos personales en el plazo acordado. m. Dar apoyo al IDAE en la realización de las evaluaciones de impacto relativas a la protección de datos, cuando proceda, así como en la realización de las consultas previas a la autoridad de control, cuando proceda. n. Estar a disposición de IDAE, a requerimiento de este, para ayudarle a cumplir los deberes de aplicar las medidas de seguridad pertinentes. o. Poner a disposición del IDAE toda la información necesaria para demostrar el cumplimiento de sus obligaciones, así como para la realización de las auditorías o las inspecciones que realice el IDAE u otro auditor autorizado por él. p. Implantar las medidas de seguridad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento. q. Designar un delegado de protección de datos y comunicar su identidad y datos de contacto del IDAE, cuando en la prestación el servicio se cumpla alguno de los requisitos establecidos en el artículo 37.1 del Reglamento general de protección de datos (RGPD). r. Devolver al IDAE los datos de carácter personal y, si procede, los soportes donde consten, una vez finalizado el acuerdo. La devolución debe comportar el borrado total de los datos existentes en los equipos informáticos utilizados por el Encargado de tratamiento. s. De conformidad con disposición adicional primera de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales se aplicarán a los tratamientos de datos personales las medidas de seguridad que correspondan previstas en el anexo II del Esquema Nacional de Seguridad y compromete a aportar las Declaraciones o Certificaciones de Conformidad con el ENS correspondientes. La información y el servicios utilizados para la prestación del servicio han sido valorados por el IDAE siguiendo los criterios definidos en el Esquema Nacional de Seguridad, dando traslado del resultado para conocimiento del Encargado de Tratamiento: – Confidencialidad: Media. – Integridad: Media. – Disponibilidad: Media. – Autenticidad: Media. – Trazabilidad: Media. subir Contactar Sobre la sede electrnica Mapa Aviso legal Accesibilidad Proteccin de datos Sistema Interno de Informacin Tutoriales Empleo en la AEBOE Agencia Estatal Boletn Oficial del Estado Avda. de Manoteras, 54 - 28050 Madrid