I. COMUNIDAD DE MADRID

D) Anuncios

CONSEJERÍA DE EDUCACIÓN, UNIVERSIDADES, CIENCIA Y PORTAVOCÍA

Madrid, a 18 de octubre de 2021.

REUNIDOS

De una parte, doña María Mercedes Marín García, Directora General de Bilingüismo y Calidad de la Enseñanza, nombrada por Decreto 153/2019, de 27 de agosto, del Consejo de Gobierno de la Comunidad de Madrid, en nombre y representación de la Consejería de Educación, Universidades, Ciencia y Portavocía de la Comunidad de Madrid, delegada para la firma del presente convenio, en virtud del artículo segundo de la Orden 11634/2012, de 27 de noviembre, por la que se desconcentran y delegan determinadas competencias en los titulares de diferentes centros directivos de la Consejería.

De otra parte, doña Rosa María Visiedo Claverol, en calidad de Rectora Magnífica de la Universidad CEU-San Pablo, nombrada por Acuerdo de Junta del Patronato de la Univesidad San Pablo CEU el 13 de julio de 2019, en nombre y representación de la misma, en virtud de las competencias que le corresponden según el artículo 20 de la Ley Orgánica 6/2001, de 21 de diciembre, de Universidades y en ejercicio de las facultades previstas en el artículo 15.1.d) de las Normas de Organización y funcionamiento de dicha Universidad (Decreto 31/2011, de 2 de junio, del Consejo de Gobierno, por el que se aprueban las Normas de Organización y Funcionamiento de la Universidad San Pablo-CEU; BOLETÍN OFICIAL DE LA COMUNIDAD DE MADRID número 136, de 10 de junio).

Reconociéndose, recíprocamente, competencia y capacidad legal suficiente para obligarse a tal efecto

EXPONEN

Primero

La Ley Orgánica 2/2006, de 3 de mayo, modificada por la Ley Orgánica 3/2020, de 29 de diciembre, preceptúa en el artículo 100 que para ejercer la docencia en las diferentes enseñanzas será necesario estar en posesión de las titulaciones académicas correspondientes, tener la formación pedagógica y didáctica que el Gobierno establezca para cada enseñanza y que esta formación se adaptará al sistema de grados y postgrados del Espacio Europeo de Educación Superior. Asimismo, dispone que corresponde a las Administraciones educativas establecer los convenios oportunos con las universidades para la organización de la citada formación.

Segundo

En desarrollo del artículo 100 de la citada Ley se dicta el Real Decreto 1834/2008, de 8 de noviembre, modificado por el Real Decreto 1146/2011, de 29 de julio, por el que se definen las condiciones de formación para el ejercicio de la docencia en la Educación Secundaria Obligatoria, el Bachillerato, la Formación Profesional y las Enseñanzas de Régimen Especial y se establecen las especialidades de los cuerpos docentes de Enseñanza Secundaria, establece en su artículo 9, que para ejercer la docencia en estos ámbitos será necesario estar en posesión de un título oficial de Máster que acredite la formación pedagógica y didáctica.

El establecimiento de dicho Máster ha de adecuarse a lo dispuesto en el Real Decreto 1393/2007, de 29 de octubre, de ordenación de las enseñanzas universitarias, modificado por el Real Decreto 861/2010, de 2 de julio, y en la Orden Ministerial ECI/3858/2007, de 27 de diciembre, modificada por la Orden EDU/3498/2011, de 16 de diciembre, por la que se establecen los requisitos para la verificación de los títulos universitarios oficiales que habilitan para el ejercicio de las profesiones de Profesor de Educación Secundaria Obligatoria y Bachillerato, Formación Profesional y Enseñanza de Idiomas. Para ello se establece una fase de Prácticum obligatoria que se realizará en colaboración con las instituciones educativas establecidas mediante convenios entre las Universidades y las Administraciones Educativas.

Tercero

La Orden 1620/2021, de 8 de junio, del Consejero de Educación y Juventud (BOLETÍN OFICIAL DE LA COMUNIDAD DE MADRID de 21 de junio), por la que se establece el procedimiento para la realización del Prácticum del Máster Universitario en Formación del Profesorado de Educación Secundaria Obligatoria y Bachillerato, Formación Profesional y Enseñanzas de Idiomas y de la formación equivalente durante el curso 2021-2022, en centros de la Comunidad de Madrid.

Cuarto

Es responsabilidad de la Administración educativa que los alumnos de las Escuelas Universitarias de Formación del Profesorado y Facultades reciban su iniciación en la práctica docente directa y en la orientación psicopedagógica, además de conocer los aspectos pedagógicos, organizativos y de funcionamiento de los centros con el apoyo y bajo la tutela de profesores en ejercicio que reúnen las características y preparación adecuadas.

Quinto

La planificación de las prácticas es competencia de las Universidades a las que pertenecen las Escuelas y Facultades donde se cursan dichos estudios y la realización de las prácticas de iniciación docente compete a la Consejería de Educación, Universidades, Ciencia y Portavocía, en tanto que conlleva la participación de centros educativos y de profesores que se encargan de su tutela.

Sexto

Procede, por tanto, establecer los cauces adecuados para que la colaboración entre las universidades y los centros docentes que imparten enseñanzas anteriores a la universidad se realice en condiciones de calidad.

En consecuencia, ambas partes acuerdan suscribir el presente convenio de colaboración de acuerdo a las siguientes

CLÁUSULAS

Primera

Objeto

Constituye el objeto del presente convenio el establecimiento de las bases y las condiciones que regirán la colaboración entre la Comunidad de Madrid (Consejería de Educación, Universidades, Ciencia y Portavocía) y la Universidad CEU-San Pablo, con el fin de facilitar a los alumnos del Máster Universitario en Formación del Profesorado de Enseñanza Secundaria Obligatoria y Bachillerato, Formación Profesional y Enseñanza de Idiomas, la fase de Prácticum en los centros docentes de la Comunidad de Madrid en los que se impartan dichas enseñanzas.

Segunda

Obligaciones de la Consejería de Educación, Universidades, Ciencia y Portavocía

La Consejería de Educación, Universidades, Ciencia y Portavocía:

— Asume la obligación de hacer público el procedimiento para la selección de centros que deseen participar en el desarrollo de la fase de Prácticum del Máster en Profesorado de Educación Secundaria Obligatoria y Bachillerato, Formación Profesional y Enseñanza de Idiomas. Que se ha llevado a efecto mediante la Orden 1620/2021, de 8 de junio, del Consejero de Educación y Juventud.

— La Consejería de Educación, Universidades, Ciencia y Portavocía queda exenta de cualquier responsabilidad respecto al alumnado del curso, cuyas prácticas externas son de carácter estrictamente académico. En ningún caso, se entenderá que entre las partes se establecen relaciones contractuales de clase mercantil, civil o laboral, ni su contenido podrá dar lugar a la sustitución de la prestación laboral propia de puestos de trabajo cubriendo así necesidades ordinarias de la Administración en detrimento de personal público al que le correspondería ocupar las plazas que tuviesen atribuidas el desempeño de esas funciones, en lugar de recibir una adecuada formación práctica, todo ello al no concurrir los requisitos que exigen las leyes. Como consecuencia de ello, la Comunidad de Madrid no está obligada a realizar contraprestación económica alguna.

Tercera

Obligaciones de la universidad

La universidad está obligada a:

1. Comunicar a la Consejería de Educación, Universidades, Ciencia y Portavocía la duración y contenido tanto de la fase de Prácticum del Máster en Profesorado de Secundaria Obligatoria y Bachillerato, Formación Profesional y Enseñanza de Idiomas, como de la relación de alumnos por centro y el tutor de la Escuela Universitaria o Facultad que le corresponde.

2. Realizar una planificación de la fase de Prácticum, que deberá estar finalizada y puesta en conocimiento de la Comunidad de Madrid y de los centros de prácticas con al menos quince días de antelación al comienzo de las mismas.

3. Formular, de acuerdo con sus necesidades, propuesta de los centros seleccionados a la Comisión Rectora del Prácticum, en los términos que establezca la Consejería de Educación, Universidades, Ciencia y Portavocía.

4. Acordar con los coordinadores y los tutores de los centros sus condiciones de participación para el desarrollo del Prácticum y el reconocimiento de la misma.

5. Nombrar a los tutores y coordinadores de prácticas propuestos por los centros y expedir certificados a los mismos por el desempeño de su actividad con la firma del Rector, Vicerrector o Decano.

6. Garantizar, respecto de sus alumnos, el cumplimiento de lo dispuesto en el artículo 13.5 de la Ley Orgánica 1/1996, de 15 de enero, de Protección Jurídica del Menor, de modificación parcial del Código Civil y de la Ley de Enjuiciamiento Civil, modificada por la Ley 26/2015, de 28 de julio, de Protección a la Infancia y a la Adolescencia.

Cuarta

Cobertura de riesgos

La contingencia de accidentes sufridos o que ocasione el alumnado durante la realización de las prácticas a que se refiere el presente convenio será asumida por la universidad en aquellos casos no cubiertos por el seguro escolar.

La universidad estará obligada a suscribir una póliza de seguros para cubrir los daños de cualquier tipo que pudiera ocasionar el alumnado participante en las prácticas externas, así como aquellos que pudiera padecer el mismo en caso de accidente, en los casos en los que no lo asuma el seguro escolar, durante todo el período de duración.

Quinta

Centros docentes

Podrán ser centros de prácticas del alumnado del Máster en Formación del Profesorado de Educación Secundaria Obligatoria y Bachillerato, Formación Profesional y Enseñanza de Idiomas los centros educativos de la Comunidad de Madrid que impartan todas o algunas de dichas enseñanzas, en los términos establecidos en la Ley Orgánica 2/2006, de 3 de mayo, modificada por la Ley Orgánica 3/2020, de 29 de diciembre.

Sexta

Comisión de seguimiento, vigilancia y control

Las funciones de seguimiento, vigilancia y control de la ejecución del convenio se llevarán a efecto por una Comisión de Seguimiento, Vigilancia y Control del mismo, que se constituirá con una composición paritaria. Esta Comisión resolverá los problemas de interpretación y cumplimiento que puedan plantearse en los términos previstos en el artículo 49.f) de la Ley 40/2015, 1 de octubre de RJSP.

Esta Comisión de Seguimiento, Vigilancia y Control no interfiere en las funciones de la Comisión Rectora y de la Comisión de Seguimiento establecidas en la Orden 1620/2021, de 8 de junio, que se refieren al proceso de implantación y realización de las prácticas, así como de su correcto desarrollo.

Séptima

Protección de datos

Dado que el convenio conlleva encargo de tratamiento de datos personales, se incluye dicha información en el Anexo I.

En cualquier caso, cada una de las partes y los alumnos afectados, conforme a los datos de carácter personal que figuran en el presente convenio, podrán ejercer sus derechos de acceso, rectificación, supresión, oposición, portabilidad de los datos, limitación en su tratamiento, así como a no ser objeto de decisiones automatizadas, dirigiéndose al correspondiente responsable del tratamiento, en las siguientes direcciones:

— La universidad: dpd@ceu.es. Se puede consultar información adicional sobre protección de datos en: https://www.uspceu.com/General/Informacion-adicional-Proteccion-Datos

— La delegación: protecciondatos.educacion@madrid.org. Se puede consultar información adicional sobre protección de datos en: http://www.comunidad.madrid/gobierno/informacion-juridica-legislacion/pr...

Se anexa al presente convenio un modelo de compromiso de confidencialidad y deber de secreto, Anexo II, que será firmado por el alumno y el tutor. Se entregará una copia a los firmantes y a cada parte que lo precise (Consejería de Educación, Universidades, Ciencia y Portavocía, universidad firmante del convenio, centro educativo).

Octava

Financiacion

1. El presente convenio no conlleva obligaciones financieras o contraprestación económica para ninguna de las partes.

2. Asimismo, en relación con las obligaciones contempladas en la disposición adicional quinta del Real Decreto-Ley 28/2018, de 28 de diciembre, para la revalorización de las pensiones públicas y otras medidas urgentes en materia social, laboral y de empleo, dado que todavía no se ha producido el desarrollo reglamentario para su efectiva aplicación, las partes se comprometen a firmar una adenda en la que se contemplen las obligaciones que asumirían para dar cumplimiento a la normativa de desarrollo del citado Real Decreto-Ley.

Novena

Vigencia del convenio

El presente convenio entrará en vigor a partir de la fecha de su firma, finalizando su vigencia el 30 de junio del año siguiente.

Décima

Extinción y resolución

El convenio se extinguirá por el cumplimiento de las actuaciones que constituyen su objeto o por incurrir en causa de resolución, siendo causa de resolución las siguientes:

a) El transcurso del plazo de vigencia del convenio.

b) El acuerdo unánime de todos los firmantes.

c) El incumplimiento de las obligaciones y compromisos asumidos por parte de alguno de los firmantes, en los términos previstos en el artículo 51.1.c) de la Ley 40/2015.

d) Por decisión judicial declaratoria de la nulidad del convenio.

e) Por cualquier otra causa distinta de las anteriores prevista en el convenio o en otras leyes.

La Resolución tendrá los efectos previstos en el artículo 52 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público.

Undécima

Deber de informar

Las partes manifiestan que los datos por ellas aportados en el presente convenio serán incluidos en una base de datos con la finalidad de gestionar la relación contractual entre las partes. Asimismo, cada parte garantiza cumplir con el deber de información respecto de los empleados cuyos datos sean comunicados igualmente entre las partes con este fin. La base jurídica que legitima este tratamiento es la gestión del presente convenio de colaboración. Los datos serán conservados durante la vigencia de este convenio y, posteriormente, durante el plazo necesario para la finalidad de atender a las posibles responsabilidades derivadas de la relación contractual.

En todo caso, los interesados o afectados podrán ejercer sus derechos de acceso, rectificación, supresión y oposición, limitación, portabilidad a través del procedimiento para el Ejercicio de derechos en materia de protección de datos personales tratados por la Administración de la Comunidad de Madrid o del procedimiento establecido por la Universidad CEU-San Pablo. Asimismo, en caso de considerar vulnerado su derecho a la protección de datos personales, podrán interponer una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

Dispone de información adicional en el siguiente enlace: http://www.comunidad.madrid/protecciondedatos

Duodécima

Régimen jurídico

1. Las cláusulas consignadas en este convenio no suponen contraprestación económica a favor de las partes, que no asumirán otras obligaciones que las derivadas de este convenio.

2. Ninguna cláusula de este convenio, que tiene carácter administrativo, podrá ser interpretada en un sentido que menoscabe el ejercicio de competencias legalmente atribuidas a la Comunidad de Madrid.

3. Las partes firmantes se comprometen a solventar, de mutuo acuerdo, las diferencias que resulten de la interpretación y ejecución de este convenio, siendo, en última instancia, la jurisdicción contencioso-administrativa la competente para resolver cuantas cuestiones litigiosas pudieran derivarse del mismo.

4. Asimismo se ha dado cumplimiento a lo previsto en el artículo 47 y concordantes de la Ley 40/2015, de 1 de octubre de Régimen Jurídico del Sector Público.

Y para que así conste, ambas partes firman el presente convenio por duplicado ejemplar, en el lugar y fecha indicados en el encabezamiento.

Madrid, a 18 de octubre de 2021.—Por la Comunidad de Madrid, la Directora General de Bilingüismo y Calidad de la Enseñanza, María Mercedes Marín García.—Por la Universidad CEU-San Pablo, la Rectora, Rosa María Visiedo Claverol.

ANEXO I

ACUERDO DE ENCARGO DE TRATAMIENTO

En el presente acuerdo las partes fijan formalmente y por escrito los términos y condiciones para regular el tratamiento de datos de carácter personal y la confidencialidad de la información suministrada y creada entre ellas.

Primera

Responsable y Encargado del Tratamiento

La Universidad San Pablo CEU (Fundación Universitaria San Pablo-CEU), tendrá la consideración de Responsable del Tratamiento y la Consejería de Educación, Universidades, Ciencia y Portavocía de la Comunidad de Madrid tendrá la consideración de Encargada del Tratamiento y, conforme a lo establecido en los artículos 28 y 29 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante, RGPD), así como en el artículo 33 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, y en el resto de normativa vigente en la materia.

En consecuencia, el acceso a datos de carácter personal en el marco de este convenio se realiza con el único fin de dar cumplimiento al objeto del mismo y no se considerará como una cesión o comunicación de datos.

Segunda

Definiciones

Los términos específicos en materia de protección de datos serán interpretados conforme a las definiciones establecidas en el artículo 4 del RGPD.

Tercera

Objeto del encargo de tratamiento

Mediante las presentes cláusulas se habilita a la Consejería de Educación, Universidades, Ciencia y Portavocía de la Comunidad de Madrid, Encargada del Tratamiento, para tratar por cuenta de la Universidad San Pablo CEU, Responsable del Tratamiento, los datos de carácter personal necesarios para desarrollar el convenio de colaboración para el desarrollo del Prácticum de los alumnos de los Grados de Magisterio, Pedagogía y Psicología matriculados en Facultades y Escuelas Universitarias de Formación del Profesorado en centros de la Comunidad de Madrid durante el curso 2021/2022.

El tratamiento de los datos personales comprenderá: recogida/registro/estructuración/modificación/conservación/extracción/consulta/interconexión/cotejo/limitación/supresión/comunicación/ y cualquier otro que requiera el objeto del convenio que se suscribe.

Durante el ciclo de vida de los datos personales los trámites que impliquen su tratamiento serán electrónicos en todas su fases, es decir, se recogerán de manera oficial a través del registro electrónico correspondiente, los documentos que se generen y los contengan serán firmados electrónicamente y serán notificados en su caso también de manera electrónica, de modo que los alumnos en prácticas deberán estar dados de alta en el sistema NOTE de la Comunidad de Madrid para que el Encargado pueda notificarle cuando sea necesario.

Cuarta

Identificación de la información afectada

Para la ejecución de la/s actuación/actuaciones derivadas del cumplimiento del objeto de este encargo, el Responsable del Tratamiento pone a disposición del Encargado, la información que se describe a continuación, correspondiente a la actividad de tratamiento U5.USP. Prácticas profesionales: COIE.

— Categoría de interesados: Alumnos.

— Tipología de datos tratados: Nombre apellidos teléfono(s), DNI/Pasaporte/NIE, Titulación Académica, Expediente Académico, Experiencia Profesional, Dirección Postal, E-mail, Datos bancarios y/o Tarjeta bancaria, fotografía, Aficiones.

— Delegado de Protección de Datos: dpd@ceu.es; calle Tutor, número 35, 28008 Madrid.

— Finalidad: Gestión de los servicios ofertados por prácticas profesionales.

— Cesiones: Plataforma SICEP de la Consejería de Educación y Registro de Educación.

— Transferencias internacionales: No se prevén.

Período de conservación: El período de conservación coincidirá con el período para el cual los datos están siendo tratados -el curso en el que se realizan las prácticas. Posteriormente, serán bloqueados conforme a la normativa durante un período de cinco años, salvo aquellos datos necesarios para la conformación del expediente académico.

Quinta

Duración

El presente acuerdo tiene una duración coincidente con el período de vigencia del convenio suscrito, sin perjuicio de las obligaciones que, conforme al clausulado del presente acuerdo de encargo hayan de extenderse más allá de dicho período.

Sexta

Deber de confidencialidad

El Encargado del Tratamiento se obliga a guardar la máxima reserva y secreto sobre la información clasificada como confidencial facilitada por el Responsable del Tratamiento a efectos de dar cumplimiento al objeto del convenio.

Tendrá la consideración de información confidencial toda la información susceptible de ser revelada por escrito, de palabra o por cualquier otro medio o soporte, tangible o intangible, actualmente conocido o que posibilite el estado de la técnica en el futuro, intercambiada como consecuencia de este convenio, en especial la información y datos personales a los que el Encargado haya accedido o acceda durante su ejecución.

Las partes se comprometen a mantener el compromiso de confidencialidad respecto a la información y material facilitado y recibido en virtud del presente convenio durante la vigencia del mismo, así como de forma indefinida tras su finalización, obligándose a:

a) Utilizar la información de forma reservada.

b) No divulgar ni comunicar la información facilitada o recibida, salvo resolución motivada en los términos establecidos en la Ley 19/2013, de 9 de diciembre, de Transparencia, Acceso a la Información Pública y Buen Gobierno, y la Ley 10/2019, de 10 de abril, de Transparencia y de Participación de la Comunidad de Madrid.

c) Impedir la copia o revelación de esa información a terceros, salvo que goce de aprobación escrita de las partes y únicamente en los términos de tal aprobación.

Séptima

Obligaciones del Encargado

— Limitarse a realizar las actuaciones que resulten necesarias para prestar al Responsable del Tratamiento los servicios descritos en la cláusula cuarta de este encargo. En concreto, el Encargado del Tratamiento se comprometerá a realizar el tratamiento de los datos personales ajustándose a las instrucciones que, en cada momento, le indique el Responsable del Tratamiento, así como a lo dispuesto en la normativa que le resulte aplicable en materia de protección de datos personales, inclusive con respecto a las transferencias de datos personales a un tercer país o a una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al Encargado del Tratamiento, en tal caso, el Encargado del Tratamiento informará al Responsable del Tratamiento de esa exigencia legal previa al tratamiento.

— Si el Encargado del Tratamiento considera que alguna de las instrucciones infringe el RGPD o cualquier otra disposición en materia de protección de datos de la Unión o de los Estados miembros, deberá informar inmediatamente al Responsable del Tratamiento.

— Comprometerse a no realizar ningún otro tratamiento sobre los datos personales, ni a aplicar o utilizar los datos con una finalidad distinta a la prestación de los servicios, ni a utilizarlos con fines propios.

— Cuando para prestar el servicio contratado, el Encargado del Tratamiento deba recabar datos personales y/o consentimientos, garantizará que los mismos son obtenidos y tratados de forma lícita, dando cumplimiento a todos los requisitos legalmente establecidos, incluyendo en su caso el deber de información al interesado.

— Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas para tratar datos personales.

— Mantener un registro, por escrito, de todas las actividades de tratamiento efectuadas por cuenta del Responsable del Tratamiento, que contenga:

• El nombre y los datos de contacto del Encargado del Tratamiento y del Responsable del Tratamiento y, en su caso, de su representante y del Delegado de Protección de Datos.

• Las categorías de tratamientos efectuados por cuenta del Responsable del Tratamiento.

• En su caso, las transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de dicho tercer país u organización internacional y la documentación de garantías adecuadas.

• Una descripción general de las medidas técnicas y organizativas de seguridad.

— Comprometerse a guardar bajo su control y custodia los datos personales suministrados por el Responsable del Tratamiento a los que acceda con motivo de la prestación de los servicios y a no divulgarlos, transferirlos, o de cualquier otra forma comunicarlos, ni siquiera para su conservación, a otras personas.

— En caso de que deba transferir datos personales a un tercer país o a una organización internacional, en virtud del Derecho de la Unión o de los Estados miembros que le sea aplicable, informar al Responsable del Tratamiento de esa exigencia legal de manera previa, salvo que tal Derecho lo prohíba por razones importantes de interés público.

— Dar apoyo al Responsable del Tratamiento en la realización de las evaluaciones de impacto relativas a la protección de datos, cuando proceda.

— Dar apoyo al Responsable del Tratamiento en la realización de las consultas previas a la autoridad de control, cuando proceda.

— Poner a disposición del Responsable del Tratamiento toda la información necesaria para demostrar el cumplimiento de sus obligaciones, así como permitir y colaborar activamente en la realización de las auditorías o las inspecciones que realice el Responsable del Tratamiento u otro auditor autorizado por él.

A título meramente ilustrativo y no limitativo, a solicitud del Responsable del Tratamiento el Encargado de Tratamiento deberá proporcionar la siguiente información/documentación:

• Si resultase de aplicación, los certificados, debidamente actualizados, a los que se hace referencia en el artículo 42 del RGPD.

• La información relacionada con la adhesión del Encargado de Tratamiento a Códigos de Conducta, en su caso.

• Los certificados y estándares que, en materia de seguridad de la información, haya obtenido el Encargado de Tratamiento, en su caso.

• Los informes de auditoría interna o externa que en materia de protección de datos y/o seguridad de la información que haya realizado el Encargado de Tratamiento.

• Los protocolos, políticas, manuales y procedimientos que regulen el tratamiento de datos por parte del Encargado de Tratamiento.

• El listado en el que se especifiquen los controles e indicadores implantados en los sistemas de información utilizados por el Encargado de Tratamiento.

El Responsable de Tratamiento, previo aviso de quince días hábiles, si fuese posible, podrá personarse en las instalaciones del Encargado del Tratamiento y, en su caso, de o los subencargados del tratamiento con el objetivo de realizar los controles y auditorías presenciales que estime oportuno para comprobar el cumplimiento de la normativa de protección de datos. El número máximo de auditorías presenciales a realizar será de una por cada año natural, salvo que EL Responsable de Tratamiento acreditase un interés legítimo que justificase una reiteración mayor.

— El Encargado del Tratamiento implantará las medidas de seguridad y mecanismos establecidos en el artículo 32 del RGPD para:

• Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.

• Restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico.

• Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento.

• Seudonimizar y cifrar los datos personales, en su caso.

Asimismo, el Encargado de Tratamiento deberá adoptar todas aquellas medidas técnicas y organizativas que, a tenor del análisis de riesgo efectuado por el Responsable de Tratamiento, este considere que resultan necesarias para garantizar un nivel de seguridad adecuado teniendo en cuenta el estado de la técnica y el coste de su aplicación con respecto a los riesgos y la naturaleza de los datos personales que deban protegerse. Sin perjuicio de lo anterior, el Encargado de Tratamiento podrá realizar su propio análisis de riesgo y proponer al Responsable de Tratamiento la adopción de medidas de seguridad adicionales o sustitutivas de las propuestas por este, siempre que de las mismas resulte un nivel de seguridad adecuado. En todo caso la decisión final sobre la adopción e implantación de unas u otras medidas corresponden al Responsable de Tratamiento.

— El Encargado del Tratamiento deberá notificar al Responsable del Tratamiento, sin dilación indebida, y en cualquier caso antes del plazo máximo de veinticuatro horas, las violaciones de la seguridad de los datos personales a su cargo de las que tenga conocimiento, incluyendo toda la información relevante para la documentación y comunicación de la incidencia. Si se dispone de ella el Encargado del Tratamiento facilitará, como mínimo, la información siguiente:

• Descripción de la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados.

• El nombre y los datos de contacto del Delegado de Protección de Datos o de otro punto de contacto en el que pueda obtenerse más información.

• Descripción de las posibles consecuencias de la violación de la seguridad de los datos personales.

• Descripción de las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.

Si no fuera posible facilitar la información simultáneamente, la información se facilitará de manera gradual sin dilación indebida.

— Una vez cumplida la prestación de los servicios, el Encargado del Tratamiento se compromete a destruir de forma segura aquella información que contenga datos de carácter personal que haya sido transmitida por el Responsable del Tratamiento al Encargado del Tratamiento con motivo de la prestación de los servicios. Para ello aplicará las medidas físicas y lógicas que resulten adecuadas para garantizar que los datos incorporados a los distintos soportes son irrecuperables. Posteriormente emitirá un certificado de destrucción segura y lo remitirá al Responsable del Tratamiento mediante correo electrónico identificando la información, soportes físicos y/o documentos destruidos.

Sin perjuicio de lo anterior, el Encargado del Tratamiento ofrecerá al Responsable del Tratamiento la devolución de los datos con carácter previo a su destrucción. La devolución implicará la entrega o puesta a disposición de los datos al Responsable de Tratamiento o a la persona que este determine al efecto, en un formato de uso común y de forma que, completada su devolución, el Responsable del Tratamiento no tenga dependencia alguna de los sistemas o herramientas del Encargado del Tratamiento. Finalizado el proceso de devolución, el Encargado del Tratamiento deberá proceder a la destrucción segura de los datos de acuerdo con lo establecido en el párrafo anterior.

En cualquier caso, el Encargado del Tratamiento podrá conservar los datos debidamente bloqueados en el caso que pudieran derivarse responsabilidades de su relación con el Responsable del Tratamiento. Transcurrido el plazo de prescripción de las acciones que motivaron la conservación de los datos, el Encargado del Tratamiento deberá proceder a su destrucción del modo expuesto en el primer párrafo.

— Con carácter general, el Encargado del Tratamiento no podrá subcontratar o colaborar con terceras partes para la prestación de los servicios sin la previa autorización expresa y por escrito del Responsable de Tratamiento. En tal caso, la autorización se entenderá referida también a tratamiento de los datos personales correspondientes por parte del subcontratista, como subencargado del tratamiento de datos.

Para subcontratar con ulteriores empresas, el Encargado del Tratamiento debe recabar el previo consentimiento por escrito del Responsable del Tratamiento, identificando de forma clara e inequívoca la empresa subcontratista, sus datos de contacto y, en el caso de transferencia internacional, el amparo legal de la trasferencia.

Con carácter previo a cualquier actividad de tratamiento por parte del subencargado, el Encargado del Tratamiento deberá haber obtenido la previa autorización escrita del Responsable del Tratamiento, quien podrá oponerse a la subcontratación basándose en alguno de los siguientes motivos:

• La falta de cumplimiento por parte del subcontratista de la normativa de protección de datos o de las obligaciones de confidencialidad y seguridad impuestas por la normativa sectorial financiera o aseguradora, en caso de que estas últimas resulten de aplicación al servicio subcontratado.

• La falta de adecuación de las medidas de seguridad técnicas, legales u organizativas al nivel de riesgo que para los derechos y libertades de las personas suponen los tratamientos que derivan del o de parte del servicio subcontratado.

• La incapacidad o la existencia de dudas razonables sobre la capacidad del subcontratista para dar debido cumplimiento a la normativa de protección de datos o de las obligaciones de confidencialidad y seguridad impuestas por la normativa sectorial financiera o aseguradora, en caso de que estas últimas resulten de aplicación al servicio subcontratado.

Los citados motivos se refieren únicamente a aspectos relacionados con la protección de datos personales, y lo son sin perjuicio de aquellos otros de otra naturaleza que pueda aducir el Responsable del Tratamiento para denegar su autorización.

El subcontratista, que también tiene la condición de Encargado del Tratamiento, está obligado igualmente a cumplir las obligaciones establecidas en este documento para el Encargado del Tratamiento y las instrucciones que dicte el Responsable del Tratamiento. Corresponde al Encargado del Tratamiento inicial regular la nueva relación de conformidad con el artículo 28.4 del RGPD, de forma que el nuevo Encargado quede sujeto a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad…) y con los mismos requisitos formales que él, en lo referente al adecuado tratamiento de los datos personales y a la garantía de los derechos de las personas afectadas. En el supuesto de que la subcontratación del servicio por parte del Encargado del Tratamiento implique una transferencia internacional de datos a empresas subcontratistas establecidas fuera del Espacio Económico Europeo y que no sean países considerados por la Comisión Europea como poseedores de un nivel de protección de datos adecuado.

En el caso de incumplimiento por parte del subencargado, el Encargado del Tratamiento inicial seguirá siendo plenamente responsable ante el Responsable del Tratamiento en lo referente al cumplimiento de las obligaciones.

— El Encargado del Tratamiento asistirá al Responsable del Tratamiento en la respuesta al ejercicio de los derechos de los interesados (derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento, portabilidad de los datos, y a no ser objeto de decisiones individualizadas automatizadas), garantizando su plena cooperación y las herramientas apropiadas al efecto.

En este sentido, el Encargado del Tratamiento deberá dar traslado de la solicitud de forma inmediata al Responsable del Tratamiento y, a no más tardar, dentro del plazo de tres días naturales a contar desde su recepción, para que el Responsable del Tratamiento resuelva debidamente dicha solicitud. El Encargado del Tratamiento remitirá la solicitud a la dirección de correo electrónico dpd@ceu.es. Asimismo, deberá facilitar al Responsable del Tratamiento toda aquella información que fuese precisa para la adecuada resolución de la solicitud e implantar los cambios que a resultas del ejercicio de derechos por parte del interesado resulten necesarios en los plazos legalmente establecidos.

— El Encargado del Tratamiento garantizará al Responsable del Tratamiento la elección de centros de procesamientos de datos ubicados dentro del Espacio Económico Europeo.

— El Encargado del Tratamiento se compromete a cumplir con las obligaciones establecidas en el presente Encargo y en la normativa vigente. De conformidad con lo establecido en el artículo 28.10 del RGPD y la normativa de protección de datos, si el Encargado del Tratamiento infringe lo establecido en el RGPD al determinar los fines y medios del tratamiento, será considerado Responsable del Tratamiento con respecto a dicho tratamiento.

Octava

Obligaciones del Responsable

Corresponden al Responsable del Tratamiento las siguientes obligaciones:

— Permitir al Encargado del Tratamiento el acceso a los datos objeto de tratamiento de conformidad con lo establecido en el presente contrato.

— Realizar, si fuese necesario, una evaluación de impacto en la protección de los datos de las operaciones del tratamiento a realizar por el Encargado del Tratamiento y/o, en su caso, realizar las consultas previas que corresponda.

— Velar, de forma previa y durante todo el tratamiento, por el cumplimiento del RGPD y de la LOPDGDD y de la demás normativa sobre protección de datos personales por parte del Encargado del Tratamiento.

— Supervisar el tratamiento, incluida la realización de inspecciones y auditorías.

— Comunicar al Encargado del Tratamiento cualquier variación que se produzca en los datos de carácter personal, para poder mantenerlos actualizados.

(03/2.495/22)