a. El Encargado del Tratamiento notificará de inmediato al Responsable del Tratamiento cualquier solicitud que haya recibido de parte del sujeto de datos. No responderá a tal solicitud por sí mismo, a menos que el Responsable del Tratamiento lo haya autorizado para hacerlo.

​

b. El Encargado del Tratamiento asistirá al Responsable del Tratamiento en el cumplimiento de sus obligaciones para responder a las solicitudes de los sujetos de datos para ejercer sus derechos, teniendo en cuenta la naturaleza del procesamiento. En el cumplimiento de sus obligaciones de acuerdo con a) y b), el Encargado del Tratamiento cumplirá con las instrucciones del Responsable.

​

c. Además de la obligación del Encargado del Tratamiento de asistir al Responsable del Tratamiento conforme a la cláusula 5.b), el Encargado del Tratamiento además asistirá al Responsable del Tratamiento en asegurar el cumplimiento con las siguientes obligaciones, teniendo en cuenta la naturaleza del procesamiento de datos y la información disponible para el Encargado del Tratamiento:

i. La obligación de realizar una evaluación del impacto de las operaciones de procesamiento previstas sobre la protección de datos personales (una 'evaluación de impacto sobre la protección de datos') cuando se prevea que un tipo de procesamiento resultará en un riesgo alto para los derechos y libertades de las personas naturales;

ii. la obligación de consultar a la autoridad/supervisora competente antes del procesamiento cuando una evaluación de impacto sobre la protección de datos indique que el procesamiento resultaría en un alto riesgo en ausencia de medidas tomadas por el Responsable para mitigar el riesgo; y

iii. las obligaciones en el Artículo 32 del GDPR.

6. Notificación de brecha de datos personales

a. En caso de una brecha de datos personales concerniente a datos procesados por el Encargado del Tratamiento, el Encargado del Tratamiento notificará al Responsable del Tratamiento sin demoras indebidas después de que el Encargado del Tratamiento haya tenido conocimiento de la brecha. Dicha notificación contendrá, al menos:

i. Descripción de la naturaleza de la brecha de seguridad de datos personales incluyendo, cuando sea posible, las categorías y el número aproximado de sujetos de datos afectados, y las categorías y el número aproximado de registros de datos personales afectados.

ii. El nombre y los detalles de contacto del Oficial de Protección de Datos (DPO) del Encargado del Tratamiento y otro punto de contacto para obtener más información.

iii. Descripción de las posibles consecuencias de la brecha de seguridad de datos personales.

b. El Encargado del Tratamiento cooperará con y asistirá al Responsable para cumplir con sus obligaciones bajo los Artículos 33 y 34 del GDPR, cuando sea aplicable, teniendo en cuenta la naturaleza del procesamiento y la información disponible para el Encargado del Tratamiento.

7. Subprocesamiento

7.1 Subcontratación necesaria

a. El Encargado del Tratamiento requiere la subcontratación de terceros que procesarán los datos personales bajo la responsabilidad del Responsable del Tratamiento. Algunas de estas subcontrataciones son necesarias para proporcionar el servicio aplicable, ya que el funcionamiento de los sistemas del Encargado del Tratamiento y la provisión de ciertos servicios dependen de ellos. La subcontratación necesaria se refleja en el Apéndice II.

b. Con todos los subencargados necesarios, el Encargado del Tratamiento mantiene un acuerdo que impone obligaciones de protección de datos que proporcionan garantías suficientes de implementación de medidas técnicas y organizativas apropiadas al procesamiento.

c. El Responsable del Tratamiento autoriza por la presente la subcontratación referida en los términos actuales.

7.1 Nueva subcontratación

a. Cuando sea necesario subcontratar cualquier otro procesamiento, el Encargado del Tratamiento puede hacerlo siempre que el Responsable del Tratamiento no haya expresado su oposición a la subcontratación dentro de los diez (10) días hábiles desde la notificación.

b. El Encargado del Tratamiento notificará al Responsable del Tratamiento dentro de un período razonable de tiempo y no menos de diez (10) días hábiles antes de la contratación del subencargado en cuestión, junto con la información necesaria para que el Responsable del Tratamiento objete. La identificación del subencargado, sus detalles de contacto y la indicación del procesamiento que se pretende subcontratar se considerarán información necesaria suficiente.

c. La subcontratación puede llevarse a cabo siempre que el Responsable del Tratamiento no haya expresado su oposición a ella dentro de los diez (10) días hábiles desde la notificación.

d. En cualquier caso, el procesamiento de datos por parte del subencargado cumplirá con las instrucciones del Responsable del Tratamiento, y el Encargado del Tratamiento celebrará un contrato con el subencargado bajo los términos previstos en este DPA y de acuerdo con las disposiciones del artículo 28 del GDPR, con el subencargado comprometiéndose, de manera expresa y por escrito, a asumir obligaciones idénticas a las establecidas para el Encargado del Tratamiento bajo este DPA. En caso de incumplimiento por parte del subencargado, el Encargado del Tratamiento será totalmente responsable ante el Responsable del Tratamiento por el cumplimiento de las obligaciones.

8. Transferencias internacionales de datos

a. Las transferencias de datos a un tercer país o a una organización internacional por parte del Encargado del Tratamiento solo pueden llevarse a cabo bajo instrucciones documentadas del Responsable del Tratamiento o conforme a un requisito expreso de la ley de la Unión o del Estado miembro al cual el Encargado del Tratamiento está sujeto; y se llevarán a cabo de acuerdo con el Capítulo V del GDPR.

b. El Responsable del Tratamiento acepta que, cuando el Encargado del Tratamiento utilice un subencargado de acuerdo con la cláusula 7 para llevar a cabo actividades de procesamiento específicas (en nombre del Responsable del Tratamiento) y dichas actividades impliquen una transferencia de datos personales en el sentido del Capítulo V del GDPR, el Encargado del Tratamiento y el subencargado pueden asegurar el cumplimiento del Capítulo V del GDPR utilizando cláusulas contractuales estándar adoptadas por la Comisión, de conformidad con el Artículo 46(2) del GDPR, siempre que se cumplan las condiciones para el uso de dichas cláusulas contractuales estándar.

9. Responsabilidad

Cada parte indemnizará a la otra parte (en adelante, “la Parte Indemnizadora”) por todas las pérdidas, costos, daños, responsabilidades o daños sufridos o incurridos por la otra parte (en adelante, “la Parte Indemnizada”) como resultado del incumplimiento por parte de la Parte de las disposiciones de protección de datos establecidas en este DPA, siempre que: (i) la Parte Indemnizada proporcione a la Parte Indemnizadora un aviso pronto de cualquier circunstancia de la cual sea consciente que dé lugar a un reclamo de indemnización bajo este DPA; y (ii) la Parte Indemnizada tome medidas y acciones razonables para mitigar cualquier daño continuo que pueda sufrir como consecuencia del incumplimiento por parte de la Parte Indemnizadora.