Modificar Cláusula

Título: Descripción: Texto Completo (Markdown):

### Confidencialidad.

La persona contratista deberá respetar el carácter confidencial de aquella información a la que tenga acceso con ocasión de la ejecución del contrato a la que se le atribuya el referido carácter o que por su propia naturaleza deba ser tratada como tal. Este deber se mantendrá durante un plazo de cinco años desde el conocimiento de esa información. No podrá transferir información alguna sobre los trabajos a terceras personas o entidades sin el consentimiento expreso y por escrito del Ayuntamiento de Totana, y será necesario que con la formalización del contrato se anexe al mismo el documento de acuerdo de confidencialidad recogido en el.

### Protección de datos.

La persona contratista, deberá cumplir el RGPD, la Ley Orgánica 3/2018 y demás normativa de aplicación en vigor en materia de protección de datos. El sometimiento de la persona contratista a la normativa sobre protección de datos constituye una obligación esencial a los efectos de lo previsto en la letra f) del apartado 1 del artículo 211 de la LCSP.

Para ello, y en aplicación de la disposición adicional vigésima quinta de la LCSP, la persona contratista tendrá la consideración de persona encargada del tratamiento en los el caso en que la contratación implique el acceso de la persona contratista a datos de carácter personal de cuyo tratamiento sea responsable la entidad contratante. En este supuesto, el acceso a esos datos no se considerará comunicación de datos, cuando se cumpla lo previsto en el artículo 28 del RGPD. En todo caso, las previsiones de este deberán de constar por escrito.

### Tratamiento de datos personales

Cuando la ejecución del contrato requiera el tratamiento por la persona contratista de datos personales por cuenta de la persona responsable del tratamiento, la persona contratista deberá tratar los datos personales de los cuales la entidad contratante es responsable, disponiéndose por esta la forma en que se cederán los datos. El cumplimiento de esta obligación es de carácter esencial, de modo que su incumplimiento dará lugar a la resolución contractual, en los términos del artículo 21f) de la LCSP.

Por lo tanto sobre la entidad contratante recaen las responsabilidades, establecidas en la normativa de aplicación, de la persona Responsable del tratamiento mientras que la persona adjudicataria ostenta las establecidas para la persona encargada del tratamiento. No obstante, si esta última destinase los datos a otra finalidad, los comunicara o los utilizara incumpliendo las estipulaciones del presente pliego y/o la normativa vigente, será considerada también como Responsable del Tratamiento, respondiendo en dicho caso de las infracciones en que hubiera incurrido personalmente.

### Estipulaciones como persona Encargada de Tratamiento

De conformidad con lo previsto en el artículo 28 del RGPD, la persona adjudicataria se obliga a garantizar el cumplimiento de las siguientes obligaciones:

* Tratar los Datos Personales conforme a las instrucciones documentadas en el presente Pliego o demás documentos contractuales aplicables a la ejecución del contrato, salvo que esté obligada a ello en virtud del Derecho de la Unión o nacional que se aplique a la persona encargada; en tal caso, la persona encargada informará a la persona responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público.
* No utilizar ni aplicar los Datos Personales con una finalidad distinta a la ejecución del objeto del presente contrato.
* Tratar los Datos Personales de conformidad con los criterios de seguridad y el contenido previsto en el artículo 32 del RGPD, así como observar y adoptar las medidas técnicas y organizativas de seguridad necesarias o convenientes para asegurar la confidencialidad, secreto e integridad de los Datos Personales a los que tenga acceso. En particular, y sin carácter limitativo, se obliga a aplicar las medidas de protección del nivel de riesgo y seguridad establecidas por el Ayuntamiento de Totana.
* Mantener la más absoluta confidencialidad sobre los Datos Personales a los que tenga acceso para la ejecución del contrato así como sobre los que resulten de su tratamiento, cualquiera que sea el soporte en el que se hubieren obtenido. Esta obligación se extiende a toda persona que pudiera intervenir en cualquier fase del tratamiento por cuenta de la persona adjudicataria, siendo deber de la persona adjudicataria instruir a las personas que de ella dependan, de este deber de secreto, y del mantenimiento de dicho deber aún después de la terminación de la prestación del Servicio o de su desvinculación.
* Llevar un listado de personas autorizadas para tratar los Datos Personales objeto de este pliego y garantizar que las mismas se comprometen, de forma expresa y por escrito, a respetar la confidencialidad, y a cumplir con las medidas de seguridad correspondientes, de las que les debe informar convenientemente. Y mantener a disposición del órgano de contratación dicha documentación acreditativa.
* Garantizar la formación necesaria en materia de protección de Datos Personales de las personas autorizadas a su tratamiento.
* Salvo que cuente en cada caso con la autorización expresa de la persona Responsable del Tratamiento, no comunicar, ceder ni difundir los Datos Personales a terceras personas, ni siquiera para su conservación.
* Nombrar una persona Delegada de Protección de Datos, en caso de que sea necesario según el RGPD, y comunicarlo al órgano de contratación, también cuando la designación sea voluntaria, así como la identidad y datos de contacto de la(s) persona(s) física(s) designada(s) por la persona adjudicataria como sus representante(s) a efectos de protección de los Datos Personales (representantes de la persona Encargada de Tratamiento), responsable(s) del cumplimiento de la regulación del tratamiento de Datos Personales, en las vertientes legales/formales y en las de seguridad.
* Una vez finalizada la prestación contractual objeto del presente Pliego, se compromete, según corresponda, a devolver o destruir (i) los Datos Personales a los que haya tenido acceso; (ii) los Datos Personales generados por la persona adjudicataria por causa del tratamiento; y (iii) los soportes y documentos en que cualquiera de estos datos consten, sin conservar copia alguna; salvo que se permita o requiera por ley o por norma de derecho comunitario su conservación, en cuyo caso no procederá la destrucción. La persona Encargada del Tratamiento podrá, no obstante, conservar los datos durante el tiempo que puedan derivarse responsabilidades de su relación con la persona Responsable del Tratamiento. En este último caso, los Datos Personales se conservarán bloqueados y por el tiempo mínimo, destruyéndose de forma segura y definitiva al final de dicho plazo.
* Según corresponda, a llevar a cabo el tratamiento de los Datos Personales en los sistemas/dispositivos de tratamiento, manuales y automatizados, equipamiento que podrá estar bajo el control del órgano de contratación o bajo el control directo o indirecto de la persona adjudicataria, u otros que hayan sido expresamente autorizados por escrito por el mismo, y únicamente por las personas usuarias o perfiles de personas usuarias asignados a la ejecución del objeto de este Pliego.
* A tratar los Datos Personales dentro del Espacio Económico Europeo u otro espacio considerado por la normativa aplicable como de seguridad equivalente, no tratándolos fuera de este espacio ni directamente ni a través de cualesquiera subcontratistas obligada a ello en virtud del Derecho de la Unión o del Estado miembro que le resulte de aplicación.
* En el caso de que por causa de Derecho nacional o de la Unión Europea la persona adjudicataria se vea obligada a llevar a cabo alguna transferencia internacional de datos, la persona adjudicataria informará por escrito al órgano de contratación de esa exigencia legal, con antelación suficiente a efectuar el tratamiento, y garantizará el cumplimiento de cualesquiera requisitos legales que sean aplicables al mismo, salvo que el Derecho aplicable lo prohíba por razones importantes de interés público.
* De conformidad con el artículo 33 del RGPD, comunicar al órgano de contratación, de forma inmediata y a más tardar en el plazo de72 horas, cualquier violación de la seguridad de los datos personales a su cargo de la que tenga conocimiento, juntamente con toda la información relevante para la documentación y comunicación de la incidencia o cualquier fallo en su sistema de tratamiento y gestión de la información que haya tenido o pueda tener que ponga en peligro la seguridad de los Datos Personales, su integridad o su disponibilidad, así como cualquier posible vulneración de la confidencialidad como consecuencia de la puesta en conocimiento de terceras personas de los datos e informaciones obtenidos durante la ejecución del contrato. Comunicará con diligencia información detallada al respecto, incluso concretando qué personas interesadas sufrieron una pérdida de confidencialidad.
* Cuando una persona ejerza un derecho de acceso, rectificación, supresión y oposición, limitación del tratamiento, portabilidad de datos y a no ser objeto de decisiones individualizadas automatizadas, u otros reconocidos por la normativa aplicable (conjuntamente, los “Derechos”), ante la persona Encargada del Tratamiento, ésta debe comunicarlo al órgano de contratación con la mayor prontitud. La comunicación debe hacerse de forma inmediata y en ningún caso más allá del día laborable siguiente al de la recepción del ejercicio de derecho, juntamente, en su caso, con la documentación y otras informaciones que puedan ser relevantes para resolver la solicitud que obre en su poder, e incluyendo la identificación fehaciente de quien ejerce el derecho. La persona adjudicataria asistirá al órgano de contratación, siempre que sea posible, para que ésta pueda cumplir y dar respuesta a los ejercicios de Derechos.
* Colaborar con el órgano de contratación en el cumplimiento de sus obligaciones en materia de (i) medidas de seguridad, (ii) comunicación y/o notificación de brechas (logradas e intentadas) de medidas de seguridad a las autoridades competentes o las personas interesadas, y (iii) colaborar en la realización de evaluaciones de impacto relativas a la protección de datos personales y consultas previas al respecto a las autoridades competentes; teniendo en cuenta la naturaleza del tratamiento y la información de la que disponga. Asimismo, pondrá a disposición del mismo, a requerimiento de este, toda la información necesaria para demostrar el cumplimiento de las obligaciones previstas en este Pliego y demás documentos contractuales y colaborará en la realización de auditoras e inspecciones llevadas a cabo, en su caso, por el Ayuntamiento de Totana.
* En los casos en que la normativa así lo exija, llevar, por escrito, incluso en formato electrónico, y de conformidad con lo previsto en el artículo 30.2 del RGPD un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del órgano de contratación, responsable del tratamiento, que contenga, al menos, las circunstancias a que se refiere dicho artículo.
* Disponer de evidencias que demuestren el cumplimiento de la normativa de protección de Datos Personales y del deber de responsabilidad activa, como certificados previos sobre el grado de cumplimiento o resultados de auditorías, que habrá de poner a disposición del órgano de contratación a su requerimiento. Asimismo, durante la vigencia del contrato, pondrá a disposición toda información, certificaciones y auditorías realizadas en cada momento.
* Derecho de información: la persona encargada del tratamiento, en el momento de la recogida de los datos, debe facilitar la información relativa a los tratamientos de datos que se van a realizar. La redacción y el formato en que se facilitará la in-formación se debe consensuar con la persona responsable antes del inicio de la recogida de los datos. La presente cláusula y las obligaciones en ella establecidas, constituyen el contrato de encargo de tratamiento entre el órgano de contratación y la persona adjudicataria a que hace referencia el artículo 28.3 del RGPD. Las obligaciones y prestaciones que aquí se contienen no son retribuibles de forma distinta de lo previsto en el presente pliego y demás documentos contractuales y tendrán la misma duración que la prestación objeto de este contrato, prorrogándose en su caso por períodos iguales a éste. No obstante, a la finalización del contrato, el deber de secreto continuará vigente, sin límite de tiempo, para todas las personas involucradas en la ejecución del contrato.

### Subencargos de tratamiento asociados a Subcontrataciones

Cuando se produzca una subcontratación con terceras personas de la ejecución del contrato y la persona subcontratista deba acceder a Datos Personales, la persona adjudicataria lo pondrá en conocimiento previo del órgano de contratación, identificando qué tratamiento de datos personales conlleva, para que este decida, en su caso, si otorgar o no su autorización a dicha subcontratación.

En todo caso, para su autorización es requisito que se cumplan las siguientes condiciones:

* Que el tratamiento de datos personales por parte de la persona subcontratista se ajuste a la legalidad vigente, lo contemplado en este pliego y a las instrucciones del órgano de contratación.
* Que la persona adjudicataria y la empresa subcontratista formalicen un contrato de encargo de tratamiento de datos en términos no menos restrictivos a los previstos en el presente pliego, el cual será puesto a disposición del órgano de contratación.  
La persona adjudicataria informará al órgano de contratación de cualquier cambio previsto en la incorporación o sustitución de otras personas subcontratistas, dando así la oportunidad de otorgar el consentimiento previsto en esta cláusula. La no respuesta a dicha solicitud equivale a oponerse a dichos cambios.

### Información sobre tratamiento de datos personales contenidos en este contrato y los necesarios para su tramitación.

Los datos de carácter personal contenidos en este contrato y los necesarios para su gestión serán tratados por el órgano de contratación con la finalidad de llevar a cabo la gestión presupuestaria y económica del mismo, siendo la persona responsable del tratamiento la que así esté designada formalmente en el ámbito de la entidad.

La base jurídica del tratamiento es el cumplimiento de una obligación legal de un fin de interés público y el ejercicio de poderes públicos conferidos a la persona responsable del tratamiento por la LCSP y demás que regule los gastos públicos.

No se prevé la comunicación de datos de carácter personal a terceras personas, salvo las impuestas por el ordenamiento jurídico. Los datos se conservarán por el tiempo que exija la normativa sobre contratación pública, hacienda pública y archivo con fines de interés público.

Los derechos de acceso, rectificación, supresión y portabilidad de sus datos, de limitación y oposición a su tratamiento, así como a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado de sus datos, cuando procedan, se pueden ejercitar ante el órgano de contratación. Puede ejercer estos derechos mediante una solicitud dirigida a la persona responsable del tratamiento.

Además, puede solicitar el ejercicio de sus derechos solicitándolo por cualquiera de los medios para presentación de solicitudes y en cualquiera de los registros conformes con la Ley 39/2015\.

Orden:
Categorías: