RESOLUCIÓN PRE/861/2024, de 15 de marzo, por la que se da publicidad al Convenio de colaboración entre la Administración de la Generalitat de Catalunya, mediante el Departamento de la Presidencia, y la Agencia de Gestión de Ayudas Universitarias y de Investigación (AGAUR) para la evaluación técnica de la primera fase de la evaluación de los proyectos de la modalidad 4 correspondientes a la convocatoria de becas y ayudas de investigación en el ámbito de la organización territorial del poder del año 2024 del Instituto de Estudios del Autogobierno.

En fecha 11 de marzo de 2024 se ha firmado, electrónicamente, el convenio de colaboración entre la Administración de la Generalitat de Catalunya, mediante el Departamento de la Presidencia, y la Agencia de Gestión de Ayudas Universitarias y de Investigación (AGAUR) para la evaluación técnica de la primera fase de la evaluación de los proyectos de la modalidad 4 correspondientes a la convocatoria de becas y ayudas de investigación en el ámbito de la organización territorial del poder del año 2024.

En cumplimiento del artículo 112.2 de la Ley 26/2010, de 3 de agosto, de régimen jurídico y de procedimiento de las administraciones públicas de Cataluña,

Resuelvo:

Hacer público el convenio de colaboración entre la Administración de la Generalitat de Catalunya, mediante el Departamento de la Presidencia, y la Agencia de Gestión de Ayudas Universitarias y de Investigación (AGAUR) para la evaluación técnica de la primera fase de la evaluación de los proyectos de la modalidad 4 correspondientes a la convocatoria de becas y ayudas de investigación en el ámbito de la organización territorial del poder del año 2024, que se transcribe en el anexo de esta Resolución.

Barcelona, 15 de marzo de 2024

Núria Cuenca León

Secretaria general

ANEXO

CONVENIO DE COLABORACIÓN ENTRE LA ADMINISTRACIÓN DE LA GENERALITAT DE CATALUNYA, MEDIANTE EL DEPARTAMENTO DE LA PRESIDENCIA, Y LA AGENCIA DE GESTIÓN DE AYUDAS UNIVERSITARIAS Y DE INVESTIGACIÓN (AGAUR) PARA LA EVALUACIÓN TÉCNICA DE LA PRIMERA FASE DE LA EVALUACIÓN DE LOS PROYECTOS DE LA MODALIDAD 4 CORRESPONDIENTES A LA CONVOCATORIA DE BECAS Y AYUDAS DE INVESTIGACIÓN EN EL ÁMBITO DE LA ORGANIZACIÓN TERRITORIAL DEL PODER DEL AÑO 2024 DEL INSTITUTO DE ESTUDIOS DEL AUTOGOBIERNO

REUNIDOS

De una parte, la señora Núria Cuenca León, secretaria general de la Presidencia de la Generalitat de Catalunya, en nombre y representación de la Generalitat de Catalunya, en uso de las facultades previstas en el punto 1.3 de la Resolución PRE/3588/2022, de 7 de noviembre, de delegación de competencias de la persona titular del Departamento de la Presidencia a distintos órganos del Departamento (DOGC 8797, de 21.11.2022).

Y, de la otra parte, el Sr. Manuel Molina Clavero, director ejecutivo de la Agencia de Gestión de Ayudas Universitarias y de Investigación (de ahora en adelante, AGAUR), con domicilio en el Paseo Lluís Companys, 23, 08010 de Barcelona y NIF Q0801117C, en virtud de lo que prevé el artículo 16 del Decreto 168/2002, de 11 de junio, por el que se aprueban los Estatutos del AGAUR, y de acuerdo con los poderes que han sido elevados a público ante la Notaria Sra. María del Camino Quiroga Martínez en fecha 28 de marzo de 2022 y con número de protocolo 1308.

Ambas partes se reconocen competencia y capacidad para suscribir el presente convenio y, en su virtud,

EXPONEN

1. El Instituto de Estudios del Autogobierno, órgano dependiente del Departamento de la Presidencia de acuerdo con el artículo 1.1.i) del Decreto 289/2022, de 2 de noviembre, de reestructuración del Departamento de la Presidencia, tiene la función, entre otros, de proponer los criterios, coordinar y realizar el seguimiento del programa de becas y ayudas de fomento de la investigación universitaria sobre la organización territorial del poder de acuerdo con el artículo 80.e) del Decreto 19/2022, de 8 de febrero, de reestructuración del Departamento de la Presidencia.

2. El AGAUR fue creada por la Ley 7/2001, de 31 de mayo, con el objetivo de ejecutar los programas de becas, de préstamos, de subvenciones y otras actividades de fomento del estudio universitario, de la investigación científica y técnica y de la innovación tecnológica en Cataluña.

3. Los Estatutos del AGAUR, aprobados por el Decreto 168/2002, de 11 de junio, prevén en su artículo 5.1.b) la formalización de acuerdos, pactos, convenios y contratos con entidades públicas o privadas y con otros departamentos de la Generalitat de Catalunya para la concesión de subvenciones, así como su seguimiento. Asimismo, corresponde al AGAUR el fomento de las relaciones con otras instituciones con funciones de gestión de ayudas universitarias y de investigación, y el asesoramiento a los órganos de la Administración de la Generalidad en las materias relacionadas con la gestión de ayudas y subvenciones.

4. El artículo 10 de la Ley 26/2010, de 3 de agosto, de régimen jurídico y del procedimiento de las administraciones públicas de Cataluña, y el artículo 11.1 de la Ley 40/2015, de 1 de octubre, de régimen jurídico del sector público, establecen que la realización de actividades de carácter material, técnico o de servicios de la competencia de los órganos administrativos, los organismos o las entidades públicas puede ser encargada a otros órganos, organismos o entidades públicas de la misma administración o de otra distinta, por razones de eficacia.

De acuerdo con lo que disponen el artículo 10.3 de la Ley 26/2010, de 3 de agosto, y el artículo 11.3.a) de la Ley 40/2015, de 1 de octubre, antes mencionadas, el encargo de gestión entre órganos administrativos o entidades de derecho público pertenecientes a la propia Administración, debe formalizarse en los términos que establezca su normativa, la cual, en este caso, en aplicación del principio de especialidad normativa, es la normativa vigente en materia de subvenciones; concretamente, el artículo 16 de la Ley 38/2003, de 17 de noviembre, general de subvenciones.

Haciendo, pues, una interpretación integradora del régimen de los convenios de colaboración y de los encargos de gestión, y a la vista de lo que dispone el artículo 16 de la Ley 38/2003, de 17 de noviembre, general de subvenciones, se formaliza el presente convenio de colaboración para encargar al AGAUR la evaluación técnica correspondiente a la primera fase del proceso de evaluación de las propuestas de la Modalidad 4 de la convocatoria de becas y de ayudas del IEA a proyectos de investigación en el ámbito de la organización territorial del poder para el año 2024.

Por todo ello, las partes se reconocen mutuamente competencia y capacidad legal suficiente para formalizar este convenio de colaboración con sujeción a las siguientes

CLÁUSULAS

Primera. Objeto

1.1 El objeto de este convenio de colaboración es encargar al AGAUR la evaluación técnica correspondiente a la primera fase del proceso de evaluación de las propuestas de la Modalidad 4 de la convocatoria de becas y ayudas del IEA a proyectos de investigación en el ámbito de la organización territorial del poder para el año 2024.

1.2 Las actuaciones a realizar por el Departamento de la Presidencia y por el AGAUR se regirán por el calendario de actuaciones que acuerden las partes.

Segunda. Contenido del convenio

2.1 El AGAUR asume la realización de las siguientes tareas con relación a las bases reguladoras y las convocatorias previstas en la cláusula 1.1:

— La evaluación técnica de las propuestas de la Modalidad 4 de la convocatoria, proyectos de investigación a realizar por equipos de investigadores, de acuerdo con el Reglamento de evaluación del AGAUR y de acuerdo con lo que disponen las bases reguladoras y la convocatoria correspondiente.

— El envío de la evaluación técnica de las solicitudes de la Modalidad 4 a la comisión de valoración y selección, así como de toda la documentación que ésta necesite para realizar la valoración.

— La respuesta a las demandas de información del Departamento de la Presidencia en relación al desarrollo de la evaluación, mediante los mecanismos de coordinación que se establezcan.

— La recogida, procesamiento y tratamiento de los datos generales derivados de la gestión de la evaluación.

2.2 El AGAUR queda sujeta a las actuaciones de comprobación que pueda efectuar el Departamento de la Presidencia y a las de control que realice la Intervención General de la Generalitat de Catalunya y otros órganos competentes, facilitando toda la información que le sea requerida al efecto.

2.3 El AGAUR debe conservar la documentación justificativa del cumplimiento de las obligaciones establecidas en el presente convenio durante el plazo de prescripción del derecho de la Administración a reconocer o liquidar el reintegro previsto en el artículo 100.4 del texto refundido de la Ley de finanzas públicas de Cataluña.

2.4 Corresponde al Departamento de la Presidencia

— Publicar y gestionar la línea de ayudas correspondiente, lo que comporta, entre otros, adoptar todos los actos o dictar todas las resoluciones de carácter jurídico que correspondan.

— Facilitar al AGAUR cualquier información que considere necesaria para la correcta gestión y evaluación de las subvenciones.

— Hacer efectivo al AGAUR el importe correspondiente a los conceptos previstos en la cláusula tercera de este convenio de colaboración.

Tercera. Obligaciones económicas

3.1 El Departamento de la Presidencia debe transferir al AGAUR en concepto de gastos derivados de este encargo el importe de trescientos setenta y cinco euros (375 €), por cada expediente evaluado de la Modalidad 4 de la convocatoria, proyectos de investigación a realizar por equipos de investigadores, que se financiará con cargo a la posición presupuestaria PR0135 D/440680000/1140/0000 del presupuesto para el año 2024.

Importe gastos de evaluación: 375 € por cada expediente evaluado

3.2 Estos importes deben hacerse efectivos mediante transferencia al número de cuenta que indique el AGAUR.

3.3 La tramitación del pago de este importe se hará efectivo un mes después de la publicación de la convocatoria, cuando se tenga conocimiento del número de solicitudes admitidas.

Cuarta. Vigencia

Este convenio de colaboración estará vigente desde la fecha de firma hasta que las partes cumplan las obligaciones previstas en el mismo y, en todo caso, hasta el 31 de diciembre de 2024.

El convenio de colaboración puede ser prorrogado por mutuo acuerdo de las partes con la firma de una adenda a este encargo antes de la finalización de su vigencia.

Quinta. Confidencialidad y protección de datos de carácter personal

El AGAUR se obliga al cumplimiento de lo que establecen el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en cuanto al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante, RGPD), y la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, en relación con los datos personales a los que tenga acceso durante la vigencia de este convenio/encargo de gestión.

El AGAUR tendrá la consideración de encargado del tratamiento del Departamento de la Presidencia. A tal efecto, de acuerdo con el artículo 28.3 del RGPD, se adjunta en anexo el acuerdo de encargo de tratamiento que formalizan ambas partes.

Sexta. Seguimiento

6.1 Con el fin de lograr una adecuada coordinación técnica, se podrá constituir una comisión de seguimiento, integrada por la persona responsable de gestión económica y administrativa del IEA y la persona responsable designada por el AGAUR.

6.2 La comisión de seguimiento se reunirá con la periodicidad que establezca y también a petición de cualquiera de las partes.

6.3 La comisión de seguimiento debe determinar sus normas de funcionamiento y, en su defecto, se regirá por lo que establece la normativa vigente en materia de órganos colegiados.

6.4 La comisión tiene las siguientes funciones:

— Velar por el correcto desarrollo del convenio y realizar su seguimiento.

— Resolver las controversias que se puedan plantear sobre la interpretación, modificación, efectos y resolución de este convenio.

— Proponer las modificaciones que estime oportunas.

Séptima. Resolución anticipada

Son causas de resolución anticipada de este convenio las siguientes:

— El mutuo acuerdo de las partes, manifestado por escrito.

— La imposibilidad sobrevenida legal o material de cumplir el objeto del convenio.

— El incumplimiento de cualquiera de las obligaciones establecidas por una de las partes firmantes del convenio de colaboración.

— La denuncia de una de las partes, realizada con un mínimo de tres meses de antelación.

— La no publicación de la convocatoria objeto de este convenio.

— Las causas generales establecidas en la legislación vigente.

En estos casos se establecerá, en función de la causa concreta de extinción y a la vista de la situación particular de las actuaciones en curso, la forma de terminación de estas actuaciones.

Octava. Naturaleza del convenio de colaboración

Este convenio de colaboración tiene naturaleza administrativa y queda excluida la aplicación de la Ley 9/2017, de 8 de noviembre, de contratos del sector público.

Novena. Jurisdicción competente

Las posibles discrepancias en la interpretación y dudas derivadas sobre el cumplimiento de lo pactado serán resueltas de mutuo acuerdo bajo los criterios de buena fe y de colaboración en el marco de la Comisión de Seguimiento prevista en la cláusula sexta.

En las cuestiones litigiosas que puedan surgir en la aplicación de este convenio de colaboración, ambas partes se someten a la jurisdicción contencioso-administrativa.

Décima. Publicidad

En cumplimiento de lo que prevé el artículo 10.3 de la Ley 26/2010, de 3 de agosto, de régimen jurídico y de procedimiento de las administraciones públicas de Cataluña, el Departamento de la Presidencia publicará íntegramente este convenio de colaboración en el Diari Oficial de la Generalitat de Catalunya, otorgando así eficacia al encargo.

Y en prueba de conformidad, las partes firman electrónicamente este documento a un solo efecto, en Barcelona.

En nombre del Departamento de la Presidencia

Por delegación,

(Resolución PRE/3588/2022, de 7.11.2022, DOGC 8797, de 28.11.2022)

Secretaria general

En nombre de la Agencia de Gestión de Ayudas Universitarias y de Investigación (AGAUR)

Director ejecutivo

Anexo

ACUERDO DE ENCARGO DE TRATAMIENTO ENTRE EL DEPARTAMENTO DE LA PRESIDENCIA Y LA AGENCIA DE GESTIÓN DE AYUDAS UNIVERSITARIAS Y DE INVESTIGACIÓN (AGAUR)

REUNIDAS

Ambas partes, en nombre y representación de las respectivas instituciones y en uso de las atribuciones propias de sus cargos y reconociéndose mutuamente la capacidad necesaria para contratar y obligarse,

MANIFIESTAN

I. CLÁUSULAS

Primera. Objeto del encargo del tratamiento

Mediante este acuerdo se habilita al AGAUR como encargada del tratamiento (en adelante, el encargado), para tratar por cuenta del Instituto de Estudios del Autogobierno del Departamento de la Presidencia, responsable del tratamiento (en adelante el responsable), los datos de carácter personal de las personas físicas que constan en las propuestas presentadas, necesarios para la evaluación técnica de la primera fase de las propuestas de la Modalidad 4 de la convocatoria de becas y de ayudas del IEA a proyectos de investigación en el ámbito de la organización territorial del poder para el año 2024.

Las operaciones de tratamiento autorizadas serán las estrictamente necesarias para alcanzar la finalidad del encargo y que son las que constan en la cláusula 2.1 y se concretan en:

— La evaluación técnica de las propuestas de la Modalidad 4 de la convocatoria, proyectos de investigación a realizar por equipos de investigadores, de acuerdo con el Reglamento de evaluación del AGAUR y de acuerdo con lo que disponen las bases reguladoras y la convocatoria correspondiente.

— El envío de la evaluación técnica de las solicitudes de la Modalidad 4 a la comisión de valoración y selección, así como de toda la documentación que ésta necesite para realizar la valoración.

— La respuesta a las demandas de información del Departamento de la Presidencia en relación al desarrollo de la evaluación, mediante los mecanismos de coordinación que se establezcan.

— La recogida, procesamiento y tratamiento de los datos generales derivados de la gestión de la evaluación, de acuerdo con lo que establezcan las bases reguladoras y la propia convocatoria.

Segunda. Identificación de la información afectada

Para ejecutar las prestaciones derivadas del cumplimiento del objeto de este encargo, el responsable, pone a disposición del encargado la siguiente información relativa a las personas que constan en las propuestas presentadas en la Modalidad 4 de la convocatoria de becas y de ayudas del IEA a proyectos de investigación en el ámbito de la organización territorial del poder para el año 2024:

· nombre y apellidos

· sexo

· fecha de nacimiento

· tipo y número de documento de identidad (NIF o CIF)

· fecha de caducidad del documento de identidad

· número de teléfono y número de teléfono móvil

· dirección electrónica

· cargo, situación profesional y/o categoría profesional

· puesto y centro de trabajo

· titulación académica

· experiencia profesional y académica

· firma

Esta información forma parte de la actividad de tratamiento Becas y premios del Instituto de Estudios del Autogobierno.

Tercera. Duración

La duración de este contrato de protección de datos estará vinculada a la vigencia y al tiempo que establezca el convenio correspondiente.

Una vez finalizado este contrato, el encargado del tratamiento debe devolver al responsable los datos personales y suprimir cualquier copia que se encuentre en su poder.

Cuarta. Obligaciones del encargado del tratamiento

El encargado del tratamiento y todo su personal se obligan a:

a) Utilizar los datos personales objeto de tratamiento, o los que recoja para su inclusión, sólo para la finalidad de este encargo. En ningún caso podrá utilizar los datos para fines propios.

b) Tratar los datos de acuerdo con las instrucciones del responsable del tratamiento.

Si el encargado del tratamiento considera que alguna de las instrucciones infringe el RGPD o cualquier otra disposición en materia de protección de datos de la Unión o de los Estados miembros, debe informar inmediatamente al responsable.

c) Llevar, por escrito, un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del responsable, que contenga:

1. El nombre y los datos de contacto del encargado y del responsable por cuya cuenta actúa y del delegado de protección de datos.

2. Las categorías de tratamientos efectuados por cuenta del responsable.

3. En su caso, las transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de ese país u organización internacional, y en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo del RGPD, la documentación de garantías adecuadas.

4. Una descripción general de las medidas técnicas y organizativas de seguridad relativas a:

· La seudonimización y el cifrado de datos personales.

· La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.

· La capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico.

· El proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas que garantizan la seguridad del tratamiento.

d) No comunicar los datos a terceras personas, salvo que tenga la autorización expresa del responsable del tratamiento, en los supuestos legalmente admisibles.

El encargado puede comunicar los datos a otros encargados del tratamiento del propio responsable, de acuerdo con las instrucciones del responsable. En este caso, el responsable debe identificar, previamente y por escrito, la entidad a la que deben comunicarse los datos, los datos a comunicar y las medidas de seguridad a aplicar para proceder a la comunicación.

Si el encargado transfiriera datos personales a un tercer país o a una organización internacional, en virtud del derecho de la Unión o de los Estados miembros que le sea aplicable, informará al responsable de esta exigencia legal de forma previa, salvo que este derecho lo prohíba por razones importantes de interés público.

e) Se autoriza al encargado a subcontratar aquellas prestaciones que conllevan tratamientos considerados básicos para la prestación del servicio, como los evaluadores, cuya finalidad es valorar científicamente los proyectos según los diferentes ámbitos de conocimiento.

Para subcontratar a otras empresas, el encargado debe comunicar este hecho por escrito al responsable e identificar de forma clara e inequívoca a la empresa subcontratista y sus datos de contacto. La subcontratación puede llevarse a cabo si el responsable no manifiesta oposición en el plazo de 15 días.

El subcontratista, que también tiene la condición de encargado del tratamiento, está igualmente obligado a cumplir las obligaciones que este documento establece para el encargado del tratamiento y las instrucciones que dicte el responsable. Corresponde al encargado inicial regular la nueva relación, de forma que el nuevo encargado quede sujeto a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad...) y con los mismos requisitos formales, en lo que se refiere al tratamiento adecuado de los datos personales y en la garantía de los derechos de las personas afectadas. Si el subencargado lo incumple, el encargado inicial sigue siendo plenamente responsable ante el responsable en cuanto al cumplimiento de las obligaciones.

f) Mantener el deber de secreto respecto de los datos de carácter personal a los que haya tenido acceso en virtud de este encargo, incluso después de que finalice el objeto.

g) Garantizar que las personas autorizadas para tratar datos personales se comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes, de las que es necesario informarles convenientemente.

h) Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas a tratar datos personales.

i) Asistir al responsable del tratamiento en la respuesta al ejercicio de los siguientes derechos:

1. Acceso, rectificación, supresión y oposición

2. Limitación del tratamiento

3. Portabilidad de datos

4. A no ser objeto de decisiones individualizadas automatizadas (incluida la elaboración de perfiles)

Cuando las personas afectadas ejerzan los derechos de acceso, rectificación, supresión y oposición, a la limitación del tratamiento, a la portabilidad de datos y a no ser objeto de decisiones individualizadas automatizadas ante el encargado del tratamiento, éste debe comunicarlo por correo electrónico a la dirección iea.presidencia@gencat.cat. La comunicación debe realizarse de forma inmediata y en ningún caso más allá del día siguiente al día laborable en que se ha recibido la solicitud, junto, si procede, con otras informaciones que puedan ser relevantes para resolver la solicitud.

j) Corresponde al responsable facilitar el derecho de información en el momento de recoger los datos.

k) El encargado del tratamiento informará al responsable del tratamiento, sin dilación indebida y, en cualquier caso, antes del plazo máximo de 48 horas de las violaciones de la seguridad de los datos personales a cuyo cargo tenga conocimiento, junto con toda la información relevante para documentar y comunicar la incidencia, por correo electrónico a la dirección iea.presidencia@gencat.cat.

La notificación no será necesaria cuando sea improbable que esta violación de la seguridad constituya un riesgo para los derechos y libertades de las personas físicas.

Si se dispone, debe facilitarse, como mínimo, la siguiente información:

1. Descripción de la naturaleza de la violación de la seguridad de los datos personales, incluidas, cuando sea posible, las categorías y número aproximado de interesados afectados y las categorías y número aproximado de registros de datos personales afectados.

2. Nombre y datos de contacto del delegado de protección de datos o de otro punto de contacto en el que se pueda obtener más información.

3. Descripción de las posibles consecuencias de la violación de la seguridad de sus datos personales.

4. Descripción de las medidas adoptadas o propuestas para remediar la violación de la seguridad de los datos personales, incluidas, en su caso, las medidas adoptadas para mitigar los posibles efectos negativos.

Si no fuera posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información deberá facilitarse de forma gradual sin dilación indebida.

l) Apoyar al responsable del tratamiento a la hora de realizar las evaluaciones de impacto relativas a la protección de datos, cuando proceda.

m) Apoyar al responsable del tratamiento a la hora de realizar las consultas previas a la autoridad de control, cuando proceda.

n) Poner a disposición del responsable toda la información necesaria para demostrar que cumple sus obligaciones, así como para realizar las auditorías o inspecciones que efectúen el responsable u otro auditor autorizado por éste.

o) Implantar las medidas de seguridad incluidas en el anexo 1 de este acuerdo, de acuerdo con la evaluación de riesgos del responsable.

p) Designar a un delegado de protección de datos y comunicar su identidad y los datos de contacto al responsable. En este sentido, se hace constar que el delegado de protección de datos del AGAUR es Microlab Hard.

q) Devolver al responsable del tratamiento los datos de carácter personal y, en su caso, los soportes donde consten, una vez cumplida la prestación.

La devolución debe comportar la destrucción de las copias y el borrado total de los datos existentes en los equipos informáticos utilizados por el encargado.

No obstante, el encargado puede conservar una copia, con los datos debidamente bloqueados, mientras se puedan derivar responsabilidades de la ejecución de la prestación.

Quinta. Obligaciones del responsable del tratamiento

Corresponde al responsable del tratamiento:

a) Entregar al encargado los datos a que se refiere la cláusula 2 de este documento.

b) Realizar una evaluación del impacto en la protección de datos personales de las operaciones de tratamiento que debe efectuar el encargado si fuera preceptivo.

c) Realizar las consultas previas a la Autoridad de control en los casos previstos en el artículo 36.1 del RGPD.

d) Velar, antes y durante todo el tratamiento, para que el encargado cumpla la normativa en materia de protección de datos.

e) Supervisar el tratamiento, incluida la ejecución de inspecciones y auditorías.

f) Cumplir con el derecho de información de los afectados.

Sexta. Derechos del responsable del tratamiento

El responsable del tratamiento tiene derecho a:

a) Obtener del encargado toda la información que considere necesaria relativa a los datos y tratamientos que se describen en la cláusula segunda, a fin de que pueda cumplir con sus obligaciones como responsable.

b) Obtener la asistencia del encargado para atender a las peticiones e inspecciones de cualquier autoridad de control, cuando los tratamientos en cuestión sean los que lleva a cabo el encargado.

c) Ser compensado por el encargado por los daños y perjuicios que soporte como consecuencia del incumplimiento de las obligaciones del encargado o de sus subcontratados.

Séptima. Modificación del Acuerdo

Este acuerdo de encargo de tratamiento se podrá modificar de forma expresa de común acuerdo entre las partes, mediante la firma de la correspondiente adenda.

Octava. - Comunicaciones y notificaciones

Las comunicaciones dirigidas al responsable del tratamiento se enviarán a:

iea.presidencia@gencat.cat

Las comunicaciones dirigidas al encargado del tratamiento se enviarán a:

Avaluacio.agaur@gencat.cat

Novena. - Seguimiento y control

Las partes resolverán de común acuerdo cualquier controversia o discrepancia que pudiera surgir en la interpretación, ejecución y cumplimiento de este acuerdo.

Cualquier aspecto que sea relevante en el seguimiento se comunicará a la otra parte mediante los buzones electrónicos especificados en la cláusula octava de este acuerdo.

ANEXO

Medidas de ciberseguridad de nivel básico (Marco de Ciberseguridad para la protección de Datos - MCPD)

   - Normativa, procedimientos y estándares de protección de datos:

      - MO.NO.01: Normativa

      - MO.NO.02: Procedimientos

      - MO.NO.03: Procedimientos de autorización

   - Conocimiento de la normativa, procedimientos y estándares de protección de datos:

      - MO.CN.04: Deberes y obligaciones del personal

      - MO.CN.05: Formación y concienciación

   - Protección de datos en el diseño y por defecto:

      - MG.PD.06: Arquitectura de seguridad

      - MG.PD.07: Desarrollo seguro

      - MG.PD.08: Pruebas

   - Gestión de accesos de los usuarios:

      - MG.GA.09: Requisitos de acceso y segregación de funciones

      - MG.GA.10: Identificación y autenticación

      - MG.GA.11: Gestión de derechos de acceso de usuarios

      - MG.GA.12: Acceso local y remoto

   - Gestión de servicios externos:

      - MG.GS.13: Contratación y acuerdos de nivel de servicio

   - Protección de instalaciones e infraestructuras:

      - MP.II.16: Acondicionamiento de los locales

      - MP.II.17: Control de acceso físico

      - MP.II.18: Registro de entrada y salida de equipamientos y soportes

   - Monitorización de la actividad e incidencias:

      - P.MO.19: Controles de auditoría de los sistemas de la información

      - MP.MO.20: Registro y protección de la actividad de los usuarios

      - MP.MO.21: Gestión de incidentes y sistemas de notificación de incidentes

   - Protección de activos:

      - MP.PA.22: Inventario de activos

      - MP.PA.23: Archivos temporales

      - MP.PA.24: Protección de equipos

      - MP.PA.25: Mantenimiento de equipamiento

      - MP.PA.26: Protección de soportes de información

      - MP.PA.27: Devolución de activos

   - Protección de la información:

      - MP.PA.28: Protección del puesto de trabajo

      - MP.PI.29: Limitación del tratamiento de datos personales

      - MP.PI.30: Copias de seguridad

   - Protección de la información:

   - MP.PP.33: Control de acceso a la documentación

   - MP.PP.34: Custodia, almacenamiento y destrucción

   - MP.PP.35: Copia o reproducción de documentos

   - MP.PP.36: Traslado de documentación

   - MP.PP.37: Criterios de archivo

   - MP.PP.38: Gestión de incidentes y sistemas de notificación de incidencias

   - MP.PP.39: Procedimientos por tratamientos no automatizados