Orden CLT/489/2024, de 21 de mayo, por la que se convoca el procedimiento de concurrencia para la selecci髇 de una entidad colaboradora para la facilitaci髇 y gesti髇 de los medios de pago del programa de ayudas "Bono Cultural Joven"

ANEXO I

ANEXO
Disposiciones relativas al tratamiento de datos personales

a) Categorizaci髇 Esquema Nacional de Seguridad (ENS).

De conformidad con lo dispuesto en el art韈ulo 38 del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (ENS), el Ministerio de Cultura ha catalogado el servicio-sistema de la siguiente forma:

En virtud de la anterior categorizaci髇, son de aplicaci髇 las medidas de seguridad del anexo II del ENS.

b) Instrucciones iniciales de coordinaci髇 del responsable del tratamiento de los datos personales del bono cultural joven en relaci髇 con el art韈ulo 28 del Reglamento UE 2016/679, del parlamento europeo y del consejo, de 27 de abril de 2016, relativo a la protecci髇 de las personas f韘icas en lo que respecta al tratamiento de los datos personales y a la libre circulaci髇 de estos datos (RGPD) y los acuerdos previos convenidos con los encargados.

Descripci髇 general del tratamiento de datos personales a efectuar.

El tratamiento consistir� en la facilitaci髇 y gesti髇 de los medios de pagos de las ayudas del Bono Cultural Joven a las personas beneficiarias, incluyendo la gesti髇 de la plataforma y aplicaciones inform醫icas para la puesta en marcha y ejecuci髇 del Bono Cultural Joven; emisi髇, administraci髇 y gesti髇 de la prestaci髇 de las tarjetas prepago correspondientes a las convocatorias de ayudas del Bono Cultural Joven que se impulsen y desarrollen durante la vigencia del presente convenio, as� como su distribuci髇 a las personas Beneficiarias; call center para la atenci髇 a las personas Beneficiarias sobre la facilitaci髇 y gesti髇 de los medios de pago.

Igualmente, .............................. se encargar� de gestionar la autorizaci髇 de altas, modificaciones y bajas de los terminales de puntos de venta (TPV) y FUC de las entidades adheridas al programa, a los efectos de aceptar pagos de los medios de pago emitidos.

Colectivo y datos tratados.

1. Personas beneficiarias de las ayudas del Bono Cultural Joven.

Ciudadanos que cumplen 18 a駉s en el a駉 en que se publique cada convocatoria: Nombre y apellidos, documento de Identificaci髇 (DNI o NIE), fecha de nacimiento, sexo, nacionalidad, domicilio legal, n鷐ero de tel閒ono, correo electr髇ico, identificador de tarjeta (cardholderID), fecha de alta y fecha de baja de la tarjeta; estado de la tarjeta (abierta, activa, bloqueada, etc.); tipo de tarjeta (f韘ica o virtual), movimientos de la tarjeta.

Representantes legales de los anteriores: nombre y apellidos, NIF o documento legal equivalente, n鷐ero de tel閒ono y correo electr髇ico.

2. Entidades adheridas como personas f韘icas (aut髇omos) y representantes de personas jur韉icas.

Nombre y apellidos del interesado/a, del representante legal o raz髇 social de la persona jur韉ica que act鷄 como representante, cuando proceda, NIF de la entidad, documentaci髇 de identificaci髇 del representante, domicilio fiscal del interesado/a, domicilio a efectos de notificaciones, correo electr髇ico de entidad y representante, n鷐ero de tel閒ono, fecha de adhesi髇 y, en caso, renuncia al programa, ep韌rafe IAE de la actividad principal; otros ep韌rafes IAE de actividades secundarias; c骴igo CNAE de la actividad principal; otros c骴igos CNAE de actividades secundaria; datos de localizaci髇 de la sede de la entidad (c骴igos oficiales –predefinidos y cerrados– de municipio, provincia y comunidad aut髇oma); tipo de entidad (Internet, gran superficie; especializado…), identificador del comercio dentro de la entidad (identificador univoco asignado al comercio, MerchanID); denominaci髇 comercio; identificador del TPV (Terminal ID); categor韆 del TPV (productos en soporte f韘ico; contenido digital o en l韓ea; y artes en vivo, patrimonio cultural y artes audiovisuales); fecha de alta y fecha de baja del TPV, datos de ubicaci髇 del comercio (c骴igos oficiales –predefinidos y cerrados– de municipio, provincia y comunidad aut髇oma), cuant韆 de la transacci髇 comercial (de compra o devoluci髇, mAmount1); identificador de la operaci髇; c骴igo de producto, seg鷑 las categor韆s previstas en el art韈ulo 8 del Real Decreto 191/2023, de 21 de marzo:

• – Artes en vivo, patrimonio cultural y artes audiovisuales: patrimonio cultural (museos; monumentos; bibliotecas; otros); esc閚icos o musicales (teatro; danza; zarzuela; 髉era; circo; conciertos; otros); cine; espect醕ulos taurinos.
• – Productos en soporte f韘ico (libros; prensa o revistas; partituras; m鷖ica; v韉eos; videojuegos, otros).
• – Contenido digital o en l韓ea: suscripciones plataformas (libros; prensa; m鷖ica, audiovisual; videojuegos); Soportes digitales (libros, m鷖ica, v韉eos, videojuegos, otros).

En el caso de las personas beneficiarias de la ayuda del Bono Cultural Joven, se evitar�, en la medida de lo posible, el tratamiento de datos personales de categor韆 especial por parte del Responsable del Tratamiento. En el caso de que lo anterior no fuera posible, se aportar韆n nuevas instrucciones por parte del Responsable del Tratamiento con el fin de reforzar las garant韆s y mitigar cualquier riesgo para los derechos y libertades de las personas afectadas. La comunicaci髇 se realizar韆, cuando proceda, conforme a lo dispuesto en el art韈ulo 18.1.a) de la Ley 12/2009, de 30 de octubre, reguladora del derecho de asilo y de la protecci髇 subsidiaria o con la protecci髇 temporal definida en el Real Decreto 1325/2003, de 24 de octubre, por el que se aprueba el Reglamento sobre r間imen de protecci髇 temporal en caso de afluencia masiva de personas desplazadas.

El encargado tratar� los datos personales que sean estrictamente necesarios para cumplir con las obligaciones y actividades derivadas del encargo, en cumplimiento del principio de minimizaci髇 definido en el RGPD y el art韈ulo 15.4.b) del Real Decreto 191/2023, de 21 de marzo, siguiendo, en todo caso, las instrucciones ofrecidas por el Ministerio de Cultura y Deporte en calidad de Responsable del Tratamiento. En caso necesario, el Responsable del Tratamiento determinar� los datos concretos que pueden tratar el Encargado del Tratamiento en las comunicaciones necesarias entre ellas para la ejecuci髇 del Bono Cultural Joven.

Medidas adicionales.

Las medidas de seguridad implantadas para el tratamiento podr醤 ser objeto de modificaci髇, supresi髇 y/o novaci髇 en aras a dar cumplimiento a las exigencias que impone el Reglamento General de Protecci髇 de Datos (RGPD) y resto de normativa vigente. A estos efectos, el Ministerio de Cultura notificar� por escrito a ................... cualquier modificaci髇, supresi髇 y/o novaci髇 sobre las medidas de seguridad a implementar. Espec韋icamente deber醤 seguirse las establecidas en el art韈ulo 32.1 del RGPD, la disposici髇 adicional primera en su punto 2 de la LOPDGDD, las que figuran en los instrumentos de colaboraci髇 de las entidades colaboradoras en la gesti髇 del programa as� como las siguientes medidas de seguridad tanto t閏nicas como organizativas y de cumplimiento adicionales, sin perjuicio de la existencia de otras medidas de seguridad complementarias para asegurar el cumplimiento legal en materia de protecci髇 de datos personales o Esquema Nacional de Seguridad (ENS), en el nivel que se ha determinado y contemplado en el presente anexo:

• a) La conservaci髇 de los datos personales ser� un elemento de tratamiento de … y se har� en servidores locales con backups diarios siempre en servidores diferentes y aislados para garantizar la integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento. En el caso de no poder gestionarse en servidores locales, los servidores estar醤 ubicados en la UE o en el Espacio Econ髆ico Europeo (EEE). La finalidad primordial es evitar el da駉 por ransomware y cualquier otro tipo de ataque de ciberseguridad.
• b) No se realizar醤 transferencias internacionales de ning鷑 tipo. En caso de servicios de computaci髇 en la nube y subcontrataci髇 por parte del encargado, se exigir� que pongan en conocimiento del responsable transferencias internacionales de datos y, en caso afirmativo, con qu� garant韆s en cumplimiento del cap韙ulo V del RGPD.
• c) Llevar, por escrito, un registro de todas las categor韆s de actividades de tratamiento efectuadas por cuenta del responsable, que contenga: la informaci髇 recogida en el art韈ulo 30.2 del RGPD incluidas las transferencias de datos personales a un tercer pa韘 u organizaci髇 internacional (en su caso), junto con la identificaci髇 de dicho tercer pa韘 u organizaci髇 internacional y, en el caso de las transferencias indicadas en el art韈ulo 49 apartado 1, p醨rafo segundo del RGPD, la documentaci髇 de garant韆s adecuadas.
• d) Si fuera necesario por la propia evoluci髇 de las necesidades de actualizaci髇 de los sistemas de informaci髇 utilizados por el Encargado del Tratamiento para dar el servicio del Bono, se comunicar� cualquier cambio que se produzca, a lo largo del ciclo de vida de los datos, en los apartados anteriores y no se ejecutar� dicho cambio hasta el visto bueno del Responsable del Tratamiento.
• e) Si un encargado debe transferir datos personales a un tercer pa韘 o a una organizaci髇 internacional, en virtud del Derecho de la Uni髇 o de los Estados miembros que le sea aplicable, informar� al responsable de esa exigencia legal de manera previa, salvo que tal Derecho lo proh韇a por razones de inter閟 p鷅lico.
• f) Solo podr醤 tener acceso a los datos personales aquellas personas autorizadas y 鷑icamente para aquellos datos precisos para la ejecuci髇 del programa Bono Cultural Joven y para el fin espec韋ico que se requiera. Se deber� tener un control de las personas que tengan acceso en cada actuaci髇 del Encargado, y ser� evidenciable, debiendo contar con el correspondiente compromiso de confidencialidad.
• g) Llevar un listado de personas autorizadas en el apartado anterior para tratar los Datos Personales objeto del tratamiento y garantizar que las mismas se comprometen a respetar la confidencialidad, y a cumplir con las medidas de seguridad correspondientes, de las que les debe informar convenientemente. Igualmente mantener a disposici髇 del Responsable del Tratamiento dicha documentaci髇 acreditativa. Dicha documentaci髇 acreditativa no comportar� en ning鷑 caso una comunicaci髇 de datos personales de las personas autorizadas.
• h) No comunicar los datos a terceras personas, salvo que cuente con la autorizaci髇 expresa del Responsable del Tratamiento, en los supuestos legalmente admitidos.
• i) Llevar, por escrito, un registro de todos los incidentes de seguridad de la informaci髇 tanto que se deban aportar o no al CCN-CERT.
• j) Para la realizaci髇 del servicio, se requieren las siguientes comunicaciones internas de datos entre los Encargados del Tratamiento del Ministerio de Cultura:
  • – ..............................
  • – .............................., como entidad encargada de facilitar los medios de pago de las tarjetas prepago y de gesti髇 de altas, modificaciones y bajas de TPVs de las entidades adheridas, recibe de forma segura a trav閟 de la plataforma inform醫ica mediante APIs, los datos personales necesarios de las personas beneficiarias del Bono Cultural Joven y de las entidades adheridas al programa.
• k) En caso de duda en el acceso a los datos por personal autorizado o en el flujo de estos, se consultar� al responsable la manera de proceder y siempre de manera que se respete la confidencialidad y la seguridad de la informaci髇.
• l) El Encargado del Tratamiento siempre colaborar� tanto en el cumplimiento de las obligaciones del responsable como en su demostraci髇.
• m) En el 醡bito de actuaci髇 del encargado, se atender醤 las siguientes indicaciones:
  • – No se permitir� el uso para fines particulares de aquellos ordenadores y dispositivos destinados al tratamiento de los datos personales.
  • – Cuando el mismo ordenador o dispositivo se utilice para el tratamiento de datos personales y fines de uso personal, se recomienda disponer de varios perfiles o usuarios distintos para cada una de las finalidades. Deben mantenerse separados los usos profesional y personal del ordenador o dispositivo.
  • – Si, en el procedimiento de tratamiento o acceso a los datos a trav閟 de un equipo de los Encargados del Tratamiento, se realice mediante acceso remoto, se debe disponer de las medidas de seguridad adecuadas contando, al menos, de una VPN y doble factor de autenticaci髇, 2FA, o medidas de seguridad equivalentes y que cumplan con el nivel requerido del ENS para en el nivel que corresponda.
  • – Se recomienda disponer de perfiles con derechos de administraci髇 para la instalaci髇 y configuraci髇 del sistema y usuarios sin privilegios o derechos de administraci髇 para el acceso a los datos personales. Esta medida evitar� que, en caso de ataque de ciberseguridad, puedan obtenerse privilegios de acceso o modificar el sistema operativo.
  • – Se garantizar� la existencia de contrase馻s (o mecanismos equivalentes) para el acceso a los datos personales almacenados en sistemas electr髇icos. La contrase馻 tendr�, al menos, 16 caracteres, mezcla de n鷐eros y letras, y se renovar醤 peri骴icamente (al menos de forma trimestral).
  • – Cuando a los datos personales accedan distintas personas, para cada persona con acceso a los datos personales, se dispondr� de un usuario y contrase馻 espec韋icos (identificaci髇 inequ韛oca).
  • – Se garantizar� la confidencialidad de las contrase馻s, evitando que queden expuestas a terceros. En ning鷑 caso se compartir醤 las contrase馻s ni se dejar醤 anotadas en lugar com鷑 y el acceso de personas distintas del usuario.
  • – Actualizaci髇 de ordenadores y dispositivos. Los dispositivos y ordenadores utilizados para el almacenamiento y el tratamiento de los datos personales deber醤 mantenerse actualizados en la media posible.
  • – En los ordenadores y dispositivos donde se realice el tratamiento de los datos personales, se dispondr� de un sistema de antivirus que garantice en la medida posible el robo y destrucci髇 de la informaci髇 y datos personales. El sistema de antivirus deber� ser actualizado de forma peri骴ica.
  • – Para evitar accesos remotos indebidos a los datos personales, se velar� para garantizar la existencia de un cortafuegos activado en aquellos sistemas en los que se realice el almacenamiento y/o tratamiento de datos personales.
  • – Cuando se precise realizar la extracci髇 de datos personales fuera del recinto donde se realiza su tratamiento, ya sea por medios f韘icos o por medios electr髇icos, se deber� valorar la posibilidad de utilizar un m閠odo de cifrado para garantizar la confidencialidad de los datos personales en caso de acceso indebido a la informaci髇.
  • – En la parte del flujo de trabajo de cada Encargado del Tratamiento y como refuerzo al apartado a), peri骴icamente se realizar� una copia de seguridad en un segundo soporte distinto del que se utiliza para el trabajo diario. La copia se almacenar� en lugar seguro, distinto de aqu閘 en que est� ubicado el equipo con los ficheros originales, con el fin de permitir la recuperaci髇 de los datos personales en caso de p閞dida de la informaci髇. La copia de seguridad debe estar encriptada.
  • – Se deber� evitar el acceso de personas no autorizadas a los datos personales, a tal fin se evitar�: dejar los datos personales expuestos a terceros (pantallas electr髇icas desatendidas, documentos en papel en zonas de acceso p鷅lico, soportes con datos personales, etc.), esta consideraci髇 incluye las pantallas que se utilicen para la visualizaci髇 de im醙enes del sistema de videovigilancia, si lo hubiera. Cuando la persona se ausente del puesto de trabajo, proceder� al bloqueo de la pantalla o al cierre de la sesi髇.
  • – Los documentos en papel y soportes electr髇icos se almacenar醤 en lugar seguro (armarios o estancias de acceso restringido) durante las 24 horas del d韆, y ser醤 custodiados cuando, con motivo de su tramitaci髇, se encuentren fuera de los dispositivos o salas de archivo.
  • – No se desechar醤 documentos (papel) o soportes electr髇icos (cd, pen drives, discos duros, etc.) con datos personales sin garantizar su destrucci髇, de forma que la informaci髇 no sea recuperable.

Elementos del tratamiento.

El tratamiento de los datos personales comprender�: registro (grabaci髇), estructuraci髇, modificaci髇, consulta, interconexi髇 (cruce), cotejo, supresi髇, destrucci髇 (de copias temporales), conservaci髇 (en sus sistemas de informaci髇), copia de seguridad y recuperaci髇.

Disposici髇 de los datos al finalizar la colaboraci髇.

• a) Una vez finalice la vigencia del convenio, el encargado (y sus subencargados impl韈itamente) deben: devolver al responsable del tratamiento los datos de car醕ter personal y, si procede, los soportes donde consten, una vez cumplida la prestaci髇. La devoluci髇 debe comportar el borrado total de los datos existentes en los equipos inform醫icos utilizados por el encargado. No obstante, el encargado puede conservar una copia, con los datos debidamente bloqueados, mientras puedan derivarse responsabilidades de la ejecuci髇 de la prestaci髇.

  No obstante, y previa notificaci髇 por escrito del Responsable del Tratamiento a la finalizaci髇 del encargo, el Responsable del Tratamiento podr� requerir al encargado para que, en vez de la opci髇 a), cumpla con la b) o c) siguientes:

• b) Devolver al encargado que designe por escrito el responsable del tratamiento, los datos de car醕ter personal y, si procede, los soportes donde consten, una vez cumplida prestaci髇. La devoluci髇 debe comportar el borrado total de los datos existentes en los equipos inform醫icos utilizados por el encargado. No obstante, el encargado puede conservar una copia, con los datos debidamente bloqueados, mientras puedan derivarse responsabilidades de la ejecuci髇 de la prestaci髇.
• c) Destruir los datos, una vez cumplida la prestaci髇. Una vez destruidos, el encargado debe certificar su destrucci髇 por escrito y previa petici髇, debe entregar el certificado al responsable del tratamiento. No obstante, el encargado puede conservar una copia, con los datos debidamente boqueados, mientras puedan derivarse responsabilidades de la ejecuci髇 de la prestaci髇.

Medidas de seguridad.

Los datos deben protegerse para evitar que dichos datos pierdan su razonable confidencialidad, integridad y disponibilidad y de acuerdo con la catalogaci髇 del riesgo seg鷑 el anexo I del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad y la evaluaci髇 de riesgos realizada. Se deben implantar, al menos, las siguientes salvaguardas:

• 1. Privacidad desde el dise駉 y por defecto.

  Tipo	Descripci髇	Salvaguardas
  Ocultaci髇 o pseudonimizaci髇 (RGPD).	Los datos a comunicar se deben ofuscar.	Si aparece informaci髇 del entorno de producci髇, se disociar醤 los datos identificativos.
  Borrado de informaci髇.	Se deben establecer criterios concretos para eliminar los datos.	Se deben definir criterios generales de borrado, conforme a los plazos legales de conservaci髇.
  Seguridad en los requisitos, an醠isis y dise駉 de aplicaciones inform醫icas.	El modelo de datos debe incluir el m韓imo n鷐ero de datos, la exposici髇 de los datos debe predefinirse teniendo en cuenta los requisitos de seguridad.	An醠isis de PbDD. Debe existir una lista de requisitos de seguridad. Un informe debe relacionar los requisitos de seguridad con las medidas de an醠isis implantadas, y detectar mejoras.
  Seguridad en la puesta en producci髇 de aplicaciones inform醫icas.	Se debe garantizar que las aplicaciones inform醫icas tienen controles de seguridad adecuados.	Evaluar que la aplicaci髇 tiene control de accesos. Controlar que las aplicaciones no sean vulnerables al top 10 de OWASP.
  Cancelaci髇 peri骴ica / Expurgo.	El modelo de datos debe incluir el m韓imo n鷐ero de datos, la exposici髇 de los datos debe predefinirse teniendo en cuenta los requisitos de seguridad.	Definir y aplicar criterios generales de conservaci髇 de la informaci髇. Definir procedimientos de expurgo de la informaci髇 aprobados, y conocidos, por la Organizaci髇. Auditar anualmente los procedimientos de cancelaci髇 peri骴ica y expurgo. Valorar la contrataci髇 de un proveedor certificado en procedimientos de destrucci髇 segura de informaci髇.
  Finalidades debidas y no excesivas.	Las finalidades deben ser debidas y no excesivas.	Definir finalidades espec韋icas.
  Pol韙icas de control de accesos.	Restringir el acceso a los datos bajo el principio de necesidad de conocimiento.	Implementar controles de acceso a la informaci髇.
  T閏nicas de ofuscaci髇 o disociaci髇.	Los datos deben ser ininteligibles mediante cifrado, u optar por eliminar la vinculaci髇 entre conjuntos de datos independientes.	Se debe eliminar la vinculaci髇 entre diferentes conjuntos de datos, manteni閚dolos independientes.
  T閏nicas de agregaci髇.	Agrupar la informaci髇 relativa a varios sujetos usando t閏nicas de generalizaci髇 y supresi髇.	Se debe agrupar la informaci髇 relativa a varios sujetos, no utilizando los datos del sujeto espec韋ico.
  Tratar s髄o las muestras de sujetos relevantes para la finalidad.	Elegir s髄o la muestra de sujetos relevante y los atributos necesarios para el tratamiento; u optar por excluir previamente los sujetos y atributos irrelevantes para el tratamiento realizado.	Revisar los datos necesarios para el tratamiento y almacenamiento.
  T閏nicas de eliminaci髇 de los datos.	Eliminar parcialmente los datos cuando dejen de ser necesarios o suprimirlos por completo cuando dejen de ser relevantes, asegur醤dose de que no sean recuperables.	Si aparece informaci髇 del entorno de producci髇, se deben disociar los datos identificativos.
  T閏nicas de sumarizaci髇 de los datos.	Generalizar los valores de los atributos utilizando intervalos o rangos de valores, en lugar de un valor concreto.	Se deben utilizar rangos de valores simples.
  T閏nicas de agrupaci髇 de los datos.	Agregar la informaci髇 de un grupo de registros en categor韆s, en lugar de utilizar informaci髇 detallada de cada sujeto.	Aplicar una agregaci髇 en el tiempo.
  T閏nicas de perturbaci髇 de los datos.	Perturbar: utilizar valores aproximados o modificar el dato real mediante el empleo de alg鷑 tipo de ruido aleatorio en lugar de trabajar con el valor exacto del dato.	Aplicar t閏nicas de ofuscaci髇 simples.
  Separaci髇 de los datos.	Recoger y almacenar los datos en distintas BBDD o apps independientes l骻ica y f韘icamente, adoptando medidas adicionales de desvinculaci髇 como el borrado programado de tablas de indexaci髇.	Compartimentar el acceso a los datos.
  Distribuir los datos.	Diseminar la recogida y tratamiento de los subconjuntos de datos correspondientes a diferentes tratamientos sobre unidades de tramitaci髇 y gesti髇 que sean f韘icamente independientes y utilicen sistemas y apps diferentes.	La recogida de los datos se debe realizar por departamentos diferentes de quienes van a realizar el tratamiento.
  Recogida del consentimiento del titular de los datos (apps m髒il).	Recoger el consentimiento de los titulares de forma inequ韛oca, mediante manifestaci髇 o clara acci髇 afirmativa. Debe ser revocable.	Buscar bases de legitimaci髇 alternativas al consentimiento.
  Alertar al interesado (apps m髒il).	Se debe informar al interesado del momento en que se est� realizando una recogida de datos, aun cuando ya haya sido informado de forma gen閞ica de la base legal que justifica el tratamiento, o haya prestado consentimiento.	El consentimiento debe ser informado.
  Elecci髇 por el interesado de la forma de tratamiento (apps m髒il).	Proporcionar la funcionalidad granulada de apps y servicios, sin supeditarla al consentimiento del tratamiento de datos innecesarios para su ejecuci髇.	El consentimiento debe ser espec韋ico.
  Mecanismos de actualizaci髇 de los datos (apps m髒il).	Implementar mecanismos que faciliten a los usuarios o incluso les permita revisar, actualizar y rectificar directamente los datos para los que se haya facilitado un tratamiento concreto.	La Organizaci髇 debe contar con procedimientos para gestionar las solicitudes de actualizaci髇 de informaci髇 en las tarjetas virtuales.
  Mecanismos de supresi髇 de los datos.	Proporcionar mecanismos para que los usuarios puedan suprimir o solicitar el borrado de los datos personales que hayan facilitado a un responsable.	Contar con Procedimientos de Gesti髇 de Derechos.
  Pol韙ica de Protecci髇 de Datos.	Especificar una pol韙ica de protecci髇 de datos que refleje las cl醬sulas de privacidad comunicadas a los interesados. Desarrollar procesos de formaci髇 y concienciaci髇.	Contar con Procedimientos sobre gesti髇 de obligaciones del RGPD.
  Medidas t閏nicas y organizativas que ejecuten la Pol韙ica.	Dar soporte a la pol韙ica definida mediante el establecimiento y revisi髇 de mecanismos y procedimientos de cumplimiento efectivo e implantaci髇 de medidas t閏nicas y organizativas necesarias.	Realizar an醠isis de riesgos en seguridad de la informaci髇.
  Garantizar el cumplimiento de la Pol韙ica de Privacidad.	Asegurar el cumplimiento, eficacia y eficiencia de la pol韙ica de privacidad y de los procedimientos, medidas y controles implantados.	Debe existir un Responsable de Seguridad, o rol similar, en cada entidad y un delegado de protecci髇 de datos.
  Auditor韆.	Revisar de forma sistem醫ica, independiente y documentada el grado de cumplimiento de la pol韙ica de protecci髇 de datos.	Realizar una autoevaluaci髇 peri骴icamente y una auditor韆 interna en caso de evaluaci髇 negativa. El responsable dispondr� de todas las facilidades en caso de proceder a una auditor韆 con tanto siempre con una persona de suficiente rango en al entidad que sirva de contacto y para el correcto desarrollo de la misma.
  Registro de decisiones y cambios.	Documentar todas y cada una de las decisiones tomadas en el tiempo, aun cuando hayan resultado contradictorias, identificando qui閚 las tom�, cu醤do y justificaci髇 para hacerlo.	Los documentos deben contener registros de cambios.
  Notificar eventos de seguridad.	Documentar los resultados de las auditor韆s realizadas y cualquier incidente que se produzca en operaciones de tratamiento de datos, y ponerlo a disposici髇 de la autoridad.	Informar al Responsable a la mayor brevedad posible de los incidentes de seguridad, antes de 24 horas desde su descubrimiento.
  Informar a los interesados (1).	Suministrar a los interesados la informaci髇 exigida por el RGPD de forma concisa, transparente, inteligible y de f醕il acceso, utilizando un lenguaje claro y sencillo.	Las cl醬sulas de informaci髇 deben ser actualizadas al RGPD.
  Informar a los interesados (2).	Informar sobre el tratamiento a los interesados, cuando los datos no se recaben directamente de ellos, en el momento en que sean obtenidos y a m醩 tardar en el plazo de un mes.	Informar a los interesados cuyos datos no se recabaron directamente de ellos.

• 2. Seguridad inform醫ica.

  Tipo	Descripci髇	Salvaguardas
  Protecci髇 de las instalaciones e infraestructuras (ENS).	RD 311/2022, anexo II. Las instalaciones e infraestructuras deben tener medidas de seguridad f韘ica.	Implementar controles de acceso f韘ico a edificios y sistemas contra incendios.
  Protecci髇 frente a c骴igo da駃no (ENS).	RD 311/2022, anexo II., op.exp. Deben existir sistemas antimalware.	Instalar software antimalware en equipos personales.
  Aislamiento de datos en entornos productivos (ENS).	Los datos fuera del entorno de producci髇 no deben ser reales, o bien estar convenientemente protegidos.	El entorno de producci髇 debe estar aislado del resto de entornos.
  Cifrado de informaci髇 almacenada (ENS).	RGPD. Debe guardarse cifrada la informaci髇 almacenada en bases de dato o ficheros inform醫icos.	Se deben cifrar los datos m醩 sensibles (domicilio, etc.).
  Caracterizaci髇 del puesto de trabajo (ENS).	RD 311/2022, anexo II. mp.per.1. El puesto de trabajo debe estar definido con requisitos de seguridad establecidos.	Se deben clasificar los puestos de trabajo en funci髇 del volumen y la sensibilidad de la informaci髇 a la que pueden acceder.
  Configuraci髇 de seguridad (ENS).	RD 311/2022, anexo II. (op.exp.2 ENS). Los sistemas inform醫icos en producci髇 deben estar configurados para soportar ataques o malas manipulaciones.	Se deben analizar las vulnerabilidades de los equipos en producci髇. Se deben deshabilitar los servicios no usados.
  Protecci髇 telecomunicaciones.	Los datos se deben transmitir cifrados.	Se deben cifrar las comunicaciones.
  Protecci髇 de ficheros temporales.	Los ficheros temporales se deben proteger igual que los datos maestros.	Se debe elaborar un inventario de ficheros temporales.
  Medidas de protecci髇 de la documentaci髇.	Medidas de protecci髇 de la documentaci髇.	La informaci髇 en papel se debe guardar en espacios con control de acceso.
  Identificaci髇 y autenticaci髇.	Se debe controlar que un usuario es quien dice ser (RD 311/2022, anexo II).	Se debe utilizar Usuario y Contrase馻 y doble factor de autenticaci髇 (2FA).

• 3. Sobre el concepto de proceso.

  Tipo	Descripci髇	Salvaguardas
  Gesti髇 y distribuci髇 de soportes (ENS) (1).	(mp.si.2 ENS, criptograf韆 para dispositivos removibles). Los soportes se deben proteger en su almacenamiento y distribuci髇.	Inventariar los soportes y enviar cifrados.
  Procedimiento de autorizaci髇 (ENS).	RD 311/2022, anexo II. Org.4. Control de que un usuario s髄o accede a los servicios que tenga autorizados.	Debe existir un procedimiento formal de autorizaci髇.
  Segregaci髇 de funciones y tareas (ENS).	RD 311/2022, anexo II: (op.acc.3 ENS), las funciones est醤 separadas.	Los trabajadores que acceden al entorno de producci髇 no deben ser los mismos que acceden al entorno de desarrollo.
  Notificaci髇 violaciones seguridad (ENS).	(ART.33 y 34 RGPD) Se deben gestionar, registrar y notificar las incidencias/violaciones de seguridad.	Se deben notificar las violaciones graves de seguridad a la autoridad de control, al CCN y a los titulares de los datos lo m醩 pronto posible y siempre antes de las 72 horas.
  Formaci髇.	Se debe impartir formaci髇.	Sin requisitos especiales.
  Asesoramiento experto.	Se debe contar con asesoramiento experto.	Se debe implantar una web con contenidos de preguntas frecuentes. El DPD del encargado debe hacer un asesoramiento personalizado.
  Cl醬sulas informativas.	Se debe contar con cl醬sulas informativas.	Deben existir cl醬sulas publicadas con el nombre del tratamiento, su responsable y el resto de informaci髇 que exige el RGPD.
  Legitimaci髇 de transferencias internacionales y cesiones de datos.	Se deben legitimar las transferencias internacionales y comunicaciones de datos.	Las transferencias internacionales se deben declarar en los datos de registro del tratamiento.
  Pruebas con datos reales.	Los datos fuera del entorno de producci髇 no deben ser reales o bien deben estar convenientemente protegidos.	Se debe disociar el nombre, apellidos y DNI antes de cargar datos de prueba a partir de datos de producci髇.
  Actualizaci髇 peri骴ica de la informaci髇.	Se debe garantizar la actualizaci髇 peri骴ica de la informaci髇.	Sin requisitos especiales.
  Autorizaci髇 de subcontrataciones.	Autorizaci髇 de subcontrataciones.	(Si hay subcontrataciones) El encargado de tratamiento debe solicitar por escrito al responsable del tratamiento la autorizaci髇 de las subcontrataciones.

• 4. Rendici髇 de cuentas (ayuda al responsable del tratamiento).

  Tipo	Descripci髇	Salvaguardas
  Auditorias de cumplimiento.	(RD 311/2022 y art韈ulo 96) Se deben realizar auditor韆s de seguridad.	Realizar una auditor韆 anual de cumplimiento RGPD. Puede hacerla cada encargado internamente sin perjuicio de que el Responsable encargue una a su vez.
  Trazabilidad / Registro de Accesos (ENS).	Registrar y analizar los accesos al sistema de informaci髇 y a las bases de datos.	Registrar los accesos a los datos de lectura y actualizaci髇.
  Revisi髇 de la privacidad desde el dise駉 y por defecto.	Comprobar peri骴icamente que las medidas de privacidad est醤 operativas.	Realizar una revisi髇 en la puesta en marcha del tratamiento.
  Cumplimiento deber de secreto.	Se debe cumplir el deber de secreto.	Cada trabajador que accede a los datos debe firmar un contrato de confidencialidad.
  Contratos de encargo y cumplimiento de las obligaciones por el prestador.	Los contratos de encargo deben cumplir con los requisitos legales, y debe garantizarse el cumplimiento de las obligaciones por el prestador.	Se debe solicitar un compromiso escrito (declaraci髇 responsable) a los encargados de tratamiento de que cumplen con las medidas de seguridad impuestas por el responsable del tratamiento.

La entidad colaboradora no podr� no implementar o suprimir estas salvaguardas mediante el empleo de un an醠isis de riesgo o evaluaci髇 de impacto propia salvo aprobaci髇 expresa de la Subsecretar韆 de Cultura.

A estos efectos, el personal del encargado del tratamiento debe seguir las medidas de seguridad establecidas, no pudiendo efectuar tratamientos distintos de los definidos por la Subsecretar韆 de Cultura.

ANEXO II
Selecci髇 de entidad colaboradora para la facilitaci髇 y gesti髇 de los medios de pago del programa de ayudas 獴ono Cultural Joven�