Responsable y encargado — Relación. 1. La relación entre el responsable y el encargado deberá estar formalizada mediante contrato o cualquier otro instrumento jurídico que decida el responsable, de conformidad con la normativa aplicable, y que permita acreditar su existencia, alcance y contenido. 2. El responsable podrá determinar las obligaciones que le correspondan y aquellas que llevará a cabo el encargado, de conformidad con esta Ley y demás normativa aplicable. 3. En el contrato o instrumento jurídico que decida el responsable se deberá prever, al menos, las siguientes cláusulas generales, relacionadas con los servicios que preste el encargado:
I. Realizar el tratamiento de los datos personales conforme a las instrucciones del responsable;
II. Abstenerse de tratar los datos personales para finalidades distintas a las instruidas por el responsable;
III. Implementar las medidas de seguridad conforme a los instrumentos jurídicos aplicables;
IV. Informar al responsable cuando ocurra una vulneración a los datos personales que trata por sus instrucciones;
V. Guardar confidencialidad respecto de los datos personales tratados;
VI. Suprimir o devolver los datos personales objeto de tratamiento, una vez cumplida la relación jurídica con el responsable, siempre y cuando no exista una previsión legal que exija la conservación de los datos personales;
VII. Abstenerse de transferir los datos personales salvo que el responsable así lo determine, o la comunicación derive de una subcontratación, o por mandato expreso de la autoridad competente;
VIII. Permitir al responsable o Instituto realizar inspecciones y verificaciones en el lugar o establecimiento donde se lleva a cabo el tratamiento de los datos personales; y IX. Generar, actualizar y conservar la documentación para acreditar el cumplimiento de sus obligaciones. 4. Los acuerdos entre el responsable y el encargado relacionados con el tratamiento de datos personales no deberán contravenir esta Ley y demás disposiciones aplicables, así como lo establecido en el aviso de privacidad correspondiente.