BOLETÍN OFICIAL DEL ESTADO
Núm. 138

Jueves 10 de junio de 2021

Sec. III. Pág. 71169

– Conforme a lo dispuesto en el artículo 28.3 del RGPD, la IGAE:

– En el caso de que se produzcan incidentes de seguridad que afecten a
SOROLLA2 o CANOA o a los datos que tratan, las partes se comprometen a
informarse mutuamente con la máxima celeridad posible con objeto de identificar si el
incidente es susceptible de comunicación a la Autoridad de Control (la propia Agencia
Española de Protección de Datos) y a las personas concernidas sin sobrepasar el
límite de setenta y dos horas según establece el RGPD en su artículo 33. A su vez,
ambas partes se comprometen a colaborar para resolver el incidente y poner los
medios para que no se vuelvan a producir incidentes similares.
– La entidad presta a través de este Convenio autorización general para que la
IGAE pueda recurrir a otro encargado del tratamiento para la ejecución de las
finalidades previstas en el presente Convenio y siempre que se le impongan las
mismas obligaciones que aquí se estipulan mediante contrato u otro acto jurídico
vinculante. La información relativa a los encargados del tratamiento estará disponible
en la página web de la IGAE (www.pap.hacienda.gob.es).
– Tanto SOROLLA2 como CANOA son sistemas de información de categoría
BÁSICA, a efectos del Esquema Nacional de Seguridad (ENS) debido a que la
información que trata es de nivel BÁSICO. Corresponde a la IGAE garantizar la
aplicación de las medidas de seguridad de nivel BÁSICO recogidas en el anexo II del
Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de
Seguridad en el ámbito de la Administración Electrónica, así como las medidas
correspondientes de las previstas en dicho esquema al tratamiento de los datos
personales de conformidad con en el artículo 32 del RGPD.
– En el caso de que se vayan a producir paradas programadas en los sistemas
SOROLLA2 o CANOA que afecten a su utilización en horarios de uso habitual del
sistema, la IGAE informará a la administración de la entidad sobre su duración
prevista, con antelación sobre el momento de la parada.
– Las partes fijarán interlocutores relativos a la seguridad de la información, que
se encargarán de comunicar y coordinar el tratamiento de los posibles incidentes de
seguridad que se produzcan.
Tercera.

Financiación.

Cada parte realizará las actuaciones previstas en el presente Convenio con sus
propios medios. La entidad contribuirá con una cuota de mantenimiento anual a la

cve: BOE-A-2021-9700
Verificable en https://www.boe.es

• Tratará los datos personales, de carácter identificativo, financiero, y
profesionales de empleados públicos, según las instrucciones de la administración de
la entidad fijadas en el presente Convenio;
• Garantiza que las personas autorizadas a tratar los datos personales tienen
contraído compromiso de confidencialidad, guarden secreto profesional sobre los
mismos y no los comuniquen a terceros, salvo en aquellos casos en que deba hacerse
en estricto cumplimiento de la ley;
• Asistirá a la administración de la entidad, a través de medidas técnicas y
organizativas apropiadas y siempre que sea posible, para que pueda cumplir con su
obligación de responder a las solicitudes que tengan por objeto el ejercicio de los
derechos de los interesados establecidos en el capítulo III del RGPD;
• En caso de finalización del Convenio, facilitará la devolución de los datos a la
administración de la entidad, de acuerdo con las especificaciones técnicas que
establezca la IGAE;
• Pondrá a disposición de la administración de la entidad toda la información
necesaria para demostrar el cumplimiento de las obligaciones establecidas en el
RGPD, así como para permitir y contribuir a la realización de auditorías, incluidas
inspecciones, por parte de la administración de la entidad o de otro auditor autorizado
por aquélla.