BOLETÍN OFICIAL DEL ESTADO
Núm. 49

Sábado 26 de febrero de 2022

Sec. III. Pág. 23205

• asistirá a la administración de la entidad, a través de medidas técnicas y
organizativas apropiadas y siempre que sea posible, para que pueda cumplir con su
obligación de responder a las solicitudes que tengan por objeto el ejercicio de los
derechos de los interesados establecidos en el capítulo III del RGPD;
• en caso de finalización del convenio, facilitará la devolución de los datos a la
administración de la entidad, de acuerdo con las especificaciones técnicas que
establezca la IGAE;
• pondrá a disposición de la administración de la entidad toda la información
necesaria para demostrar el cumplimiento de las obligaciones establecidas en el RGPD,
así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones,
por parte de la administración de la entidad o de otro auditor autorizado por aquélla.
– En el caso de que se produzcan incidentes de seguridad que afecten a
SOROLLA2 o CANOA o a los datos que tratan, las partes se comprometen a informarse
mutuamente con la máxima celeridad posible con objeto de identificar si el incidente es
susceptible de comunicación a la Autoridad de Control (la propia Agencia Española de
Protección de Datos) y a las personas concernidas sin sobrepasar el límite de setenta y
dos horas según establece el RGPD en su artículo 33. A su vez, ambas partes se
comprometen a colaborar para resolver el incidente y poner los medios para que no se
vuelvan a producir incidentes similares.
– La entidad presta a través de este convenio autorización general para que la IGAE
pueda recurrir a otro encargado del tratamiento para la ejecución de las finalidades
previstas en el presente Convenio y siempre que se le impongan las mismas
obligaciones que aquí se estipulan mediante contrato u otro acto jurídico vinculante. La
información relativa a los encargados del tratamiento estará disponible en la página web
de la IGAE (www.pap.hacienda.gob.es).
– Tanto SOROLLA2 como CANOA son sistemas de información de categoría
BÁSICA, a efectos del Esquema Nacional de Seguridad (ENS) debido a que la
información que trata es de nivel BÁSICO. Corresponde a la IGAE garantizar la
aplicación de las medidas de seguridad de nivel BÁSICO recogidas en el Anexo II del
Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de
Seguridad en el ámbito de la Administración Electrónica, así como las medidas
correspondientes de las previstas en dicho esquema al tratamiento de los datos
personales de conformidad con en el artículo 32 del RGPD.
– En el caso de que se vayan a producir paradas programadas en los sistemas
SOROLLA2 o CANOA que afecten a su utilización en horarios de uso habitual del
sistema, la IGAE informará a la administración de la entidad sobre su duración prevista,
con antelación sobre el momento de la parada.
– Las partes fijarán interlocutores relativos a la seguridad de la información, que se
encargarán de comunicar y coordinar el tratamiento de los posibles incidentes de
seguridad que se produzcan.
Financiación.

Cada parte realizará las actuaciones previstas en el presente Convenio con sus
propios medios. La entidad contribuirá con una cuota de mantenimiento anual a la
financiación de la sostenibilidad funcional y técnica del servicio de asistencia,
mantenimiento, evolución y alojamiento de los sistemas departamentales de la IGAE a
los que se adhiera, de los incluidos en la cláusula primera, mediante la suscripción del
presente Convenio.

cve: BOE-A-2022-3098
Verificable en https://www.boe.es

Tercera.