BOLETÍN OFICIAL DEL ESTADO
Núm. 49

Sábado 26 de febrero de 2022

Sec. III. Pág. 23149

• asistirá a la administración de la entidad, a través de medidas técnicas y
organizativas apropiadas y siempre que sea posible, para que pueda cumplir con su
obligación de responder a las solicitudes que tengan por objeto el ejercicio de los
derechos de los interesados establecidos en el capítulo III del RGPD;
• en caso de finalización del convenio, facilitará la devolución de los datos a la
administración de la entidad, de acuerdo con las especificaciones técnicas que
establezca la IGAE;
• pondrá a disposición de la administración de la entidad toda la información
necesaria para demostrar el cumplimiento de las obligaciones establecidas en el RGPD,
así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones,
por parte de la administración de la entidad o de otro auditor autorizado por aquélla.
– En el caso de que se produzcan incidentes de seguridad que afecten a
SOROLLA2 o CANOA o a los datos que tratan, las partes se comprometen a informarse
mutuamente con la máxima celeridad posible con objeto de identificar si el incidente es
susceptible de comunicación a la Autoridad de Control (la propia Agencia Española de
Protección de Datos) y a las personas concernidas sin sobrepasar el límite de setenta y
dos horas según establece el RGPD en su artículo 33. A su vez, ambas partes se
comprometen a colaborar para resolver el incidente y poner los medios para que no
se vuelvan a producir incidentes similares.
– La entidad presta a través de este convenio autorización general para que la IGAE
pueda recurrir a otro encargado del tratamiento para la ejecución de las finalidades
previstas en el presente Convenio y siempre que se le impongan las mismas
obligaciones que aquí se estipulan mediante contrato u otro acto jurídico vinculante.
La información relativa a los encargados del tratamiento estará disponible en la página
web de la IGAE (www.pap.hacienda.gob.es).
– Tanto SOROLLA2 como CANOA son sistemas de información de categoría BÁSICA,
a efectos del Esquema Nacional de Seguridad (ENS) debido a que la información que
trata es de nivel BÁSICO. Corresponde a la IGAE garantizar la aplicación de las medidas
de seguridad de nivel BÁSICO recogidas en el Anexo II del Real Decreto 3/2010, de 8 de
enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la
Administración Electrónica, así como las medidas correspondientes de las previstas
en dicho esquema al tratamiento de los datos personales de conformidad con en el
artículo 32 del RGPD.
– En el caso de que se vayan a producir paradas programadas en los sistemas
SOROLLA2 o CANOA que afecten a su utilización en horarios de uso habitual del
sistema, la IGAE informará a la administración de la entidad sobre su duración prevista,
con antelación sobre el momento de la parada.
– Las partes fijarán interlocutores relativos a la seguridad de la información, que
se encargarán de comunicar y coordinar el tratamiento de los posibles incidentes de
seguridad que se produzcan.
Financiación.

Cada parte realizará las actuaciones previstas en el presente Convenio con sus
propios medios. La entidad contribuirá con una cuota de mantenimiento anual a la
financiación de la sostenibilidad funcional y técnica del servicio de asistencia,
mantenimiento, evolución y alojamiento de los sistemas departamentales de la IGAE a
los que se adhiera, de los incluidos en la cláusula primera, mediante la suscripción del
presente Convenio.

cve: BOE-A-2022-3093
Verificable en https://www.boe.es

Tercera.