BOLETÍN OFICIAL DEL ESTADO
Sábado 4 de mayo de 2024

Sec. III. Pág. 50867

administrativas (SOROLLA2), las actuaciones indicadas en la cláusula segunda,
apartados 3, 4, 5, 6, 7 y 9 de las actuaciones y compromisos asumidos por la IGAE.
También proporcionará un entorno de pruebas a la CA Cantabria para IRIS y
SOROLLA2, previo a la entrada en producción de los sistemas, si bien, como en el caso
de SIC´3, sin conexión con el resto de sistemas.
2. La CA Cantabria se compromete a realizar en relación con los sistemas
RED.coa, CICEP.red, IRIS y SOROLLA2 las actualizaciones indicadas en la cláusula
segunda apartados 3, 4, 5, 6, 7, 8, 9 y 10 de las actuaciones y compromisos asumidos
por la Ca Cantabria.
3. La CA Cantabria se compromete a asumir los modelos de información de las
cuentas utilizados al respecto por los organismos y las entidades públicas empresariales
y fundacionales del sector público estatal.
Asimismo, se compromete a emplear los modelos normalizados proporcionados por
SOROLLA2 a efectos del gasto.
Actuaciones y compromisos asumidos por ambas partes relativos a la seguridad de
la información y la protección de datos de carácter personal.
En relación con la seguridad de la información y la protección de datos de carácter
personal, ambas partes asumen las siguientes actuaciones y compromisos:
1. En el tratamiento de los datos de carácter personal, la IGAE tendrá la
consideración de «Encargada del Tratamiento», correspondiendo a la Administración de
la CA Cantabria la consideración de «Responsable del Tratamiento», en aplicación del
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril
de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento
de datos personales y a la libre circulación de estos datos (RGPD).
En consecuencia, resulta de aplicación la normativa nacional y europea de obligado
cumplimiento en materia de protección de datos de carácter personal, tanto en lo que se
refiere al «Responsable tratamiento» como al «Encargado del Tratamiento».
2. Conforme a lo dispuesto en el artículo 28.3 del RGPD, la IGAE:
2.1 Tratará los datos personales, de carácter identificativo y financiero, según las
instrucciones de la Administración de la CA Cantabria fijadas en el presente convenio.
2.2 Garantizará que las personas autorizada a tratar los datos personales tienen
contraído compromiso de confidencialidad, guarden secreto profesional sobre los
mismos y no los comuniquen a terceros, salvo en aquellos casos en que deba hacerse
en estricto cumplimiento de la Ley.
2.3 Asistirá a la Administración de la CA Cantabria, a través de medidas técnicas y
organizativas apropiadas y siempre que sea posible, para que pueda cumplir con su
obligación de responder a las solicitudes que tengan por objeto el ejercicio de los
derechos de los interesados establecidos en el capítulo 111 del RGPD.
2.4 En caso de finalización del convenio, facilitará la devolución de los datos a la
Administración de la CA Cantabria, de acuerdo con las especificaciones técnicas que
establezca la IGAE;
2.5 Pondrá a disposición de la Administración de la CA Cantabria toda la
información necesaria para demostrar el cumplimiento de las obligaciones establecidas
en el RGPD, así como para permitir y contribuir a la realización de auditorías, incluidas
inspecciones, por parte de la CA Cantabria o de otro auditor autorizado por aquélla.
3. En el caso de que se produzcan incidentes de seguridad que afecten a los
sistemas objeto de este convenio, las partes se comprometen a informarse mutuamente
con la máxima celeridad posible con objeto de identificar si el incidente es susceptible de
comunicación a la Autoridad de Control (la Agencia Española de Protección de Datos) y
a las personas concernidas sin sobrepasar el límite de setenta y dos horas según
establece el RGPD en su artículo 33. A su vez, ambas partes se comprometen a

cve: BOE-A-2024-9016
Verificable en https://www.boe.es

Núm. 109