«Convenio entre el Museo Nacional Centro de Arte Reina Sofía y la Intervención General de la Administración del Estado para la adhesión a los sistemas departamentales de la IGAE.»

«5. En relación con la seguridad de la información y la protección de datos de carácter personal, ambas partes asumen las siguientes actuaciones y compromisos:

• –  Tanto SOROLLA2 como CANOA son sistemas de información de categoría BASICA, a efectos del Esquema Nacional de Seguridad (ENS) debido a que la información que trata es de nivel BASICO.
• –  Los datos de carácter personal del interesado que manejan los precitados sistemas de información son identificativos y bancarios por lo que se le aplicarán las medidas de seguridad de nivel BASICO del ENS.
• –  En aplicación del punto 3 del artículo 28 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), la IGAE tendrá la consideración de "Encargada del Tratamiento", correspondiendo a la administración de la entidad la consideración de "Responsable del tratamiento".
• –  En consecuencia, resultará de aplicación la normativa nacional en vigor y el RGPD de obligado cumplimiento en materia de protección de datos de carácter personal, tanto en lo que se refiere al "Responsable del tratamiento" como al "Encargado del tratamiento".
• –  A la IGAE como Encargada del tratamiento de los datos manejados por los sistemas SOROLLA2 y CANOA, le corresponde garantizar la aplicación de las medidas de seguridad de nivel BASICO recogidas en el Anexo II del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica, así como las exigidas por el RGPD y por la normativa nacional sobre protección de datos vigente.
• –  En el caso de que se produzcan incidentes de seguridad que afecten a SOROLLA2 o CANOA o los datos que tratan, las partes se comprometen a informarse mutuamente con la máxima celeridad posible con objeto de identificar si el incidente es susceptible de comunicación a la Autoridad de Control (Agencia Española de Protección de Datos) y a la persona concernida sin sobrepasar el límite de setenta y dos horas según establece el RGPD en su artículo 33. A su vez ambas partes se comprometen a colaborar para resolver el incidente y poner los medios para que no se vuelvan a producir incidentes similares.
• –  En el caso de que se vayan a producir paradas programadas en los sistemas SOROLLA2 o CANOA que afecten a su utilización en horarios de uso habitual del sistema, la IGAE informará a la administración de la entidad sobre su duración prevista, con antelación sobre el momento de la parada.
• –  En relación a los datos de carácter personal tratados con los sistemas SOROLLA2 o CANOA, la IGAE se compromete a tratar los mismos en los términos que se indican en el presente Convenio y a guardar secreto profesional sobre los mismos y no comunicarlos a terceros, salvo en aquellos casos en que deba hacerse en estricto cumplimiento de la ley.
• –  En caso de finalización del Convenio la IGAE facilitará la devolución de los datos a la administración de la entidad, de acuerdo con las especificaciones técnicas que establezca la IGAE.
• –  Las partes fijarán interlocutores relativos a la seguridad de la información, que se encargarán de comunicar y coordinar el tratamiento de los posibles incidentes de seguridad que se produzcan.»

Durante el periodo de prórroga del Convenio se seguirán los criterios establecidos en la cláusula tercera en relación con la cuota de mantenimiento anual a la financiación de la sostenibilidad funcional y técnica del servicio de asistencia, mantenimiento, evolución y alojamientos de los sistemas departamentales de la IGAE, con las especialidades siguientes:

La cuota de mantenimiento anual por cada uno de los sistemas y anualidades de vigencia del Convenio para la entidad durante el periodo de prórroga será:

Previa acreditación del desarrollo de las actuaciones realizadas en el periodo de prórroga del Convenio, la entidad ingresará la cuota anual de mantenimiento en una sola vez en el primer trimestre del año siguiente al correspondiente a dicha cuota anual. No obstante, la cuota correspondiente al primer trimestre de 2022 se acreditará e ingresará de forma acumulada con la cuota anual de mantenimiento correspondiente al año 2021. Cada ingreso lo realizará la entidad en el Tesoro Público, indicando como referencia el número de justificante del documento de ingreso modelo 069 expedido previamente por la IGAE.»

«De conformidad con el artículo 49 h 2.ª de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, el Convenio se podrá prorrogar expresamente, antes de su expiración, por un periodo de hasta cuatro años adicionales, debiéndose efectuar por la IGAE, en su caso, la actualización de las tablas del anexo III y el estudio para la entidad de análisis y dimensionamiento del sistema o los sistemas del anexo II a los que se adhiere la entidad, en colaboración con la propia entidad, a efectos de revisar y determinar la cuota anual de mantenimiento aplicable en los años de vigencia de la prórroga del Convenio.»

Las partes firmantes de este Convenio no consideran necesario crear una comisión de coordinación específica que se encargue del seguimiento del desarrollo del Convenio, si bien los equipos técnicos y responsables de cada una de ellas estarán en estrecho contacto, comunicándose o reuniéndose siempre que lo consideren conveniente para la buena coordinación de las acciones y el óptimo desarrollo de las mismas, así como para resolver los problemas de interpretación que pudieran surgir en la aplicación del Convenio.»

«El presente Convenio se extinguirá por el cumplimiento de las actuaciones que constituyen su objeto o por incurrir en causa de resolución.

Las causas de resolución son las reguladas en el artículo 51.2 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público.

La extinción del Convenio conllevará la baja de la entidad como usuario de la aplicación y la obligación de la entidad de devolución del material o software cedido por la IGAE».