Condiciones Generales de Contratación

Condición Primera. Objeto e Inexistencia de Garantía Absoluta (Obligación de Medios)

Los servicios contratados bajo cualquiera de los planes de CIBERIA28.AI constituyen una obligación de medios y nunca de resultado. Conforme a la jurisprudencia consolidada del Tribunal Supremo (Sentencias de 15/02/2022 y 24/02/2022), ELANTIA CANARIAS S.L.U. garantiza la prestación de un trabajo profesional y diligente según el estado de la técnica en cada momento, pero no la invulnerabilidad absoluta de los sistemas del CLIENTE frente a cualquier tipo de amenaza cibernética.

El CLIENTE reconoce y acepta expresamente que:

• Ningún sistema de ciberseguridad puede garantizar protección del 100% frente a todas las amenazas conocidas y desconocidas.
• Las amenazas de día cero (zero-day), los ataques de ingeniería social avanzada y los actores de amenaza persistente avanzada (APT) pueden evadir incluso los sistemas de protección más modernos.
• La efectividad del servicio depende de la colaboración continua y activa entre el CLIENTE y ELANTIA CANARIAS S.L.U.
• El incumplimiento de las obligaciones de cooperación del CLIENTE exonera a EL PROVEEDOR de responsabilidad por los daños resultantes.

EL PROVEEDOR no asumirá responsabilidad por:

• Malware o ransomware preexistente a la fecha de inicio del servicio.
• Ataques que aprovechen vulnerabilidades de software de terceros no gestionados por EL PROVEEDOR.
• Incidentes derivados de configuraciones realizadas directamente por el CLIENTE o por terceros sin autorización.
• Pérdidas causadas por ataques de ingeniería social (phishing, vishing, BEC) dirigidos al personal del CLIENTE.
• Fallos de infraestructuras de proveedores terceros (infraestructura cloud, operadoras, fabricantes de seguridad, entre otros). EL PROVEEDOR no es responsable por los fallos técnicos, interrupciones, vulnerabilidades o cambios de condiciones de dichos proveedores, limitándose a gestionar las incidencias con ellos en nombre del CLIENTE.

Condición Primera-bis. Niveles de Protección de Endpoints (EPP vs EDR)

EL PROVEEDOR ofrece dos modalidades de protección para dispositivos (endpoints), cuya elección quedará reflejada en la Carátula de Condiciones Particulares:

El CLIENTE reconoce que la modalidad EPP ofrece una excelente protección preventiva, pero carece de la visibilidad profunda y las herramientas de respuesta forense que proporciona la modalidad EDR para la gestión post-incidente.

Condición Segunda. Integridad del Inventario y Shadow IT

EL PROVEEDOR únicamente es responsable de la gestión y protección de los activos tecnológicos declarados en el Inventario Inicial de Activos de la Carátula de Condiciones Particulares firmada, y de las actualizaciones posteriores debidamente comunicadas y aceptadas por escrito.

El CLIENTE tiene la obligación de:

• Declarar la totalidad de sus activos tecnológicos en el inventario inicial.
• Notificar a EL PROVEEDOR, en un plazo máximo de 5 días hábiles, cualquier incorporación de nuevos dispositivos, cuentas cloud o sistemas.
• Mantener actualizado el inventario ante cualquier baja, sustitución o modificación de activos.

El servicio se fundamenta en que no puede existir ningún dispositivo corporativo sin el agente de seguridad endpoint correctamente instalado y activo. Un único dispositivo sin protección representa un vector de entrada que invalida la protección del conjunto de la red.

Condición Segunda-bis. Perímetro de CiberRecovery

El servicio CiberRecovery protege exclusivamente el perímetro contratado en la Carátula de Condiciones Particulares, expresado en unidades de protección: número de servidores, número de usuarios de Microsoft 365 o Google Workspace (buzón, OneDrive/Drive y los sitios compartidos de SharePoint y Teams de la organización) y volumen de datos de origen incluido, medido en GB, junto con el periodo de retención del plan. Los elementos concretos protegidos en cada momento constan en el Inventario de CiberRecovery del Portal del Cliente, generado a partir de la plataforma de copias, que constituye el inventario vigente a efectos contractuales.

El CLIENTE reconoce que:

• No se garantiza copia de datos o sistemas que no figuren en el Inventario del Portal, aunque dispongan del agente de seguridad endpoint. La pérdida de datos de elementos fuera del perímetro es responsabilidad exclusiva del CLIENTE.
• Las altas, bajas y sustituciones de elementos dentro de las unidades y del volumen contratados se gestionan a través del Portal del Cliente, sin necesidad de adenda. Superar el número de unidades o el volumen incluido requiere ampliación del servicio conforme a la Condición Octava-bis.
• El volumen se mide como datos de origen protegidos (tamaño de los datos en los sistemas del CLIENTE), no como almacenamiento consumido por versiones y retención. Si el volumen real supera el incluido, EL PROVEEDOR lo notificará al CLIENTE y facturará el exceso en bloques de 100 GB según la tarifa de la Carátula. EL PROVEEDOR no interrumpirá las copias por exceso de volumen sin aviso previo al CLIENTE.
• No se incluye la copia de dispositivos móviles, dispositivos BYOD ni de aplicaciones de terceros integradas en Microsoft 365 o Google Workspace (Power BI, Dynamics u otras).

Ubicación y custodia de las copias

Las copias de seguridad del servicio CiberRecovery se realizan mediante la plataforma NinjaOne Backup, cuyo titular, NinjaOne, LLC, actúa como subencargado del tratamiento autorizado conforme a la Condición Novena-ter. Los datos copiados se almacenan cifrados en tránsito y en reposo en infraestructura situada en la Unión Europea (región AWS eu-central-1, Frankfurt, Alemania), con protección frente a borrado y modificación no autorizados durante el periodo de retención del plan. EL PROVEEDOR no almacena copias del CLIENTE en infraestructura propia.

Cuando el CLIENTE disponga de un dispositivo de almacenamiento local (NAS) integrado en el servicio como destino adicional de copia, dicho dispositivo es hardware del CLIENTE, permanece bajo su titularidad y control físico y no constituye un subencargado del tratamiento. La ubicación, plataforma y retención aplicables a cada CLIENTE constan en la sección CiberRecovery del Portal del Cliente y en la Ficha de encargo del tratamiento descargable desde el mismo.

Condición Segunda-ter. Pruebas de Recuperación de las Copias

EL PROVEEDOR realizará, con periodicidad semestral, al menos una prueba de recuperación sobre los sistemas incluidos en el perímetro de copias contratado conforme a la Condición Segunda-bis. El alcance de cada prueba —verificación de integridad, restauración selectiva de datos o recuperación completa del sistema— se determinará según la naturaleza del sistema protegido y su criticidad, a criterio técnico de EL PROVEEDOR.

• En sistemas cuya arquitectura no admita una recuperación completa (servicios cloud o SaaS como Microsoft 365 o Google Workspace, bases de datos y aplicaciones gestionadas por terceros), la prueba consistirá en la restauración selectiva de datos representativos que permita comprobar la legibilidad e integridad de la copia.
• La verificación del funcionamiento de aplicaciones o bases de datos tras una recuperación (consistencia transaccional, apertura de datos, integración con otros sistemas) corresponde al CLIENTE o al fabricante de la aplicación, y no forma parte del alcance de la prueba.
• El tiempo de recuperación se mide y se informa al CLIENTE en cada prueba, pero no constituye un compromiso garantizado, al depender de factores ajenos a EL PROVEEDOR: el ancho de banda y la conectividad del CLIENTE, la disponibilidad de hardware o de un entorno de destino donde ejecutar la recuperación y la cooperación del personal del CLIENTE.
• Las pruebas de recuperación completa podrán ejecutarse en medios de EL PROVEEDOR (por ejemplo, un entorno de virtualización provisional) a efectos exclusivamente de verificación; la recuperación real ante un incidente requiere que el CLIENTE disponga del hardware o entorno de destino necesario, o que contrate su provisión como servicio adicional.
• Cada prueba queda registrada en el Portal del Cliente (sección CiberRecovery) con fecha, elemento recuperado, alcance, tiempo medido y resultado, y se incorpora automáticamente como evidencia del control de copias y continuidad del espacio de Cumplimiento Normativo del CLIENTE.

Condición Tercera. Deber de Alerta Temprana y Negligencia por Silencio

El CLIENTE se obliga a instruir a todos sus empleados y colaboradores sobre la comunicación inmediata ante:

• Avisos o alertas de virus, malware o comportamiento anómalo en cualquier dispositivo.
• Solicitudes de autenticación multifactor (MFA) no iniciadas por el propio usuario.
• Correos electrónicos sospechosos o intentos de phishing detectados.
• Comportamiento inusual del sistema: lentitud repentina, archivos cifrados, ventanas emergentes no habituales.
• Pérdida o robo de dispositivos corporativos.
• Cualquier comunicación externa que solicite credenciales o accesos.

El hecho de que un empleado o colaborador del CLIENTE detecte cualquiera de las situaciones anteriores y no las comunique de forma inmediata será calificado jurídicamente como negligencia grave del CLIENTE, con plenos efectos de exoneración de responsabilidad para EL PROVEEDOR respecto a los daños causados o agravados por dicha omisión.

Condición Cuarta. Límite Máximo de Responsabilidad Civil

La responsabilidad total y acumulada de ELANTIA CANARIAS S.L.U. ante cualquier reclamación del CLIENTE no excederá en ningún caso del importe mayor entre:

• El equivalente a tres (3) meses de cuotas fijas del plan contratado en el momento del incidente, o
• El límite de cobertura de la póliza de seguro de responsabilidad civil profesional de ELANTIA CANARIAS S.L.U. (cobertura mínima mantenida de 100.000 €).

Queda expresamente excluida toda responsabilidad por:

• Lucro cesante, pérdida de beneficios o pérdida de oportunidades de negocio.
• Daño reputacional o pérdida de clientes del CLIENTE.
• Costes de recuperación de datos que excedan los parámetros del plan de backup contratado.
• Multas, sanciones o recargos regulatorios impuestos al CLIENTE.
• Daños consecuentes, indirectos, especiales o punitivos de cualquier naturaleza.
• Fallos de infraestructuras de proveedores terceros (proveedores de infraestructura cloud, operadoras, etc.).
• Daños en sistemas legacy sin soporte activo de fabricante declarados en el inventario.

Condición Quinta. Vigencia, Permanencia y Renovación

El servicio se contrata bajo un compromiso de prestación con duración inicial definida en la propuesta comercial particular de cada cliente, con posibilidad de fraccionamiento del pago en cuotas mensuales. La naturaleza técnica y operativa de los servicios de ciberseguridad gestionados requiere un horizonte temporal mínimo que se establecerá en la propuesta comercial, salvo acuerdo expreso entre las partes.

La duración inicial será la indicada en la propuesta comercial y, en su defecto, de doce (12) meses desde la fecha de inicio del servicio. Transcurrido el período inicial, se renovará automáticamente por períodos sucesivos de igual duración al inicialmente pactado, salvo notificación de no renovación con treinta (30) días naturales de antelación. Para el servicio SOC rige el plazo de preaviso específico de noventa (90) días naturales previsto en la Condición Sexta-bis.

El CLIENTE reconoce que:

• El precio mensual refleja el prorrateo de la tarifa del período contratado.
• El servicio no puede contratarse por períodos inferiores a los pactados en la propuesta comercial.
• La baja anticipada no se contempla salvo por incumplimiento grave del Proveedor o modificación sustancial de condiciones conforme a la Condición Octava.
• El compromiso de permanencia es anual e indivisible para el conjunto de servicios contratados (EDR, Sistemas al Día, CiberRecovery, Formación, Cumplimiento y SOC), con independencia de que el pago se haya fraccionado en cuotas mensuales. Si el CLIENTE cesa en el servicio antes del vencimiento por causa distinta de las previstas en esta Condición o en la Octava, resultarán exigibles las cuotas correspondientes al resto de la anualidad en curso.

En caso de incumplimiento grave del PROVEEDOR, el CLIENTE podrá resolver el contrato tras treinta (30) días de plazo de subsanación sin efecto.

Condición Sexta. Acuerdos de Nivel de Servicio (SLA)

La monitorización tecnológica automatizada opera 24 horas al día, los 365 días del año, en todos los planes. El soporte técnico humano de EL PROVEEDOR es Lun–Vie 08:00–17:00 (hora Canarias) en todos los planes, salvo que el CLIENTE contrate el servicio SOC, cuya vigilancia y respuesta 24/7 corre a cargo del proveedor especializado de SOC y se rige por la Condición Sexta-bis.

El cómputo del tiempo SLA se interrumpe cuando EL PROVEEDOR requiera información del CLIENTE, durante mantenimientos programados, ante causas de fuerza mayor, o cuando el CLIENTE haya decidido no aplicar una contramedida recomendada.

Condición Sexta-bis. Servicio SOC — Centro de Operaciones de Seguridad 24/7

6bis.1 Naturaleza del servicio y proveedor especializado

El servicio SOC es un servicio de vigilancia, detección y respuesta ante incidentes de seguridad en modalidad SOC as a Service, operativo 24 horas al día, 7 días a la semana, 365 días al año, prestado a través del proveedor especializado de SOC ORIZON CYBER SECURITY S.L. (C.I.F. B75820274, Madrid), certificado en ISO 9001 e ISO/IEC 27001, sobre la plataforma tecnológica CYREBRO (servicio comercializado como Orizon Oversight). ELANTIA CANARIAS S.L.U. actúa como distribuidor autorizado de dicho servicio y punto de soporte de primer nivel para el CLIENTE. El servicio comprende analistas de seguridad de niveles 1 a 4, correlación de eventos procedentes de múltiples fuentes (endpoint, red, identidad, cloud, correo y aplicaciones SaaS), inteligencia de amenazas, búsqueda proactiva de amenazas (threat hunting), automatización de respuesta mediante guías operativas (playbooks) y gestión de incidentes.

El servicio se ofrece en dos modalidades, cuya elección constará en la Carátula: SOC sin agente (integración de las fuentes de registro ya existentes en la infraestructura del CLIENTE) y SOC + detección y respuesta gestionada en endpoints (MDR), que incorpora la licencia y el agente de endpoint del proveedor de SOC durante la vigencia del servicio.

La plataforma CYREBRO opera bajo los Términos y Condiciones estándar de CYREBRO, su Contrato de Encargo del Tratamiento y su Política de Privacidad, que el fabricante puede actualizar. El CLIENTE declara conocerlos y acepta que resultan aplicables al uso de dicha plataforma y a la prestación del servicio SOC en todo lo no previsto expresamente en estas Condiciones; en caso de discrepancia sobre el funcionamiento, capacidades o límites de la plataforma, prevalecerán dichos términos del fabricante. EL PROVEEDOR trasladará al CLIENTE las actualizaciones relevantes que reciba del proveedor de SOC y podrá sustituir a este conforme a la Condición Octava, manteniendo niveles de servicio equivalentes o superiores.

6bis.2 Perímetro monitorizado

El SOC vigila exclusivamente el perímetro declarado en la Carátula: número de puestos, servidores, licencias de correo o suite cloud, cortafuegos y demás fuentes de registro integradas, junto con el volumen de eventos asociado (medido en GB/mes o eventos por segundo). Cualquier activo, cuenta o fuente de registro no integrada en la plataforma no está monitorizada, aplicándose la exoneración prevista en la Condición Segunda.

Si el volumen real de eventos supera de forma significativa el contratado, EL PROVEEDOR lo notificará al CLIENTE, que podrá reducir las fuentes integradas o ampliar el servicio conforme a la Condición Octava-bis. Mantenido el exceso sin ajuste, el proveedor de SOC podrá limitar la ingesta de eventos, sin que las consecuencias sean imputables a EL PROVEEDOR.

6bis.3 Activación y fase de aprendizaje

La puesta en marcha comprende la integración remota de fuentes, el despliegue de agentes o colectores y el ajuste de umbrales de alerta, con el coste indicado, en su caso, en la propuesta comercial. A la activación le sigue una fase de aprendizaje inicial durante la cual se estabilizan los umbrales de alarma y se optimizan las fuentes de registro. La vigilancia está operativa desde la activación, pero los niveles de servicio del apartado 6bis.4 solo son exigibles una vez concluida dicha fase, lo que EL PROVEEDOR comunicará al CLIENTE. Los retrasos del CLIENTE en facilitar accesos, credenciales de integración o la instalación de agentes prolongan la fase de aprendizaje en la misma medida.

6bis.4 Niveles de servicio (ANS) del SOC

Las alertas generadas por la plataforma sobre el perímetro monitorizado se gestionan 24/7/365 conforme a los siguientes niveles de servicio, que EL PROVEEDOR traslada al CLIENTE en los mismos términos garantizados por el proveedor especializado de SOC:

• La clasificación de severidad la realizan los analistas del SOC según sus criterios técnicos, que el CLIENTE acepta.
• Los tiempos se computan desde la generación de la alerta en la plataforma. "Gestión" comprende las acciones de contención, mitigación y recomendación, no la remediación completa ni la restauración de sistemas o datos.
• Se admiten hasta seis (6) solicitudes abiertas simultáneamente para investigaciones no vinculadas a un incidente activo (consultas, análisis de ficheros sospechosos, búsquedas). Las que excedan dicho número pasan a una cola de gestión sin niveles de servicio garantizados.
• El servicio está sujeto al límite mensual de eventos del perímetro contratado.
• Las causas de interrupción del cómputo de la Condición Sexta se aplican igualmente, añadiéndose la imposibilidad de contactar con el Punto de Contacto del CLIENTE.
• Las consultas y solicitudes del CLIENTE a EL PROVEEDOR que no deriven de una alerta del SOC se rigen por los horarios y plazos de la Condición Sexta.

6bis.5 Respuesta a incidentes

Ante un ciberataque activo, el equipo de respuesta a incidentes del SOC interviene 24/7 para bloquear, contener y mitigar la amenaza, con gestión en tiempo real junto al Punto de Contacto del CLIENTE, análisis forense e informe post-mortem de cada incidente gestionado. La intervención presencial, cuando resulte necesaria, se realiza en los plazos y condiciones establecidos por el proveedor de SOC para el ámbito de la Unión Europea.

Las respuestas automatizadas definidas en las guías operativas validadas durante la activación (aislamiento de un endpoint, bloqueo de una cuenta o proceso, entre otras) se ejecutan sin validación previa y pueden interrumpir temporalmente la operativa del CLIENTE, que lo acepta expresamente como medida de protección. Las demás acciones recomendadas por el SOC requieren validación del Punto de Contacto del CLIENTE; la falta de respuesta o el rechazo se rigen por la Condición Séptima.

La restauración de sistemas y datos tras un incidente no forma parte del servicio SOC: se realizará mediante el servicio CiberRecovery si está contratado o, en su defecto, como servicio profesional presupuestado aparte.

6bis.6 Obligaciones específicas del CLIENTE

• Designar un Punto de Contacto corporativo con al menos dos personas, localizable por teléfono y correo electrónico 24/7 para incidentes críticos y altos, y mantener sus datos actualizados. Su inaccesibilidad suspende los niveles de servicio y activa los efectos de la Condición Tercera.
• Facilitar y mantener las integraciones y fuentes de registro, permitir la instalación y actualización de agentes y colectores, y no desactivarlos, desinstalarlos ni excluirlos sin acuerdo previo con EL PROVEEDOR.
• Validar las acciones recomendadas por el SOC en los plazos indicados en cada comunicación.
• Comunicar con al menos 5 días hábiles de antelación los cambios planificados en la infraestructura monitorizada (migraciones, sustitución de cortafuegos, cambios de inquilino cloud, altas o bajas masivas de usuarios) para evitar falsos positivos o pérdida de visibilidad.
• Garantizar que dispone de título legítimo para la monitorización de los sistemas integrados y que ha cumplido su deber de información a las personas trabajadoras sobre la supervisión de los dispositivos y sistemas corporativos (artículos 87 a 90 de la LOPDGDD).

6bis.7 Informes, evidencias y apoyo al cumplimiento normativo

El CLIENTE dispondrá de los cuadros de mando, investigaciones e informes de la plataforma del SOC a través del Portal del Cliente y/o del acceso que se le habilite, así como de los informes post-mortem y del registro de auditoría de las acciones realizadas. Dichas evidencias sirven de apoyo al cumplimiento de las obligaciones de gestión de riesgos y de notificación de incidentes previstas en la Directiva NIS2 (artículos 21 y 23), el RGPD (artículos 32 a 34), DORA y la norma ISO/IEC 27001.

Las obligaciones legales de notificación a las autoridades competentes (Agencia Española de Protección de Datos, CSIRT de referencia, supervisores sectoriales) y a los interesados corresponden al CLIENTE en su condición de Responsable del Tratamiento o entidad obligada. EL PROVEEDOR le facilitará la información técnica disponible con la diligencia necesaria para que pueda cumplir los plazos legales, sin que ello suponga asumir dichas obligaciones salvo mandato expreso por escrito.

6bis.8 Duración, facturación y renovación específicas del SOC

• El servicio SOC se contrata por un compromiso mínimo de doce (12) meses desde su activación, sujeto al compromiso de permanencia anual e indivisible de la Condición Quinta. EL PROVEEDOR abona anticipadamente la anualidad al proveedor de SOC, por lo que en caso de baja anticipada las cuotas del SOC pendientes de la anualidad en curso resultan exigibles en los términos de dicha Condición.
• Concluido el período inicial, el servicio SOC se renueva tácitamente por períodos sucesivos de doce (12) meses en las mismas condiciones, salvo comunicación escrita de no renovación a legal@ciberia28.ai con una antelación mínima de noventa (90) días naturales a la fecha de vencimiento. Este plazo prevalece, para el servicio SOC, sobre el plazo general de la Condición Quinta.
• El precio del SOC depende de las unidades del perímetro (puestos, servidores, licencias, cortafuegos) y del volumen de eventos. Las ampliaciones se prorratean hasta el vencimiento de la anualidad en curso para alinear su renovación con la del servicio principal.
• Los costes de activación, formación y consultoría adicional son los indicados en la propuesta comercial y se facturan aparte de la cuota recurrente.
• En la modalidad SOC + MDR, las licencias de endpoint se incluyen únicamente durante la vigencia del servicio; a su terminación el CLIENTE deberá permitir la desinstalación de los agentes y la revocación de las licencias.

6bis.9 Tratamiento de datos y subencargados

La prestación del servicio SOC implica que los registros de actividad, telemetría, metadatos y, en su caso, ficheros sospechosos procedentes de los sistemas del CLIENTE sean tratados por ORIZON CYBER SECURITY S.L. y por CYREBRO, fabricante de la plataforma, en calidad de subencargados del tratamiento (artículo 28.2 y 28.4 del RGPD), conforme al Contrato de Encargo del Tratamiento de CYREBRO enlazado en el apartado 6bis.1, lo que el CLIENTE autoriza expresamente. La relación completa de subencargados está disponible bajo solicitud a legal@ciberia28.ai; los cambios se comunicarán conforme a la Condición Novena, con derecho de oposición del CLIENTE.

El período de retención y búsqueda de eventos en la plataforma será el indicado en la Carátula. A la terminación del servicio, los datos se eliminan conforme a la política del proveedor de SOC; el CLIENTE podrá solicitar antes de la finalización la exportación de los informes e investigaciones disponibles.

6bis.10 Alcance de la responsabilidad

El servicio SOC constituye una obligación de medios en los términos de la Condición Primera y queda sujeto al límite de la Condición Cuarta. La capacidad de detección depende de las fuentes integradas, de la calidad de los registros que generan los sistemas del CLIENTE y del estado de la inteligencia de amenazas en cada momento, por lo que pueden producirse falsos positivos y falsos negativos. EL PROVEEDOR no responde de las interrupciones o fallos de la plataforma del proveedor de SOC, limitándose a gestionar la incidencia con dicho proveedor en nombre del CLIENTE.

Condición Séptima. Protocolo de Rechazo de Medidas de Seguridad

El CLIENTE tiene derecho a no aplicar una contramedida recomendada. Sin embargo, dicho rechazo debe formalizarse mediante la firma del Formulario de Rechazo de Recomendación de Seguridad.

Si el CLIENTE no responde en 48 horas hábiles tras la notificación de la recomendación, EL PROVEEDOR queda exonerado de forma absoluta e irrevocable de toda responsabilidad por cualquier daño que aproveche la vulnerabilidad objeto de la recomendación no aplicada.

La no aplicación de contramedidas recomendadas suspenderá la garantía de trabajo profesional de EL PROVEEDOR exclusivamente respecto a los vectores de ataque cubiertos por dicha medida rechazada.

8.1 Derecho de Modificación Justificada

ELANTIA CANARIAS S.L.U. se reserva el derecho a modificar unilateralmente las presentes Condiciones Generales, incluyendo precios y cuotas, composición tecnológica de los servicios (sustitución de fabricantes, herramientas o plataformas), parámetros técnicos de los planes, y condiciones de prestación y exclusiones de responsabilidad. Las modificaciones estarán siempre justificadas por razones técnicas, comerciales, legales, normativas o de seguridad.

8.2 Deber de Notificación Individual — Preaviso de 30 días

Toda modificación sustancial será notificada de forma individual al CLIENTE mediante comunicación escrita al email del Usuario Autorizador designado en su Carátula, con una antelación mínima de treinta (30) días naturales antes de la entrada en vigor.

La publicación de la nueva versión en esta página se realizará simultáneamente a la notificación individual, pero dicha publicación no sustituirá la obligación de notificación individual. Conforme a la doctrina jurisprudencial española: "notificar no es simplemente publicar".

8.3 Derecho de Rescisión sin Penalización

Si el CLIENTE no acepta las modificaciones notificadas, podrá resolver el contrato de forma anticipada y sin penalización económica alguna, siempre que comunique su oposición expresa por escrito a legal@ciberia28.ai dentro del plazo de treinta (30) días naturales desde la recepción de la notificación.

8.4 Aceptación Tácita por Silencio

Transcurrido el plazo de treinta (30) días sin oposición escrita del CLIENTE, se entenderá que acepta tácitamente los nuevos términos, que pasarán a ser de aplicación inmediata. La continuación del uso del servicio también constituirá aceptación tácita.

8.5 Modificaciones No Sustanciales — Vigor inmediato

No requerirán preaviso: corrección de erratas, mejoras de redacción sin impacto jurídico, actualizaciones normativas sin impacto en obligaciones, modificaciones favorables para el CLIENTE, y adición de nuevos servicios opcionales que no modifiquen los ya contratados.

Condición Octava-bis. Ampliación de Servicio por Solicitud del CLIENTE

El CLIENTE podrá solicitar ampliación del servicio mediante:

• Botón Ampliar servicio + activo nuevo en el Portal del Cliente, que generará solicitud formal.
• Comunicación escrita a comercial@ciberia28.ai.

La ampliación entrará en vigor tras:

1. Confirmación por escrito de EL PROVEEDOR (incluyendo precio ajustado).
2. Aceptación expresa por parte del CLIENTE (firma digital o clic en portal).
3. Actualización del inventario de activos correspondiente.

Las ampliaciones solicitadas por el CLIENTE no se consideran modificaciones unilaterales del Proveedor y no otorgan derecho de rescisión sin penalización. El precio de la ampliación se basará en las tarifas vigentes en la fecha de la solicitud.

Condición Novena. Protección de Datos Personales y Cumplimiento RGPD

En el marco de la prestación de los servicios, EL CLIENTE actúa como Responsable del Tratamiento y ELANTIA CANARIAS S.L.U. actúa como Encargado del Tratamiento, conforme al artículo 28 del RGPD.

ELANTIA CANARIAS S.L.U. se compromete a:

• Tratar los datos personales únicamente según las instrucciones documentadas del CLIENTE.
• Implementar las medidas técnicas y organizativas adecuadas (artículo 32 RGPD).
• Notificar al CLIENTE en un plazo máximo de 72 horas cualquier violación de seguridad de datos personales.
• Suprimir o devolver todos los datos personales al término de la relación contractual.
• Informar al CLIENTE de los subencargados del tratamiento que intervienen en cada servicio (proveedores especializados de SOC, backup cloud, plataformas de seguridad) y de sus cambios, con derecho de oposición del CLIENTE conforme al artículo 28.2 del RGPD.

Las condiciones específicas del encargo se regulan en el Acuerdo de Encargo del Tratamiento (artículo 28.3 RGPD), que forma parte del contrato por referencia y está disponible para el CLIENTE en el Portal del Cliente y bajo solicitud a legal@ciberia28.ai. El régimen de subencargados y la ubicación de los datos se regulan en la Condición Novena-ter. El tratamiento se realiza conforme al RGPD, la LOPDGDD (Ley Orgánica 3/2018) y la Directiva NIS2.

Condición Novena-ter. Subencargados del Tratamiento y Ubicación de los Datos

9ter.1 Autorización general

Conforme al artículo 28.2 del RGPD, EL CLIENTE otorga a ELANTIA CANARIAS S.L.U. autorización general para recurrir a los subencargados del tratamiento necesarios para la prestación de cada servicio contratado (plataformas de copia de seguridad, protección de endpoints, monitorización SOC, infraestructura del Portal del Cliente y comunicaciones). Esta autorización sustituye, para todos los servicios, al régimen de autorización específica previsto en versiones anteriores de la documentación contractual.

9ter.2 Lista vigente de subencargados

La relación vigente de subencargados, con indicación de su razón social, país, ubicación de los datos, servicio al que intervienen, finalidad y garantías aplicables a las transferencias internacionales, se publica de forma permanente en ciberia28.ai/subencargados y en el Portal del Cliente, y se incorpora al Anexo III del Acuerdo de Encargo del Tratamiento por referencia. La versión publicada en cada momento es la que rige a efectos contractuales.

9ter.3 Cambios y derecho de oposición

ELANTIA CANARIAS S.L.U. informará individualmente al CLIENTE, con una antelación mínima de treinta (30) días naturales, de cualquier incorporación o sustitución de subencargados o de la ubicación de los datos, mediante comunicación al email del Usuario Autorizador y aviso en el Portal del Cliente. EL CLIENTE podrá formular oposición motivada en razones de protección de datos dentro de dicho plazo, por escrito a legal@ciberia28.ai. Transcurrido el plazo sin oposición, el cambio se entenderá autorizado.

Recibida una oposición motivada, ELANTIA CANARIAS S.L.U. propondrá en un plazo razonable una alternativa que atienda las razones expuestas. La oposición a un subencargado no constituye modificación de las presentes Condiciones a efectos de la Condición Octava ni faculta al CLIENTE para resolver anticipadamente el contrato ni para dejar de abonar las cuotas del periodo de permanencia en curso. Si no fuera posible ofrecer una alternativa razonable, EL CLIENTE podrá comunicar la no renovación del servicio afectado conforme a la Condición Quinta.

9ter.4 Garantías y responsabilidad

Todo subencargado queda vinculado con ELANTIA CANARIAS S.L.U. mediante contrato escrito que impone obligaciones equivalentes a las asumidas frente al CLIENTE en materia de confidencialidad, seguridad, asistencia y destino de los datos. Cuando el subencargado esté establecido fuera del Espacio Económico Europeo o pueda acceder a los datos desde fuera del mismo, la transferencia se ampara en una decisión de adecuación de la Comisión Europea o en las Cláusulas Contractuales Tipo (Decisión de Ejecución (UE) 2021/914), según se indica en la lista vigente. Conforme al artículo 28.4 del RGPD, ELANTIA CANARIAS S.L.U. responde frente al CLIENTE del cumplimiento de las obligaciones de sus subencargados.

9ter.5 Infraestructura del CLIENTE

Los dispositivos, sistemas o servicios de terceros de titularidad del CLIENTE que se integren en los servicios (dispositivos NAS, tenants de Microsoft 365 o Google Workspace, cortafuegos u otros) no constituyen subencargados de ELANTIA CANARIAS S.L.U.; su contratación, custodia y cumplimiento normativo corresponden al CLIENTE.

Condición Novena-bis. Cumplimiento Normativo Infraestructuras Críticas

Si el CLIENTE es un Operador de Servicios Esenciales (OSE) u Operador de Servicios Digitales (OSD) conforme a la Directiva (UE) 2022/2555 (NIS2), EL PROVEEDOR colaborará en el cumplimiento de las obligaciones de ciberseguridad establecidas, incluyendo:

• Notificación de incidentes de ciberseguridad a las autoridades competentes.
• Implementación de medidas de seguridad técnicas y organizativas.
• Realización de evaluaciones de riesgo y pruebas de seguridad.
• Gestión de riesgos de la cadena de suministro.

Para entidades del sector público español, se aplicará el Esquema Nacional de Seguridad (ENS) según categoría del sistema.

Condición Décima. Confidencialidad

Ambas partes se obligan a mantener en estricta confidencialidad toda la información recibida de la otra parte en el marco contractual, incluyendo configuraciones técnicas, vulnerabilidades detectadas, estrategias comerciales, metodologías propietarias y cualquier información marcada como confidencial.

La obligación de confidencialidad permanecerá en vigor durante toda la vigencia del contrato y por un período de cinco (5) años adicionales tras su terminación.

Condición Undécima. Propiedad Intelectual e Industrial

ELANTIA CANARIAS S.L.U. conserva todos los derechos de propiedad intelectual e industrial sobre sus metodologías, procedimientos, herramientas, scripts, dashboards, documentación técnica y la marca comercial CIBERIA28.AI.

EL PROVEEDOR concede al CLIENTE una licencia de uso no exclusiva, intransferible y limitada a la vigencia del contrato, para utilizar la documentación e informes entregados exclusivamente para los fines de los servicios contratados.

Condición Duodécima. Resolución de Disputas y Jurisdicción

Ante cualquier controversia, las partes intentarán una resolución amistosa en un plazo de 30 días naturales. Transcurrido dicho plazo sin acuerdo, podrán acudir a mediación conforme a la Ley 5/2012.

Para cualquier controversia no resuelta amistosamente, ambas partes se someten expresamente a la jurisdicción exclusiva de los Juzgados y Tribunales de Santa Cruz de Tenerife, con renuncia a cualquier otro fuero.

El presente contrato se rige por la legislación española y la normativa de la UE aplicable, en particular: Ley 7/1998 (LCGC), Código Civil español, y Reglamento (UE) Nº 910/2014 (eIDAS).

Condición Decimotercera. Registro Histórico de Versiones

ELANTIA CANARIAS S.L.U. mantiene un Registro Histórico Interno de todas las versiones de las presentes Condiciones Generales, con el texto íntegro, fecha de entrada en vigor, fecha de cese, sello de tiempo digital y hash criptográfico de cada versión.

Cualquier CLIENTE puede solicitar la versión vigente en la fecha de su firma enviando un email a legal@ciberia28.ai indicando su número de expediente. ELANTIA CANARIAS S.L.U. facilitará dicha versión en un plazo máximo de 5 días hábiles.