Condiciones Generales de Contratación

Condición Primera. Objeto e Inexistencia de Garantía Absoluta (Obligación de Medios)

Los servicios contratados bajo cualquiera de los planes de CIBERIA28.AI constituyen una obligación de medios y nunca de resultado. Conforme a la jurisprudencia consolidada del Tribunal Supremo (Sentencias de 15/02/2022 y 24/02/2022), ELANTIA CANARIAS S.L.U. garantiza la prestación de un trabajo profesional y diligente según el estado de la técnica en cada momento, pero no la invulnerabilidad absoluta de los sistemas del CLIENTE frente a cualquier tipo de amenaza cibernética.

El CLIENTE reconoce y acepta expresamente que:

• Ningún sistema de ciberseguridad puede garantizar protección del 100% frente a todas las amenazas conocidas y desconocidas.
• Las amenazas de día cero (zero-day), los ataques de ingeniería social avanzada y los actores de amenaza persistente avanzada (APT) pueden evadir incluso los sistemas de protección más modernos.
• La efectividad del servicio depende de la colaboración continua y activa entre el CLIENTE y ELANTIA CANARIAS S.L.U.
• El incumplimiento de las obligaciones de cooperación del CLIENTE exonera a EL PROVEEDOR de responsabilidad por los daños resultantes.

EL PROVEEDOR no asumirá responsabilidad por:

• Malware o ransomware preexistente a la fecha de inicio del servicio.
• Ataques que aprovechen vulnerabilidades de software de terceros no gestionados por EL PROVEEDOR.
• Incidentes derivados de configuraciones realizadas directamente por el CLIENTE o por terceros sin autorización.
• Pérdidas causadas por ataques de ingeniería social (phishing, vishing, BEC) dirigidos al personal del CLIENTE.
• Fallos de infraestructuras de proveedores terceros (infraestructura cloud, operadoras, fabricantes de seguridad, entre otros). EL PROVEEDOR no es responsable por los fallos técnicos, interrupciones, vulnerabilidades o cambios de condiciones de dichos proveedores, limitándose a gestionar las incidencias con ellos en nombre del CLIENTE.

Condición Primera-bis. Niveles de Protección de Endpoints (EPP vs EDR)

EL PROVEEDOR ofrece dos modalidades de protección para dispositivos (endpoints), cuya elección quedará reflejada en la Carátula de Condiciones Particulares:

El CLIENTE reconoce que la modalidad EPP ofrece una excelente protección preventiva, pero carece de la visibilidad profunda y las herramientas de respuesta forense que proporciona la modalidad EDR para la gestión post-incidente.

Condición Segunda. Integridad del Inventario y Shadow IT

EL PROVEEDOR únicamente es responsable de la gestión y protección de los activos tecnológicos declarados en el Inventario Inicial de Activos de la Carátula de Condiciones Particulares firmada, y de las actualizaciones posteriores debidamente comunicadas y aceptadas por escrito.

El CLIENTE tiene la obligación de:

• Declarar la totalidad de sus activos tecnológicos en el inventario inicial.
• Notificar a EL PROVEEDOR, en un plazo máximo de 5 días hábiles, cualquier incorporación de nuevos dispositivos, cuentas cloud o sistemas.
• Mantener actualizado el inventario ante cualquier baja, sustitución o modificación de activos.

El servicio se fundamenta en que no puede existir ningún dispositivo corporativo sin el agente de seguridad endpoint correctamente instalado y activo. Un único dispositivo sin protección representa un vector de entrada que invalida la protección del conjunto de la red.

Condición Segunda-bis. Inventario de Activos de CiberRecovery

EL PROVEEDOR únicamente respaldará los activos expresamente enumerados en el Inventario de Activos de CiberRecovery del Anexo B. No se garantiza copia de seguridad de datos o sistemas no incluidos en dicho inventario, incluso si están protegidos con el agente de seguridad endpoint. La responsabilidad por pérdida de datos de activos no declarados en el inventario de CiberRecovery será exclusiva del CLIENTE.

El CLIENTE reconoce que:

• El servicio de backup no incluye respaldo automático de dispositivos móviles, dispositivos BYOD, o sistemas cloud no declarados.
• El almacenamiento contratado se asigna exclusivamente a los activos del inventario de CiberRecovery.
• Cualquier activo añadido posteriormente requerirá ampliación de servicio y actualización del inventario.
• El Inventario de Activos de CiberRecovery forma parte integrante del Contrato Marco y su Anexo B, y cualquier modificación requerirá adenda firmada por ambas partes.

Condición Tercera. Deber de Alerta Temprana y Negligencia por Silencio

El CLIENTE se obliga a instruir a todos sus empleados y colaboradores sobre la comunicación inmediata ante:

• Avisos o alertas de virus, malware o comportamiento anómalo en cualquier dispositivo.
• Solicitudes de autenticación multifactor (MFA) no iniciadas por el propio usuario.
• Correos electrónicos sospechosos o intentos de phishing detectados.
• Comportamiento inusual del sistema: lentitud repentina, archivos cifrados, ventanas emergentes no habituales.
• Pérdida o robo de dispositivos corporativos.
• Cualquier comunicación externa que solicite credenciales o accesos.

El hecho de que un empleado o colaborador del CLIENTE detecte cualquiera de las situaciones anteriores y no las comunique de forma inmediata será calificado jurídicamente como negligencia grave del CLIENTE, con plenos efectos de exoneración de responsabilidad para EL PROVEEDOR respecto a los daños causados o agravados por dicha omisión.

Condición Cuarta. Límite Máximo de Responsabilidad Civil

La responsabilidad total y acumulada de ELANTIA CANARIAS S.L.U. ante cualquier reclamación del CLIENTE no excederá en ningún caso del importe mayor entre:

• El equivalente a tres (3) meses de cuotas fijas del plan contratado en el momento del incidente, o
• El límite de cobertura de la póliza de seguro de responsabilidad civil profesional de ELANTIA CANARIAS S.L.U. (cobertura mínima mantenida de 100.000 €).

Queda expresamente excluida toda responsabilidad por:

• Lucro cesante, pérdida de beneficios o pérdida de oportunidades de negocio.
• Daño reputacional o pérdida de clientes del CLIENTE.
• Costes de recuperación de datos que excedan los parámetros del plan de backup contratado.
• Multas, sanciones o recargos regulatorios impuestos al CLIENTE.
• Daños consecuentes, indirectos, especiales o punitivos de cualquier naturaleza.
• Fallos de infraestructuras de proveedores terceros (proveedores de infraestructura cloud, operadoras, etc.).
• Daños en sistemas legacy sin soporte activo de fabricante declarados en el inventario.

Condición Quinta. Vigencia, Permanencia y Renovación

El servicio se contrata bajo un compromiso de prestación con duración inicial definida en la propuesta comercial particular de cada cliente, con posibilidad de fraccionamiento del pago en cuotas mensuales. La naturaleza técnica y operativa de los servicios de ciberseguridad gestionados requiere un horizonte temporal mínimo que se establecerá en la propuesta comercial, salvo acuerdo expreso entre las partes.

La duración inicial será la indicada en la propuesta comercial y, en su defecto, de doce (12) meses desde la fecha de inicio del servicio. Transcurrido el período inicial, se renovará automáticamente por períodos sucesivos de igual duración al inicialmente pactado, salvo notificación de no renovación con treinta (30) días naturales de antelación. Para el servicio SOC rige el plazo de preaviso específico de noventa (90) días naturales previsto en la Condición Sexta-bis.

El CLIENTE reconoce que:

• El precio mensual refleja el prorrateo de la tarifa del período contratado.
• El servicio no puede contratarse por períodos inferiores a los pactados en la propuesta comercial.
• La baja anticipada no se contempla salvo por incumplimiento grave del Proveedor o modificación sustancial de condiciones conforme a la Condición Octava.
• El compromiso de permanencia es anual e indivisible para el conjunto de servicios contratados (EDR, Sistemas al Día, CiberRecovery, Formación, Cumplimiento y SOC), con independencia de que el pago se haya fraccionado en cuotas mensuales. Si el CLIENTE cesa en el servicio antes del vencimiento por causa distinta de las previstas en esta Condición o en la Octava, resultarán exigibles las cuotas correspondientes al resto de la anualidad en curso.

En caso de incumplimiento grave del PROVEEDOR, el CLIENTE podrá resolver el contrato tras treinta (30) días de plazo de subsanación sin efecto.

Condición Sexta. Acuerdos de Nivel de Servicio (SLA)

La monitorización tecnológica automatizada opera 24 horas al día, los 365 días del año, en todos los planes. El soporte técnico humano de EL PROVEEDOR es Lun–Vie 08:00–17:00 (hora Canarias) en todos los planes, salvo que el CLIENTE contrate el servicio SOC, cuya vigilancia y respuesta 24/7 corre a cargo del proveedor especializado de SOC y se rige por la Condición Sexta-bis.

El cómputo del tiempo SLA se interrumpe cuando EL PROVEEDOR requiera información del CLIENTE, durante mantenimientos programados, ante causas de fuerza mayor, o cuando el CLIENTE haya decidido no aplicar una contramedida recomendada.

Condición Sexta-bis. Servicio SOC — Centro de Operaciones de Seguridad 24/7

6bis.1 Naturaleza del servicio y proveedor especializado

El servicio SOC es un servicio de vigilancia, detección y respuesta ante incidentes de seguridad en modalidad SOC as a Service, operativo 24 horas al día, 7 días a la semana, 365 días al año, prestado a través del proveedor especializado de SOC ORIZON CYBER SECURITY S.L. (C.I.F. B75820274, Madrid), certificado en ISO 9001 e ISO/IEC 27001, sobre la plataforma tecnológica CYREBRO (servicio comercializado como Orizon Oversight). ELANTIA CANARIAS S.L.U. actúa como distribuidor autorizado de dicho servicio y punto de soporte de primer nivel para el CLIENTE. El servicio comprende analistas de seguridad de niveles 1 a 4, correlación de eventos procedentes de múltiples fuentes (endpoint, red, identidad, cloud, correo y aplicaciones SaaS), inteligencia de amenazas, búsqueda proactiva de amenazas (threat hunting), automatización de respuesta mediante guías operativas (playbooks) y gestión de incidentes.

El servicio se ofrece en dos modalidades, cuya elección constará en la Carátula: SOC sin agente (integración de las fuentes de registro ya existentes en la infraestructura del CLIENTE) y SOC + detección y respuesta gestionada en endpoints (MDR), que incorpora la licencia y el agente de endpoint del proveedor de SOC durante la vigencia del servicio.

La plataforma CYREBRO opera bajo los Términos y Condiciones estándar de CYREBRO, su Contrato de Encargo del Tratamiento y su Política de Privacidad, que el fabricante puede actualizar. El CLIENTE declara conocerlos y acepta que resultan aplicables al uso de dicha plataforma y a la prestación del servicio SOC en todo lo no previsto expresamente en estas Condiciones; en caso de discrepancia sobre el funcionamiento, capacidades o límites de la plataforma, prevalecerán dichos términos del fabricante. EL PROVEEDOR trasladará al CLIENTE las actualizaciones relevantes que reciba del proveedor de SOC y podrá sustituir a este conforme a la Condición Octava, manteniendo niveles de servicio equivalentes o superiores.

6bis.2 Perímetro monitorizado

El SOC vigila exclusivamente el perímetro declarado en la Carátula: número de puestos, servidores, licencias de correo o suite cloud, cortafuegos y demás fuentes de registro integradas, junto con el volumen de eventos asociado (medido en GB/mes o eventos por segundo). Cualquier activo, cuenta o fuente de registro no integrada en la plataforma no está monitorizada, aplicándose la exoneración prevista en la Condición Segunda.

Si el volumen real de eventos supera de forma significativa el contratado, EL PROVEEDOR lo notificará al CLIENTE, que podrá reducir las fuentes integradas o ampliar el servicio conforme a la Condición Octava-bis. Mantenido el exceso sin ajuste, el proveedor de SOC podrá limitar la ingesta de eventos, sin que las consecuencias sean imputables a EL PROVEEDOR.

6bis.3 Activación y fase de aprendizaje

La puesta en marcha comprende la integración remota de fuentes, el despliegue de agentes o colectores y el ajuste de umbrales de alerta, con el coste indicado, en su caso, en la propuesta comercial. A la activación le sigue una fase de aprendizaje inicial durante la cual se estabilizan los umbrales de alarma y se optimizan las fuentes de registro. La vigilancia está operativa desde la activación, pero los niveles de servicio del apartado 6bis.4 solo son exigibles una vez concluida dicha fase, lo que EL PROVEEDOR comunicará al CLIENTE. Los retrasos del CLIENTE en facilitar accesos, credenciales de integración o la instalación de agentes prolongan la fase de aprendizaje en la misma medida.

6bis.4 Niveles de servicio (ANS) del SOC

Las alertas generadas por la plataforma sobre el perímetro monitorizado se gestionan 24/7/365 conforme a los siguientes niveles de servicio, que EL PROVEEDOR traslada al CLIENTE en los mismos términos garantizados por el proveedor especializado de SOC:

• La clasificación de severidad la realizan los analistas del SOC según sus criterios técnicos, que el CLIENTE acepta.
• Los tiempos se computan desde la generación de la alerta en la plataforma. "Gestión" comprende las acciones de contención, mitigación y recomendación, no la remediación completa ni la restauración de sistemas o datos.
• Se admiten hasta seis (6) solicitudes abiertas simultáneamente para investigaciones no vinculadas a un incidente activo (consultas, análisis de ficheros sospechosos, búsquedas). Las que excedan dicho número pasan a una cola de gestión sin niveles de servicio garantizados.
• El servicio está sujeto al límite mensual de eventos del perímetro contratado.
• Las causas de interrupción del cómputo de la Condición Sexta se aplican igualmente, añadiéndose la imposibilidad de contactar con el Punto de Contacto del CLIENTE.
• Las consultas y solicitudes del CLIENTE a EL PROVEEDOR que no deriven de una alerta del SOC se rigen por los horarios y plazos de la Condición Sexta.

6bis.5 Respuesta a incidentes

Ante un ciberataque activo, el equipo de respuesta a incidentes del SOC interviene 24/7 para bloquear, contener y mitigar la amenaza, con gestión en tiempo real junto al Punto de Contacto del CLIENTE, análisis forense e informe post-mortem de cada incidente gestionado. La intervención presencial, cuando resulte necesaria, se realiza en los plazos y condiciones establecidos por el proveedor de SOC para el ámbito de la Unión Europea.

Las respuestas automatizadas definidas en las guías operativas validadas durante la activación (aislamiento de un endpoint, bloqueo de una cuenta o proceso, entre otras) se ejecutan sin validación previa y pueden interrumpir temporalmente la operativa del CLIENTE, que lo acepta expresamente como medida de protección. Las demás acciones recomendadas por el SOC requieren validación del Punto de Contacto del CLIENTE; la falta de respuesta o el rechazo se rigen por la Condición Séptima.

La restauración de sistemas y datos tras un incidente no forma parte del servicio SOC: se realizará mediante el servicio CiberRecovery si está contratado o, en su defecto, como servicio profesional presupuestado aparte.

6bis.6 Obligaciones específicas del CLIENTE

• Designar un Punto de Contacto corporativo con al menos dos personas, localizable por teléfono y correo electrónico 24/7 para incidentes críticos y altos, y mantener sus datos actualizados. Su inaccesibilidad suspende los niveles de servicio y activa los efectos de la Condición Tercera.
• Facilitar y mantener las integraciones y fuentes de registro, permitir la instalación y actualización de agentes y colectores, y no desactivarlos, desinstalarlos ni excluirlos sin acuerdo previo con EL PROVEEDOR.
• Validar las acciones recomendadas por el SOC en los plazos indicados en cada comunicación.
• Comunicar con al menos 5 días hábiles de antelación los cambios planificados en la infraestructura monitorizada (migraciones, sustitución de cortafuegos, cambios de inquilino cloud, altas o bajas masivas de usuarios) para evitar falsos positivos o pérdida de visibilidad.
• Garantizar que dispone de título legítimo para la monitorización de los sistemas integrados y que ha cumplido su deber de información a las personas trabajadoras sobre la supervisión de los dispositivos y sistemas corporativos (artículos 87 a 90 de la LOPDGDD).

6bis.7 Informes, evidencias y apoyo al cumplimiento normativo

El CLIENTE dispondrá de los cuadros de mando, investigaciones e informes de la plataforma del SOC a través del Portal del Cliente y/o del acceso que se le habilite, así como de los informes post-mortem y del registro de auditoría de las acciones realizadas. Dichas evidencias sirven de apoyo al cumplimiento de las obligaciones de gestión de riesgos y de notificación de incidentes previstas en la Directiva NIS2 (artículos 21 y 23), el RGPD (artículos 32 a 34), DORA y la norma ISO/IEC 27001.

Las obligaciones legales de notificación a las autoridades competentes (Agencia Española de Protección de Datos, CSIRT de referencia, supervisores sectoriales) y a los interesados corresponden al CLIENTE en su condición de Responsable del Tratamiento o entidad obligada. EL PROVEEDOR le facilitará la información técnica disponible con la diligencia necesaria para que pueda cumplir los plazos legales, sin que ello suponga asumir dichas obligaciones salvo mandato expreso por escrito.

6bis.8 Duración, facturación y renovación específicas del SOC

• El servicio SOC se contrata por un compromiso mínimo de doce (12) meses desde su activación, sujeto al compromiso de permanencia anual e indivisible de la Condición Quinta. EL PROVEEDOR abona anticipadamente la anualidad al proveedor de SOC, por lo que en caso de baja anticipada las cuotas del SOC pendientes de la anualidad en curso resultan exigibles en los términos de dicha Condición.
• Concluido el período inicial, el servicio SOC se renueva tácitamente por períodos sucesivos de doce (12) meses en las mismas condiciones, salvo comunicación escrita de no renovación a legal@ciberia28.ai con una antelación mínima de noventa (90) días naturales a la fecha de vencimiento. Este plazo prevalece, para el servicio SOC, sobre el plazo general de la Condición Quinta.
• El precio del SOC depende de las unidades del perímetro (puestos, servidores, licencias, cortafuegos) y del volumen de eventos. Las ampliaciones se prorratean hasta el vencimiento de la anualidad en curso para alinear su renovación con la del servicio principal.
• Los costes de activación, formación y consultoría adicional son los indicados en la propuesta comercial y se facturan aparte de la cuota recurrente.
• En la modalidad SOC + MDR, las licencias de endpoint se incluyen únicamente durante la vigencia del servicio; a su terminación el CLIENTE deberá permitir la desinstalación de los agentes y la revocación de las licencias.

6bis.9 Tratamiento de datos y subencargados

La prestación del servicio SOC implica que los registros de actividad, telemetría, metadatos y, en su caso, ficheros sospechosos procedentes de los sistemas del CLIENTE sean tratados por ORIZON CYBER SECURITY S.L. y por CYREBRO, fabricante de la plataforma, en calidad de subencargados del tratamiento (artículo 28.2 y 28.4 del RGPD), conforme al Contrato de Encargo del Tratamiento de CYREBRO enlazado en el apartado 6bis.1, lo que el CLIENTE autoriza expresamente. La relación completa de subencargados está disponible bajo solicitud a legal@ciberia28.ai; los cambios se comunicarán conforme a la Condición Novena, con derecho de oposición del CLIENTE.

El período de retención y búsqueda de eventos en la plataforma será el indicado en la Carátula. A la terminación del servicio, los datos se eliminan conforme a la política del proveedor de SOC; el CLIENTE podrá solicitar antes de la finalización la exportación de los informes e investigaciones disponibles.

6bis.10 Alcance de la responsabilidad

El servicio SOC constituye una obligación de medios en los términos de la Condición Primera y queda sujeto al límite de la Condición Cuarta. La capacidad de detección depende de las fuentes integradas, de la calidad de los registros que generan los sistemas del CLIENTE y del estado de la inteligencia de amenazas en cada momento, por lo que pueden producirse falsos positivos y falsos negativos. EL PROVEEDOR no responde de las interrupciones o fallos de la plataforma del proveedor de SOC, limitándose a gestionar la incidencia con dicho proveedor en nombre del CLIENTE.

Condición Séptima. Protocolo de Rechazo de Medidas de Seguridad

El CLIENTE tiene derecho a no aplicar una contramedida recomendada. Sin embargo, dicho rechazo debe formalizarse mediante la firma del Formulario de Rechazo de Recomendación de Seguridad.

Si el CLIENTE no responde en 48 horas hábiles tras la notificación de la recomendación, EL PROVEEDOR queda exonerado de forma absoluta e irrevocable de toda responsabilidad por cualquier daño que aproveche la vulnerabilidad objeto de la recomendación no aplicada.

La no aplicación de contramedidas recomendadas suspenderá la garantía de trabajo profesional de EL PROVEEDOR exclusivamente respecto a los vectores de ataque cubiertos por dicha medida rechazada.

8.1 Derecho de Modificación Justificada

ELANTIA CANARIAS S.L.U. se reserva el derecho a modificar unilateralmente las presentes Condiciones Generales, incluyendo precios y cuotas, composición tecnológica de los servicios (sustitución de fabricantes, herramientas o plataformas), parámetros técnicos de los planes, y condiciones de prestación y exclusiones de responsabilidad. Las modificaciones estarán siempre justificadas por razones técnicas, comerciales, legales, normativas o de seguridad.

8.2 Deber de Notificación Individual — Preaviso de 30 días

Toda modificación sustancial será notificada de forma individual al CLIENTE mediante comunicación escrita al email del Usuario Autorizador designado en su Carátula, con una antelación mínima de treinta (30) días naturales antes de la entrada en vigor.

La publicación de la nueva versión en esta página se realizará simultáneamente a la notificación individual, pero dicha publicación no sustituirá la obligación de notificación individual. Conforme a la doctrina jurisprudencial española: "notificar no es simplemente publicar".

8.3 Derecho de Rescisión sin Penalización

Si el CLIENTE no acepta las modificaciones notificadas, podrá resolver el contrato de forma anticipada y sin penalización económica alguna, siempre que comunique su oposición expresa por escrito a legal@ciberia28.ai dentro del plazo de treinta (30) días naturales desde la recepción de la notificación.

8.4 Aceptación Tácita por Silencio

Transcurrido el plazo de treinta (30) días sin oposición escrita del CLIENTE, se entenderá que acepta tácitamente los nuevos términos, que pasarán a ser de aplicación inmediata. La continuación del uso del servicio también constituirá aceptación tácita.

8.5 Modificaciones No Sustanciales — Vigor inmediato

No requerirán preaviso: corrección de erratas, mejoras de redacción sin impacto jurídico, actualizaciones normativas sin impacto en obligaciones, modificaciones favorables para el CLIENTE, y adición de nuevos servicios opcionales que no modifiquen los ya contratados.

Condición Octava-bis. Ampliación de Servicio por Solicitud del CLIENTE

El CLIENTE podrá solicitar ampliación del servicio mediante:

• Botón Ampliar servicio + activo nuevo en el Portal del Cliente, que generará solicitud formal.
• Comunicación escrita a comercial@ciberia28.ai.

La ampliación entrará en vigor tras:

1. Confirmación por escrito de EL PROVEEDOR (incluyendo precio ajustado).
2. Aceptación expresa por parte del CLIENTE (firma digital o clic en portal).
3. Actualización del inventario de activos correspondiente.

Las ampliaciones solicitadas por el CLIENTE no se consideran modificaciones unilaterales del Proveedor y no otorgan derecho de rescisión sin penalización. El precio de la ampliación se basará en las tarifas vigentes en la fecha de la solicitud.

Condición Novena. Protección de Datos Personales y Cumplimiento RGPD

En el marco de la prestación de los servicios, EL CLIENTE actúa como Responsable del Tratamiento y ELANTIA CANARIAS S.L.U. actúa como Encargado del Tratamiento, conforme al artículo 28 del RGPD.

ELANTIA CANARIAS S.L.U. se compromete a:

• Tratar los datos personales únicamente según las instrucciones documentadas del CLIENTE.
• Implementar las medidas técnicas y organizativas adecuadas (artículo 32 RGPD).
• Notificar al CLIENTE en un plazo máximo de 72 horas cualquier violación de seguridad de datos personales.
• Suprimir o devolver todos los datos personales al término de la relación contractual.
• Informar al CLIENTE de los subencargados del tratamiento que intervienen en cada servicio (proveedores especializados de SOC, backup cloud, plataformas de seguridad) y de sus cambios, con derecho de oposición del CLIENTE conforme al artículo 28.2 del RGPD.

Las condiciones específicas del tratamiento se regulan en el Acuerdo de Tratamiento de Datos (DPA) disponible bajo solicitud a legal@ciberia28.ai. El tratamiento se realiza conforme al RGPD, la LOPDGDD (Ley Orgánica 3/2018) y la Directiva NIS2.

Condición Novena-bis. Cumplimiento Normativo Infraestructuras Críticas

Si el CLIENTE es un Operador de Servicios Esenciales (OSE) u Operador de Servicios Digitales (OSD) conforme a la Directiva (UE) 2022/2555 (NIS2), EL PROVEEDOR colaborará en el cumplimiento de las obligaciones de ciberseguridad establecidas, incluyendo:

• Notificación de incidentes de ciberseguridad a las autoridades competentes.
• Implementación de medidas de seguridad técnicas y organizativas.
• Realización de evaluaciones de riesgo y pruebas de seguridad.
• Gestión de riesgos de la cadena de suministro.

Para entidades del sector público español, se aplicará el Esquema Nacional de Seguridad (ENS) según categoría del sistema.

Condición Décima. Confidencialidad

Ambas partes se obligan a mantener en estricta confidencialidad toda la información recibida de la otra parte en el marco contractual, incluyendo configuraciones técnicas, vulnerabilidades detectadas, estrategias comerciales, metodologías propietarias y cualquier información marcada como confidencial.

La obligación de confidencialidad permanecerá en vigor durante toda la vigencia del contrato y por un período de cinco (5) años adicionales tras su terminación.

Condición Undécima. Propiedad Intelectual e Industrial

ELANTIA CANARIAS S.L.U. conserva todos los derechos de propiedad intelectual e industrial sobre sus metodologías, procedimientos, herramientas, scripts, dashboards, documentación técnica y la marca comercial CIBERIA28.AI.

EL PROVEEDOR concede al CLIENTE una licencia de uso no exclusiva, intransferible y limitada a la vigencia del contrato, para utilizar la documentación e informes entregados exclusivamente para los fines de los servicios contratados.

Condición Duodécima. Resolución de Disputas y Jurisdicción

Ante cualquier controversia, las partes intentarán una resolución amistosa en un plazo de 30 días naturales. Transcurrido dicho plazo sin acuerdo, podrán acudir a mediación conforme a la Ley 5/2012.

Para cualquier controversia no resuelta amistosamente, ambas partes se someten expresamente a la jurisdicción exclusiva de los Juzgados y Tribunales de Santa Cruz de Tenerife, con renuncia a cualquier otro fuero.

El presente contrato se rige por la legislación española y la normativa de la UE aplicable, en particular: Ley 7/1998 (LCGC), Código Civil español, y Reglamento (UE) Nº 910/2014 (eIDAS).

Condición Decimotercera. Registro Histórico de Versiones

ELANTIA CANARIAS S.L.U. mantiene un Registro Histórico Interno de todas las versiones de las presentes Condiciones Generales, con el texto íntegro, fecha de entrada en vigor, fecha de cese, sello de tiempo digital y hash criptográfico de cada versión.

Cualquier CLIENTE puede solicitar la versión vigente en la fecha de su firma enviando un email a legal@ciberia28.ai indicando su número de expediente. ELANTIA CANARIAS S.L.U. facilitará dicha versión en un plazo máximo de 5 días hábiles.