Píldora · DORA, si tu cliente es una entidad financiera
Lo que tiene que decir tu contrato
Depende de para qué te usan
El reglamento distingue dos niveles. Hay un mínimo para todos los contratos de servicios de TIC. Y hay un nivel reforzado cuando tu servicio sustenta una función esencial o importante de la entidad: una función cuya perturbación afectaría de forma significativa a sus resultados, a la continuidad de sus servicios o al cumplimiento de las condiciones con las que está autorizada (art. 3).
Quien valora si tu servicio es de esos es la entidad, antes de contratar (art. 28.4). Pregúntaselo: de la respuesta depende qué anexo te corresponde.
En todos los contratos (art. 30.2)
Una descripción clara y completa de las funciones y los servicios, y las condiciones de la subcontratación si se permite.
Las regiones o los países en los que prestas el servicio y en los que se tratan y se guardan los datos, y la obligación de avisar antes de cambiarlos.
Disponibilidad, autenticidad, integridad y confidencialidad, también de los datos personales.
Acceso, recuperación y devolución en un formato fácil de usar, también si tu empresa cierra o el contrato termina.
Descritos, con sus actualizaciones y revisiones.
Sin coste adicional, o a un coste fijado de antemano, cuando el incidente tenga que ver con el servicio que le prestas.
Con las autoridades competentes y de resolución de la entidad, y con quien ellas designen.
Los derechos de terminación y los plazos mínimos de preaviso.
Las condiciones para que participes en los programas de concienciación y de formación de la entidad.
Además, si sustentas una función esencial o importante (art. 30.3)
Cuantitativos y cualitativos, para que la entidad pueda seguirlos y corregir sin demora cuando no se cumplan.
La obligación de comunicar cualquier hecho que pueda afectar de forma considerable a tu capacidad de prestar el servicio.
Planes de contingencia probados, y medidas, herramientas y políticas de seguridad adecuadas.
Participar y cooperar en las pruebas de penetración basadas en amenazas de la entidad, si le corresponde hacerlas.
Derechos ilimitados para la entidad, para un tercero que designe y para su supervisor. Con el alcance, el procedimiento y la frecuencia detallados, y con la posibilidad de pactar garantías alternativas cuando se vean afectados los derechos de otros clientes.
Un periodo transitorio suficiente y obligatorio en el que sigues prestando el servicio mientras la entidad se va a otro proveedor o lo asume ella.
Cuando termines, sigues con «El caso: el anexo de Liquidia».