PAUTAS PARA PROVEEDORES Y SUBCONTRATISTAS

Última actualización: 23 de octubre de 2026

1. OBJETO

En toda organización existe información confidencial, en mayor o menor grado, cuya pérdida o uso indebido puede dañar su reputación. Asimismo, el deterioro o indisponibilidad de los sistemas de información puede interrumpir el normal desarrollo de la operativa, produciendo efectos negativos en la calidad del servicio.

Este documento describe lo que Madrija Consultoría (en adelante, MADRIJA) espera de las empresas proveedoras que trabajan para ella en materia de calidad, medio ambiente y seguridad de la información, conforme a su Sistema de Gestión Integrado (ISO 9001, ISO 13485, ISO 14001, ISO 27001 y Esquema Nacional de Seguridad). Su finalidad es proteger la confidencialidad, integridad y disponibilidad de la información y de los sistemas de MADRIJA, y fomentar el uso de buenas prácticas.

Las empresas proveedoras se responsabilizan de informar de estas normas a las personas que destinen a prestar sus servicios para MADRIJA, así como de obtener su compromiso de cumplirlas y respetarlas.

2. ALCANCE

Este documento se aplica a todas las empresas proveedoras que prestan servicios a MADRIJA, vinculadas a través del correspondiente contrato o pedido, y a cualquier empresa o tercero que, para la prestación de servicios a MADRIJA, utilice sus sistemas de información o tenga acceso a sus recursos informáticos.

Los apartados 3 y 7 se aplican a todos los proveedores. Los apartados 4, 5 y 6 se aplican según el producto o servicio que presten.

3. REQUISITOS GENERALES PARA TODOS LOS PROVEEDORES

  • Cumplir lo establecido en el contrato o pedido y la legislación vigente aplicable a su actividad.
  • Comunicar a MADRIJA, antes de implantarlo, cualquier cambio que pueda afectar al producto o servicio prestado.
  • Comunicar a MADRIJA cualquier incidencia o incumplimiento que afecte al servicio.
  • Si subcontratan parte del servicio, trasladar a sus subcontratistas los requisitos de este documento y responder de su cumplimiento.
  • Facilitar la información que MADRIJA les solicite para evaluar su desempeño.

4. REQUISITOS DE CALIDAD (ISO 9001 / ISO 13485)

  • Entregar los productos y servicios conforme a los requisitos acordados con MADRIJA en el pedido o contrato.
  • Disponer de los medios y la competencia necesarios para prestar el servicio con la calidad acordada.
  • Cuando el producto o servicio pueda afectar al producto sanitario de MADRIJA, firmar los acuerdos de calidad que MADRIJA requiera, notificar los cambios antes de implantarlos y permitir la verificación del producto o servicio suministrado.
  • Conservar los registros que permitan demostrar la conformidad del producto o servicio y ponerlos a disposición de MADRIJA cuando los solicite.

5. REQUISITOS AMBIENTALES (ISO 14001)

  • Cumplir la legislación ambiental aplicable a su actividad.
  • Prevenir la contaminación y reducir los residuos y el consumo de recursos en la prestación del servicio.
  • Gestionar los residuos que genere a través de gestores autorizados y facilitar a MADRIJA los justificantes cuando los solicite.
  • Cuando trabajen en las instalaciones de MADRIJA, seguir sus pautas ambientales, incluida la correcta segregación de residuos.
  • Comunicar a MADRIJA cualquier incidente ambiental relacionado con el servicio que presten.

6. REQUISITOS DE SEGURIDAD DE LA INFORMACIÓN (ISO 27001 / ENS)

Recomendaciones de seguridad a cumplir por las empresas proveedoras

  • Llevar a cabo un análisis de riesgos periódico que permita mantener una adecuada visión de los riesgos de seguridad de la información a los que están expuestos los activos y desarrollar las medidas necesarias para limitar y reducir dichos riesgos, definiendo las medidas de seguridad a establecer. Desarrollar una completa normativa de seguridad que regule las condiciones en las que la empresa, dentro del alcance establecido, debe desarrollar su actividad para respetar los requerimientos de seguridad establecidos.
  • Destinar los recursos y medios necesarios para desarrollar todas las medidas de seguridad que se determinen, manteniendo un adecuado balance entre coste y beneficio.
  • Establecer un plan de formación y concienciación en materia de seguridad de la información que ayude a todo el personal implicado a conocer y cumplir las medidas de seguridad establecidas y a participar de forma proactiva en la gestión de la seguridad de la información.
  • Desarrollar todas las medidas necesarias para garantizar la adecuada gestión de los incidentes de seguridad que puedan producirse, y que permitan la resolución tanto de las incidencias menores como de las situaciones que puedan poner en riesgo la continuidad de las actividades contempladas.
  • Establecer periódicamente un conjunto de objetivos e indicadores en materia de seguridad de la información que permitan el adecuado seguimiento de la evolución de la seguridad dentro de la empresa.
  • Establecer una metodología de revisión, auditoría y mejora continua del sistema, siguiendo un ciclo PDCA que garantice el mantenimiento continuo de los niveles de seguridad deseados.
  • Proteger la información confidencial perteneciente o cedida por terceros de toda revelación no autorizada, modificación, destrucción o uso incorrecto, ya sea accidental o no.
  • Proteger todos los sistemas de información y redes de telecomunicaciones contra accesos o usos no autorizados, interrupciones de operaciones, destrucción, mal uso o robo.
  • Los usuarios protegerán la información confidencial a la que tienen acceso, contra revelaciones no autorizadas o accidentales, modificación, destrucción o mal uso, cualquiera que sea el soporte en que se encuentre contenida esa información.
  • Se guardará por tiempo indefinido la máxima reserva y no se emitirá al exterior información confidencial en cualquier tipo de soporte, salvo que esté debidamente autorizado.
  • Se utilizará el menor número de informes en formato papel que contengan información confidencial y se mantendrán los mismos en lugar seguro y fuera del alcance de terceros.
  • Garantizar el cumplimiento de la legislación vigente en materia de datos de carácter personal.
  • Garantizar las medidas de seguridad físicas.
  • Revisión continua de funcionamiento de antivirus, análisis de rendimiento de los sistemas y capacidad.
  • Mantener los sistemas al día con las últimas actualizaciones de seguridad disponibles.
  • Realizar de forma periódica un análisis de vulnerabilidades de sus propios sistemas y corregir las que se detecten.
  • Comunicar a MADRIJA, sin dilación indebida, cualquier incidente de seguridad o brecha de datos personales que afecte a la información de MADRIJA o de sus clientes, a través del contacto que se indique en el contrato o pedido.

Prohibiciones

  • No buscar ni explotar vulnerabilidades en las aplicaciones, equipos o sistemas de MADRIJA o de sus clientes, salvo autorización expresa y por escrito.
  • No intentar destruir, alterar, inutilizar o cualquier otra forma de dañar los datos, programas o documentos electrónicos. Estos actos podrían constituir un delito de daños, según la legislación vigente.
  • No albergar datos de carácter personal en las unidades locales de disco de los puestos (ordenadores personales) de usuario.

7. EVALUACIÓN DE PROVEEDORES

MADRIJA evalúa a sus proveedores al menos una vez al año, atendiendo a los siguientes criterios:

  • Resolución de incidencias.
  • Cumplimiento contractual.
  • Conocimientos técnicos.
  • Problemas de seguridad.
  • Disponibilidad del servicio.
  • Cumplimiento de los requisitos de calidad, medio ambiente y seguridad de la información que MADRIJA les comunique.

El resultado de la evaluación puede dar lugar a medidas de mejora acordadas con el proveedor o a que MADRIJA no le encargue nuevos servicios.

MADRIJA podrá solicitar a sus proveedores que cumplimenten un cuestionario de cumplimiento de estos requisitos.