Anexo II — Acuerdo de Encargo de Tratamiento de Datos

Versión 2026/27 · En vigor desde el 1 de agosto de 2026

Este Acuerdo de Encargo de Tratamiento de Datos constituye el Anexo II de las Condiciones Generales de Contratación de AON Solutions y regula el tratamiento de datos personales que AON realiza por cuenta del CLIENTE, en su condición de encargado del tratamiento, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD).

Reunidos

Este Acuerdo vincula a AON SOLUTIONS, S.L.U. (NIF B01487271, con domicilio en Calle del Duque de Wellington 52, 01010 Vitoria-Gasteiz, Álava), en adelante el ENCARGADO DEL TRATAMIENTO o AON; y al CLIENTE —la asesoría o despacho que contrata el servicio, cuya identificación (razón social, NIF y domicilio) consta en el contrato de prestación de servicios y en los datos facilitados al contratar—, en adelante el RESPONSABLE DEL TRATAMIENTO.

Ambas partes se reconocen mutuamente capacidad legal suficiente para obligarse por el presente Acuerdo.

Exponen

• Que el RESPONSABLE es una asesoría o despacho profesional dedicado a la prestación de servicios de gestión fiscal, laboral y contable a favor de sus propios clientes (empresas, autónomos y trabajadores).
• Que AON es la entidad titular y prestadora del servicio en la nube (SaaS) «AON Solutions», software de gestión fiscal, laboral y contable dirigido a asesorías, mediante el cual el RESPONSABLE gestiona la información de las empresas y personas a las que presta servicio.
• Que, en el marco del Contrato de prestación de servicios SaaS suscrito entre las partes y de sus Condiciones Generales de Contratación, AON puede tener acceso, por cuenta del RESPONSABLE, a datos de carácter personal cuya responsabilidad de tratamiento corresponde a este último.
• Que, en cumplimiento del artículo 28 del RGPD y de la Ley Orgánica 3/2018 (LOPDGDD), las partes formalizan el presente Acuerdo de Encargo de Tratamiento, que se incorpora como Anexo II a las Condiciones Generales, formando con ellas un único cuerpo contractual y prevaleciendo sobre cualquier estipulación del Contrato que pudiera resultar contradictoria en materia de protección de datos.

Primera. Objeto y duración del tratamiento

El presente Acuerdo tiene por objeto habilitar a AON, en su condición de encargado del tratamiento, para tratar por cuenta del RESPONSABLE los datos de carácter personal necesarios para la prestación del servicio SaaS de gestión contable, fiscal, laboral y de facturación de las empresas y personas gestionadas por el RESPONSABLE, en los términos descritos en la Cláusula Tercera.

El tratamiento se realizará durante la vigencia del Contrato de prestación de servicios suscrito entre las partes. A la finalización de éste, por cualquier causa, resultará de aplicación lo dispuesto en la Cláusula Novena (devolución y supresión de datos).

Segunda. Naturaleza y finalidad del tratamiento

La naturaleza del tratamiento consiste en el alojamiento, almacenamiento, procesamiento y puesta a disposición de datos personales a través de la plataforma SaaS de AON.

La finalidad del tratamiento es, única y exclusivamente, la prestación del servicio contratado por el RESPONSABLE. AON no tratará los datos personales objeto de este Acuerdo para fines propios ni distintos de los aquí previstos, ni para el entrenamiento de modelos o sistemas de inteligencia artificial, ni para la elaboración de perfiles con fines comerciales propios, ni los comunicará a terceros salvo en los supuestos de subcontratación autorizados en la Cláusula Sexta o cuando exista obligación legal. AON exigirá a todo subencargado autorizado que no utilice los datos personales para el entrenamiento de modelos de inteligencia artificial ni para la elaboración de perfiles con fines comerciales propios, sin perjuicio del tratamiento de datos previamente anonimizados o agregados de forma que no permitan identificar al Cliente ni a persona alguna, que no tienen la consideración de datos personales.

Tercera. Tipo de datos y categorías de interesados

El tratamiento afectará a datos identificativos, económico-financieros, laborales y fiscales de las empresas gestionadas por el RESPONSABLE, así como de sus socios, administradores, empleados, clientes y proveedores.

Categorías de interesados: empleados, socios, administradores, clientes y proveedores de las empresas y personas gestionadas por el RESPONSABLE a través de la plataforma.

Categorías especiales de datos (art. 9 RGPD): las partes son conscientes de que la gestión laboral y de nóminas puede implicar el tratamiento incidental de datos relativos a la salud (por ejemplo, situaciones de incapacidad temporal, maternidad o paternidad reflejadas en los conceptos retributivos). En consecuencia, dichos datos quedarán sujetos a las siguientes medidas reforzadas: cifrado adicional de los campos correspondientes; acceso restringido exclusivamente al personal que, por razón de sus funciones, deba tratarlos; y prohibición expresa de utilizar estos datos para cualquier finalidad distinta del cálculo y gestión de la nómina.

Cuando estos datos sean tratados por un subencargado autorizado conforme a la Cláusula Sexta, AON exigirá a dicho subencargado la aplicación de medidas de seguridad adecuadas al riesgo conforme al artículo 32 del RGPD, tales como el cifrado y el control de acceso restringido.

Cuarta. Instrucciones documentadas

Las instrucciones del RESPONSABLE al ENCARGADO resultan, con carácter general, de la configuración funcional del servicio realizada por el propio RESPONSABLE (parametrización, asignación de roles de usuario, activación de módulos e integraciones), sin perjuicio de las instrucciones adicionales que el RESPONSABLE pueda cursar por escrito, incluyendo correo electrónico o el sistema de tickets de soporte habilitado por AON.

De conformidad con el artículo 28.3.h) RGPD, si AON considera que una instrucción del RESPONSABLE infringe el RGPD, la LOPDGDD o cualquier otra disposición de protección de datos, lo informará inmediatamente al RESPONSABLE, pudiendo suspender la ejecución de dicha instrucción hasta que éste la confirme, modifique o retire.

Quinta. Medidas de seguridad (art. 32 RGPD)

AON implantará y mantendrá, como mínimo, las siguientes medidas técnicas y organizativas:

• Cifrado de las comunicaciones (TLS/SSL) y de los datos en reposo.
• Control de acceso basado en roles conforme al principio de mínimo privilegio, con autenticación segura.
• Copias de seguridad periódicas de la información, con verificación regular de su capacidad de restauración.
• Gestión de vulnerabilidades y aplicación periódica de parches y actualizaciones de seguridad.
• Realización de pruebas de penetración y auditorías de seguridad con periodicidad al menos anual.
• Clasificación de la información en función de su nivel de riesgo.
• Registro de accesos (logs) y procedimiento de detección, gestión y respuesta ante incidentes de seguridad.
• Garantía de confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento, así como capacidad de restaurar la disponibilidad y el acceso a los datos de forma rápida en caso de incidente físico o técnico.

Sexta. Subcontratación (subencargados de tratamiento)

De conformidad con el artículo 28.2 RGPD, el RESPONSABLE otorga a AON una autorización general y documentada para subcontratar a los subencargados que resulten necesarios para la prestación del servicio, siempre que dichos subencargados queden sujetos, mediante contrato u otro acto jurídico, a obligaciones de protección de datos equivalentes a las establecidas en el presente Acuerdo.

Procedimiento de notificación de cambios: AON notificará al RESPONSABLE cualquier alta, baja o sustitución de subencargados con la mayor antelación posible y, en todo caso, con una antelación mínima de treinta (30) días naturales a su efectividad cuando la decisión dependa de AON. Cuando el cambio provenga de una decisión o comunicación de un subencargado de AON, esta trasladará la comunicación al RESPONSABLE en un plazo máximo de cinco (5) días hábiles desde su recepción, mediante comunicación a la dirección de contacto designada por el RESPONSABLE o publicación en el portal/panel de cliente.

Plazo de oposición: el RESPONSABLE dispondrá de un plazo de quince (15) días naturales desde la notificación para oponerse motivadamente al cambio, indicando el riesgo concreto que dicho cambio genera para la protección de datos. Transcurrido dicho plazo sin oposición expresa, el cambio se entenderá aceptado. En caso de oposición justificada, las partes negociarán de buena fe una solución alternativa; de no alcanzarse acuerdo, el RESPONSABLE podrá resolver el Contrato en la parte afectada por el cambio, sin penalización.

A los efectos de esta cláusula, y en la medida en que AON pueda imponerlo contractualmente a sus subencargados, se considerará también alta de subencargado el acceso a los datos por cualquier entidad del grupo empresarial de un subencargado ya autorizado que no hubiera sido previamente identificada en la tabla siguiente, resultando de aplicación el mismo procedimiento de notificación y oposición previsto en los párrafos anteriores. Cuando un subencargado se hubiera reservado contractualmente la facultad de recurrir a entidades de su grupo sin notificación previa, AON lo hará constar en la tabla siguiente y garantizará que cualquier tratamiento resultante fuera del Espacio Económico Europeo quede amparado por un mecanismo de transferencia del Capítulo V del RGPD.

Listado actual de subencargados:

Séptima. Auditorías y rendición de cuentas (art. 28.3.h RGPD)

AON pondrá a disposición del RESPONSABLE toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente Acuerdo y en el artículo 28 RGPD, principalmente mediante:

• El acceso a las certificaciones vigentes de las que AON disponga (por ejemplo, ISO/IEC 27001, SOC 2 u otras equivalentes).
• Los informes de auditorías de seguridad realizadas por terceros independientes.
• La respuesta a cuestionarios de seguridad y protección de datos que el RESPONSABLE remita, con una periodicidad máxima de una vez al año, salvo que se haya producido un incidente de seguridad que justifique una solicitud adicional.

El presente Acuerdo no reconoce al RESPONSABLE un derecho de auditoría presencial (in situ) ilimitado. Cualquier auditoría presencial adicional deberá acordarse por escrito entre las partes, con un preaviso mínimo de treinta (30) días hábiles, sin perturbar el normal funcionamiento del servicio, y podrá repercutirse al RESPONSABLE el coste razonable en que incurra AON para su realización.

Octava. Transferencias internacionales de datos

Cuando el tratamiento implique una transferencia de datos personales fuera del Espacio Económico Europeo, deberá garantizarse la concurrencia de alguno de los mecanismos previstos en el Capítulo V RGPD: decisión de adecuación de la Comisión Europea (art. 45 RGPD), garantías adecuadas conforme al art. 46 RGPD —en particular, cláusulas contractuales tipo aprobadas mediante la Decisión de Ejecución (UE) 2021/914 de la Comisión— o, subsidiariamente, alguna de las excepciones tasadas del art. 49 RGPD.

Queda acreditado que, a la fecha de aceptación, Invofox trata los datos exclusivamente en la Unión Europea (según el Anexo 1 de su acuerdo: Amazon AWS, Microsoft Azure y MongoDB Atlas, en regiones de la UE). El acuerdo suscrito entre AON e Invofox exige que cualquier tratamiento o almacenamiento fuera del Espacio Económico Europeo, incluido el realizado por entidades de su grupo, quede amparado por las cláusulas contractuales tipo aprobadas por la Comisión Europea (art. 46 RGPD). AON pondrá a disposición del RESPONSABLE, a su solicitud, la documentación acreditativa de dicho mecanismo.

Novena. Devolución y supresión de datos al término de la prestación

A la finalización de la prestación del servicio, por cualquier causa, AON pondrá a disposición del RESPONSABLE una herramienta de exportación de sus datos en un formato estructurado, de uso común y lectura mecánica, sin coste adicional, durante un plazo de treinta (30) días naturales desde la fecha de finalización del Contrato. Dicho plazo se ampliará, sin coste adicional, por el tiempo que el RESPONSABLE acredite razonablemente necesario, hasta un máximo de treinta (30) días naturales adicionales (sesenta [60] días naturales en total desde la finalización), exclusivamente para la extracción de los datos, en los mismos términos previstos en las Condiciones Generales del Contrato.

Transcurrido dicho plazo, AON procederá a la supresión de los datos personales y de todas las copias existentes, salvo que una norma del Derecho de la Unión Europea o de un Estado miembro exija su conservación (por ejemplo, los plazos de prescripción tributaria, laboral o mercantil aplicables), en cuyo caso AON garantizará la confidencialidad de dichos datos y se abstendrá de tratarlos activamente hasta su destrucción definitiva.

Décima. Violaciones de seguridad de los datos

AON notificará al RESPONSABLE, sin dilación indebida y en todo caso en un plazo máximo de setenta y dos (72) horas desde que tenga conocimiento de ellas, las violaciones de la seguridad de los datos personales, junto con toda la información relevante para su documentación y, en su caso, comunicación a la Autoridad de control y a los interesados afectados. Esta obligación de notificación no implicará por sí sola el reconocimiento de responsabilidad por parte de AON cuando la violación sea atribuible a causas ajenas a su control o a instrucciones del propio RESPONSABLE.

Undécima. Responsabilidad

AON solo será responsable de los daños y perjuicios directamente imputables al incumplimiento de las obligaciones que el RGPD atribuye expresamente a los encargados del tratamiento, o cuando haya actuado al margen de las instrucciones lícitas del RESPONSABLE o contraviniéndolas.

Lo anterior se entiende sin perjuicio de lo dispuesto en el artículo 82 RGPD, conforme al cual AON, en su condición de encargado del tratamiento, podrá ser considerado responsable de los daños y perjuicios causados por el tratamiento directamente frente a los propios interesados (incluidos los empleados, socios, administradores, clientes y proveedores de las empresas gestionadas por el RESPONSABLE) cuando no haya cumplido las obligaciones del RGPD dirigidas específicamente a los encargados o haya actuado al margen o en contra de las instrucciones lícitas del RESPONSABLE. Esta responsabilidad frente a los interesados opera con independencia de cualquier límite o reparto de responsabilidad que las partes hayan pactado entre sí, el cual únicamente surte efectos en sus relaciones internas.

De conformidad con el artículo 82.4 RGPD, cuando AON haya pagado una indemnización total por los daños y perjuicios sufridos por un interesado, tendrá derecho a reclamar del RESPONSABLE la parte de la indemnización correspondiente a la parte de responsabilidad que le sea imputable a este por el daño causado, en la medida en que dicho daño derive de instrucciones del RESPONSABLE o de circunstancias de las que este deba responder.

Duodécima. Confidencialidad

AON garantizará que las personas autorizadas para tratar datos personales se hayan comprometido, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes, obligación que subsistirá aun después de finalizada su relación con AON.

Decimotercera. Ley aplicable y jurisdicción

El presente Acuerdo se rige por la legislación española, en particular por el Reglamento (UE) 2016/679 y la Ley Orgánica 3/2018. Para la resolución de cualquier controversia derivada de su interpretación o cumplimiento, las partes, con renuncia a su propio fuero, se someten a los Juzgados y Tribunales que resulten competentes conforme a lo pactado en el Contrato de prestación de servicios del que este Anexo forma parte.

Aceptación

Este Anexo II forma parte integrante de las Condiciones Generales de Contratación y se entiende aceptado por el CLIENTE en el mismo acto en que acepta dichas Condiciones, sin necesidad de firma independiente, de conformidad con el artículo 28.9 del RGPD, que admite la formalización del encargo de tratamiento por escrito, inclusive en formato electrónico. La identificación del CLIENTE como RESPONSABLE resulta de los datos facilitados en la contratación del servicio.