1. Partes intervinientes
1.1 De una parte: la entidad contratante y encargada de la prestación de los Servicios (en adelante, “INVOFOX”):
- INVOFOX, Inc., sociedad de nacionalidad estadounidense, inscrita en el Registro Mercantil de Delaware bajo el número 7218056, con domicilio a estos efectos en 251 Little Falls Drive, Wilmington, Condado de New Castle, DE 19808, Delaware (Estados Unidos), y con correo electrónico support@invofox.com.
- INVOFOX INC SUCURSAL EN ESPAÑA, sucursal de nacionalidad española, con NIF número W0265699I, con domicilio en calle Aranjuez 2, local, 28039 Madrid (España), y con correo electrónico support@invofox.com.
El CLIENTE contratará los Servicios con la entidad que se designe en la Orden de Compra.
1.2 De otra parte: el CLIENTE, persona jurídica que contrata los Servicios de INVOFOX.
1.3 En adelante, INVOFOX y el CLIENTE serán referidos conjuntamente como las “Partes” e individualmente como la “Parte”.
1.4 Las Partes se reconocen mutua y recíprocamente capacidad jurídica suficiente para contratar y llevar a cabo sus obligaciones.
2. Objeto del acuerdo
2.1 Las Partes acuerdan celebrar el presente acuerdo de encargado de tratamiento de datos al objeto de regular las operaciones de tratamiento de datos personales por parte de INVOFOX, establecer el procedimiento que regirá el tratamiento de los datos personales, así como los derechos, responsabilidades y obligaciones inherentes en calidad de encargado del tratamiento de datos (en adelante, el «Acuerdo de Encargado de Tratamiento de Datos» o el “Acuerdo”).
2.2 Con base en la relación contractual establecida y la naturaleza de los servicios de INVOFOX, el CLIENTE es el responsable de los datos (en adelante también, el “RESPONSABLE”) e INVOFOX el encargado de su tratamiento (en adelante también, el “ENCARGADO”).
2.3 Las Partes convienen que el presente Acuerdo de Encargado de Tratamiento de Datos se rija por el Reglamento General de Protección de Datos de la UE 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (en adelante, “RGPD”), y la Ley Orgánica 3/2018 del 5 de diciembre, de Protección de Datos de Carácter Personal y Garantía de los Derechos Digitales (en adelante, la “LOPDGDD”), así como por la normativa aplicable al efecto y los demás términos establecidos en el Acuerdo de Encargado de Tratamiento de Datos.
2.4 La firma de la Orden de Compra por parte del CLIENTE conlleva la aceptación íntegra del Acuerdo de Encargado de Tratamiento de Datos, salvo que INVOFOX haya aceptado expresamente su modificación por escrito.
3. Objeto del tratamiento
Mediante el presente Acuerdo de Encargado de Tratamiento de Datos se habilita al ENCARGADO para tratar por cuenta del RESPONSABLE los datos de carácter personal necesarios para la prestación de los servicios de INVOFOX. El tratamiento consistirá, principalmente, en:
- La digitalización y procesamiento de los Documentos que el RESPONSABLE remita al ENCARGADO por los diferentes canales habilitados al efecto.
- El almacenamiento de dichos Documentos remitidos por el RESPONSABLE, y de los datos procesados en servidores de almacenamiento gestionados por el ENCARGADO que serán accesibles en todo momento por ambas Partes a través de la Plataforma INVOFOX.
- La prestación de un servicio de mantenimiento y soporte de la Plataforma INVOFOX.
- La generación y utilización de datos estadísticos con el fin de mejorar los servicios prestados por el ENCARGADO.
4. Duración del tratamiento
4.1 El tratamiento de datos personales objeto del presente Acuerdo de Encargado de Tratamiento de Datos se realizará durante todo el periodo de vigencia del Contrato.
4.2 Una vez producida la terminación del Contrato por cualquier causa, el ENCARGADO podrá conservar los datos personales durante los plazos de retención previstos en la cláusula 7.p) del presente Acuerdo de Encargado de Tratamiento de Datos y en la cláusula 13.2 de los Términos y Condiciones Generales de Contratación, así como durante los plazos legales de conservación que resulten aplicables. Transcurridos dichos plazos, el ENCARGADO procederá conforme a lo dispuesto en las cláusulas indicadas.
5. Identificación de la información afectada
5.1 El RESPONSABLE pone a disposición del ENCARGADO la información contenida en los Documentos objeto de los servicios de procesamiento y digitalización, cuya enumeración meramente enunciativa pero no exhaustiva es la siguiente:
- Datos de identificación, tales como: nombres y apellidos, números DNI, números pasaporte, números NIF, números de la seguridad social, números de mutualidades, tarjetas sanitarias de entidades públicas y privadas, fechas de nacimiento, firmas, direcciones de correos electrónicos, números de teléfono, números de cuentas bancarias, direcciones IP, etc.
- Datos profesionales o de empleo, tales como: categorías profesionales, cargos y puestos de trabajo, experiencias profesionales, habilitaciones profesionales, licencias, datos de colegios profesionales, salarios, retribuciones, retenciones, altas y bajas, permisos, etc.
- Datos académicos, tales como: titulaciones, historiales académicos, formaciones específicas, etc.
- Otros datos, tales como: nombres de usuario y contraseñas de los Usuarios Autorizados, zonas geográficas y datos de uso de la Plataforma.
5.2 El RESPONSABLE, en su condición de responsable del tratamiento, es el único competente para determinar la tipología efectiva de datos personales que pone a disposición del ENCARGADO a través de los Documentos. El ENCARGADO no controla, no revisa de forma sistemática y no asume responsabilidad alguna sobre la concreta tipología de información personal contenida en los Documentos remitidos por el RESPONSABLE.
En este sentido, en ningún caso el RESPONSABLE pondrá a disposición del ENCARGADO Documentos que contengan categorías especiales de datos personales en los términos del artículo 9 del RGPD (datos que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas o la afiliación sindical; datos genéticos; datos biométricos dirigidos a identificar de manera unívoca a una persona física; datos relativos a la salud; o datos relativos a la vida sexual o la orientación sexual), ni datos personales en los términos del artículo 10 del RGPD (datos relativos a condenas e infracciones penales), salvo previo acuerdo expreso y por escrito entre las Partes en el que se establezcan las medidas técnicas y organizativas reforzadas y las garantías adicionales que resulten aplicables. El RESPONSABLE mantendrá indemne al ENCARGADO frente a cualesquiera reclamaciones, daños, perjuicios, sanciones o costes derivados del incumplimiento de la presente obligación.
5.3 Las categorías de interesados cuyos datos personales pueden ser objeto de tratamiento bajo el presente Acuerdo de Encargado de Tratamiento de Datos son determinadas exclusivamente por el RESPONSABLE en función de la naturaleza, contenido y origen de los Documentos que ponga a disposición del ENCARGADO. En ningún caso corresponderá al ENCARGADO la determinación de las categorías de interesados ni asumirá responsabilidad alguna sobre las mismas, siendo dicha determinación competencia íntegra y exclusiva del RESPONSABLE.
6. Obligaciones del RESPONSABLE
- a. Aplicar y respetar el RGPD, la LOPDGDD y toda la normativa aplicable en materia de protección de datos.
- b. En el momento de la recogida de los datos personales, facilitar a los interesados por las operaciones de tratamiento la información requerida por el RGPD.
- c. En la medida de lo posible, convertir los datos en anónimos o pseudónimos y, en cualquier caso, entregar al ENCARGADO del tratamiento únicamente los datos a los que se refiere la Cláusula 5.
- d. En los casos que proceda de conformidad con la normativa aplicable en materia de protección de datos, realizar una evaluación del impacto en la protección de datos personales de las operaciones de tratamiento a realizar por el ENCARGADO.
- e. En los casos que proceda de conformidad con la normativa aplicable en materia de protección de datos, realizar las consultas previas que corresponda.
- f. Supervisar el tratamiento, incluida la realización de auditorías e inspecciones del ENCARGADO del tratamiento.
- g. Velar, de forma previa y durante todo el tratamiento, por el cumplimiento de la normativa vigente por parte del ENCARGADO.
7. Obligaciones del ENCARGADO
- a. Utilizar los datos personales objeto de tratamiento, o los que recoja para su inclusión, sólo para la finalidad objeto de este encargo. En ningún caso, el ENCARGADO podrá utilizar los datos para fines propios, a excepción de lo contemplado en la Cláusula 10.4 de los Términos y Condiciones Generales de Contratación.
- b. Tratar los datos de acuerdo con las instrucciones del RESPONSABLE. Si el ENCARGADO considera que alguna de las instrucciones infringe el RGPD, la LOPDGDD o cualquier otra normativa aplicable en materia de protección de datos, el ENCARGADO informará inmediatamente al RESPONSABLE.
c. Llevar por escrito un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del RESPONSABLE, que contenga:
- i. El nombre y los datos de contacto del ENCARGADO y de cada RESPONSABLE por cuenta del cual actúe el ENCARGADO y, en su caso, del representante del RESPONSABLE o del ENCARGADO y del delegado de protección de datos.
- ii. Las categorías de tratamientos efectuados por cuenta de cada RESPONSABLE.
- iii. En su caso, las transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el párrafo segundo de artículo 49.1 del RGDP, la documentación de garantías adecuadas.
- iv. Una descripción general de las medidas técnicas y organizativas de seguridad relativas a: la seudonimización y el cifrado de datos personales; la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico; y el proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
- d. No comunicar los datos a terceras personas, salvo que cuente con la autorización expresa del RESPONSABLE del tratamiento, en los supuestos legalmente admisibles. El ENCARGADO puede comunicar los datos a otros encargados del tratamiento del mismo RESPONSABLE, de acuerdo con las instrucciones del RESPONSABLE. En este caso, el RESPONSABLE identificará, de forma previa y por escrito, la entidad a la que se deben comunicar los datos, los datos a comunicar y las medidas de seguridad a aplicar para proceder a la comunicación. Si el ENCARGADO debe transferir datos personales a un tercer país o a una organización internacional, en virtud del Derecho de la Unión o de los Estados miembros que le sea aplicable, informará al RESPONSABLE de esa exigencia legal de manera previa, salvo que tal Derecho lo prohíba por razones importantes de interés público.
- e. El RESPONSABLE autoriza al ENCARGADO a subcontratar las prestaciones necesarias para la prestación del Servicio de Plataforma con las entidades que en cada momento figuren en el listado actualizado de subencargados accesible a través del Invofox’s Trust Center: https://trust.invofox.com (en adelante, el “Listado de Subencargados”). El ENCARGADO se compromete a mantener actualizado el Listado de Subencargados y a notificar al RESPONSABLE, con una antelación mínima de quince (15) días naturales, la incorporación o sustitución de cualquier subencargado, a través de su publicación en el referido enlace o, en su caso, a través del correo electrónico designado por el RESPONSABLE al ENCARGADO en los Términos y Condiciones Generales de Contratación. La entidad subcontratada, que también tiene la condición de encargado, está obligada igualmente a cumplir las obligaciones establecidas en el presente Acuerdo y las instrucciones que dicte el RESPONSABLE. Corresponde al ENCARGADO inicial regular la nueva relación, de forma que el nuevo ENCARGADO quede sujeto a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad…) y con los mismos requisitos formales que él, en lo referente al adecuado tratamiento de los datos personales y a la garantía de los derechos de las personas afectadas. En el caso de incumplimiento por parte del subencargado, el ENCARGADO inicial seguirá siendo plenamente responsable ante el RESPONSABLE en lo referente al cumplimiento de las obligaciones. En tal caso, la subcontratación podrá llevarse a cabo si el RESPONSABLE no manifiesta su oposición de forma justificada por motivos razonables de protección de datos en el plazo de quince (15) días naturales a contar desde que el ENCARGADO haya comunicado por escrito la subcontratación. El ENCARGADO del tratamiento podrá encargar libremente la realización total o parcial del tratamiento a cualquier empresa del mismo grupo, que él controla o es controlado por él, de conformidad con el artículo 42 del Código de Comercio.
- f. Mantener el deber de secreto respecto a los datos de carácter personal a los que haya tenido acceso en virtud del presente encargo, incluso después de que finalice su objeto.
- g. Garantizar que las personas autorizadas para tratar datos personales se comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes, de las que hay que informarles convenientemente.
- h. Mantener a disposición del RESPONSABLE la documentación acreditativa del cumplimiento de la obligación establecida en el apartado anterior.
- i. Garantizar la formación necesaria en materia de protección de datos de las personas autorizadas para tratar datos personales.
- j. En la medida de lo posible, asistir al RESPONSABLE en la respuesta al ejercicio de los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento, portabilidad de datos, y a no ser objeto de decisiones individuales automatizadas. Cuando las personas afectadas ejerzan directamente ante el ENCARGADO los derechos de acceso, rectificación, supresión y oposición, limitación del tratamiento, portabilidad de datos, y a no ser objeto de decisiones individuales automatizadas, el ENCARGADO debe comunicarlo por correo electrónico al RESPONSABLE. La comunicación debe hacerse de forma inmediata y en ningún caso más allá del día laborable siguiente al de la recepción de la solicitud, juntamente, en su caso, con otras informaciones que puedan ser relevantes para resolver la solicitud.
- k. En el momento de la recogida de los datos, el ENCARGADO debe facilitar la información relativa a los tratamientos de datos que se van a realizar.
- l. Notificar al RESPONSABLE, sin dilación indebida y, en cualquier caso antes del plazo máximo de cuarenta y ocho (48) horas, a través del correo electrónico designado por el RESPONSABLE al ENCARGADO en los Términos y Condiciones Generales de Contratación, las violaciones de la seguridad de los datos personales a su cargo de las que tenga conocimiento, juntamente con toda la información relevante para la documentación y comunicación de la incidencia de conformidad con la normativa aplicable en materia de protección de datos. No será necesaria la notificación cuando sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas.
- m. Dar apoyo cuando proceda al RESPONSABLE en la realización de las evaluaciones de impacto relativas a la protección de datos.
- n. Poner a disposición del RESPONSABLE toda la información necesaria para demostrar el cumplimiento de sus obligaciones.
o. En todo caso, deberá implantar mecanismos para:
- i. Garantizar la confidencialidad, integridad, disponibilidad y resiliencia cuasipermanentes de los sistemas y servicios de tratamiento.
- ii. Restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico.
- iii. Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento.
- p. De conformidad con lo establecido en los Términos y Condiciones Generales de Contratación, una vez terminado el Contrato, el CLIENTE dispondrá del plazo de tres (3) meses para consultar y descargar de la Plataforma los Datos Extraídos. Una vez transcurrido el plazo de plazo de tres (3) meses, INVOFOX no tendrá la obligación de almacenar los Datos Extraídos, incluidos los datos personales, y cualesquiera Documentos del CLIENTE y podrá eliminarlos. En su caso, transcurrido el plazo de tres (3) meses, a solicitud, expresa y escrita del RESPONSABLE, el ENCARGADO suprimirá todos los datos personales o los devolverá al RESPONSABLE, y destruirá las copias existentes, a menos que el Derecho de la Unión Europea o del Estado miembro exija la conservación de los datos personales.
8. Responsabilidades del ENCARGADO
8.1 El ENCARGADO será considerado RESPONSABLE en el caso de que destine los datos a otra finalidad, los comunique o los utilice incumpliendo el presente Acuerdo de Encargado de Tratamiento de Datos. En estos casos, el ENCARGADO responderá de las infracciones en que hubiera incurrido personalmente.
8.2 El ENCARGADO indemnizará al RESPONSABLE por los daños y perjuicios directos y previsibles que pudieran resultar del incumplimiento de las obligaciones contraídas en virtud del presente Acuerdo de Encargado de Tratamiento de Datos, de conformidad con y dentro de los límites previstos en la cláusula 11.3 de los Términos y Condiciones Generales de Contratación, que las Partes acuerdan resultarán igualmente aplicables al presente Acuerdo de Encargado de Tratamiento de Datos.
8.3 INVOFOX cuenta con un seguro de responsabilidad civil vigente con una compañía solvente de reconocido prestigio. Entre otras, la póliza incluye (1) una cobertura por responsabilidad civil derivada de la vulneración de datos de carácter personal y (2) otra cobertura por sanciones por vulneración de datos de carácter personal.
9. Notificaciones
9.1 Las notificaciones entre las Partes en relación con el Acuerdo de Encargado de Tratamiento de Datos se realizarán por escrito a través de correo electrónico.
9.2 Las notificaciones que tengan como destinatario al CLIENTE se realizarán a la dirección de correo electrónico designada por el CLIENTE en los datos de identificación del CLIENTE; las notificaciones que tengan como destinatario a INVOFOX se realizarán a la dirección de correo electrónico support@invofox.com.
9.3 Para todas las notificaciones entre las Partes, se tendrá como válida a efecto de cómputo de plazos, la fecha que conste en el sistema utilizado como fecha de envío, independientemente de la fecha a la que haya tenido acceso a ella el destinatario.
10. Transferencia internacional de datos
10.1 Las Partes acuerdan que los datos personales sólo podrán ser transferidos y/o conservados con el destinatario fuera del Espacio Económico Europeo (en adelante, el “EEE”) en un país, territorio o jurisdicción que no esté sujeto a una decisión de adecuación emitida por la Comisión Europea por excepción y sólo si es necesario para cumplir con las obligaciones del Acuerdo de Encargado de Tratamiento de Datos.
10.2 En su caso, dicha transferencia se regirá, además de por lo dispuesto en el Acuerdo de Encargado de Tratamiento de Datos, por las cláusulas contractuales tipo adoptadas mediante la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021, en el módulo que corresponda en función del flujo efectivo de datos.
Las cláusulas contractuales tipo se incorporan al presente Acuerdo de Encargado de Tratamiento de Datos por referencia.
En caso de contradicción, incongruencia o incompatibilidad entre las disposiciones del Acuerdo de Encargado de Tratamiento de Datos y las disposiciones de las cláusulas contractuales tipo, prevalecerán las disposiciones de las cláusulas contractuales tipo. Cualquier sustitución, revisión o actualización de las cláusulas contractuales tipo adoptadas de conformidad con el RGPD sustituirá automáticamente a las cláusulas contractuales tipo incorporadas al Acuerdo de Encargado de Tratamiento de Datos.
10.3 Además de la disponibilidad de una decisión de adecuación o de la adopción de cláusulas contractuales tipo, podrán aplicarse otros mecanismos previstos por la legislación aplicable en materia de protección de datos.
10.4 El RESPONSABLE acepta expresamente que los datos personales puedan ser transferidos a subencargados del tratamiento y/o almacenados por dichos subencargados fuera del EEE e incluso a o en un país, territorio o jurisdicción no cubierto por una decisión de adecuación emitida por la Comisión Europea con el fin de prestar el Servicio de Plataforma, siempre que se cumplan las condiciones de cláusulas 10.2 y 10.3 del Acuerdo de Encargado de Tratamiento de Datos.
11. Miscelánea
11.1 El Acuerdo de Encargado de Tratamiento de Datos forma parte integrante del Contrato a todos los efectos. De esta forma, la duración del presente Acuerdo de Encargado de Tratamiento de Datos queda supeditada a la duración de la relación contractual que establezcan las Partes.
En caso de que se dé cualquier contradicción, incongruencia o incompatibilidad entre los Términos y Condiciones Generales de Contratación y el Acuerdo de Encargado de Tratamiento de Datos, el Acuerdo de Encargado de Tratamiento de Datos prevalecerá en cuanto a su objeto sobre los Términos y Condiciones Generales de Contratación.
11.2 La relación jurídica que se constituye entre las Partes en concepto de RESPONSABLE y ENCARGADO del tratamiento se rige por este único Acuerdo de Encargado de Tratamiento de Datos y por la Política de Privacidad de la Plataforma INVOFOX, siendo el único contrato de encargado de tratamiento válido existente entre las Partes y sustituye a cualquier tipo de acuerdo o compromiso anterior acerca del mismo objeto, ya sea escrito o verbal, y sólo podrá ser modificado por un acuerdo firmado por ambas Partes.
11.3 Las Partes no pueden ceder todo o parte de sus derechos u obligaciones establecidos en el presente Acuerdo de Encargado de Tratamiento de Datos a cualesquiera terceras personas sin el consentimiento previo por escrito de la otra Parte.
No obstante, como única salvedad se establece que no será necesario el consentimiento previo por escrito en caso de que INVOFOX ceda total o parcialmente sus derechos u obligaciones a favor de sociedades, filiales o sucursales, sobre las que ostente el control o sean sociedades, filiales o sucursales, pertenecientes a su mismo grupo de sociedades.
11.4 Cualquier cambio de domicilio de una de las Partes deberá ser notificado a la otra de forma inmediata y por un medio que garantice la recepción del mensaje.
11.5 Si cualquiera de las cláusulas o pactos contemplados en el Acuerdo de Encargado de Tratamiento de Datos fuera nulo o anulable, ilegal o inexigible, la validez, legalidad y exigibilidad del resto de las estipulaciones no se verán afectadas o perjudicadas por aquella.
11.6 INVOFOX podrá revisar, actualizar y modificar el Acuerdo de Encargado de Tratamiento de Datos en todo momento para adaptarlo a las novedades legislativas, jurisprudenciales o de interpretación de la Agencia Española de Protección de Datos, así como reflejar los cambios que puedan surgir en la Plataforma y en los Servicios. INVOFOX informará por escrito al CLIENTE de forma previa a su entrada en vigor.
12. Delegado de Protección de Datos
Se ha designado como Delegado de Protección de Datos a la entidad Equal Consulting, S.L.P., con NIF número B86823267, dirección en calle Santa Engracia 17, planta 6, 28010 Madrid (España), correo electrónico equaldpo@equalprotecciondedatos.com y teléfono +34 914 456 569.
Fecha última revisión: mayo de 2026