Resolución de 6 de abril de 2026, de la Secretaría General Técnica, por la que se publica el Convenio entre la Tesorería General de la Seguridad Social y la Asociación Española de Fintech e Insurtech, sobre intercambio de información.
Ministerio de Inclusión, Seguridad Social y Migraciones · 13 de abril de 2026
Texto
Con fecha 30 de marzo de 2026 se ha suscrito el Convenio entre la Tesorería General de la Seguridad Social y la Asociación Española de Fintech e Insurtech, sobre intercambio de información, en cumplimiento de lo dispuesto en el artículo 48.8 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, procede la publicación en el «Boletín Oficial del Estado» del citado convenio.
Madrid, 6 de abril de 2026.–El Secretario General Técnico, Plácido Vázquez García.
CONVENIO ENTRE LA TESORERÍA GENERAL DE LA SEGURIDAD SOCIAL Y LA ASOCIACIÓN ESPAÑOLA DE FINTECH E INSURTECH, SOBRE INTERCAMBIO DE INFORMACIÓN
REUNIDOS
De una parte, don Andrés Harto Martínez, Director General de la Tesorería General de la Seguridad Social, nombrado mediante Real Decreto 132/2020, de 21 de enero (BOE de 22 de enero), actuando en virtud de lo establecido en el artículo 48.2 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, y artículos 1 y 3 del Real Decreto 1314/1984, de 20 de junio, por el que se regula la estructura y competencias de la Tesorería General de la Seguridad Social.
De otra parte, don Arturo Mac Dowell González, Presidente de la Asociación Española de Fintech e Insurtech (AEFI), con DNI 00****8J, inscrita en el Registro Nacional de Asociaciones con el número nacional 611398, actuando en virtud de su nombramiento como tal por acuerdo de la Asamblea General Ordinaria celebrada en fecha 1 de julio de 2022, así como en virtud del acuerdo de otorgamiento de poderes adoptado por la Junta Directiva el 14 de febrero de 2023 que fue elevado a público mediante escritura otorgada el 8 de mayo de 2023 ante el notario de Madrid don Segismundo Álvarez Royo-Villanova bajo el número 1.476 de su protocolo.
Reconociéndose ambas partes la capacidad legal necesaria para formalizar el presente convenio, realizan la siguiente
EXPOSICIÓN DE MOTIVOS
Primero.
La necesidad de prevenir el blanqueo de capitales en el sector financiero ha llevado a los Estados a dotarse de normativas y medidas de coordinación que establezcan las actuaciones necesarias en esta materia.
De ese modo, en el ámbito europeo, el Reglamento (UE) 2024/1624 del Parlamento Europeo y del Consejo de 31 de mayo de 2024, relativo a la prevención de la utilización del sistema financiero para el blanqueo de capitales o la financiación del terrorismo, así como la Directiva (UE) 2024/1640 del Parlamento Europeo y del Consejo, de 31 de mayo de 2024, relativa a los mecanismos que deben establecer los Estados miembros a efectos de la prevención de la utilización del sistema financiero para el blanqueo de capitales o la financiación del terrorismo, por la que se modifica la Directiva (UE) 2019/1937 y se modifica y deroga la Directiva (UE) 2015/849.
En el ordenamiento jurídico español es la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, la que fija los criterios que deben seguir las entidades financieras y de crédito con respecto a la identificación de los clientes, la obtención de información sobre el propósito de la relación de negocio y el seguimiento continuo de dicha relación.
En este mismo sentido, y con mayor concreción sobre el objeto del presente convenio, los artículos 5 y 6 de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, establecen lo siguiente:
«Artículo 5. Propósito e índole de la relación de negocios.
Los sujetos obligados obtendrán información sobre el propósito e índole prevista de la relación de negocios. En particular, los sujetos obligados recabarán de sus clientes información a fin de conocer la naturaleza de su actividad profesional o empresarial y adoptarán medidas dirigidas a comprobar razonablemente la veracidad de dicha información.
Tales medidas consistirán en el establecimiento y aplicación de procedimientos de verificación de las actividades declaradas por los clientes. Dichos procedimientos tendrán en cuenta el diferente nivel de riesgo y se basarán en la obtención de los clientes de documentos que guarden relación con la actividad declarada o en la obtención de información sobre ella ajena al propio cliente.
Artículo 6. Seguimiento continuo de la relación de negocios.
Los sujetos obligados aplicarán medidas de seguimiento continuo a la relación de negocios, incluido el escrutinio de las operaciones efectuadas a lo largo de dicha relación a fin de garantizar que coincidan con el conocimiento que tenga el sujeto obligado del cliente y de su perfil empresarial y de riesgo, incluido el origen de los fondos y garantizar que los documentos, datos e información de que se disponga estén actualizados.
La referida normativa aplicable obliga a las entidades que resultan facultadas para lo siguiente:
– Adoptar medidas dirigidas a comprobar razonablemente la veracidad de la actividad declarada por los clientes, pudiendo obtener información de fuentes ajenas al cliente.
– Garantizar que los documentos, datos e información de que se disponga estén actualizados.
– Establecer “procedimientos de verificación de las actividades declaradas por los clientes”.»
Segundo.
La Tesorería General de la Seguridad Social (en adelante TGSS) es un órgano Directivo del Ministerio de Inclusión, Seguridad Social y Migraciones, adscrito a la Secretaría de Estado de la Seguridad Social y Pensiones. Es un Servicio Común de la Seguridad Social dotado de personalidad jurídica propia, al que le compete la gestión de los recursos económicos y administración financiera del sistema, en aplicación de los principios de solidaridad financiera y caja única.
El Real Decreto 1314/1984, de 20 de junio, por el que se regula la estructura y competencias de la TGSS, atribuye en su artículo 1.a) las competencias en materia de inscripción de empresas y la afiliación, altas y bajas de los trabajadores, materia regulada posteriormente por el artículo 3 del Reglamento General sobre inscripción de empresas y afiliación, altas y bajas de los trabajadores en la Seguridad Social, aprobado por el Real Decreto 84/1996, de 26 de enero. A tales efectos, en virtud de lo establecido en el artículo 52.2 apartado 1.º.b) del citado reglamento, corresponde a la TGSS el mantenimiento de un registro de trabajadores con la correspondiente identificación por cada Régimen del Sistema de la Seguridad Social, así como los beneficiarios y demás personas sujetas a la obligación de cotizar. Dicho registro está integrado en el Fichero General de Afiliación cuya titularidad ostenta asimismo este Servicio Común.
Tercero.
La Asociación Española de Fintech e Insurtech (en adelante «AEFI») es una asociación empresarial que representa los intereses del sector Fintech e Insurtech en España, cuyo fin es crear un entorno favorable para el desarrollo e implantación en España de startups y empresas Fintech e Insurtech, realizando labores de interlocución, comunicación y colaboración con los organismos y agentes relevantes del sistema para la defensa de los intereses de las empresas Fintech y de su ecosistema. Está inscrita en el Registro Nacional de Asociaciones, Sección: 1.ª, Número Nacional: 611398. Entre los asociados de AEFI, se encuentran diferentes tipos de sujetos obligados a realizar diligencia debida de clientes en función de la normativa vigente de prevención de blanqueo de capitales y financiación del terrorismo. Entre estos, sin ser exhaustivos, se encuentran diversas entidades financieras como Entidades de Crédito, Entidades de Dinero Electrónico, Entidades de Pago, Establecimientos Financieros de Crédito, Proveedores de Servicios de Cripto Activos, Agencias de Valores Empresas de Servicios de Inversión, etc.
Cuarto.
La TGSS pone a disposición de los asociados a AEFI dos procedimientos informáticos mecanizados que ha desarrollado para otros convenios de prevención del fraude, que permiten establecer un proceso diario de solicitud de datos por parte de las Entidades adheridas y de transmisión de información por la TGSS. Estos procedimientos son:
1. El Servicio de verificación de datos con consentimiento (en adelante «VEDACON»).
2. El Servicio de verificación de fuentes de ingresos (en adelante «SVFI»).
Ambos servicios facilitan a los asociados adheridos a los convenios la información que precisan de la TGSS para la identificación de los clientes y para comprobar la naturaleza de su actividad profesional o empresarial a través de un procedimiento de transmisión de ficheros que ha sustituido a la documentación aportada por el cliente, lo que ha supuesto una mejor eficiencia en tiempos, archivos, atención al público, reducción de costes y el fin de la presunción de veracidad en los datos aportados por los interesados. Estos han de autorizar expresamente dicha consulta, de no ser así, deberán solicitar las certificaciones directamente a la TGSS.
Quinto.
La TGSS, en su acción de prevención y lucha contra el fraude a la Seguridad Social, tiene interés directo en recabar información de las entidades asociadas a AEFI, respecto de aquellos fraudes detectados por estas entidades que tengan alguna relación con la Seguridad Social y, en especial, con inscripción de empresas fraudulentas y afiliación, altas y bajas de los trabajadores fraudulentos en la Seguridad Social.
Por ello, las Entidades asociadas a AEFI que se adhieran al presente acuerdo, facilitarán a la TGSS la información que se indica a continuación respecto de los fraudes e intentos de fraude detectados a la Seguridad Social señalados en el párrafo anterior:
– Identidad del solicitante del servicio, con indicación de su nombre y apellidos, razón social y NIF.
– Documentación detectada fraudulenta: Falsificación del certificado de estar al corriente de las obligaciones en la Seguridad Social, informe de vida laboral, informe de bases de cotización, así como cualquier otro documento fraudulento que se detecte.
– Breve descripción del fraude detectado.
Sexto.
Que las partes han definido unos diseños de registro y protocolo de comunicaciones semejantes a los de otros procedimientos lo que permite una puesta en funcionamiento de baja complejidad.
Séptimo.
Que en virtud de las consideraciones anteriormente señaladas las partes acuerdan suscribir el presente convenio que se regirá por las siguientes
CLÁUSULAS
Primera. Objeto del convenio.
El presente convenio tiene por objeto establecer los términos y condiciones en los que la TGSS y AEFI instrumentarán su colaboración para el buen funcionamiento del servicio VEDACON y del SVFI, así como definir sus respectivas responsabilidades.
La cesión de la información procedente de las bases de datos de la TGSS a las Entidades asociadas a AEFI tiene como finalidad exclusiva comprobar la veracidad de la información que los sujetos obligados adheridos a AEFI recaban de sus clientes, a fin de conocer la naturaleza de su actividad profesional o empresarial y que los clientes aportan con ocasión del establecimiento de las relaciones de negocio.
Por otra parte, las entidades asociadas a AEFI, en el ámbito de su actividad, colaborarán lealmente con la administración, fuerzas de seguridad del Estado y concretamente, en este caso, con la TGSS, en la prevención de fraudes que pudieran ponerse de manifiesto con ocasión de las verificaciones realizadas que son objeto del presente convenio. Conforme a ello, dichas entidades facilitarán a la TGSS la información expresada en el expositivo quinto del presente acuerdo.
Segunda. Obligaciones generales.
El presente convenio obliga a las partes firmantes y a las Entidades asociadas a AEFI adheridas a prestarse la máxima colaboración para conseguir el mejor logro de los fines perseguidos.
Además, AEFI estará obligada a recibir todas las propuestas de adhesión y enviar a la TGSS únicamente las adhesiones de empresas a las que se aplica la regulación sobre prevención de blanqueo de capitales y financiación del terrorismo. AEFI está obligada a comunicar a la TGSS la baja de asociados o si estos salen del ámbito de aplicación de la normativa de prevención de blanqueo de capital y financiación del terrorismo.
Tercera. Obligaciones de la TGSS.
La TGSS se compromete a:
a) Facilitar la adhesión de las Entidades asociadas a AEFI que lo soliciten.
b) Procesar con periodicidad diaria todos los ficheros de solicitud recibidos y contestar a los mismos en tiempo y forma.
c) Para cada NIF localizado de los enviados por las entidades asociadas a AEFI adheridas, la TGSS informará, a la fecha de la solicitud, sobre su situación de alta laboral con indicación del código de CNAE si la actividad es por cuenta propia, y de los datos de código cuenta de cotización, razón social y código de CNAE, fecha de alta con el empleador o fecha de alta en autónomos, así como el grupo de cotización del trabajador si este lo es por cuenta ajena.
Cuarta. Obligaciones de AEFI.
AEFI se compromete respecto a las Entidades asociadas a la misma a:
a) Recomendar la adhesión a este procedimiento.
b) Informar de que la utilización de los datos obtenidos es exclusivamente para los fines previstos en este convenio.
c) Informar que las peticiones que realicen a la TGSS, en todo caso, necesitarán siempre el consentimiento del interesado, se referirán, exclusivamente, a personas físicas que inician relaciones de negocio con la Entidad asociada adherida o a personas, respecto de las cuales, transcurrido un tiempo razonable, resulta necesario actualizar su información de conformidad con lo establecido en la normativa de prevención del blanqueo de capitales y de la financiación del terrorismo. El consentimiento del interesado deberá ser custodiado por las Entidades asociadas a AEFI adheridas, entregarlo a la TGSS o la Agencia de Protección de Datos cuando lo requieran, en un plazo de diez días a contar desde su solicitud. Se les comunicará las obligaciones que adquieren al disponer de la información cedida por la TGSS y que se detallan en la cláusula novena de este convenio.
d) Informar de las medidas que, en caso de uso indebido de la información facilitada por la TGSS, esta adoptará y que se recogen en la cláusula octava.
e) Comunicar que el intercambio de información deberá contemplar unas medidas de seguridad, que son las que figuran en el anexo I.
f) Facilitar la información de fraude o intentos de fraude detectados que tengan relación con la inscripción de empresas fraudulentas y la afiliación, altas y bajas de trabajadores fraudulentos en la Seguridad Social, conforme al expositivo quinto del presente acuerdo.
Quinta. Descripción de los servicios VEDACON y SVFI.
Tanto el procedimiento del servicio VEDACON como el de SVFI consisten en un proceso de periodicidad diaria por el que la Entidad asociada a AEFI previamente adherida al convenio remite un fichero con la identificación de las personas físicas, clientes con los que establecen una relación de negocio con la Entidad, para las que solicita información sobre la naturaleza de la actividad profesional o empresarial que se derive de su afiliación a la Seguridad Social.
La TGSS procesa estos ficheros con periodicidad diaria cumplimentando en el mismo fichero la información requerida.
Las partes acordarán en el seno de la Comisión Mixta de Coordinación y Seguimiento algunos detalles relativos a la ejecución del contenido del convenio (como pueden ser las vías de emisión, los detalles de los diseños y los datos de intercambio) y, en ese caso, no se requerirá una modificación del convenio sino el simple acuerdo entre partes, siempre que no afecte al contenido mínimo y esencial del convenio, el cual no puede ser objeto de modificación en la Comisión Mixta de Coordinación y Seguimiento.
En el anexo II figura el intercambio de información y la periodicidad del mismo.
Sexta. Responsabilidad por el funcionamiento del servicio VEDACON y SVFI.
Las Entidades asociadas a AEFI adheridas al presente convenio deberán adoptar las medidas técnicas y organizativas necesarias para asegurar la confidencialidad e integridad de los datos obtenidos por el VEDACON o SVFI y para garantizar su correcto funcionamiento.
Las Entidades asociadas a AEFI adheridas al presente convenio únicamente serán responsables de los intercambios telemáticos en los que participen y respecto de las tareas que realicen conforme al procedimiento descrito en el anexo II y cuyo desarrollo corresponde a la Comisión Mixta de Coordinación y Seguimiento.
Asimismo, cada Entidad asociada a AEFI se obliga a garantizar, respecto a cada solicitud que realice:
a) Que las peticiones se refieren a personas físicas que inician relaciones de negocio con la Entidad o a personas respecto de las que, transcurrido un tiempo razonable, resulta necesario actualizar su información de conformidad con lo establecido en la normativa de prevención del blanqueo de capitales y de la financiación del terrorismo.
b) Que previamente a la solicitud de información por parte de la Entidad asociada a AEFI esta dispone del correspondiente consentimiento, y acordado entre las partes (ver anexo III y anexo III.b). El consentimiento expreso del interesado podrá recabarse a través de medios electrónicos u otros mecanismos que permitan dejar constancia de un acto afirmativo claro por parte del interesado, tales como una declaración expresa, la selección voluntaria de una opción habilitada al efecto en una plataforma digital, grabación de voz en comunicaciones telefónicas o mediante mensajería SMS. En todo caso, dicho consentimiento deberá haberse obtenido con anterioridad a la solicitud de información formulada por la Entidad asociada adherida al convenio. En todo caso, la Entidad asociada deberá estar en disposición de acreditar no solo el consentimiento prestado, sino también la identidad del ciudadano que lo presta, lo que certificará a requerimiento de la TGSS o de la Agencia de Protección de datos.
c) Que se compromete a custodiar los consentimientos de los clientes. Con motivo de acciones de control o auditoría llevadas a cabo por la TGSS como titular de datos cedidos, las Entidades asociadas a AEFI adheridas están obligadas a facilitar la documentación que obra en su poder en un plazo que no podrá superar los diez días naturales desde su solicitud. Este mismo plazo también se aplicará a las peticiones que, en su caso, pudiera realizar la Agencia de Protección de Datos.
d) Que cumple con todas las características señaladas en el documento de seguridad (anexo I).
En cuanto al proceso de colaboración con la TGSS en su acción de prevención y lucha contra el fraude, las partes articularán, en cuanto sea posible, los mecanismos de comunicación telemática de la información relativa a operaciones con fraude objeto del acuerdo, que deberán ser aprobados en cuanto sea posible por la Comisión Mixta de Coordinación y Seguimiento. Hasta ese momento la comunicación será en soporte papel tratada por ambas partes de forma confidencial.
Séptima. Adhesión al convenio de las Entidades asociadas a AEFI.
Las Entidades asociadas a AEFI que estén interesadas podrán participar en el procedimiento VEDACON o SVFI previsto en el presente convenio, asumiendo los derechos y obligaciones que les corresponden en los términos y condiciones recogidos en el mismo, mediante la suscripción de un Acto de adhesión incluido en el anexo IV del presente convenio.
La suscripción del Acto de adhesión supondrá la aceptación expresa por parte de las Entidades asociadas de las condiciones y términos del presente convenio.
La Entidad asociada remitirá el Acto de adhesión y los datos de la persona responsable y del procedimiento escogido en la Entidad asociada a AEFI, para que esta proceda enviar a la TGSS únicamente las adhesiones de empresas a las que se aplica la regulación sobre prevención de blanqueo de capitales y financiación del terrorismo. La TGSS se pondrá en contacto con la Entidad asociada a AEFI a fin de determinar un plan de pruebas y puesta en producción.
Octava. Protección de datos.
Las partes se comprometen a tratar los datos personales a los que puedan tener acceso con la finalidad indicada en el presente convenio y a no utilizarlos para fines distintos de los previstos en este convenio y a no difundirlos ni cederlos a terceros, en cumplimiento con lo establecido en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, en su normativa de desarrollo así como en la normativa específica aplicable a los datos, informes o antecedentes obtenidos por la Administración de la Seguridad Social (artículo 40 el texto refundido de la Ley General de la Seguridad Social aprobado por Real Decreto Legislativo 8/2015, de 30 de octubre).
En concreto:
A. En cumplimiento del artículo 28.3.b) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, el personal que preste servicios en las Entidades asociadas a AEFI adheridas a este convenio deben tener el conocimiento de que la copia de programas y/o uso de datos personales en tareas impropias son operaciones ilegales que pueden dar lugar a responsabilidades administrativas y, en concreto, las establecidas en la normativa de protección de datos vigente en cada momento, así como a responsabilidades de cualquier otra naturaleza, incluso penales, razón por la cual cuando, por cualquier medio, se tengan indicios de la utilización de datos, con finalidad distinta a la propia gestión asignada al cesionario, o su difusión indebida, infringiendo así el deber de secreto profesional, se pondrán dichos hechos en conocimiento de la TGSS, al objeto de procurar la adopción de las medidas pertinentes entre ambas partes. Para ello, cada entidad financiera asume la responsabilidad de contar con el compromiso de confidencialidad con respecto de cada uno de sus trabajadores para el trato de datos personales. Este compromiso estará vigente durante la relación laboral y una vez terminada esta.
B. Las Entidades asociadas a AEFI adheridas a este convenio como entidades cesionarias aceptan y asumen por el presente documento que la cesión de datos se produce a los fines exclusivos que se especifican en el mismo, por lo que cualquier otro uso que se haga de dichos datos constituirá un incumplimiento del presente convenio que facultará a la TGSS para exigir las responsabilidades oportunas.
Las Entidades asociadas a AEFI adheridas a este convenio serán responsables frente a la TGSS y frente a terceros de cualquier reclamación derivada del uso indebido que se haga por los usuarios de los datos cedidos, eximiendo a la TGSS de cualquier responsabilidad a este respecto. La TGSS podrá repetir contra las Entidades cesionarias por cualquier indemnización que deba satisfacer derivada de dicho incumplimiento.
C. Las Entidades asociadas a AEFI adheridas al convenio deberán realizar las actividades de control que garanticen la debida custodia y adecuada utilización de los datos recibidos y cualquier otra actividad encaminada a garantizar la correcta forma y justificación del acceso a los ficheros en que aquellos figuren incluidos.
La Entidad cesionaria se compromete a que cada petición cursada a la TGSS quede justificada con la causa o expediente que lo hubiera motivado.
D. Si como consecuencia de las actuaciones de control o auditoría o por causa de denuncia o comunicación, se detectase cualquier tipo de irregularidad relacionada con la utilización de datos, antecedentes, registros o informes con finalidad distinta a la propia gestión del órgano cesionario, se abrirán de inmediato diligencias en orden al completo esclarecimiento y, en su caso, a la exigencia de responsabilidad con traslado, si procede, a la autoridad judicial correspondiente.
E. La TGSS por su parte, en cuanto a la información recabada de las entidades asociadas a AEFI adheridas, podrá utilizar los datos recibidos únicamente para la prevención del fraude ante dicho organismo, debiendo cumplir con todas las obligaciones establecidas al efecto por la diversa normativa que fuera de aplicación, con mención expresa a la normativa de protección de datos vigente en cada momento.
Novena. Facultades de la TGSS y sujeción de las Entidades cesionarias.
La TGSS, se reserva la facultad de:
A. Controlar, supervisar y/o auditar la utilización que se dé a los datos recibidos, para lo cual podrán llevarse a efecto controles accesorios o complementarios por la Unidad Nacional de Auditorias de la TGSS.
B. Solicitar, en cualquier momento, las aclaraciones o la información complementaria que se estime precisa o conveniente por la TGSS sobre, la custodia o la utilización de la información cedida.
C. Revisar en cualquier momento posterior al inicio de eficacia del presente convenio, las formas de acceso a los datos protegidos, y la limitación de las mismas por razones técnicas, por modificación de los contenidos de los ficheros a raíz de mejoras introducidas en los mismos, por otras razones que pudieran suponer alteración de las condiciones pactadas en este convenio.
D. Acordar la suspensión unilateral del convenio cuando advierta falta de justificación adecuada por parte de la entidad adherida respecto a la solicitud o utilización de los datos cedidos por la Tesorería General de la Seguridad Social (esta suspensión del convenio solo afectará a la entidad adherida que hubiera incumplido sus obligaciones).
E. Las Entidades cesionarias aceptan someterse a todas las actuaciones de control y supervisión que puedan acordarse por la Unidad Nacional de Auditorias de la TGSS, al objeto de verificar la adecuada obtención y utilización de la información cedida y de las condiciones normativas o convencionales que resultan de aplicación. En el anexo V se recogen los requisitos que deberán cumplir los canales y medios utilizados para la captura y custodia de la autorización de sus clientes.
Décima. Comisión Mixta de Coordinación y Seguimiento.
Con el fin de coordinar las actividades necesarias para la ejecución del presente convenio, así como para llevar a cabo su supervisión, seguimiento y control, se creará una Comisión Mixta de Coordinación y Seguimiento compuesta por dos representantes de AEFI y otros dos nombrados por el Director General de la TGSS, actuando como Presidente uno de los miembros de la TGSS.
Los dos miembros de la comisión designados por AEFI actuarán tanto en nombre propio como en representación de las Entidades asociadas a AEFI que se adhieran al convenio, las cuales otorgan su consentimiento expreso en el correspondiente Acto de Adhesión.
Corresponderá a la Comisión Mixta de Coordinación y Seguimiento:
– Acordar algunos detalles relativos a la ejecución del contenido del convenio (como pueden ser las vías de emisión, los detalles de los diseños y los datos de intercambio) y, en ese caso, no se requerirá una modificación del convenio sino el simple acuerdo entre partes, siempre que no afecte al contenido mínimo y esencial del convenio.
– Establecer los procedimientos más eficaces que posibiliten el intercambio de información. A tal fin, promoverá la supresión de los impedimentos técnicos que impidan su inmediato intercambio y colaboración.
– Velar por la correcta ejecución del convenio y resolver los problemas de interpretación que de él se deriven.
– Proponer cualquier cambio que convenga introducir en el convenio, incluidos los cambios o modificaciones en el diseño de los ficheros de intercambio de datos.
– Dirimir los conflictos o controversias que pudieran surgir en el uso de la ejecución, aplicación o interpretación de este convenio.
En calidad de asesores podrán incorporarse cualesquiera de los funcionarios o personal de AEFI o de las Entidades asociadas adheridas que se considere necesario, con derecho a voz.
La Comisión Mixta de Coordinación y Seguimiento se reunirá a instancia de cualquiera de las partes, para examinar los resultados e incidencias de la colaboración realizada.
La Comisión Mixta de Coordinación y Seguimiento se regirá en cuanto a su funcionamiento y régimen jurídico, respecto a lo no establecido expresamente en la presente cláusula, por lo dispuesto en la sección tercera del capítulo II del título preliminar de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público.
Los acuerdos adoptados por la comisión se aprobarán por mayoría. Cada uno de sus miembros dispondrá de un voto y, en caso de producirse un empate, el Presidente ejercerá su voto de calidad.
Undécima. Vigencia del convenio.
De conformidad con lo establecido en el apartado 1.º del artículo 49.h) de la Ley 40/2015, de 1 de octubre, el presente convenio tendrá una vigencia de cuatro años, desde su inscripción en el Registro Electrónico estatal de Órganos e Instrumentos de Cooperación. Asimismo, será publicado en el «Boletín Oficial del Estado», de conformidad con lo dispuesto en el artículo 48.8 de la misma norma legal. Con anterioridad a la finalización del plazo de duración previsto se podrá prorrogar el convenio, por acuerdo unánime de las partes, por un periodo de hasta cuatro años adicionales.
Duodécima. Modificación del convenio.
El presente convenio podrá modificarse por acuerdo unánime de las partes cuando resulte necesario para la mejor realización de su objeto, mediante adenda de modificación del mismo.
En este supuesto, las Entidades asociadas a AEFI deberán remitir su adhesión a la Adenda de modificación a AEFI, en el plazo máximo de un mes desde la fecha de eficacia de la adenda de modificación. La no remisión del acuerdo de adhesión en el plazo señalado implicará la resolución unilateral del convenio por parte de la Entidad asociada correspondiente.
También deberán remitir su adhesión en el caso de prórroga del convenio en los mismos términos que para la modificación.
Decimotercera. Extinción y resolución del convenio.
Además de las causas de extinción previstas en el artículo 51 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, el presente convenio podrá extinguirse por las siguientes causas específicas:
a) Por denuncia expresa de cualquiera de las partes firmantes, realizada a través de sus representantes en la Comisión Mixta de Coordinación y Seguimiento. Dicha denuncia deberá formularse con una antelación mínima de tres meses respecto a la fecha prevista de finalización del convenio.
b) Por la desaparición del objeto que motiva el convenio.
Asimismo, en caso de incumplimiento acreditado de los compromisos asumidos, cualquiera de las partes, a través de sus representantes en la Comisión Mixta de Coordinación y seguimiento, podrá instar la resolución del convenio, previa formulación de un requerimiento escrito a la parte incumplidora, concediéndole un plazo de un mes para subsanar el incumplimiento.
Decimocuarta. Naturaleza del convenio.
Este convenio tiene naturaleza administrativa, conforme a lo dispuesto especialmente para los convenios en el título preliminar, capítulo VI, de la Ley de Régimen Jurídico del Sector Público.
Por otro lado, y sin perjuicio de lo establecido en la cláusula décima, las cuestiones litigiosas surgidas por la ejecución del presente convenio serán de conocimiento y competencia del orden jurisdiccional contencioso-administrativo, de conformidad con lo previsto en la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa.
Y en prueba de conformidad, se formaliza y se firma este convenio en la fecha indicada en el pie de firma, tomándose como fecha de formalización del presente documento la fecha del último firmante.–Por la Tesorería General de la Seguridad Social, el Director General, Andrés Harto Martínez.–Por la Asociación Española de Fintech e Insurtech, el Presidente, Arturo González Mac Dowell.
ANEXO I
Documento de seguridad
1. Gestión de usuarios.
Las Entidades asociadas a AEFI deben garantizar:
– Que tienen implantados los procedimientos que permitan gestionar el ciclo de vida de sus usuarios o componentes autorizados a acceder a los servicios de cesiones de datos de la TGSS (altas, bajas, modificaciones de autorizaciones de usuarios).
– Que podrán facilitar una lista actualizada de los usuarios o componentes autorizados para realizar peticiones de datos en caso de ser solicitada por la TGSS (esto permitirá comprobar que dicha lista coincide con los datos que se encuentran en los sistemas de control de acceso de la TGSS).
– Que comunicarán cualquier variación relacionada con las personas que ha autorizado a realizar peticiones de datos. De esta forma si un empleado cambia de puesto de trabajo, en el cual no necesita dicha autorización, o causa baja como trabajador de una Entidad asociada a AEFI, será dado de baja como usuario de los servicios de cesión de datos de la TGSS.
2. Control de acceso.
Las Entidades asociadas a AEFI deben garantizar que utilizan mecanismos de control de acceso adecuados en aquellos equipos de trabajo desde los que se van a realizar peticiones de datos. De esta forma, se podrá evitar que una persona no autorizada pueda acceder al equipo de trabajo de una persona que sí ha sido autorizada.
3. Auditorias de peticiones de datos.
Las Entidades asociadas a AEFI deben garantizar que disponen de un procedimiento interno que le permita recabar toda la información necesaria para justificar la adecuación de las peticiones de datos.
4. Almacenamiento de información.
Las Entidades asociadas a AEFI garantizan que almacenan y gestionan adecuadamente la información solicitada, así como los datos necesarios que permitan justificar la petición realizada, independientemente del soporte en el que se encuentre dicha información.
5. Pruebas con datos reales.
En el caso de desarrollar aplicaciones que realicen algún tipo de tratamiento de los datos solicitados, las Entidades asociadas a AEFI deben garantizar que durante las pruebas de dichas aplicaciones no utilizarán datos reales, que puedan comprometer la confidencialidad de los mismos.
6. Información a los usuarios autorizados.
Las Entidades asociadas a AEFI deben garantizar que informarán adecuadamente a todas las personas para las que solicita la autorización de acceso a los servicios de cesión de datos de la TGSS. Como mínimo debe informar de:
1. Las responsabilidades que asumen.
2. La finalidad concreta de la autorización.
3. Que la TGSS almacena rastros de cada una de las peticiones realizadas.
4. Que en cualquier momento se podrá solicitar la justificación de peticiones de datos realizadas, de acuerdo con los requisitos legales y con la finalidad para la que se autorizó la cesión de datos.
5. Las medidas que deberá tener en cuenta para garantizar la seguridad de la información.
ANEXO II
Descripción: Intercambio de información entre la TGSS y las Entidades asociadas a AEFI, para comprobar si la persona para la que se dispone de la debida autorización se encuentra en situación de alta laboral.
Por cada registro enviado por las Entidades asociadas a AEFI adheridas al convenio, la TGSS informará, a la fecha de la solicitud, sobre su situación de alta laboral. Pudiendo devolver uno o varios registros en función del número de situaciones de alta laboral del trabajador, bien como trabajador por cuenta propia o como trabajador por cuenta ajena en cuentas de cotización reales.
Periodicidad: Diaria-Intercambio telemático de ficheros.
Tanto la vía o vías de remisión como el diseño del fichero enviado por las Entidades asociadas a AEFI, así como el de respuesta enviado por la TGSS se determinará en cada momento por la Comisión Mixta Coordinación y Seguimiento establecida en la cláusula décima del presente convenio.
ANEXO III
D. ......................................................, con DNI ............ y domicilio ..............................
Ha sido informado por la Entidad ……………………………………………….. que la legislación vigente sobre prevención de blanqueo de capitales obliga a los sujetos obligados a obtener de sus clientes la información de su actividad económica y a realizar una comprobación de la misma, tanto en el momento del establecimiento de relaciones de negocio como periódicamente para su debida actualización.
Con este exclusivo fin de verificación de la información facilitada, presto mi consentimiento expreso a NOMBRE LEGAL DE ENTIDAD con Número de Licencia o Registro XXXX de TIPO DE ENTIDAD otorgada por XXXX (supervisor) para que en mi nombre pueda solicitar ante la Tesorería General de la Seguridad Social dicha información.
Igualmente he sido informado que en el supuesto de que los datos por mi suministrados para la prestación de los servicios a los que se encuentra autorizada la entidad financiera no se correspondan con los obrantes en la Tesorería General de la Seguridad Social, la entidad trasladará a la Tesorería General de la Seguridad Social la información necesaria que esta le requiera para realizar las verificaciones y comprobaciones necesarias en orden a la protección de la seguridad de la información de la Seguridad Social y prevención del fraude.
Los datos obtenidos de la Tesorería General de la Seguridad Social serán utilizados exclusivamente para la gestión señalada anteriormente. En el caso de incumplimiento de esta obligación por parte de la entidad y/o del personal que en ella presta servicios, se ejecutarán todas las actuaciones previstas en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y normativa que la desarrolla.
En ……………………… a …………………… de …………………….. de ………
Firma del autorizante
ANEXO III.b
Información de primera capa.
Presto mi consentimiento expreso para que [NOMBRE LEGAL DE ENTIDAD], en cumplimiento de la normativa de prevención del blanqueo de capitales, solicite información sobre mi actividad económica a la Tesorería General de la Seguridad Social, exclusivamente con fines de verificación [saber más].
Información de segunda capa.
En cumplimiento de la normativa vigente en materia de prevención del blanqueo de capitales, [NOMBRE LEGAL DE ENTIDAD], con NIF [XXXX], y domicilio social en [DIRECCIÓN], informa de que está obligada a recabar información relativa a la actividad económica de sus clientes, así como a verificar su veracidad, tanto en el inicio de la relación de negocio como de forma periódica.
Con este exclusivo fin, y de forma previa a la solicitud de dicha información, se requiere su consentimiento expreso para que la entidad pueda consultar sus datos en la Tesorería General de la Seguridad Social (TGSS).
Los datos obtenidos serán tratados únicamente para verificar la información facilitada por usted, y no serán utilizados para ninguna otra finalidad. En caso de discrepancia entre los datos facilitados y los que consten en la TGSS, la entidad podrá remitir a dicho organismo la información necesaria que le sea requerida para proteger la seguridad de la información y prevenir el fraude.
Usted podrá ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, así como retirar su consentimiento en cualquier momento. Para más información, puede consultar nuestra Política de Privacidad.
ANEXO IV
Acto de Adhesión
La entidad TIPO DE ENTIDAD– ..................................................... domiciliada en ..........................................................., y NIF .................................., representada por D. ................................................................, mayor de edad, con domicilio a estos efectos en ................................., con DNI número ..................., en su calidad de ........................... de la misma según resulta de la escritura autorizada por el Notario de ........................................ D. ....................................................., en fecha ................., con el número ............... de su protocolo, acuerda la adhesión al convenio entre la Tesorería General de la Seguridad Social y la Asociación Española Fintech e Insurtech suscrito en fecha ................. sobre intercambio de información, para la implantación del Servicio de Verificación de Datos con Consentimiento (VEDACON)/Servicio de Verificación de la Fuente de Ingresos (SVFI).
Por el presente Acto de Adhesión, –la entidad– acepta todas las condiciones y términos del convenio entre la Tesorería General de la Seguridad Social y la Asociación Española Fintech e Insurtech.
Mediante el presente Acto de Adhesión, –la entidad– acepta que los miembros de la Comisión de Seguimiento de AEFI actúen en su representación y asume como propias todas las decisiones que dichos miembros adopten en el ejercicio de sus funciones.
Se opta por la implantación de:
Servicio de Verificación de Datos con Consentimiento (VEDACON), a través IFI.
Servicio de Verificación de la Fuente de Ingresos (SVFI), a través de Editran.
La adhesión tiene efectos desde la fecha de inscripción del presente acto de adhesión en el Registro Electrónico estatal de Órganos e Instrumentos de Cooperación del sector público estatal, previa firma, y perdurará durante el periodo de vigencia del citado convenio.
En ………………………, a ………. de ……………… de 2……
Fdo. Nombre y apellidos
Nombre y apellidos de la persona de contacto:
Dirección a efectos de envío de notificaciones:
Teléfono:
E-mail:
ANEXO V
Canales y métodos de captura de la firma para la obtención de la autorización de los clientes
Las autorizaciones pueden ser obtenidas en soporte papel, permitiendo su conservación digitalizada, o bien recabarse a través de medios electrónicos u otros mecanismos que permitan dejar constancia de un acto afirmativo claro por parte del interesado, tales como una declaración expresa, la selección voluntaria de una opción habilitada al efecto en una plataforma digital, grabación de voz en comunicaciones telefónicas o mediante mensajería SMS.
Serán válidos como soportes digitales y telemáticos aquellos que son válidos según la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, la Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza y el Reglamento (UE) n.º 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por la que se deroga la Directiva 1999/93/CE, o cualquiera otra que pudiera sustituirlas en el futuro, siempre que los procesos para su conservación certifiquen su validez, con las adecuadas garantías de autenticidad, trazabilidad y no repudio, y con medidas de sello de tiempo.
Para la incorporación como válido al presente convenio de un soporte digital o telemático será necesario el visto bueno previo, expreso y unánime por parte de la Comisión Mixta de Coordinación y Seguimiento.
El texto/fichero de la autorización podrá ser recogido en un documento aparte o dentro de un clausulado de contrato por el que el cliente inicia o solicita una relación de negocio con el sujeto obligado y deberá coincidir con el literal del anexo III del presente convenio.
Los sujetos obligados deberán informar y poner a disposición de la TGSS los mecanismos necesarios que le permitan validar la autorización de sus clientes.