EnglishFrançaisEspañol
Esta traducción al español se ofrece por conveniencia; la versión en
inglés es la que prevalece.
Política de privacidad de
Nysroc
Versión: 1.0 · Última
actualización: 6 de noviembre de 2026 · Vigente
desde: 6 de noviembre de 2026
Otros idiomas: English ·
Français (Canada)
Documentos relacionados: Resumen de privacidad · Aviso de cookies y seguimiento · Subencargados · Anexo de Tratamiento de
Datos del Cliente (DPA) · Términos del
Servicio
Contenido
- Quiénes somos y qué cubre esta política
- Nuestros compromisos de privacidad
- Nuestras dos funciones: cuándo decidimos nosotros y cuándo deciden
nuestros clientes
- La información personal que tratamos
- De dónde proviene la información
- Para qué la usamos y nuestras bases legales
- Consentimiento y sus opciones
- Funciones de IA (inteligencia artificial)
- Decisiones automatizadas y elaboración de perfiles
- Analítica de sitios web, cookies y medición publicitaria
- Con quién compartimos información
- Dónde se almacena la información y transferencias fuera de
Canadá
- Cuánto tiempo conservamos la información
- Cómo protegemos la información
- Incidentes de privacidad y vulneraciones
- Sus derechos y cómo ejercerlos
- Información específica por provincia, país y estado
- Información de salud y HIPAA
- Menores
- Mensajes de marketing y la ley antispam de Canadá (CASL)
- Lo que esperamos de nuestros clientes
- Servicios y enlaces de otras empresas
- Cambios a esta política
- Contáctenos, nuestro responsable de privacidad y cómo presentar una
queja
Anexo A — Cómo cumplimos los diez principios de información justa
(PIPEDA)
Anexo B — Estados Unidos: categorías de información personal (tabla
CCPA/CPRA)
1. Quiénes somos y
qué cubre esta política
Nysroc es una plataforma empresarial todo en uno
para pequeñas empresas: creador y alojamiento de sitios web,
contabilidad, conexiones con puntos de venta, CRM, mesa de ayuda,
teléfono empresarial, archivos, publicidad, video y otras herramientas,
entregadas como un único servicio en línea (el "Servicio").
Nysroc es operada por Scopien Technologies Inc., una
sociedad registrada en Ontario, 300-416 North Service Road East,
Oakville, Ontario L6H 5R2, Canadá ("Nysroc",
"nosotros", "nos",
"nuestro").
Dónde se ofrece el Servicio. En el lanzamiento,
Nysroc se ofrece únicamente a empresas ubicadas en Canadá y los
Estados Unidos; el registro solo acepta una provincia o
territorio canadiense o un estado de EE. UU. No ofrecemos el Servicio a
clientes de la Unión Europea, el Espacio Económico Europeo, Suiza o el
Reino Unido. Los pasajes de esta política sobre el RGPD y el RGPD del
Reino Unido describen cómo trataremos la información si eso cambia, y
hoy se aplican solo cuando esas leyes se aplican a información que de
todos modos tenemos (por ejemplo, un visitante de Europa que nos
contacta).
Esta política explica cómo recopilamos, usamos, divulgamos,
conservamos y protegemos la información personal cuando usted:
- visita nysroc.com o cualquiera de sus páginas, o
nos contacta;
- se registra, inicia sesión, paga o administra una cuenta de
Nysroc;
- usa el Servicio en un espacio de trabajo de Nysroc (por ejemplo, en
yourbusiness.nysroc.com/app o en su propio dominio), el
editor de sitios web, Nysroc Ads, Nysroc Video, Nysroc Phone o las
funciones de IA;
- visita un sitio web que uno de nuestros clientes creó y aloja en
Nysroc (limitado a lo descrito en las secciones 3 y 10);
- contacta a nuestro equipo de soporte, conversa con nuestro asistente
de soporte o participa en nuestros eventos, encuestas o
investigaciones.
Lo que esta política no cubre. No describe cómo
nuestros clientes (las empresas que usan Nysroc) tratan la información
de sus clientes; cada empresa es responsable de ello y debe
tener su propio aviso de privacidad (vea la sección 3). No cubre los
servicios independientes de empresas que usted mismo conecta a Nysroc
(por ejemplo, su propia cuenta de Square, Clover, Stripe, Google Ads,
Meta o Microsoft Advertising), que tienen sus propias políticas. La
información sobre nuestros propios empleados y postulantes está cubierta
por avisos separados.
Términos que usamos. "Información personal"
significa información sobre una persona identificable (llamada "datos
personales" en algunas leyes). Un "cliente" es una
empresa u organización con una cuenta de Nysroc. Un
"usuario" es una persona que inicia sesión en la cuenta
de un cliente. Un "usuario final" es una persona cuya
información un cliente ingresa o recopila mediante Nysroc — por ejemplo,
los propios clientes, personas que llaman, visitantes del sitio web,
empleados o proveedores de un cliente. "Datos del
Cliente" significa el contenido y la información personal que
un cliente y sus usuarios ingresan o recopilan mediante el Servicio.
2. Nuestros compromisos de
privacidad
Estas son promesas, y el resto de esta política explica cómo las
cumplimos:
- No vendemos ni alquilamos información personal, y no la
"compartimos" para publicidad conductual entre contextos. No lo
hemos hecho en los últimos 12 meses.
- Los datos de su empresa son suyos. Usamos los Datos
del Cliente solo para prestar el Servicio según sus instrucciones,
mantenerlo seguro y cumplir obligaciones legales. Puede exportarlos en
cualquier momento y llevárselos.
- Sin rastreadores de terceros en los sitios que
alojamos. Los sitios web creados en Nysroc usan solo nuestro
script de medición propio, servido desde el dominio del propio sitio. La
medición publicitaria está desactivada hasta que el visitante diga que
sí, y las señales Global Privacy Control y Do Not Track se respetan
automáticamente.
- Nunca vemos números de tarjeta. Las tarjetas de
pago para las suscripciones de Nysroc se ingresan únicamente en la
página de nuestro procesador de pagos.
- Nysroc no entrena modelos de IA con Datos del
Cliente. La sección 8 explica, con claridad, dónde trata los
datos nuestro proveedor de IA gestionada y qué puede elegir en su
lugar.
- Canadá primero. Nuestra plataforma está alojada en
Canadá. Cada excepción — y su motivo — se indica en la sección 12 y en
nuestra lista de subencargados.
- Privacidad por defecto. El tratamiento opcional
(cookies de analítica, medición publicitaria, correos de marketing) está
desactivado hasta que alguien lo acepte.
- Una persona responsable. Un responsable de
privacidad designado responde por nuestro cumplimiento (sección
24).
3.
Nuestras dos funciones: cuándo decidimos nosotros y cuándo deciden
nuestros clientes
Las leyes de privacidad tratan de forma distinta a la organización
que decide por qué y cómo se usa la información personal y a la
organización que solo la trata en nombre de otra. Nysroc cumple ambas
funciones.
| Su información de cuenta, inicio de sesión, facturación y
suscripción; sus comunicaciones con nosotros; nuestro marketing; los
visitantes de nysroc.com; los registros de seguridad, prevención de
fraude y auditoría sobre el uso del Servicio |
Responsable del tratamiento — decidimos nosotros
(en Quebec: la empresa que posee la información y es responsable de
ella) |
Nysroc (sección 24) |
| Datos del Cliente: todo lo que un cliente y sus usuarios ingresan o
recopilan mediante un espacio de trabajo o un sitio web alojado en
Nysroc — contactos, facturas, ventas, inventario, registros y
grabaciones de llamadas, tickets de la mesa de ayuda, archivos, envíos
de formularios del sitio web, analítica del sitio web sobre los
visitantes del cliente, conversiones publicitarias, instrucciones y
resultados de IA sobre el negocio del cliente |
Encargado del tratamiento / proveedor de servicios
— actuamos según las instrucciones del cliente conforme a los Términos
del Servicio y al Anexo de Tratamiento de Datos del Cliente (DPA) |
La empresa con la que usted trató. Si nos contacta, enviaremos su
solicitud a esa empresa y la ayudaremos a responder. |
| Información técnica limitada sobre los visitantes de los sitios web
de clientes y las personas que llaman a los números de teléfono de
clientes (por ejemplo, la dirección IP de una conexión usada durante
unos segundos para bloquear abusos, métricas agregadas del estado del
servicio) que usamos para nuestros propios fines de
seguridad, prevención de abusos y funcionamiento del Servicio |
Responsable del tratamiento solo para esos fines
limitados |
Nysroc |
Cuando actuamos como encargado no usamos los Datos del Cliente para
nuestros propios fines, salvo para proteger y operar el Servicio,
producir estadísticas del servicio agregadas y
desidentificadas (por ejemplo, el total de páginas vistas
servidas, nunca combinadas para identificar a nadie), o cuando la ley lo
exige. No reidentificaremos datos desidentificados.
Recopilamos solo lo que necesitamos para los fines de la sección 6. A
continuación, los elementos marcados (encargado) son
Datos del Cliente que tratamos en nombre de un cliente.
4.1 Cuenta e identidad
- Su nombre, correo electrónico empresarial, contraseña (almacenada
solo por nuestro servicio de inicio de sesión, Nysroc Login, como un
hash unidireccional con sal — nunca legible por nuestro personal), el
nombre de la empresa, la provincia o territorio, el idioma preferido y
la dirección web que elija (por ejemplo,
yourbusiness.nysroc.com), y un dominio personalizado
opcional.
- Si inicia sesión con Google: el nombre y el correo electrónico de su
cuenta de Google, y un identificador de cuenta único. No recibimos su
contraseña de Google.
- Configuración de la autenticación multifactor (por ejemplo, que hay
una aplicación de autenticación registrada; el secreto en sí lo almacena
cifrado Nysroc Login).
- Usuarios que usted invita: sus nombres, correos electrónicos,
funciones y permisos.
4.2 Facturación y suscripción
- Plan de suscripción, fechas de prueba, facturas, estado de pago,
números de registro fiscal (GST/HST/QST) si los proporciona, dirección
de facturación o código postal, y los últimos cuatro dígitos, la marca y
el vencimiento de la tarjeta registrada.
- Los números de tarjeta y los códigos de seguridad nunca se
envían a Nysroc ni los almacena Nysroc. Usted los ingresa solo
en la página segura de nuestro procesador de pagos, Stripe, que los
procesa conforme a su propio programa PCI DSS de Nivel 1. Recibimos un
token y los datos limitados indicados arriba.
4.3
Datos del Cliente en los espacios de trabajo (encargado)
- Registros empresariales como clientes, contactos, prospectos,
proveedores, artículos, precios, cotizaciones, pedidos, facturas, pagos,
asientos contables, inventario, proyectos, empleados (si usa las
funciones de RR. HH. y nómina), documentos y archivos, calendarios y
reservas, tickets y conversaciones de la mesa de ayuda, contenido del
sitio web, envíos de formularios, conversaciones por correo electrónico
y mensajería, y notas.
- El contenido lo elige el cliente. Puede incluir información sensible
(por ejemplo, datos de nómina o números de seguro social). La
información de salud no debe almacenarse en Nysroc (sección 18). El
cliente es responsable de recopilarla legalmente; vea las secciones 18 y
21.
4.4
Datos de teléfono y llamadas — Nysroc Phone (encargado)
Nysroc Phone aún no está disponible. Esta sección describe la
información que tratará una vez que se ofrezca; su proveedor de
telecomunicaciones se indicará en nuestra página de subencargados antes
de esa fecha.
- Números de teléfono, identificador de llamadas, extensiones, horas y
duración de las llamadas, dirección y resultado de la llamada, buzón de
voz, el vínculo entre una llamada y un registro del CRM o de la mesa de
ayuda, y grabaciones de llamadas cuando el cliente ha
activado la grabación.
- Resúmenes de llamadas con IA, si el cliente los activa (vea la
sección 8).
- La información que nuestro proveedor de telecomunicaciones necesita
para enrutar las llamadas, incluida la dirección civil para el 911
registrada para cada número.
4.5
Conexiones con puntos de venta y aplicaciones de pago (encargado)
- Cuando un cliente conecta su propia cuenta de
Square o Clover (o, más adelante,
otros sistemas de punto de venta), recibimos ventas, reembolsos,
artículos, precios, existencias, ubicaciones, formas de pago y
comisiones de procesamiento, y los datos de clientes que el sistema de
punto de venta tenga para una venta, y los registramos en la
contabilidad del cliente.
- Cuando un cliente conecta su propia cuenta de
Stripe a su contabilidad, recibimos pagos, comisiones,
reembolsos y liquidaciones.
- Almacenamos cifrados los tokens de acceso de estas conexiones. No
recibimos números de tarjeta completos de ninguno de estos
sistemas.
4.6
Analítica de visitantes del sitio web — Nysroc Analytics
(encargado)
En los sitios web alojados por Nysroc, nuestro script propio
(/_n/a.js, servido desde el dominio del propio sitio)
registra:
- Siempre, sin cookies y sin identificadores que dependan del
consentimiento: la página visitada, el sitio de referencia, las
etiquetas de campaña del enlace (parámetros UTM), si se siguió un enlace
de anuncio (pero no el identificador de clic del anuncio en sí), los
envíos de formularios, las compras en la tienda (monto en CAD), los
clics en enlaces telefónicos y una clave de visitante que rota a
diario, calculada a partir del sitio, la dirección IP del
visitante y el tipo de navegador con un secreto que cambia cada día. La
clave no puede revertirse, no puede vincular visitas de distintos días y
la dirección IP nunca se almacena.
- Solo si el visitante acepta "Medición del sitio":
una cookie propia
_nya con un identificador de visitante
aleatorio (conservada hasta 13 meses) y la primera fuente que llevó al
visitante al sitio, para medir las visitas recurrentes y la atribución
del primer contacto.
- Solo si el visitante acepta "Publicidad
(atribución)": el identificador de clic publicitario del enlace
(por ejemplo, de anuncios de Google, Microsoft o Meta), para que la
empresa vea qué anuncio funcionó y, si publica anuncios mediante Nysroc
Ads, informe las conversiones a su propia cuenta publicitaria (sección
4.7).
- Los bots y rastreadores conocidos se ignoran. Los detalles están en
el aviso de cookies y seguimiento.
4.7 Publicidad — Nysroc Ads
(encargado)
- Cuando un cliente conecta su propia cuenta de
Google Ads, Meta (Facebook e Instagram) o Microsoft Advertising,
almacenamos cifrados los tokens de conexión (cifrado autenticado basado
en AES, con la clave guardada en nuestro gestor de secretos), y tratamos
la configuración de campañas, presupuestos, textos e imágenes de
anuncios, páginas de destino, gasto diario y resultados.
- Conversiones de servidor a servidor: cuando un
visitante que aceptó "Publicidad (atribución)" envía un formulario,
compra algo o toca para llamar, Nysroc puede enviar la conversión a la
propia cuenta publicitaria del cliente. Solo salen de Nysroc el correo
electrónico y/o el número de teléfono cifrados con hash
SHA-256, el identificador de clic, un identificador de evento,
la hora y el valor. No se envía nada de los visitantes que rechazaron,
que no eligieron o cuyo navegador envía Global Privacy Control o Do Not
Track. Nunca se coloca un píxel o etiqueta publicitaria en el navegador
del visitante.
- La red publicitaria recibe esta información como proveedor
del cliente o como empresa independiente en virtud del propio acuerdo
del cliente con ella, no como subencargado de Nysroc.
4.8 Video — Nysroc Video
(encargado)
- Guiones, pantallas generadas a partir del sitio web o de los datos
de productos del cliente, audio de narración, subtítulos y archivos de
video terminados.
- Los videos con avatar los produce HeyGen. Si el
cliente usa su propia clave de HeyGen, HeyGen trata el guion y cualquier
imagen o voz que el cliente haya elegido en la propia cuenta de HeyGen
del cliente. Si alguna vez se ofrece la propia clave de HeyGen de
Nysroc, HeyGen pasará a ser nuestro subencargado y se indicará como tal.
Nysroc no crea plantillas biométricas del rostro ni de la voz de
nadie.
- Los videos terminados que se usan en anuncios se ponen a disposición
de la red publicitaria mediante un enlace firmado que vence a las 24
horas.
4.9
Instrucciones y resultados de IA (encargado, vea la sección 8)
- Las preguntas e instrucciones que los usuarios dan a la IA, los
registros que la IA lee en nombre del usuario (con los permisos de ese
usuario), y las respuestas, borradores y resúmenes que produce; la
medición del uso (tokens, función, hora).
4.10 Soporte, chats y
tickets (responsable)
- Mensajes, transcripciones de chats con nuestro asistente de soporte,
correos electrónicos, capturas de pantalla y archivos que nos envía,
notas de llamadas, historial de tickets y calificaciones de
satisfacción.
- Con su permiso y solo para el ticket, nuestro personal de soporte
puede ver su espacio de trabajo. Cada acceso de este tipo queda
registrado en el registro de auditoría que usted puede ver.
4.11
Registros de auditoría (responsable del registro; los registros a los
que apunta siguen siendo Datos del Cliente)
- Un registro a prueba de manipulaciones y de solo anexado de las
acciones relevantes para la seguridad: inicios de sesión e intentos
fallidos, cambios de permisos, exportaciones, eliminaciones, cambios de
facturación, cambios de dominio, aprobaciones de anuncios, accesos de
soporte y similares. Cada entrada registra quién actuó (identificador de
usuario, correo electrónico, función), cuándo, desde qué dirección IP y
navegador, y qué cambió. Las entradas se encadenan mediante hash
criptográfico y se sellan en almacenamiento de una sola escritura, por
lo que no pueden alterarse sin que se note.
4.12
Registros de dispositivos, seguridad y técnicos (responsable)
- Dirección IP, tipo de navegador y dispositivo, sistema operativo,
idioma, marcas de tiempo, páginas y puntos de conexión de API
solicitados, informes de errores, métricas de rendimiento y trazas de
solicitudes; señales de prevención de abusos (por ejemplo, resultados de
desafíos de prueba de trabajo y contadores de límite de solicitudes).
Protegemos nuestros formularios con una verificación de prueba de
trabajo alojada por nosotros en lugar de un CAPTCHA de terceros, por lo
que ningún dato de visitantes va a una empresa de CAPTCHA.
- Sus preferencias de marketing y registros de consentimiento (qué
aceptó, cuándo y cómo), la interacción con correos electrónicos cuando
usted ha dado su consentimiento, inscripciones a eventos, respuestas a
encuestas e información que nos da cuando solicita una demostración o
contacta a ventas.
- Información de contacto empresarial de personas de clientes y socios
potenciales, obtenida de ellas o de fuentes empresariales públicas.
- Visitantes de nysroc.com: vea el aviso de
cookies. Nuestro sitio de marketing no usa rastreadores
publicitarios.
No nos envíe, ni ingrese en la IA, información que el Servicio no
necesita — por ejemplo, números de tarjeta completos fuera de la página
de pago, contraseñas o información de salud (sección 18).
- De usted — cuando se registra, usa el Servicio, nos
contacta o completa un formulario.
- De su organización — cuando un administrador lo
invita o ingresa su información en un espacio de trabajo.
- Automáticamente — desde su navegador o dispositivo
cuando usa el Servicio o visita un sitio web alojado en Nysroc (sección
4.12, sección 10).
- De los servicios que usted conecta — inicio de
sesión con Google; sus cuentas de punto de venta, pago, publicidad,
video u otras; nuestro procesador de pagos (estado del pago y datos
limitados de la tarjeta).
- De fuentes públicas o empresariales — por ejemplo,
registros mercantiles y perfiles de redes profesionales, solo para
ventas entre empresas.
6. Para qué la
usamos y nuestras bases legales
Identificamos nuestros fines en el momento de la recopilación o
antes, y usamos la información solo para esos fines o para otros que una
persona razonable consideraría apropiados en las circunstancias. Para
las personas cuya información está sujeta al RGPD de la UE o del Reino
Unido, la columna de la derecha muestra nuestra base legal.
| Crear y gestionar su cuenta, prestar el Servicio, alojar sitios web,
conectar sus aplicaciones |
4.1–4.9 |
Necesario para prestar el servicio que solicitó (consentimiento
implícito con el registro; expreso cuando es sensible) |
Contrato (art. 6(1)(b)) |
| Facturarle, gestionar pruebas, enviar recibos y recordatorios de fin
de prueba, cumplir normas fiscales y contables |
4.2 |
Necesario para el servicio; exigido por la ley |
Contrato; obligación legal (6(1)(c)) |
| Brindar soporte y resolver disputas |
4.10, más lo que el ticket necesite |
Necesario para el servicio; usted pide ayuda |
Contrato; intereses legítimos (6(1)(f)) |
| Mantener el Servicio seguro, prevenir fraude, spam y abusos,
mantener registros de auditoría |
4.11, 4.12 |
Razonable por seguridad; permitido sin consentimiento cuando es
necesario para investigar incumplimientos de acuerdos o de la ley |
Intereses legítimos; obligación legal |
| Enviar mensajes del servicio (alertas de seguridad, cambios en los
términos o en esta política, interrupciones) |
4.1 |
Necesario para el servicio (transaccional; exento de CASL) |
Contrato; obligación legal |
| Mejorar el Servicio con estadísticas de uso y comentarios |
4.12, agregada |
Consentimiento implícito; desidentificada cuando sea posible |
Intereses legítimos |
| Enviar correos de marketing y boletines sobre Nysroc |
4.13 |
Consentimiento expreso, o consentimiento implícito
cuando CASL lo permite; puede darse de baja en cualquier momento |
Consentimiento (6(1)(a)) |
| Medir las visitas a nysroc.com |
Sección 10 |
Consentimiento previo (opt-in) para todo lo que vaya más allá de lo
estrictamente necesario |
Consentimiento |
| Ejecutar las funciones de IA que usted active |
4.9 |
Necesario para la función que habilitó; vea la sección 8 |
Contrato (instrucciones del cliente) |
| Cumplir la ley, responder a solicitudes legales, establecer o
defender reclamaciones legales |
Según sea necesario |
Permitido o exigido por la ley |
Obligación legal; intereses legítimos |
| Transferencia de negocio (fusión, financiamiento, venta) |
Según sea necesario |
Permitido por el art. 7.2 de PIPEDA y normas provinciales
equivalentes, bajo confidencialidad |
Intereses legítimos |
No usamos información personal para ningún fin nuevo sin informarle
y, cuando se requiera, sin obtener antes su consentimiento.
7. Consentimiento y sus
opciones
- Consentimiento significativo. Pedimos el
consentimiento en lenguaje claro, por separado de otros términos cuando
la ley lo exige, y dejamos claro qué es opcional. Obtenemos
consentimiento expreso para la información sensible y
para cualquier uso que usted no esperaría razonablemente.
- Retiro del consentimiento. Puede retirar su
consentimiento en cualquier momento, sujeto a límites legales o
contractuales, por ejemplo, dándose de baja, cambiando la configuración,
usando "Cookies" en el pie de página de un sitio o contactándonos. El
retiro no afecta el tratamiento ya realizado. Le informaremos si
retirarlo significa que no podemos prestar parte del Servicio.
- Configuraciones que usted controla: preferencias de
marketing; medición de visitantes del sitio web (por visitante); IA
activada/desactivada y modo de IA (por espacio de trabajo); grabación de
llamadas y resúmenes de llamadas con IA (por espacio de trabajo);
aplicaciones conectadas (conectar o desconectar en cualquier momento);
exportación y eliminación de la cuenta.
- Quebec. El consentimiento se solicita para cada fin
específico, en términos claros y sencillos, y la configuración que más
protege la privacidad se aplica por defecto a las funciones de
seguimiento y elaboración de perfiles (sección 9). La IA gestionada es
una función que el administrador del cliente controla para su espacio de
trabajo; está desactivada por defecto y solo la activa un administrador,
después de la divulgación y las opciones de la sección 8.
8. Funciones de IA
(inteligencia artificial)
El Asistente Nysroc es el asistente de IA dentro del Servicio y el
motor de las funciones de IA (creador de sitios web, textos
publicitarios, guiones de video, resúmenes de llamadas y tickets,
borradores de respuestas, preguntas en lenguaje sencillo sobre su
contabilidad). Esta sección le indica exactamente dónde funciona.
| IA gestionada |
Generación de texto: API de DeepSeek, operada por
Hangzhou DeepSeek Artificial Intelligence Co., Ltd.
Embeddings de búsqueda (usados para encontrar registros relevantes):
calculados en Canadá con el modelo propio autoalojado
de Nysroc. Las demás funciones de IA (conversión de voz a texto para
resúmenes de llamadas, narración de texto a voz, generación de imágenes)
aún no están disponibles; se activarán solo después de que su proveedor
figure en nuestra página de subencargados |
República Popular China para DeepSeek (su política
publicada indica que recopila, trata y almacena los datos en la
RPC) |
| Traiga su propia clave (BYOK) |
El proveedor de IA que el cliente elige y con el que contrata
directamente |
Donde ese proveedor lo ejecute |
| Desactivada |
Sin tratamiento de IA |
— |
Configuración predeterminada. La IA gestionada está
desactivada por defecto en todos los espacios de
trabajo, en todas las provincias y estados, incluido Quebec. No está
disponible en el lanzamiento. Antes de que un administrador pueda
activarla, verá dónde funciona (la etiqueta de residencia "China") y las
opciones de la sección 8.5, y podrá desactivarla de nuevo, usar su
propia clave (BYOK) o mantener el espacio de trabajo como solo Canadá en
cualquier momento.
Está previsto un modelo autoalojado de Nysroc que funcione en Canadá,
que se añadirá como modo cuando esté disponible. Cada modelo mostrará
una etiqueta de residencia en Configuración → IA para que los
administradores sepan adónde van las solicitudes.
8.2 Qué se envía al
proveedor de IA
Solo lo que una función necesita para la solicitud que hace un
usuario: la instrucción y los registros que la herramienta de IA lee en
nombre de ese usuario con los propios permisos de ese usuario (por
ejemplo, los totales de facturas para "¿quién nos debe más de 60 días?",
o la transcripción de una llamada para un resumen de llamada). La IA
nunca tiene más acceso que el usuario que inició sesión. Las acciones
que cambian datos, envían mensajes, publican o pagan siempre muestran
una vista previa y necesitan que una persona las confirme, salvo que el
administrador del cliente desactive eso para una acción específica.
8.3 Entrenamiento y
conservación
- Nysroc no usa Datos del Cliente, instrucciones ni resultados
para entrenar ni ajustar ningún modelo de IA.
- Nysroc conserva las instrucciones y los resultados durante
30 días con fines de auditoría y resolución de
problemas, y luego los elimina; un administrador puede fijar este plazo
en 0 días. El contenido de las instrucciones no se
escribe en nuestros registros de la aplicación.
- Los propios términos de DeepSeek. A la fecha de
esta política, los términos publicados de la Plataforma Abierta (API) de
DeepSeek no incluyen un compromiso escrito de que las entradas y salidas
de la API no se usarán para entrenar sus modelos, no indican un plazo de
conservación, no ofrecen un acuerdo de tratamiento de datos y se rigen
por la ley de la República Popular China. Nysroc no ha firmado un
acuerdo escrito independiente con DeepSeek que cubra el entrenamiento,
la conservación, la confidencialidad, la seguridad o el aviso de
incidentes; si firmamos uno, actualizaremos esta sección. Por lo tanto,
no podemos prometer que DeepSeek no conservará ni usará los datos que se
le envían más allá de lo que indican sus propios términos.
8.4
Riesgos del tratamiento en China — divulgación clara
La información enviada a la IA gestionada sale de Canadá y se trata y
almacena en China. Mientras está allí, queda sujeta a las leyes de
China, que pueden permitir que las autoridades gubernamentales exijan
acceso a ella sin el aviso, la supervisión ni los recursos que ofrece la
ley canadiense, y los reguladores de privacidad canadienses tienen una
capacidad limitada para hacer valer derechos allí. Vea la sección
12.
8.5 Sus opciones
- Desactive la IA para todo el espacio de trabajo, o
para funciones específicas, en Configuración → IA cuando esa opción esté
disponible.
- Cambie a su propia clave de IA (BYOK) con un
proveedor y una región que usted elija (por ejemplo, uno que trate los
datos en Canadá).
- Marque un espacio de trabajo como "solo Canadá":
entonces solo pueden seleccionarse modelos cuyo tratamiento permanezca
en Canadá, lo que hoy significa BYOK con un punto de conexión en Canadá
o, cuando esté disponible, el modelo autoalojado de Nysroc. El
tratamiento gestionado por DeepSeek queda bloqueado para ese espacio de
trabajo.
- Use la IA solo para contenido de bajo riesgo (por
ejemplo, textos de marketing) y manténgala desactivada para nómina, RR.
HH., grabaciones de llamadas y registros sensibles.
La IA gestionada no está diseñada para información
personal de salud, información protegida por HIPAA, números de seguro
social, números de identificación oficial, números de cuentas
financieras, información sobre menores u otra información que una ley o
un contrato le exija mantener en Canadá o con un nivel de protección
específico. Los clientes no deben enviar esa información a la IA
gestionada. Use BYOK con un proveedor adecuado, o mantenga la IA
desactivada para esos registros.
8.7 Exactitud
Los resultados de la IA pueden ser incorrectos. Trátelos como un
borrador. Puede pedirnos que corrijamos información personal inexacta
que aparezca en los resultados que conservamos.
9.
Decisiones automatizadas y elaboración de perfiles
Nysroc no toma decisiones sobre personas basadas
exclusivamente en un tratamiento automatizado que produzcan efectos
jurídicos o efectos igualmente significativos (por ejemplo, negar
crédito o empleo).
Sí usamos herramientas automatizadas para la seguridad y la
prevención de abusos (límites de solicitudes, desafíos de prueba de
trabajo, bloqueo de inicios de sesión fallidos repetidos, señalización
de registros sospechosos). Si un control automatizado bloquea o
restringe su cuenta o su registro, puede contactarnos y una
persona revisará la decisión. A solicitud suya le indicaremos
(como exigen la Ley 25 de Quebec y el RGPD) qué información personal se
usó, los motivos y los factores principales de la decisión, y su derecho
a que se corrija esa información, y podrá presentar sus observaciones a
un miembro de nuestro personal que pueda revisarla.
Las funciones de IA (sección 8) producen sugerencias y borradores
para que las personas los revisen; no toman por sí solas decisiones
sobre personas.
Tecnologías de elaboración de perfiles y seguimiento (art.
8.1, Quebec). Las funciones que pueden identificar, localizar o
perfilar a una persona — los identificadores de visitantes y la medición
publicitaria en los sitios alojados en Nysroc — están
desactivadas por defecto y solo se activan por elección
del visitante en el banner de consentimiento (sección 10).
10.
Analítica de sitios web, cookies y medición publicitaria
Todos los detalles, incluidos cada cookie y elemento de
almacenamiento por nombre, finalidad y duración, están en nuestro
Aviso de cookies y
seguimiento. En resumen:
- nysroc.com y nuestras páginas de registro y de
cuenta usan solo cookies estrictamente necesarias (sesión de
inicio, seguridad, preferencia de idioma). No ejecutamos rastreadores
publicitarios en ellas, y nuestra tipografía se sirve desde nuestros
propios servidores (sin servicio de fuentes de terceros).
- Los sitios web creados en Nysroc sirven su
tipografía desde la propia dirección del sitio (sin servicio de fuentes
de terceros) y cargan nuestro script propio y un banner de
consentimiento, que enlaza al aviso de privacidad de la propia empresa,
con botones de igual peso "Aceptar todo", "Rechazar" y "Elegir". Ambas
categorías opcionales ("Medición del sitio" y "Publicidad (atribución)")
están desactivadas hasta que el visitante acepta. La elección puede
cambiarse en cualquier momento desde el enlace "Cookies" del pie de
página del sitio; retirar el consentimiento elimina del navegador la
cookie de visitante y la fuente de la primera visita almacenada.
- Se respetan Global Privacy Control y Do Not Track.
Cuando un navegador envía cualquiera de las dos señales, el banner no se
muestra, ambas categorías permanecen desactivadas y no se conserva
ningún identificador ni dato de clic publicitario. (Algunas grandes
plataformas dicen que no responden a Do Not Track; nosotros sí.)
- Nysroc no coloca ningún script, píxel o etiqueta de terceros en un
sitio alojado en Nysroc. Un cliente puede añadir su propio código a su
sitio; eso es responsabilidad del cliente.
Divulgamos información personal solo como se describe aquí, y solo el
mínimo necesario.
- Subencargados y proveedores de servicios que
alojan, entregan o apoyan el Servicio por nosotros — por ejemplo,
nuestro proveedor de nube en Canadá, nuestro procesador de pagos,
nuestro proveedor de envío de correos electrónicos y nuestro proveedor
de IA gestionada. Están obligados por contratos escritos a usar la
información solo según nuestras instrucciones, a protegerla a un nivel
comparable al nuestro y a eliminarla o devolverla. La excepción es
DeepSeek, nuestro proveedor de IA gestionada, que trata las solicitudes
conforme a sus propios términos publicados; no tenemos un acuerdo de
tratamiento de datos independiente con él (sección 8.3). La lista
actual, con lo que hace cada uno y dónde, está en nysroc.com/legal/subprocessors.
Damos a los clientes un aviso de al menos 30 días antes
de añadir o reemplazar un subencargado que trate Datos del Cliente, para
que puedan oponerse conforme al DPA.
- Servicios que usted o su organización conectan.
Cuando conecta el inicio de sesión con Google, un sistema de punto de
venta, su propio Stripe, una cuenta publicitaria, HeyGen, una
automatización o cualquier otro servicio de terceros, enviamos a ese
servicio la información necesaria para la conexión que usted solicitó.
Ese servicio la trata conforme a sus propios términos y su política de
privacidad.
- Su organización. Si usa un espacio de trabajo que
controla su empleador o su cliente, sus administradores pueden ver y
gestionar su actividad y su contenido en ese espacio de trabajo.
- Asesores profesionales (abogados, auditores,
aseguradoras) sujetos a obligaciones de confidencialidad.
- Requisitos legales y protección de derechos.
Divulgamos información al gobierno, a los tribunales o a las fuerzas del
orden solo cuando lo exige la ley (por ejemplo, una orden judicial
válida, una orden de presentación o una citación) o cuando la ley lo
permite en una emergencia que amenaza la vida, la salud o la seguridad
de alguien. Nuestras reglas:
- revisamos cada solicitud en cuanto a su validez legal y su alcance,
y nos oponemos a las solicitudes ilegales o excesivamente
amplias;
- divulgamos el mínimo requerido;
- notificamos al cliente afectado antes de divulgar,
salvo que la ley lo prohíba o haya una emergencia, y alentamos a la
autoridad a solicitar los datos directamente al cliente;
- tenemos la intención de publicar cada año el número de solicitudes
de este tipo.
- Transferencias de negocio. Si Nysroc participa en
una fusión, adquisición, financiamiento, reorganización o venta de
activos, la información puede divulgarse a las partes bajo estricta
confidencialidad, y solo en la medida en que lo permita la ley
canadiense. Notificaremos a los clientes afectados antes de que su
información quede sujeta a una política de privacidad diferente.
- Con su consentimiento o según sus indicaciones, en
cualquier otro caso.
Nunca vendemos ni alquilamos información personal, nunca la
divulgamos a corredores de datos y nunca la divulgamos a terceros para
su propio marketing.
12.1 Canadá primero
La plataforma Nysroc — espacios de trabajo, sitios web, bases de
datos, archivos, grabaciones de llamadas, copias de seguridad y
registros de auditoría — está alojada en Canadá con
OVHcloud en Beauharnois, Quebec, en
dos servidores dedicados (principal y réplica), con copias de seguridad
cifradas externas en Toronto, Ontario. Los correos
electrónicos del Servicio se envían a través de Amazon Web
Services (Amazon SES) en su región Canadá (Central).
Nota para Quebec: copiar las copias de seguridad cifradas de
Beauharnois (Quebec) a Toronto (Ontario) es una comunicación fuera de
Quebec. Nuestra evaluación escrita de esta comunicación conforme al
artículo 17 de la ley de privacidad del sector privado de Quebec aún no
se ha completado; ambas ubicaciones están en Canadá, con el mismo
proveedor y bajo el mismo contrato y los mismos controles de
seguridad.
| DeepSeek (Hangzhou DeepSeek Artificial Intelligence
Co., Ltd.) |
Instrucciones, los registros que la IA lee para esa solicitud y los
resultados — solo cuando un espacio de trabajo usa la IA
gestionada |
República Popular China |
Funciones de IA gestionada. Evitable: desactive la IA, use BYOK o
configure el espacio de trabajo como solo Canadá (sección 8.5). |
| Stripe |
Datos de facturación de las suscripciones de Nysroc (no Datos del
Cliente) |
Estados Unidos y otros países donde opera Stripe |
Procesamiento de pagos |
| HeyGen (solo si se ofrece la propia clave de HeyGen
de Nysroc) |
Guiones de videos con avatar, avatar y voz elegidos |
Estados Unidos |
Videos con avatar |
| Servicios que el propio cliente conecta (Google, Meta, Microsoft,
Square, Clover, el Stripe del cliente, proveedores de IA en modo BYOK,
automatizaciones) |
Lo que la conexión necesita |
Donde opera cada servicio |
Elegidos por el cliente; no son subencargados de Nysroc |
12.3 Cómo protegemos las
transferencias
- Transparencia (PIPEDA, PIPA de Alberta, PIPA de Columbia
Británica). La información enviada fuera de Canadá queda sujeta
a las leyes de ese país y puede ser accesible para sus tribunales,
fuerzas del orden y autoridades de seguridad nacional. La PIPA de
Alberta nos exige informarle los países donde nuestros proveedores de
servicios pueden recopilar, usar, divulgar o almacenar información
personal por nosotros (indicados arriba y en la página de subencargados)
y responder preguntas al respecto: consulte a nuestro responsable de
privacidad.
- Quebec (Ley 25, art. 17). Antes de comunicar
información personal fuera de Quebec evaluamos si recibirá una
protección adecuada, considerando su sensibilidad, la finalidad, las
medidas de protección (incluidas las contractuales) y el marco jurídico
del país receptor, y formalizamos el acuerdo por escrito. Para
el tratamiento por DeepSeek en China, esta evaluación es obligatoria y
aún no se ha completado. La IA gestionada está desactivada por
defecto en todos los espacios de trabajo, incluido Quebec, y no está
disponible en el lanzamiento; no se ofrecerá en Quebec hasta que se
complete esta evaluación.
- UE / Reino Unido. El Servicio no se ofrece a
clientes de la UE, el EEE, Suiza o el Reino Unido en el lanzamiento
(sección 1). Si eso cambia: Canadá cuenta con una decisión de adecuación
de la UE para las organizaciones sujetas a PIPEDA, y el Reino Unido
reconoce a Canadá como adecuado sobre la misma base. Para las
transferencias posteriores desde Canadá a países sin adecuación
(incluidos los Estados Unidos cuando no se aplica ningún marco, y
China), usamos las Cláusulas Contractuales Tipo de la Comisión Europea
(y el Anexo del Reino Unido o el International Data Transfer Agreement),
con evaluaciones de impacto de las transferencias y medidas
complementarias. A la fecha de esta política, DeepSeek no ofrece ni un
acuerdo de tratamiento de datos ni Cláusulas Contractuales Tipo.
Conservamos la información personal solo el tiempo necesario para los
fines de esta política o el que exija la ley, y luego la
destruimos de forma segura o la anonimizamos según las
mejores prácticas generalmente aceptadas. Nuestros plazos de
conservación son:
| Cuenta y perfil |
Mientras exista la cuenta. Después de que una cuenta se
cierra (elimina): una exportación queda disponible
durante 30 días y luego la cuenta y sus Datos del
Cliente se purgan de los sistemas activos. |
| Datos del Cliente después de cancelar el plan pago |
Se conservan: la cuenta pasa al plan gratuito Website, el sitio web
sigue en línea y los datos se conservan hasta que el cliente elimine la
cuenta. |
| Exportaciones de datos |
El enlace de descarga funciona 7 días (30 días
después del cierre de la cuenta) y luego se eliminan los archivos de
exportación. |
| Copias de seguridad |
Las copias de seguridad cifradas vencen según un calendario
rotativo; los datos eliminados desaparecen de las copias de seguridad
cuando estas vencen, como máximo 35 días después de
eliminarse de los sistemas activos (copias locales 7 días; copias
cifradas externas en Toronto 35 días). Las copias de seguridad no se
restauran salvo para recuperación ante desastres y, si se restauran, los
datos eliminados se eliminan de nuevo. |
| Registros de facturación, facturas, registros fiscales |
7 años después del final del ejercicio fiscal al
que se refieren (la Agencia de Ingresos de Canadá y Revenu Québec exigen
al menos 6 años). |
| Registros de auditoría |
7 años en almacenamiento sellado de una sola
escritura; consultables durante los primeros 400 días. Después del
cierre de la cuenta, las entradas de auditoría se conservan durante el
mismo plazo para acreditar la seguridad y el cumplimiento legal, y luego
se destruyen. |
| Registros de seguridad y de la aplicación |
Registros de la aplicación 90 días; trazas de
solicitudes 30 días; alertas de seguridad 400
días; métricas del servicio (agregadas) 400
días. |
| Instrucciones y resultados de IA |
30 días (el administrador puede fijar 0).
Transcripciones de chats con el asistente de soporte: 30
días. |
| Tickets de soporte |
3 años después del cierre del ticket; luego se
eliminan. |
| Eventos de analítica del sitio web (encargado) |
Eventos sin procesar 13 meses, luego reducidos a
totales diarios sin identificador de visitante; informes agregados
mientras exista la cuenta. Cookie _nya: hasta 13 meses en
el navegador del visitante. |
| Grabaciones y registros de llamadas (encargado) |
Según lo que fije el cliente; se eliminan con la cuenta. |
| Tokens de plataformas publicitarias (encargado) |
Hasta que el cliente desconecte la cuenta o cierre la cuenta de
Nysroc; luego se eliminan. |
| Registros de consentimiento de marketing |
Mientras esté suscrito y durante 3 años después de
darse de baja o de que venza el consentimiento, para acreditar el
consentimiento según CASL. |
| Contactos de ventas (prospectos) |
Hasta 2 años después de la última interacción, salvo que comience
una relación. |
| Información sujeta a retención legal, disputa o investigación |
Hasta que se resuelva y hayan transcurrido los plazos de
apelación. |
La información usada para tomar una decisión sobre una persona se
conserva el tiempo suficiente para que esa persona pueda acceder a ella
y buscar recursos — al menos un año según las directrices de PIPEDA.
Usamos salvaguardas administrativas, técnicas y físicas adecuadas a
la sensibilidad de la información, entre ellas:
- Cifrado en tránsito (TLS 1.2 o superior en cada
punto de conexión público, solo HTTPS, certificados automáticos para los
dominios de clientes) y cifrado en reposo para bases de
datos, archivos, copias de seguridad y grabaciones de llamadas, con
claves gestionadas por separado de los datos; cifrado adicional a nivel
de aplicación para secretos como tokens de conexión y claves de IA.
- Aislamiento entre clientes: cada espacio de trabajo
de cliente funciona como su propio sitio, con su propia base de datos y
su propio dominio de identidad.
- Inicio de sesión robusto: Nysroc Login con
autenticación multifactor (códigos de aplicación de
autenticación), inicio de sesión único entre módulos, vencimiento de
sesiones, protección contra la adivinación de contraseñas y una
verificación de prueba de trabajo alojada por nosotros contra el abuso
automatizado.
- Mínimo privilegio: nuestro personal accede a los
sistemas de producción solo cuando es necesario, con MFA y por canales
auditados; el acceso al espacio de trabajo de un cliente para soporte
requiere el permiso del cliente y queda registrado donde el cliente
puede verlo.
- Registro de auditoría: registro de auditoría a
prueba de manipulaciones, encadenado por hash y sellado en
almacenamiento de una sola escritura.
- Ingeniería segura: revisión de código,
actualizaciones de dependencias, pruebas automatizadas, secretos nunca
en el código ni en los registros, ningún dato de tarjeta, contraseña ni
token en eventos o registros.
- Monitoreo y resiliencia: monitoreo y alertas de
seguridad, protección contra DDoS de nuestro proveedor de alojamiento,
copias de seguridad con pruebas de restauración y un plan de respuesta a
incidentes.
- Personas y proveedores: acuerdos de
confidencialidad y capacitación en privacidad para el personal; debida
diligencia y contratos escritos con los subencargados.
- Evaluaciones de impacto en la privacidad para todo
sistema nuevo o modificado que involucre información personal, como
exige la Ley 25 de Quebec, y antes de cualquier comunicación de
información personal fuera de Quebec.
Ningún sistema es perfectamente seguro. Usted ayuda usando una
contraseña segura y única, activando la MFA y limitando quién tiene
derechos de administrador.
15. Incidentes de
privacidad y vulneraciones
- Mantenemos un registro de todos los incidentes de
confidencialidad y vulneraciones de las medidas de seguridad,
incluidos los que no necesitan notificarse, durante 5
años, lo que cumple el mínimo de 24 meses de PIPEDA y el
reglamento de Quebec, y lo entregamos a los reguladores cuando lo
solicitan.
- Si una vulneración crea un riesgo real de daño
significativo (PIPEDA, PIPA de Alberta) o un riesgo de
perjuicio grave (Quebec), notificamos a la Oficina del
Comisionado de Privacidad de Canadá, a la Commission d'accès à
l'information du Québec, a la Oficina del Comisionado de Información y
Privacidad de Alberta y a otras autoridades según corresponda, y a las
personas afectadas, tan pronto como sea posible, y tomamos medidas para
reducir el riesgo.
- Cuando se aplica el RGPD, notificamos a la autoridad de control
competente en un plazo de 72 horas cuando se
requiere.
- Cuando un incidente afecta Datos del Cliente,
notificamos al cliente afectado sin demora indebida
(objetivo: dentro de las 48 horas posteriores a su confirmación) y le
damos la información que necesita para cumplir sus propias
obligaciones.
16. Sus derechos y cómo
ejercerlos
Según dónde viva, tiene algunos o todos estos derechos. Extendemos
los derechos principales a todas las personas, vivan donde vivan.
| Saber y acceder |
Confirmar si tenemos su información, obtener una copia y saber cómo
se usa, a quién se divulgó y de dónde provino. |
| Rectificar |
Que se corrija la información inexacta o incompleta; si no estamos
de acuerdo, dejamos constancia de su solicitud. |
| Eliminar |
Que se elimine la información cuando ya no sea necesaria o se haya
recopilado ilegalmente, sujeto a las obligaciones legales de
conservación. |
| Retirar el consentimiento |
En cualquier momento, sin afectar el tratamiento anterior. |
| Portabilidad |
Obtener la información que proporcionó en un formato tecnológico
estructurado y de uso común (Quebec, RGPD, estados de EE. UU.) — en
Nysroc esto incluye la exportación de autoservicio (JSON, CSV, ZIP del
sitio web, archivos, copia de seguridad completa). |
| Cese de la difusión / desindexación (Quebec) |
Pedirnos que dejemos de difundir su información o que desindexemos
cualquier hipervínculo asociado a su nombre que dé acceso a ella, cuando
la difusión infrinja la ley o una orden judicial o cause un perjuicio
grave, según el art. 28.1 de la ley de Quebec. |
| Oposición y limitación (RGPD) |
Oponerse al tratamiento basado en intereses legítimos o con fines de
marketing directo; pedirnos que limitemos el tratamiento en ciertos
casos. |
| Decisiones automatizadas |
Ser informado, conocer los motivos y factores, y que una persona
revise la decisión (sección 9). |
| Excluirse de la venta, el intercambio y la publicidad
dirigida (estados de EE. UU.) |
No vendemos, no compartimos ni dirigimos anuncios, por lo que no hay
nada de lo que excluirse; aun así respetamos Global Privacy
Control. |
| Limitar el uso de información sensible
(California) |
Usamos la información sensible solo para fines permitidos sin
necesidad de exclusión. |
| No discriminación |
No le negaremos el servicio, no le cobraremos más ni reduciremos la
calidad por haber ejercido sus derechos. |
| Presentar una queja |
Ante nosotros primero si lo desea, y ante un regulador en cualquier
momento (sección 24). |
Cómo hacer una solicitud.
- Los titulares de cuentas pueden ver, corregir, exportar y eliminar
gran parte de su información por sí mismos en Cuenta
(nysroc.com/account), incluida la cancelación en dos clics y la
exportación completa.
- O escriba a privacy@nysroc.com, o por
carta a nuestro responsable de privacidad a la dirección de la sección
24. Las solicitudes pueden hacerse en inglés o en francés.
- Datos del Cliente: si su solicitud se refiere a
información que una empresa guarda en Nysroc, contacte a esa empresa. Si
nos contacta a nosotros, le enviaremos la solicitud de inmediato (con su
permiso) y la ayudaremos a responder.
Verificación. Verificamos su identidad antes de
actuar, usando información que ya tenemos (por ejemplo, confirmando el
control del correo electrónico de la cuenta). No pedimos más de lo
necesario y eliminamos la información de verificación después de usarla.
Puede usar un agente autorizado (estados de EE. UU.) o
un representante legal; podemos pedir prueba de la autorización. Según
la ley de Quebec, el heredero, el liquidador o el cónyuge o familiar
cercano de una persona fallecida puede obtener cierta información según
lo dispone la ley.
Plazos y costo. Respondemos en un plazo de
30 días (PIPEDA, Quebec, Alberta; un mes según el RGPD;
45 días según las leyes estatales de EE. UU.), y le informamos si
necesitamos una prórroga que la ley permita, y por qué. Las solicitudes
son gratuitas; podemos cobrar un cargo mínimo solo
cuando la ley lo permite para solicitudes excesivas o repetidas, y se lo
informamos primero. Si rechazamos una solicitud total o parcialmente, le
indicamos por escrito el motivo, la ley en la que nos basamos y cómo
presentar una queja o apelar.
Apelaciones (estados de EE. UU.). Si rechazamos su
solicitud, puede apelar respondiendo con "Privacy appeal" a privacy@nysroc.com dentro de los 60
días. Resolvemos las apelaciones dentro del plazo que fija la ley de su
estado y le indicamos cómo contactar al Fiscal General de su estado si
no está de acuerdo.
17.1 Canadá (federal — PIPEDA)
Nysroc está sujeta a la Ley de Protección de la Información
Personal y los Documentos Electrónicos (PIPEDA) en sus actividades
comerciales. El Anexo A muestra cómo cumplimos sus diez principios de
información justa. Quejas: Oficina del Comisionado de Privacidad de
Canadá (sección 24).
- Persona a cargo de la protección de la información
personal: nuestro responsable de privacidad (sección 24); su
cargo y datos de contacto se publican en esta página.
- Gobernanza: hemos adoptado políticas y prácticas
que rigen la información personal (funciones y responsabilidades del
personal durante todo el ciclo de vida de la información, conservación y
destrucción, tramitación de quejas); esta política las resume en
términos sencillos, y una descripción más completa está disponible a
través de nuestro responsable de privacidad.
- Evaluaciones de impacto en la privacidad para cada
sistema de información o proyecto de prestación electrónica de servicios
que involucre información personal, y antes de cualquier comunicación
fuera de Quebec (sección 12.3).
- Registro de incidentes de confidencialidad y
notificación a la Commission d'accès à l'information y a las personas
afectadas (sección 15).
- Decisiones automatizadas (sección 9),
tecnologías de seguimiento y elaboración de perfiles
desactivadas por defecto (secciones 9–10), derechos de
desindexación y portabilidad (sección 16).
- Destrucción o anonimización una vez cumplida la
finalidad (sección 13).
- Idioma francés: esta política, nuestro aviso de
cookies y nuestro resumen de privacidad están disponibles en francés, y
la versión en francés es igualmente auténtica.
- Quejas: Commission d'accès à l'information du
Québec (sección 24).
17.3 Alberta y Columbia
Británica (PIPA)
Cuando se aplica la Personal Information Protection Act de
Alberta o la Personal Information Protection Act de Columbia
Británica (por ejemplo, a la información personal sobre empleados de
clientes en esas provincias, o cuando se aplican en lugar de PIPEDA),
las cumplimos, incluidas las exigencias de Alberta de divulgar los
países donde nuestros proveedores de servicios tratan información
personal (sección 12) y de notificar al Comisionado de Alberta las
vulneraciones con un riesgo real de daño significativo. Quejas: Oficina
del Comisionado de Información y Privacidad de Alberta o de Columbia
Británica (sección 24).
17.4 Espacio
Económico Europeo, Suiza y Reino Unido
- Responsable del tratamiento: Nysroc (sección 1)
para la información de la sección 3 marcada como "responsable"; bases
legales en la sección 6.
- No se ofrece en el lanzamiento. El Servicio se
ofrece solo en Canadá y los Estados Unidos (sección 1), por lo que no se
ha designado un representante en la UE (art. 27 del RGPD) ni en el Reino
Unido. Se designará uno antes de que el Servicio se ofrezca en la UE o
el Reino Unido.
- Delegado de protección de datos: no se requiere
actualmente; nuestro responsable de privacidad atiende todas las
consultas.
- Transferencias: sección 12.3.
- Quejas: la autoridad de control del lugar donde
usted vive o trabaja, o donde se produjo la presunta infracción.
17.5 Estados Unidos
Aviso en el momento de la recopilación. El Anexo B
enumera las categorías de información personal que hemos recopilado en
los últimos 12 meses, las fuentes, los fines, cuánto tiempo conservamos
cada una y las categorías de destinatarios. No vendemos ni
compartimos información personal (según se definen esos
términos en la California Consumer Privacy Act, modificada por la CPRA),
y no tenemos conocimiento efectivo de vender o compartir información de
consumidores menores de 16 años. No usamos ni divulgamos información
personal sensible salvo para fines permitidos (prestar el Servicio,
seguridad, prevención de fraude, cumplimiento legal), por lo que no es
necesario ejercer el derecho a limitar. No ofrecemos incentivos
financieros vinculados a la información personal.
"Shine the Light" de California: no divulgamos
información personal a terceros para su propio marketing directo.
Otros estados. Los residentes de estados con leyes
de privacidad integrales — incluidos Colorado, Connecticut, Delaware,
Indiana, Iowa, Kentucky, Maryland, Minnesota, Montana, Nebraska, New
Hampshire, Nueva Jersey, Oregón, Rhode Island, Tennessee, Texas, Utah y
Virginia — tienen los derechos de la sección 16 en la medida en que su
ley lo disponga, incluidos la confirmación, el acceso, la rectificación,
la eliminación, la portabilidad, la exclusión de la publicidad dirigida,
la venta y la elaboración de perfiles significativa (que no realizamos),
y la apelación. Global Privacy Control se respeta como señal de
exclusión.
Cuando tratamos información personal como proveedor de
servicios / encargado de un cliente, rige el aviso de
privacidad del cliente y seguimos las instrucciones del cliente conforme
al DPA.
- Nysroc no ofrece alojamiento de información de salud en el
lanzamiento. Los clientes no deben almacenar
información de salud en Nysroc: ni historias clínicas de pacientes, ni
notas clínicas, diagnósticos, recetas, números de tarjeta sanitaria ni
información de salud protegida (PHI).
- Nysroc no es una "entidad cubierta" según la
Health Insurance Portability and Accountability Act (HIPAA) de
EE. UU., no es un socio comercial (business associate)
y no firma Acuerdos de Socio Comercial (BAA) en el
lanzamiento. La IA gestionada nunca debe recibir información de
salud.
- Sitios web de clínicas. Los formularios de los
sitios web de las plantillas de Nysroc para clínicas y consultorios de
salud indican a los visitantes que no envíen información de salud;
sirven solo para solicitudes de contacto y de citas. Los consultorios no
deben usar los formularios de Nysroc para recopilar historias clínicas
de pacientes.
- Información de salud en Canadá. Los proveedores de
atención médica en Canadá (por ejemplo, los custodios de Ontario según
PHIPA, o los sujetos a la HIA de Alberta o a la ley de información de
salud de Quebec) siguen siendo responsables de la información de sus
pacientes. Nysroc no se ofrece como agente ni como proveedor de
servicios electrónicos para información personal de salud en el
lanzamiento, por lo que los proveedores pueden usar Nysroc para sus
operaciones comerciales (sitio web, solicitudes de citas, contabilidad,
CRM para contactos no clínicos), pero deben mantener las historias
clínicas de los pacientes en un sistema diseñado para ello.
19. Menores
El Servicio es para empresas. Debe tener al menos 16
años (y la mayoría de edad del lugar donde vive para celebrar los
Términos) para crear una cuenta o ser usuario. No recopilamos a
sabiendas información personal de menores de 16 años para nuestros
propios fines, y nuestro marketing no está dirigido a menores. Si cree
que un menor nos ha dado información personal, escriba a privacy@nysroc.com y la
eliminaremos. Los clientes que recopilan información sobre menores
mediante sus propios sitios web o espacios de trabajo (por ejemplo, una
escuela de danza) son responsables de obtener el consentimiento de un
padre, madre o tutor cuando la ley lo exija (menores de 14 años en
Quebec; menores de 13 años a efectos de la COPPA de EE. UU.).
20.
Mensajes de marketing y la ley antispam de Canadá (CASL)
- Enviamos mensajes electrónicos comerciales sobre Nysroc solo con su
consentimiento expreso o cuando CASL permite el
consentimiento implícito (por ejemplo, una relación comercial existente
dentro de los plazos que fija CASL, o un correo electrónico empresarial
que usted publicó sin indicar que no desea recibir mensajes).
- Cada mensaje de marketing nos identifica, incluye nuestra dirección
postal y datos de contacto, y tiene un enlace de cancelación de
suscripción que funciona. Procesamos las solicitudes de baja
con prontitud y, a más tardar, dentro de 10 días
hábiles.
- Conservamos registros del consentimiento (qué, cuándo, cómo) para
acreditarlo.
- Los mensajes del servicio (recibos, recordatorios de prueba, alertas
de seguridad, avisos de cambios en los Términos o en esta política) no
son marketing; los recibirá mientras tenga una cuenta.
- Campañas propias de los clientes: cuando un cliente
envía correos electrónicos o mensajes mediante Nysroc (por ejemplo,
Nysroc Campaigns o Nysroc Inbox), el cliente es el remitente y es
responsable del cumplimiento de CASL; Nysroc ofrece gestión de bajas y
registros de consentimiento para ayudar.
21. Lo que esperamos
de nuestros clientes
Cuando usted, como cliente, usa Nysroc para recopilar o usar
información de otras personas, es responsable de hacerlo legalmente. En
particular, debe:
- publicar su propio aviso de privacidad en su sitio web y para sus
clientes, y mantener activado el banner de consentimiento en su sitio
alojado en Nysroc;
- obtener cualquier consentimiento que exija la ley — por ejemplo,
para grabar llamadas telefónicas (informe a quienes
llaman al inicio de la llamada), para enviar marketing (CASL), para
subir conversiones cifradas con hash a sus cuentas publicitarias y para
recopilar información de menores o de salud;
- decidir si usa las funciones de IA y en qué modo, y no enviar
información de salud ni otra información regulada a la IA gestionada
(sección 8.6);
- responder a las solicitudes de privacidad de sus propios clientes
(le ayudaremos, según lo establecido en el DPA);
- configurar la conservación de las grabaciones de llamadas y otros
registros para cumplir sus propias obligaciones.
El Anexo de Tratamiento de Datos del Cliente establece en detalle las
obligaciones de ambas partes.
22. Servicios y
enlaces de otras empresas
El Servicio se conecta con servicios operados por otros (por ejemplo,
Google, Meta, Microsoft, Square, Clover, Stripe, HeyGen y aplicaciones
de automatización), y los sitios web pueden enlazar a otros sitios. El
tratamiento que hacen de su información se rige por sus propias
políticas. Desconectar una integración en Nysroc detiene nuestro
intercambio de datos con ella; para eliminar los datos que la otra
empresa ya tiene, contáctela directamente.
23. Cambios a esta política
Revisamos esta política al menos una vez al año y cuando cambian
nuestras prácticas. Si hacemos un cambio importante —
por ejemplo, un nuevo fin, una nueva categoría de información sensible,
un nuevo país donde se trata información o un nuevo subencargado que
trate Datos del Cliente — lo notificaremos a los titulares de cuentas
por correo electrónico y en el Servicio al menos 30 días antes
de que entre en vigor, y pediremos un nuevo consentimiento
cuando la ley lo exija. La fecha en la parte superior indica la versión
más reciente; las versiones anteriores están disponibles a solicitud y
en nuestro archivo en /legal/privacy/history.
24.
Contáctenos, nuestro responsable de privacidad y cómo presentar una
queja
Responsable de privacidad / Persona a cargo de la protección
de la información personal
Zameer Mulla, Director Ejecutivo (CEO)
Nysroc — Scopien Technologies Inc.
300-416 North Service Road East, Oakville, Ontario L6H 5R2, Canadá
Correo electrónico: privacy@nysroc.com
Acusamos recibo de las quejas dentro de 5 días hábiles, investigamos
cada queja y le informamos el resultado y las medidas adoptadas. Si no
está satisfecho, puede presentar una queja ante un regulador en
cualquier momento:
- Oficina del Comisionado de Privacidad de Canadá (Office of
the Privacy Commissioner of Canada) — priv.gc.ca ·
1-800-282-1376 · 30 Victoria Street, Gatineau, Quebec K1A 1H3
- Commission d'accès à l'information du Québec —
cai.gouv.qc.ca · 1-888-528-7741
- Oficina del Comisionado de Información y Privacidad de
Alberta (Office of the Information and Privacy Commissioner of
Alberta) — oipc.ab.ca · 1-888-878-4044
- Oficina del Comisionado de Información y Privacidad de
Columbia Británica (Office of the Information and Privacy Commissioner
for British Columbia) — oipc.bc.ca · 250-387-5629
- UE/EEE: la autoridad nacional de protección de
datos de su país · Reino Unido: Information
Commissioner's Office (ico.org.uk)
- EE. UU.: el Fiscal General de su estado o, en
California, la California Privacy Protection Agency (cppa.ca.gov)
| 1. Responsabilidad |
Responsable de privacidad designado; políticas escritas; contratos
con subencargados; capacitación del personal; revisión anual |
§§ 11, 14, 23, 24 |
| 2. Identificación de fines |
Fines indicados antes de la recopilación o en ese momento |
§ 6 |
| 3. Consentimiento |
Consentimiento significativo y específico; expreso para datos
sensibles; retiro sencillo; seguimiento con consentimiento previo |
§§ 7, 10 |
| 4. Limitación de la recopilación |
Solo lo que cada fin necesita; sin almacenamiento de IP en la
analítica; sin números de tarjeta |
§§ 4, 10 |
| 5. Limitación del uso, la divulgación y la conservación |
Uso solo para los fines indicados; sin venta; calendario de
conservación; destrucción o anonimización |
§§ 6, 11, 13 |
| 6. Exactitud |
Corrección de autoservicio; solicitudes de corrección atendidas y
transmitidas a los destinatarios cuando corresponde |
§ 16 |
| 7. Salvaguardas |
Cifrado, MFA, aislamiento, mínimo privilegio, registro de auditoría,
respuesta a incidentes |
§§ 14, 15 |
| 8. Transparencia |
Esta política, el resumen, el aviso de cookies y la lista de
subencargados publicados en inglés y francés |
Encabezado, § 17.2 |
| 9. Acceso individual |
Acceso, exportación y corrección dentro de 30 días, sin costo |
§ 16 |
| 10. Impugnación del cumplimiento |
Proceso de quejas; contactos de los reguladores |
§ 24 |
| Identificadores |
Nombre, correo electrónico, ID de cuenta, dirección IP (registros de
seguridad) |
Usted; su dispositivo; inicio de sesión con Google |
Prestar y proteger el Servicio; facturación; soporte |
Subencargados (alojamiento, correo electrónico, pagos) |
Vida de la cuenta + § 13 |
| Registros de clientes (Cal. Civ. Code § 1798.80(e)) |
Nombre, dirección, teléfono, datos de facturación (sin números de
tarjeta) |
Usted; procesador de pagos |
Facturación; impuestos |
Procesador de pagos; asesores profesionales |
7 años para la facturación |
| Información comercial |
Plan, prueba, compras de servicios de Nysroc |
Usted; nosotros |
Facturación; servicio |
Procesador de pagos |
7 años |
| Actividad en internet o en la red |
Páginas, funciones usadas, registros, eventos de auditoría |
Su dispositivo |
Seguridad; mejora del Servicio |
Proveedor de alojamiento |
§ 13 (90 días – 7 años) |
| Geolocalización (aproximada) |
Provincia; ubicación aproximada a partir de la IP por seguridad |
Usted; su dispositivo |
Impuestos; seguridad |
Proveedor de alojamiento |
Vida de la cuenta / plazos de los registros |
| Información de audio y electrónica |
Notas de llamadas de soporte; (encargado) grabaciones de
llamadas |
Usted; clientes |
Soporte; (encargado) fines del cliente |
Proveedor de alojamiento |
§ 13 |
| Información profesional |
Cargo, nombre de la empresa |
Usted; fuentes empresariales públicas |
Cuenta; ventas B2B |
Proveedor de correo electrónico |
Vida de la cuenta / 2 años para prospectos |
| Inferencias |
Ninguna creada para elaborar perfiles |
— |
— |
— |
— |
| Información personal sensible |
Credenciales de acceso a la cuenta (contraseña con hash) |
Usted |
Solo autenticación y seguridad |
No se divulga |
Vida de la cuenta |
No vendemos ni compartimos ninguna categoría. Los Datos del Cliente
que tratamos como proveedor de servicios se rigen por el aviso del
cliente.
Historial de versiones: 1.0 (6 de noviembre de 2026) —
primera versión publicada.