AVISO DE PRIVACIDAD

Este documento, en adelante denominado el “Aviso de Privacidad”, describe las prácticas de privacidad de Spendbase (“Nosotros", "nosotros", "nuestro", "Spendbase”) y regula el tratamiento de la información personal en relación con la prestación de nuestros servicios de tecnología financiera, pagos y banca digital (“Servicios”) a los clientes canadienses (“Clientes”) definidos a continuación. 

El uso continuado de los Servicios constituye su reconocimiento y aceptación de las prácticas de privacidad descritas en este Aviso de Privacidad. En caso de cualquier duda relacionada con este Aviso de Privacidad o sobre cómo manejamos su Información Personal, no dude en ponerse en contacto con nosotros en:

Oficial de Privacidad, Spendbase Ltd. A la atención de: Correo electrónico de Privacidad y Cumplimiento: privacy@test-domain-partnerway.prod.spendbase.co

¡Nota bene! A partir de la fecha de entrada en vigor, Spendbase NO opera en Quebec. Por lo tanto, no está disponible una versión en francés de este Aviso de privacidad.

Spendbase presta servicios de tecnología financiera de empresa a empresa, incluidos programas de tarjetas corporativas y servicios de plataforma relacionados. Todas las cuentas de Spendbase se abren y mantienen exclusivamente para fines comerciales. Por lo tanto, este Aviso de Privacidad se aplica a los Clientes, a saber: 

• Clientes Comerciales que entablan una relación contractual con Spendbase, quienes son tratados como entidades comerciales (“Cliente Comercial”), y
• Personas físicas que acceden o utilizan los servicios de Spendbase en nombre de un Cliente Comercial, incluidos empleados, directivos y titulares de tarjetas, que actúan únicamente en calidad comercial o laboral (“Usuario Autorizado”)
  

De conformidad con la ley aplicable, Spendbase opera como una Organización (o una “Empresa” según se define en Quebec) en relación con el Cliente comercial. El procesamiento de la Información personal de los Usuarios autorizados es realizado por Spendbase como Proveedor de servicios (o un “Agente” según se define en Quebec), actuando bajo las instrucciones del Cliente comercial como Organización (o una “Empresa” según se define en Quebec), consagradas en el contrato respectivo.

Para obtener información detallada sobre cómo esto puede influir en el procesamiento de la Información personal del Usuario autorizado, consulte la Sección 12 (USUARIOS AUTORIZADOS) de este documento.

Spendbase recopila y procesa Información personal únicamente en la medida necesaria para proporcionar los Servicios, cumplir con las obligaciones legales y reglamentarias aplicables, prevenir el fraude y el uso indebido, y operar y asegurar la plataforma Spendbase.

Dependiendo de la definición de cliente aquí contenida, recopilamos Información personal de la siguiente manera:

Toda la Información personal del Usuario autorizado se procesa únicamente en el contexto de su relación profesional con el Cliente comercial correspondiente. Spendbase no recopila a sabiendas Información personal de personas menores de 18 años. Para los residentes de Quebec, se requiere el consentimiento de los padres o del tutor para las personas menores de 14 años. Los datos agregados o desidentificados pueden utilizarse para análisis y mejora del servicio y no se tratan como Información personal. Spendbase no recopila Información personal de salud.

Spendbase recopila Información personal de un número limitado de fuentes lícitas y transparentes en relación con la prestación de sus servicios a Clientes comerciales y Usuarios autorizados.

Todos los fines se identifican en el momento de la recopilación o antes de ella, de conformidad con el principio de Identificación de fines de la PIPEDA. La Información personal no se utiliza para fines incompatibles con el motivo original por el que se recopiló. Cuando surja un nuevo fin, se identificará y se obtendrá cualquier consentimiento requerido antes de proceder.

Según la ley de privacidad canadiense, el consentimiento es la base legal predeterminada para todo procesamiento. Cuando se aplica una exención específica de la sección 7 de la PIPEDA, esta se indica explícitamente a continuación. No existe una base de “interés legítimo” o “ejecución de contrato” bajo la PIPEDA o la legislación provincial aplicable.

Spendbase obtiene, registra y gestiona el consentimiento de acuerdo con el Principio de Consentimiento de PIPEDA y las Directrices de la OPC sobre la Obtención de Consentimiento Significativo.

• El consentimiento expreso se obtiene de los Clientes Comerciales en la incorporación a través de un acuerdo firmado o aceptación digital equivalente, con marca de tiempo y vinculado a la versión de este Aviso de Privacidad vigente en ese momento.
• El consentimiento es detallado cuando los propósitos se presentan individualmente, y el consentimiento para los Servicios principales nunca se agrupa con el consentimiento para marketing. 
• El consentimiento implícito se utiliza únicamente para fines no sensibles que son obvios a partir de la relación comercial (por ejemplo, la mejora del servicio utilizando datos desidentificados). 

Para los Usuarios Autorizados, Spendbase exige contractualmente a los Clientes Comerciales que confirmen que se han obtenido todas las notificaciones y consentimientos necesarios antes de que se envíe la Información Personal del Usuario Autorizado a la plataforma.

Seguimiento. Spendbase mantiene registros internos de procesamiento que documentan, para cada propósito: la base legal, la fecha y forma del consentimiento, la versión del Aviso de Privacidad vigente y cualquier cambio posterior en el estado del consentimiento.

Retirada. El consentimiento puede ser retirado en cualquier momento poniéndose en contacto con privacy@test-domain-partnerway.prod.spendbase.co. Spendbase confirmará la recepción en un plazo de 5 días hábiles y cesará todo procesamiento no obligatorio en un plazo de 15 días hábiles, actualizando el registro de consentimiento en consecuencia. La retirada no afecta la legalidad del procesamiento anterior, ni anula las obligaciones de retención legalmente exigidas (por ejemplo, registros de FINTRAC, KYC/KYB).

Mensajes electrónicos comerciales. En los casos en que Spendbase envía mensajes electrónicos comerciales (CEM), lo hace en virtud de la Legislación Anti-Spam de Canadá (CASL). Spendbase se basa en el consentimiento expreso para el marketing a nuevos contactos y en el consentimiento implícito para los Clientes Comerciales existentes (válido por 2 años desde la última transacción). Cada CEM identifica a Spendbase como el remitente e incluye un mecanismo para darse de baja; las solicitudes enviadas a privacy@test-domain-partnerway.prod.spendbase.co  se procesan en un plazo de 10 días hábiles. Los mensajes transaccionales y operativos (alertas de cuenta, avisos de seguridad, divulgaciones regulatorias) no son CEM y se envían independientemente del consentimiento de marketing.

Spendbase no vende Información Personal. Todo intercambio está sujeto al principio de Responsabilidad de PIPEDA y sus equivalentes provinciales. Los destinatarios están obligados contractualmente a mantener protecciones de privacidad comparables a las de PIPEDA. Los acuerdos con terceros se rigen por salvaguardas contractuales coherentes con las obligaciones de Spendbase en virtud de PIPEDA y la Ley de Productos del Delito (Lavado de Dinero) y Financiamiento del Terrorismo (PCMLTFA).

Intercambio de información AML/ATF: Cuando Spendbase participa en un acuerdo de intercambio de información de privado a privado aprobado por FINTRAC bajo el Ley de Productos del Delito (Lavado de Activos) y Financiación del Terrorismo (PCMLTFA, por sus siglas en inglés), la Información Personal puede compartirse con otras entidades que informan en virtud de un Código de Prácticas aprobado por la Oficina del Comisionado de Privacidad de Canadá para fines de AML/ATF, sin consentimiento, según lo permiten PIPEDA y la PCMLTFA.

La Información Personal se conserva únicamente durante el tiempo que sea necesario para cumplir con los fines de su recopilación, de conformidad con el principio de Limitación de Uso, Divulgación y Retención de PIPEDA y sus equivalentes provinciales.

Los períodos de retención varían según la naturaleza de la Información Personal, el propósito para el cual fue recopilada y los requisitos legales o regulatorios aplicables. En el contexto de los servicios financieros, ciertos registros deben conservarse durante los períodos mínimos exigidos por la ley, incluidos los requisitos relacionados con la prevención del lavado de dinero, el cumplimiento de sanciones, la prevención del fraude, los impuestos, la contabilidad y el mantenimiento de registros regulatorios. Cuando se apliquen dichas obligaciones, Spendbase conservará la Información Personal durante el período de tiempo exigido por la ley aplicable o las directrices regulatorias.

La Información Personal relacionada con Clientes Comerciales y Usuarios Autorizados generalmente se conserva durante la vigencia de la relación contractual y, tras su finalización, por un período limitado posterior según sea necesario para cumplir con las obligaciones legales, respaldar auditorías e investigaciones, resolver disputas y hacer cumplir los derechos contractuales. Cuando ya no se requiera su retención, la Información Personal se eliminará de forma segura, se anonimizará o se desidentificará de acuerdo con las políticas y controles técnicos aplicables.

La información agregada o desidentificada puede conservarse durante períodos más prolongados cuando la ley lo permita, ya que dichos datos no identifican a las personas y se utilizan para fines comerciales legítimos como análisis, informes y mejora del servicio.

Spendbase implementa y mantiene salvaguardas administrativas, técnicas y físicas diseñadas para proteger la Información Personal contra el acceso, divulgación, alteración o destrucción no autorizados.

Nuestro programa de seguridad se basa en el riesgo y tiene en cuenta la sensibilidad de la Información Personal que procesamos, la naturaleza de nuestros servicios, los riesgos previsibles y las amenazas de seguridad en constante evolución. Las salvaguardas se revisan y actualizan periódicamente para abordar los cambios en la tecnología, las directrices regulatorias y el riesgo operativo.

Las salvaguardas administrativas incluyen políticas y procedimientos que rigen el acceso a los datos, la confidencialidad, la capacitación de los empleados, la respuesta a incidentes, la gestión de proveedores y la supervisión del cumplimiento. El acceso a la Información Personal está limitado al personal y a los proveedores de servicios que requieren dicho acceso para fines comerciales legítimos y que están sujetos a obligaciones de confidencialidad y seguridad.

Las salvaguardas técnicas incluyen medidas como controles de acceso, mecanismos de autenticación, cifrado, registro y monitoreo, controles de seguridad de red y gestión de vulnerabilidades diseñadas para proteger la Información Personal durante su procesamiento, almacenamiento y transmisión.

Spendbase también mantiene procedimientos para detectar, responder y recuperarse de incidentes de seguridad, incluidos incidentes de seguridad de datos que involucren Información Personal. Cuando lo exija la ley aplicable, Spendbase proporcionará notificaciones relacionadas con violaciones de datos o incidentes de seguridad de conformidad con los requisitos legales y regulatorios aplicables.

Si bien Spendbase adopta medidas razonables y apropiadas para proteger la Información Personal, no se puede garantizar que ningún sistema o método de transmisión sea completamente seguro. Los Clientes Comerciales y los Usuarios Autorizados son responsables de mantener la confidencialidad de sus credenciales de acceso y de utilizar los servicios de manera segura.

Spendbase presta sus Servicios a Clientes Comerciales y procesa Datos Personales relacionados únicamente con Usuarios Autorizados. Los Usuarios Autorizados acceden a la plataforma Spendbase y a los servicios relacionados en nombre de, y sujetos al control de, el Cliente Comercial correspondiente.

Los Clientes Comerciales son responsables de determinar qué personas están autorizadas a acceder a los servicios, asignar y gestionar los derechos de acceso, emitir y revocar credenciales, y garantizar que la información del Usuario Autorizado proporcionada a Spendbase sea precisa, actual y lícita. Los Clientes Comerciales también son responsables de informar a los Usuarios Autorizados sobre cómo se recopilan, utilizan y comparten sus Datos Personales en relación con el uso de los servicios, incluso a través de políticas y avisos internos cuando lo exija la ley.

Spendbase procesa la Información Personal de los Usuarios Autorizados de acuerdo con las instrucciones del Cliente Comercial correspondiente, los términos contractuales aplicables y la ley aplicable. Los Clientes Comerciales controlan y determinan cómo se utilizan los datos de los Usuarios Autorizados dentro de su organización, incluso para la gestión de gastos, informes, controles internos, supervisión del cumplimiento y fines relacionados con el empleo. Spendbase no controla ni es responsable de las prácticas internas de datos de los Clientes Comerciales.

Los Usuarios Autorizados deben dirigir las solicitudes relacionadas con el acceso, la corrección o la eliminación de su Información Personal principalmente al Cliente Comercial que autorizó su acceso a los servicios. Cuando lo exija la ley o el contrato, Spendbase puede ayudar a los Clientes Comerciales a responder a dichas solicitudes.

Los Clientes Comerciales son responsables de garantizar que el uso que hagan de los Servicios, incluido el manejo de los datos de los Usuarios Autorizados obtenidos a través de la plataforma, cumpla con las leyes de empleo, privacidad y protección de datos aplicables.

Spendbase puede transferir Información Personal fuera de Canadá a filiales, proveedores de servicios y socios bancarios que operen en jurisdicciones que incluyen, entre otras, los Estados Unidos y la Unión Europea/EEE. Nosotros, así como nuestros principales proveedores de servicios (por ejemplo, para fines de KYC), almacenamos sus datos en Amazon Web Services (AWS), Google Cloud Platform (GCP) y Hetzner, todos los cuales brindan servicios de alojamiento en la Unión Europea/EEE, concretamente en Luxemburgo, Alemania y Finlandia. Cuando los Datos Personales deban procesarse en otros países que ofrezcan una protección menos estricta, garantizamos la aplicabilidad del mecanismo transfronterizo correspondiente y evaluamos la legislación del país de destino para evitar posibles intrusiones gubernamentales. En cualquier caso, debe tener en cuenta que cuando la información personal se almacena o procesa en otro país, queda sujeta a las leyes de esa jurisdicción. Como resultado, puede ser accesible para el gobierno, los tribunales, los organismos encargados de hacer cumplir la ley, las agencias de seguridad nacional o las autoridades reguladoras de ese país.

Todas las transferencias se rigen por contratos escritos que exigen que los procesadores receptores mantengan protecciones comparables a las de PIPEDA, utilicen los datos únicamente para fines especificados y notifiquen a Spendbase sobre cualquier incidente de seguridad. Spendbase sigue siendo responsable de la Información Personal transferida en todo momento, de conformidad con el Principio de Responsabilidad de PIPEDA y las Directrices de la OPC para el Procesamiento de Datos Personales a Través de Fronteras (2009). Una transferencia para procesamiento constituye un uso de la Información Personal, no una divulgación, y no requiere consentimiento adicional, siempre que los datos se utilicen únicamente para el fin recopilado originalmente.

Notas específicas por provincia: Los residentes de Alberta y BC pueden solicitar más detalles sobre los destinos de transferencia y las salvaguardas aplicables. En caso de que Spendbase extienda los Servicios a Quebec, las transferencias transfronterizas estarán sujetas a una Evaluación de Impacto en la Privacidad, acuerdos por escrito que incorporen las medidas de protección requeridas y el pleno cumplimiento de la Ley 25.

Para ejercer cualquier derecho, envíe una solicitud por escrito a privacy@test-domain-partnerway.prod.spendbase.co. Es posible que se requiera una verificación de identidad antes del procesamiento. Spendbase no tomará represalias contra ninguna persona que ejerza sus derechos de privacidad o presente una queja.

Por lo general, los Usuarios Autorizados deben dirigir sus solicitudes al Cliente Comercial que autorizó su acceso. Spendbase puede, a solicitud del Cliente Comercial, ayudar a satisfacer las solicitudes de los respectivos Usuarios Autorizados. En caso de recibir cualquier solicitud directamente del Usuario Autorizado, Spendbase hará todo lo posible por transferir la solicitud sin demoras indebidas y/o presentar la información solicitada en la medida permitida por la ley.

Las quejas no resueltas pueden elevarse al regulador correspondiente:

Cuando corresponda, Spendbase procesa Información Personal de conformidad con:

• • En Ley de Protección de Información Personal y Documentos Electrónicos (PIPEDA) y su reglamento de aplicación;
  • Los 10 Principios de Información Equitativa establecidos en el Anexo 1 de la PIPEDA, bajo la supervisión de la Oficina del Comisionado de Privacidad de Canadá (OPC);
  • La Legislación Anti-Spam de Canadá (CASL);
  • La legislación provincial de privacidad aplicable que se considere sustancialmente similar a la PIPEDA, incluida la de Quebec Ley sobre la protección de la información personal en el sector privado (Ley 25), Ley de Protección de la Información Personal (PIPA de Alberta), y Ley de Protección de la Información Personal (PIPA de BC), según corresponda; y

• Ley de Productos del Delito (Lavado de Activos) y Financiación del Terrorismo (PCMLTFA);

• Obligaciones contractuales con nuestros socios bancarios y proveedores de servicios, quienes están obligados a proporcionar un nivel comparable de protección de la privacidad al requerido por la PIPEDA.

Interacción de leyes: Cuando la Ley 25 de Quebec, la PIPA de Alberta o la PIPA de BC se apliquen a las actividades de procesamiento de Spendbase dentro de esas provincias, dichas leyes regirán en lugar de la PIPEDA para las actividades intraprovinciales. La PIPEDA continúa aplicándose en todo momento a Spendbase como proveedor de servicios regulado por el gobierno federal y a todas las transferencias interprovinciales e internacionales de Información Personal.

Spendbase puede actualizar este Aviso de Privacidad de vez en cuando para reflejar cambios en nuestras prácticas, servicios, requisitos legales o regulatorios, o necesidades operativas. Cuando realicemos cambios significativos, se lo notificaremos a través de la plataforma Spendbase actualizando la “Fecha de entrada en vigor”.

En caso de cambios significativos que puedan afectar el uso que usted hace de los Servicios, se lo notificaremos a través de los medios de comunicación disponibles.

Para los fines de este Aviso de Privacidad, los siguientes términos tienen los significados establecidos a continuación:

"Usuario Autorizado” significa una persona física, incluidos empleados, directivos y titulares de tarjetas autorizados, a quien un Cliente Comercial autoriza a acceder o utilizar los servicios de Spendbase en nombre del Cliente Comercial.

"Cliente Comercial” significa una persona jurídica u organización que entabla una relación contractual con Spendbase para la prestación de servicios financieros o de pago orientados a empresas.

"Información Personal” significa cualquier información que identifique, se relacione con, describa o pueda vincularse razonablemente con un individuo identificado o identificable, según lo definido bajo la PIPEDA aplicable y/u otras leyes provinciales aplicables, y según se describe más detalladamente en este Aviso de Privacidad.

“Información Personal de Salud” significa cualquier información sobre la salud física o mental de un individuo, los servicios de salud que se le prestan e información relacionada.

"Organización” es una entidad responsable de la Información Personal recopilada y controlada directamente a través de la plataforma y los servicios de Spendbase

"Servicios” se refiere a los servicios de banca digital, pagos, tarjetas corporativas y tecnología financiera relacionada de Spendbase que se proporcionan a los Clientes Comerciales.

"Proveedor de servicios” se refiere a una organización que recopila, utiliza o divulga información personal en nombre de otra organización