Acuerdo de Tratamiento de Datos

Usted es el responsable del tratamiento. Usted decide qué información se ingresa en ImmCase, qué se registra, cuánto tiempo se conserva y quién en su despacho puede verla. Usted es responsable de contar con la autorización para ingresar esa información y con los consentimientos que exijan sus obligaciones profesionales y de privacidad.

Nosotros somos el encargado del tratamiento. Conservamos y tratamos esa información únicamente para prestar el servicio, y solo conforme a sus instrucciones. Sus instrucciones son: los Términos del Servicio, la configuración que usted elija en el producto y cualquier cosa que nos pida por escrito.

No usaremos los datos de sus clientes para fines propios, no los divulgaremos salvo en lo que este acuerdo permite, ni los usaremos para entrenar, ajustar o evaluar modelos de aprendizaje automático.

Si consideramos que una instrucción suya infringiría la legislación canadiense de privacidad, se lo diremos en lugar de simplemente ejecutarla.

Categorías de personas. Sus clientes y solicitantes; sus familiares y dependientes; empleadores, patrocinadores y referencias; su propio personal.

Categorías de información. Datos de identidad y contacto; identificadores migratorios como el UCI y los números de solicitud; fechas de nacimiento y nacionalidad; historial de pasaportes, viajes y estatus; historial educativo y laboral; resultados de exámenes de idioma; información financiera que respalda una solicitud; correspondencia; documentos cargados; y registros de casos, listas de verificación y gestión de expedientes.

Parte de esta información es sensible, incluida la relativa a la salud, la composición familiar, la situación financiera y, en algunos asuntos, las circunstancias de una solicitud de protección. Se trata con los controles de separación y acceso descritos en la sección 4.

Duración. Mientras su espacio de trabajo esté abierto y, después, según lo previsto en la sección 8.

Usted se compromete a:

contar con una base legal y con cualquier consentimiento necesario para la información que ingresa;
mantener al día los permisos de acceso de sus usuarios y dar de baja a quienes se vayan;
usar los controles por campo y por rol que ofrece la plataforma cuando un asunto lo requiera;
cumplir sus propias obligaciones conforme a la College of Immigration and Citizenship Consultants Act, el Código de Conducta Profesional y el Reglamento de Gestión de Expedientes de Clientes. Esas obligaciones son suyas, y este acuerdo no las traslada.

Esto describe la plataforma tal como es hoy, no como pretendemos que sea.

Separación. Cada despacho tiene su propia base de datos, su propio almacenamiento de archivos, su propio espacio de caché y cola de tareas, y su propio nombre de dominio. Un dominio no reconocido se rechaza. Los registros de un despacho no pueden devolverse a otro por una consulta errónea, porque no están en la misma base de datos.

Control de acceso. Permisos por rol para cada módulo (ver, crear, editar, eliminar) y por campo (escritura, solo lectura, invisible). Los campos marcados como invisibles se eliminan en el servidor antes de que el registro se envíe al navegador.

Autenticación. Las contraseñas se almacenan como hashes con sal. Las sesiones caducan y un administrador del despacho puede revocarlas. La autenticación multifactor aún no está disponible en ImmCase; es un compromiso de nuestra hoja de ruta.

En tránsito. TLS en todos los puntos de acceso, incluidos los clientes de sincronización de escritorio y de calendario.

En reposo. Servidores dedicados en Canadá, en una instalación de OVHcloud en Beauharnois, Quebec, con almacenamiento redundante y controles de acceso del sistema operativo. Las credenciales que guardamos en su nombre — contraseñas de buzones, tokens emitidos por Microsoft y Google, claves de almacenamiento y telefonía — se cifran dentro de la base de datos. Los registros de clientes en sí no se cifran a nivel de aplicación, y actualmente no se aplica cifrado de disco completo en los servidores de producción. Actualizaremos esta sección cuando eso cambie.

Registro de auditoría. Los cambios en los registros de clientes quedan registrados con el usuario, la hora y la dirección IP, y la actividad sobre documentos se conserva en su propio registro de solo anexado.

Respaldos. Volcados nocturnos de la base de datos de cada despacho, con una ventana de conservación rotativa. Una restauración se hace por despacho y no requiere ni afecta los datos de otro despacho.

Personas. El acceso a producción se limita al personal designado que lo necesita, sujeto a obligaciones de confidencialidad, con credenciales individuales, y se revoca al cambiar de función o dejar la empresa.

Usted otorga una autorización general para los subencargados que se indican a continuación. Seguimos siendo responsables de lo que hagan con sus datos y les imponemos obligaciones no menos protectoras que las de este acuerdo.

Subencargado	Finalidad	Qué recibe
OVHcloud	Alojamiento en servidores dedicados en Canadá (Beauharnois, Quebec)	Todos los datos de la aplicación
SMTP2GO	Entrega de los correos que el servicio envía por cuenta propia, como notificaciones y restablecimientos de contraseña	El contenido y los destinatarios de esos mensajes
Stripe	Facturación de suscripciones y pagos con tarjeta	Solo datos de facturación — nunca datos de clientes ni de casos. Los números de tarjeta van directamente a Stripe y nunca llegan a nosotros.

Los servicios que operamos nosotros mismos en la misma infraestructura canadiense — reconocimiento de texto en documentos cargados, actualizaciones en tiempo real, videollamadas, edición de documentos en el navegador y nuestro servicio de datos del IRCC — no son subencargados externos, pero sí tratan sus datos y están cubiertos por la sección 4. ImmCase no envía datos de clientes a proveedores externos de inteligencia artificial.

Las integraciones opcionales que usted active (un buzón conectado, un canal de mensajería, una cuenta de calendario, un servicio de documentos) envían datos a ese proveedor porque usted decidió conectarlo. Esa decisión es suya, y a ella se aplican los términos de ese proveedor. Los correos que su personal envía desde ImmCase salen por su propio buzón conectado, no por SMTP2GO.

Cambios. Le daremos al menos 30 días de aviso antes de agregar o sustituir un subencargado que trate datos de clientes. Si usted se opone de forma razonable por motivos de protección de datos, avísenos dentro de ese plazo y le propondremos una alternativa, o podrá dar por terminado el servicio afectado sin penalización por la parte no utilizada de su plazo.

Si confirmamos una vulneración de la seguridad que provoque la destrucción, pérdida o alteración accidental o ilícita de los datos de sus clientes, o su divulgación o acceso no autorizados, nos comprometemos a:

notificar al contacto designado de su despacho sin demora indebida y, en todo caso, dentro de las 72 horas siguientes a la confirmación;
informarle lo que sepamos: qué ocurrió, qué categorías y aproximadamente cuántos registros, las consecuencias probables y qué estamos haciendo al respecto;
mantenerle al tanto a medida que sepamos más, sin esperar a tener el panorama completo para la primera notificación;
ayudarle a cumplir sus propias obligaciones conforme a PIPEDA, la PIPA de Columbia Británica y sus normas profesionales.

Usted decide si notifica a las personas afectadas, al Comisionado de Privacidad o al Colegio — son sus datos y su relación regulatoria. No notificaremos a sus clientes en su nombre sin su instrucción.

Solicitudes de acceso y rectificación. Si recibimos una solicitud de uno de sus clientes, no la responderemos nosotros. Se la trasladaremos de inmediato y le ayudaremos a responder, incluso entregando los datos que conservamos.

Registros y auditorías. Con aviso previo razonable y por escrito, no más de una vez al año salvo que un regulador o un incidente lo requiera, le proporcionaremos la información que razonablemente necesite para confirmar que cumplimos este acuerdo. Cuando eso revelaría datos de otro despacho o comprometería la seguridad de la plataforma, la proporcionaremos en una forma que no lo haga.

Evaluaciones de impacto en la privacidad. Le brindaremos asistencia razonable si usted realiza una.

Al terminar o vencer su suscripción:

durante 30 días usted puede solicitar una exportación de sus datos en un formato legible por máquina, y se la entregaremos sin costo;
después de ese plazo, y a más tardar 90 días después del cierre, eliminamos su base de datos, su almacenamiento de archivos y cualquier copia de archivo generada al cerrar su espacio de trabajo. No conservamos un archivo a largo plazo de sus datos;
los respaldos caducan según su calendario rotativo habitual, y no restauramos un espacio de trabajo eliminado a partir de ellos salvo que usted lo solicite por escrito dentro del plazo de exportación;
podemos conservar los registros mínimos de cuenta y facturación que exigen las leyes fiscales y societarias, los cuales no incluyen sus expedientes de clientes.

Si lo solicita por escrito, le confirmaremos la eliminación por escrito.

Exporte antes de cerrar. Su obligación de conservación de seis años conforme al Reglamento de Gestión de Expedientes de Clientes 2021-001 del CICC, art. 7.2, subsiste al término de este acuerdo. No conservamos sus expedientes por usted después.

Los datos de sus clientes se almacenan y tratan en Canadá. No trasladaremos fuera de Canadá el lugar donde se almacenan o tratan sin avisarle primero; si eso llegara a cambiar, le indicaremos el destino y la salvaguarda aplicada, y le daremos el derecho de oponerse.

Dos elementos de la sección 5 quedan fuera de esa afirmación, y preferimos decirlo: los correos del servicio que se envían a través de SMTP2GO se tratan en la infraestructura de ese proveedor, y las integraciones opcionales que usted active pueden operar fuera de Canadá. Conectar una integración es decisión suya.

Acuerdo de Tratamiento de Datos

1. Quién decide qué

2. Qué se trata

3. Sus obligaciones

4. Qué hacemos para protegerla

5. Subencargados

6. Incidentes de seguridad

7. Cómo le ayudamos a cumplir sus obligaciones

8. Devolución y eliminación

9. Transferencias internacionales

10. Responsabilidad y prelación

11. Ley aplicable

Contacto