Anexo de Procesamiento de Datos (DPA)

• Responsable / Controlador: el Cliente.
• Encargado / Procesador: Nissi Energy Canada Inc.

El Cliente determina los fines y medios del tratamiento de los datos personales que carga o procesa a través de la plataforma. Nissi actúa siguiendo las instrucciones documentadas del Cliente.

Este DPA aplica mientras esté vigente el contrato de servicio entre las partes y se extiende durante los plazos de retención posteriores a la terminación previstos en la sección "Devolución y eliminación".

• Naturaleza: almacenamiento, organización, consulta, visualización y análisis de telemetría y datos de gestión.
• Finalidad: prestación del servicio SaaS contratado.
• Categorías de interesados: usuarios autorizados por el Cliente, operadores en campo, empleados del Cliente, contactos comerciales del Cliente.
• Categorías de datos: identificadores de cuenta (nombre, email, rol), datos de uso del producto, telemetría IoT (que puede contener identificadores asociados a personas).
• Duración: la del contrato de servicio.

Nissi puede contratar sub-encargados para prestar el servicio. La lista vigente con identidad, función, región y propósito de tratamiento de cada sub-encargado se mantiene en /legal/subprocessors y se actualiza cuando hay cambios. Categorías generales actualmente en uso: infraestructura cloud (hosting, base de datos, almacenamiento), procesamiento de pagos, motor de IA conversacional, ingestión y enrutado de telemetría IoT, y email transaccional. Nissi notificará al Cliente, con al menos 30 días de antelación, la incorporación o cambio material de sub-encargados que procesen datos personales, mediante notificación por email a los administradores de la cuenta y publicación en la página de sub-procesadores. El Cliente podrá objetar fundadamente dentro de los 15 días siguientes a la notificación.

El personal de Nissi y sus sub-encargados están sujetos a obligaciones de confidencialidad equivalentes a las de este DPA.

Nissi implementa medidas técnicas y organizativas razonables y conforme al estado del arte para garantizar un nivel de seguridad apropiado al riesgo del tratamiento, según el Art. 32 GDPR y disposiciones equivalentes de PIPEDA, Loi 25 y PIPA Alberta. Las medidas incluyen, entre otras, cifrado, controles de acceso, registro de actividad, gestión de vulnerabilidades, backups y revisiones de seguridad periódicas. El detalle específico de las medidas técnicas vigentes y su evolución se documenta en el Security Overview disponible bajo NDA para clientes Enterprise y prospectos cualificados, escribiendo a vía nuestro formulario de contacto.

En caso de incidente de seguridad que afecte datos personales del Cliente, Nissi notificará al Cliente sin demora indebida, y dentro de los plazos legales aplicables (típicamente 72 horas bajo GDPR/Loi 25/LGPD). La notificación incluirá: naturaleza del incidente, categorías y volumen aproximado de datos afectados, medidas adoptadas, contactos y recomendaciones.

Nissi proporcionará al Cliente las herramientas razonables para atender solicitudes de los interesados (acceso, rectificación, eliminación, portabilidad, oposición). Cuando el Cliente no pueda atender una solicitud por sí mismo y solicite asistencia, Nissi colaborará en la medida razonable.

El Cliente Enterprise tiene derecho, con notificación previa razonable y bajo confidencialidad, a auditar el cumplimiento de Nissi una vez al año, o a aceptar reportes de auditoría externos vigentes (por ejemplo SOC 2, ISO 27001) cuando estén disponibles. Los costos de auditorías excepcionales corren a cargo del solicitante salvo que detecten incumplimientos materiales.

Cuando los datos se transfieran fuera de Canadá, Nissi aplicará garantías adecuadas: SCC de la UE para destinos UE/UK, EFVP bajo Loi 25 para residentes Quebec, y mecanismos análogos para otras jurisdicciones. El Cliente puede solicitar copia de los mecanismos aplicables.

Al término del contrato, Nissi pondrá a disposición del Cliente sus datos en un formato razonable durante un período de gracia de 30 días. Tras ese período, los datos se eliminarán o anonimizarán dentro de los 60 días siguientes, salvo obligación legal de retención (registros contables, requerimientos de autoridades).

La responsabilidad entre las partes por incumplimientos de este DPA se rige por la cláusula de limitación de responsabilidad de los Términos de Servicio, con las excepciones imperativas de la ley aplicable (en particular, sanciones administrativas o multas que la ley imponga directamente a la parte infractora).

• Anexo UE/UK: las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión 2021/914) se incorporan por referencia para transferencias a terceros países sin decisión de adecuación. El Cliente actúa como exportador y Nissi como importador.
• Anexo Quebec (Loi 25): Nissi reconoce su rol como receptor de datos personales y se compromete a la EFVP previa y a las notificaciones de incidente al Responsable de Protección.
• Anexo Alberta (PIPA): Nissi cumplirá obligaciones equivalentes a las del Responsable cuando actúe como sub-procesador.
• Anexo Brasil (LGPD): Nissi actuará como Operador con los deberes del Art. 39 LGPD.
• Anexo California (CCPA/CPRA): Nissi actuará como "Service Provider" y no venderá ni compartirá información personal.

Para asuntos relacionados con este DPA: vía nuestro formulario de contacto.