Atestación de soberanía de PaymentEvolution

PaymentEvolution emite esta declaración para sus clientes, clientes potenciales y sus equipos de adquisiciones, auditoría y privacidad, de modo que las preguntas sobre la nacionalidad corporativa, la ubicación de los datos y el alcance legal extranjero puedan responderse con un único documento en cualquier etapa de una compra. Cada declaración a continuación está vigente a partir de la fecha de entrada en vigor y es reemplazada por el acuerdo firmado entre las partes en caso de que existan discrepancias entre ambos.

Fecha de entrada en vigor: 3 de septiembre de 2026. Versión 1.2.
Última revisión: 3 de septiembre de 2026. Esta declaración se revisa trimestralmente y ante cualquier cambio en la propiedad, la residencia de los datos o el registro de subencargados del tratamiento.

Constitución y estatus legal

Propiedad y control

Residencia de datos

Subencargados del tratamiento

Leyes extranjeras aplicables

PaymentEvolution está constituida en Canadá, no mantiene ningún establecimiento en los Estados Unidos y no proporciona servicios de comunicación electrónica ni servicios de computación remota en el sentido de las secciones 18 U.S.C. §2510 y §2711, por lo que no es un proveedor cubierto bajo la Ley CLOUD (Clarifying Lawful Overseas Use of Data Act) y no puede ser obligada por un tribunal de los Estados Unidos a entregar datos de clientes almacenados en Canadá. Los datos de producción de nómina, RR. HH. y pagos se ejecutan en centros de datos controlados por canadienses en Ontario y Quebec, y ninguna empresa estadounidense provee dicha infraestructura. Microsoft Corporation provee la infraestructura que almacena las copias de seguridad y de recuperación ante desastres de esos datos, junto con ciertos servicios de análisis y seguridad. Dado que Microsoft es una empresa estadounidense sujeta a los procesos legales de los Estados Unidos independientemente de la región en la que se almacenen los datos, PaymentEvolution confía en los compromisos públicos de Microsoft para impugnar órdenes dirigidas a datos de clientes corporativos y redirigir la autoridad solicitante al cliente siempre que sea legalmente posible.

La Sección 702 de la Ley de Vigilancia de la Inteligencia Extranjera (FISA), 50 U.S.C. §1881a, autoriza directivas a proveedores de servicios de comunicación electrónica de los Estados Unidos para fines de inteligencia extranjera, y el análisis anterior se aplica de la misma manera. La Sección 215 de la Ley PATRIOT de EE. UU., por la cual los cuestionarios de adquisiciones canadienses todavía preguntan, expiró el 15 de marzo de 2020, y la autoridad estadounidense vigente para la entrega obligatoria de información es ahora la Ley CLOUD.

El Reglamento General de Protección de Datos (RGPD) se aplica a PaymentEvolution únicamente cuando procesa datos personales de personas ubicadas en la Unión Europea (lo cual no hace actualmente). Las sanciones de los Estados Unidos administradas por la Oficina de Control de Activos Extranjeros (OFAC) alcanzan a PaymentEvolution a través de las relaciones de corresponsalía bancaria que respaldan la liquidación en dólares estadounidenses, y la empresa evalúa a sus contrapartes frente a las listas de sanciones tanto de Canadá como de los Estados Unidos como parte de su programa de cumplimiento de FINTRAC.

Solicitudes de autoridades de control extranjeras recibidas: 0 en 2025, 0 en 2026 hasta la fecha. Solicitudes atendidas: 0.

Ley aplicable

Preguntas frecuentes

¿Se almacenan los datos de los clientes fuera de Canadá?

Los datos de producción de nómina, RR. HH. y pagos se almacenan y procesan en centros de datos controlados por canadienses en Ontario y Quebec, y las copias de seguridad y de recuperación ante desastres se guardan en las regiones de Canadá Central y Canadá Este de Microsoft Azure. Algunos servicios de análisis y seguridad también se ejecutan en esas regiones canadienses de Azure. Un cliente puede optar por servicios adicionales de telemetría o de terceros que se procesen fuera de Canadá; estas opciones son voluntarias, se informan con anticipación y requieren el consentimiento del cliente.

¿Está PaymentEvolution sujeta a la Ley CLOUD de los EE. UU.?

PaymentEvolution no es un proveedor cubierto bajo la Ley de Clarificación del Uso Legal de Datos en el Extranjero (CLOUD Act), porque está constituida en Canadá, no mantiene establecimientos en los Estados Unidos y no proporciona servicios de comunicación electrónica ni servicios de computación remota en el sentido de las secciones 18 U.S.C. §2510 y §2711, por lo que un tribunal de los Estados Unidos no tiene autoridad para obligarla a entregar datos de clientes almacenados en Canadá. Microsoft Corporation provee la infraestructura donde residen los datos de copia de seguridad y análisis, y Microsoft es una empresa estadounidense sujeta a los procesos legales de los Estados Unidos independientemente de la región que albergue los datos. Por ello, PaymentEvolution confía en los compromisos públicos de Microsoft de impugnar las órdenes dirigidas a los datos de clientes corporativos y de redirigir la autoridad solicitante al cliente siempre que la ley lo permita.

¿Está PaymentEvolution sujeta a la Sección 702 de la FISA?

La Sección 702 de la Ley de Vigilancia de la Inteligencia Extranjera, 50 U.S.C. §1881a, autoriza directivas a proveedores de servicios de comunicación electrónica de los Estados Unidos para fines de inteligencia extranjera, y PaymentEvolution queda fuera de esa definición por las mismas razones que queda fuera de la Ley CLOUD. La Sección 215 de la Ley PATRIOT de los EE. UU., a la que todavía hacen referencia muchos cuestionarios de adquisiciones canadienses, expiró el 15 de marzo de 2020, y las autoridades estadounidenses vigentes para la entrega obligatoria de información son ahora la Ley CLOUD y la Sección 702.

¿Es PaymentEvolution de propiedad o control extranjero?

No. El 100% de las acciones de PaymentEvolution están en manos de residentes canadienses y el 0% en manos de no residentes; la empresa está controlada por sus fundadores y ninguna persona o entidad no canadiense posee acciones con derecho a voto. Bajo la Ley de Inversiones de Canadá, la empresa no se considera un negocio canadiense bajo control extranjero y no ha ocurrido ninguna transacción sujeta a notificación o revisión. PaymentEvolution no ha aceptado ninguna inversión de accionistas no residentes.

¿Alguno de los subencargados del tratamiento de PaymentEvolution está fuera de Canadá?

Hay 2 subencargados domiciliados fuera de Canadá y ambos procesan datos de clientes dentro del territorio canadiense. Microsoft Corporation, con domicilio en los Estados Unidos, proporciona almacenamiento de copias de seguridad y recuperación ante desastres, gestión de claves e infraestructura de análisis y seguridad, y procesa copias de seguridad de datos de nómina, RR. HH. y pagos, junto con telemetría y ciertos datos de servicios de seguridad en regiones canadienses. PostHog, con domicilio en los Estados Unidos, proporciona análisis de productos y procesa telemetría de cuentas y uso de forma seudonimizada en Canadá. La ejecución de pagos se realiza a través de instituciones financieras canadienses, incluidas BMO, CIBC y RBC, las cuales están domiciliadas en Canadá y procesan la información en Canadá.

¿Utiliza PaymentEvolution los datos de los clientes para entrenar modelos de IA?

PaymentEvolution no utiliza datos de nómina, RR. HH. o pagos de los clientes para entrenar o ajustar modelos de IA, y no se transmiten datos de nómina de clientes a proveedores de modelos externos. La inferencia sobre datos regulados de clientes se ejecuta en hardware operado por PaymentEvolution ubicado en Canadá.

¿Dónde reside el personal con acceso a producción?

Todo el personal con acceso a los sistemas de producción reside en Canadá, y el acceso se asigna según el rol, se registra en bitácoras y se revisa constantemente.

¿Cuál es el proceso de PaymentEvolution ante las solicitudes de autoridades de control extranjeras?

PaymentEvolution valida cada solicitud de una autoridad extranjera frente a la legislación canadiense, impugna cualquier solicitud que sea excesivamente amplia o que carezca de efecto legal en Canadá, y notifica al cliente afectado a menos que una orden judicial prohíba dicha notificación. Los acuerdos se rigen por las leyes de Ontario y las leyes federales de Canadá aplicables, y los tribunales de Ontario son el foro para cualquier disputa.