Política de privacitat per a les persones usuàries-clientes en l’anàlisi dels estudis de mercat realitzats

Aquesta Política explica com es recullen i s’utilitzen les dades personals de les persones que poden accedir als nostres estudis de mercat com a usuàries del client contractant per gestionar els serveis prestats.

La informació específica facilitada en cada contracte i projecte pot completar o modificar aquesta Política.

• Entitat: AUTENTIC LABS SL
• NIF: B24842650
• Domicili social: Carrer de Llull, 63 2 6, 08005 Barcelona, ESPANYA
• Correu electrònic: hola@autentic.ai
• Lloc web: autentic.ai

D’ara endavant, «Autentic».

La funció de l’entitat investigadora pot variar segons l’estudi.

3.1. Autentic com a responsable

L’entitat investigadora és responsable quan determina per si mateixa les finalitats i els mitjans essencials del tractament, per exemple, per gestionar el seu panell de participants, seleccionar persones per als estudis, controlar la qualitat i prevenir el frau, gestionar incentius, mantenir registres de participació i dur a terme recerca pròpia.

3.2. Autentic com a encarregada del tractament

En alguns estudis, el client determina la finalitat i els mitjans essencials i l’entitat investigadora tracta les dades seguint-ne les instruccions.

En aquest cas, el client és el responsable del tractament i se’n comunicarà la identitat. Autentic actua d’acord amb el contracte d’encàrrec i les instruccions documentades del client.

3.3. Corresponsabilitat

Autentic i el client poden ser corresponsables quan determinen conjuntament les finalitats i els mitjans essencials d’un tractament.

Quan hi hagi corresponsabilitat, s’informarà de la identitat de les entitats corresponsables i se’n distribuiran les responsabilitats mitjançant un acord.

3.4. Responsables independents

Quan Autentic i el client tracten les dades per a finalitats pròpies i decideixen de manera autònoma com fer-ho, cadascun actua com a responsable independent.

La mera comunicació de dades entre les parts no implica per si sola que hi hagi corresponsabilitat. La informació específica de cada estudi ha d’identificar correctament el model aplicable.

Podem tractar dades de participants actuals o potencials, membres de panells i persones que apareixen incidentalment en materials aportats pels participants, així com les dades de les persones que consten com a usuàries autoritzades pel client.

Segons l’estudi, podem tractar diverses categories de dades dels participants:

• Dades identificatives: nom, cognoms, àlies, identificador intern, signatura, document identificatiu quan sigui estrictament necessari, fotografia, imatge o veu.
• Dades de contacte: correu electrònic, telèfon, adreça postal, país, localitat i canal de comunicació preferit.
• Dades sociodemogràfiques: edat, data o any de naixement, gènere, composició de la llar, situació familiar, nivell educatiu, situació laboral, professió, sector, franja d’ingressos o altres variables necessàries per segmentar la mostra.
• Dades sobre consum i preferències: compres, marques utilitzades, hàbits de consum, freqüència d’ús, opinions, valoracions, interessos, expectatives, intenció de compra i experiència amb productes o serveis.
• Respostes i continguts: respostes i reaccions.
• Dades tècniques: adreça IP, identificadors de dispositiu o sessió, navegador, sistema operatiu, idioma, zona horària, data i hora de connexió, registres d’activitat i dades tècniques necessàries per a la seguretat o la prevenció del frau.
• Dades professionals: empresa, càrrec, funcions, experiència, sector, mida de l’organització, informació de contacte professional i opinions expressades en qualitat de professional.
• Dades econòmiques: dades necessàries per pagar incentius o dades fiscals, quan calgui.
• Enregistraments: imatge, veu, llenguatge corporal, intervencions i transcripcions d’entrevistes o sessions.
• Categories especials de dades: alguns estudis poden implicar informació sobre salut o discapacitat, origen racial o ètnic, opinions polítiques, conviccions religioses o filosòfiques, afiliació sindical, vida sexual o orientació sexual, dades biomètriques destinades a identificar una persona de manera unívoca i dades genètiques. Aquestes categories només es tractaran quan siguin necessàries, s’hagi facilitat informació específica i hi hagi una excepció vàlida d’acord amb l’article 9 del RGPD, com ara el consentiment explícit quan escaigui. L’acceptació general d’aquesta Política no s’ha d’entendre com a consentiment explícit per tractar categories especials.

Pel que fa a les persones usuàries autoritzades, només es tracten les dades identificatives i de contacte necessàries per tenir la condició d’usuari autoritzat, així com informació de l’activitat que duen a terme com a usuàries dels sistemes.

Les dades s’obtenen directament de la persona interessada o de qui actuï en nom seu en representació del client, així com de l’activitat duta a terme a través de la nostra plataforma.

Gestionar la vostra condició de persona usuària de la plataforma i l’activitat que hi dueu a terme. La base jurídica és l’execució de la relació contractual.

Elaborar informes agregats: preparar anàlisis, conclusions, estadístiques, presentacions i informes per a ús propi o del client. La base jurídica és l’execució de l’estudi i l’interès legítim a obtenir resultats de recerca.

Quan una persona usuària autoritzada activa i utilitza una integració externa, com ara el connector d’Autentic per a assistents d’IA (per exemple, Claude o ChatGPT), Autentic posa a la seva disposició únicament les dades de l’estudi a les quals pot accedir amb el seu compte d’Autentic.

Segons l’eina habilitada i utilitzada en la interacció amb l’assistent d’IA, la informació tractada pot incloure dades sobre la configuració i els resultats de l’estudi, respostes i transcripcions de participants, atributs demogràfics, citacions utilitzades com a evidència, identificadors d’enregistraments i fragments de vídeo.

Per indexar, cercar i analitzar el contingut d’un estudi per a la persona usuària, Autentic pot generar representacions numèriques de text anomenades embeddings. El text necessari pot incloure preguntes i respostes de participants o fragments d’evidència en indexar un estudi, així com els termes introduïts per un investigador autoritzat en fer una cerca semàntica. Aquest text s’envia a través d’OpenRouter al proveïdor del model seleccionat. En aquest procés concret de generació d’embeddings no s’envien fitxers d’àudio ni de vídeo. Les instruccions que l’assistent d’IA envia a Autentic quan invoca una eina (per exemple, l’estudi consultat, els filtres aplicats o els termes de cerca) es tracten únicament per atendre aquella sol·licitud.

Quan Autentic actua com a encarregada del tractament de les dades del client que és responsable del tractament, les tracta seguint les instruccions del client. Quan Autentic actua com a responsable, li correspon aplicar les mesures necessàries i disposar de la base jurídica per a la finalitat corresponent.

Analítica de producte: separadament del registre d’auditoria del connector, es registra un esdeveniment d’ús d’eines (MCP) associat a l’identificador extern de la persona usuària. Inclou l’eina, el resultat de l’operació, la durada, la mida de la resposta, els identificadors de l’estudi i de l’organització quan escaigui, la classe de client (Claude, ChatGPT, Cursor o un altre), els indicadors d’administració i suplantació i la classe d’error quan escaigui. Aquest esdeveniment d’ús no inclou els arguments de l’eina ni el contingut de l’estudi. Té per finalitat analitzar l’ús i el funcionament del producte. No s’ha de confondre amb el registre d’auditoria de seguretat.

Les dades es poden comunicar o posar a disposició de:

• Clients o patrocinadors de l’estudi: altres persones usuàries del client i qui en sigui representant, que pot exigir aquesta informació per avaluar el servei prestat.
• Autoritats: les dades es poden comunicar a jutjats, tribunals, forces de seguretat, administracions tributàries, autoritats de protecció de dades o altres organismes quan hi hagi una obligació legal o un requeriment vàlid.

Proveïdors d’assistents d’IA que la persona usuària autoritzada connecta directament, com ara Anthropic (Claude) o OpenAI (ChatGPT i Codex). La persona usuària connecta l’assistent amb un compte del servei al qual té accés autoritzat. Les dades retornades per les eines habilitades i invocades es transmeten des d’Autentic al proveïdor de l’assistent escollit i es tracten com a part de la conversa de la persona usuària en aquell servei. Les dades retornades depenen de l’eina utilitzada i dels permisos del compte d’Autentic de la persona usuària; Autentic no concedeix a la integració un accés més ampli del que la persona ja té a Autentic. En aquests casos, tant l’assistent d’IA com Autentic actuen a favor de la persona usuària, sense que hi hagi una relació jurídica que vinculi Autentic amb el proveïdor de l’assistent escollit i utilitzat per la persona usuària.

Proveïdors de serveis que Autentic contracta per prestar la plataforma i que actuen com a encarregats del tractament d’Autentic: autenticació i identitat, allotjament i base de dades, correu transaccional, analítica de producte allotjada a la UE, processament i reproducció de vídeo, transcripció de veu i encaminament a proveïdors de models d’intel·ligència artificial per a entrevistes, anàlisis, informes i embeddings (OpenRouter i el proveïdor del model seleccionat a través d’aquest servei). Només s’envia la informació necessària per a cada operació.

La condició en què actuen Autentic, el client i cada proveïdor es determina segons el flux concret, les instruccions del client i el servei escollit per la persona usuària autoritzada. La informació específica de cada contracte i projecte pot completar aquesta Política.

Alguns proveïdors, clients o empreses del grup poden estar situats fora de l’Espai Econòmic Europeu.

Quan es produeixi una transferència internacional, s’utilitzarà algun dels mecanismes reconeguts pel RGPD. Quan calgui, s’avaluaran les circumstàncies de la transferència i s’adoptaran mesures complementàries.

L’ús d’assistents d’IA com Claude o ChatGPT, d’OpenRouter o d’altres proveïdors de models o serveis tecnològics subjacents pot implicar el tractament de dades personals des de països situats fora de l’Espai Econòmic Europeu (EEE) o l’accés a aquestes dades des de tercers països.

Quan aquestes transferències internacionals es duguin a terme en serveis contractats, seleccionats o gestionats per Autentic, només es faran quan hi hagi un mecanisme vàlid d’acord amb el capítol V del Reglament (UE) 2016/679 (RGPD), com ara una decisió d’adequació de la Comissió Europea o, si no n’hi ha, garanties adequades, incloses, quan escaigui, les clàusules contractuals tipus aprovades per la Comissió Europea. També s’avaluarà la necessitat d’adoptar mesures tècniques, contractuals o organitzatives complementàries tenint en compte el país de destinació, la naturalesa de les dades i els riscos associats al tractament.

Quan el client o una persona usuària autoritzada seleccioni, configuri o connecti directament un servei de tercers sobre el qual Autentic no determini les condicions del tractament, el tractament i, si escau, les transferències internacionals derivades del seu ús també estaran subjectes a les condicions contractuals i de privacitat, la configuració del compte i els mecanismes de transferència establerts pel proveïdor. En aquests casos, el client ha de verificar que l’ús del servei sigui compatible amb les seves obligacions de protecció de dades i que, quan escaigui, hi hagi garanties adequades per a les transferències internacionals, sens perjudici de les obligacions d’Autentic en els tractaments en què actuï com a responsable o encarregada del tractament.

Les dades de les persones usuàries autoritzades es conserven mentre mantinguin aquesta condició i durant els terminis necessaris per atendre les responsabilitats que es puguin derivar del servei prestat o de la seva actuació.

La informació conservada inclou les dades identificatives i de contacte que atorguen la condició d’usuari, així com l’activitat duta a terme a la plataforma.

El connector d’Autentic conserva un registre mínim d’accés que inclou l’identificador de la persona usuària d’Autentic, l’eina utilitzada, l’estudi o la sessió consultats quan escaigui, el resultat de l’operació, la mida aproximada de la resposta, la durada i la data i hora. Aquest registre es conserva durant un màxim de 365 dies.

Les adreces IP i les dades de l’agent d’usuari (navegador o client) associades a les sol·licituds del connector es conserven durant un màxim de 90 dies i després s’eliminen del registre. Les frases de cerca, les consultes semàntiques i altres arguments de text lliure no es conserven al registre d’auditoria del connector. Les decisions de revisió i les notes que una persona amb permisos administratius registri a través del connector es desen al mateix estudi, com si s’haguessin introduït a la plataforma, i segueixen el termini de conservació de les dades de l’estudi.

El connector no amplia el termini de conservació aplicable a les dades originals de l’estudi. Les dades retornades a l’assistent d’IA poden passar a formar part de la conversa de la persona usuària autoritzada en aquell servei. El text tractat per generar embeddings passa per OpenRouter i un proveïdor de models. La conservació per aquests serveis es regeix pel contracte aplicable, la configuració del compte i les condicions de cada proveïdor. Autentic no controla ni pot garantir els terminis de conservació aplicats pels serveis que el client o la persona usuària autoritzada seleccionen i gestionen directament.

Els terminis no s’han d’ampliar de manera genèrica o indefinida sense justificació.

Els terminis de 365 i 90 dies anteriors corresponen al registre d’auditoria del connector, no a l’analítica de producte. L’analítica d’ús de MCP es tracta separadament a PostHog Cloud, a la UE. El pla de pagament actual d’Autentic ofereix una finestra de conservació d’esdeveniments de set anys. Aquesta finestra determina quins esdeveniments estan disponibles per a consultes i no garanteix, per si sola, que s’eliminin físicament quan s’acaba. Les sol·licituds de supressió es gestionen per separat; per sol·licitar informació o exercir els drets, contacteu amb dpd@autentic.ai.

S’adoptaran mesures tècniques i organitzatives adequades al risc.

Cap sistema no és absolutament invulnerable. En cas d’una violació de seguretat, s’aplicaran els procediments d’avaluació, documentació i notificació previstos pel RGPD.

• Accés: la persona interessada té dret a saber si el responsable tracta dades personals seves i, si és així, a accedir-hi i a obtenir informació sobre els tractaments duts a terme.
• Rectificació: la persona interessada té dret que es rectifiquin les seves dades personals inexactes i es completin les incompletes.
• Supressió: la persona interessada té dret a obtenir la supressió de les seves dades personals («dret a l’oblit») quan ja no siguin necessàries per a la finalitat per a la qual es van recollir, es revoqui el consentiment en què es basava el tractament, s’oposi al tractament, les dades s’hagin tractat il·lícitament, s’hagin de suprimir per complir una obligació legal o s’hagin obtingut en relació amb l’oferta de serveis de la societat de la informació adreçada a menors.
• Limitació del tractament: la persona interessada pot sol·licitar que es marquin les seves dades personals conservades per limitar-ne el tractament futur. La limitació comporta que, a petició seva, les dades personals indicades es deixin de tractar.
• Oposició: la persona interessada té dret a oposar-se al tractament de les seves dades en determinats supòsits per motius relacionats amb la seva situació personal.
• Portabilitat de les dades: la persona interessada té dret a rebre les dades personals facilitades al responsable en un format estructurat, d’ús comú i de lectura mecànica, si el tractament es basa en el consentiment o en un contracte o es fa per mitjans automatitzats.
• No ser objecte de decisions individuals automatitzades: la persona interessada té dret a no ser objecte d’una decisió basada en el tractament automatitzat de les seves dades, inclosa l’elaboració de perfils, que produeixi efectes jurídics que l’afectin o que l’afecti negativament.

Aquestes peticions es poden adreçar a l’adreça postal indicada a l’inici o a dpd@autentic.ai.

Quan una persona consideri que el tractament vulnera la normativa, pot contactar amb Autentic o amb el delegat de protecció de dades a dpd@autentic.ai.

També pot presentar una reclamació davant l’Agència Espanyola de Protecció de Dades.

Les enquestes o plataformes poden utilitzar galetes, emmagatzematge local, píxels, identificadors de sessió o altres tecnologies.

La informació detallada s’ha d’incloure en una política de galetes separada quan escaigui.

Aquesta Política es pot modificar per canvis legals, tecnològics, metodològics o organitzatius. La data d’actualització s’indicarà a l’inici.

Quan el canvi afecti substancialment un tractament existent, es comunicarà per mitjans adequats i se sol·licitarà un nou consentiment quan calgui.

Per a qualsevol dubte relacionat amb aquesta Política: dpd@autentic.ai.