Política de privacidad para los usuarios-clientes en el análisis de los estudios de mercado realizados

Esta Política explica cómo se recopilan y utilizan los datos personales de quienes pueden acceder a nuestros estudios de mercado en su calidad de usuario del cliente contratante para la gestión de los servicios que se prestan.

La información concreta facilitada en cada contrato y proyecto podrá completar o modificar esta Política.

• Entidad: AUTENTIC LABS SL
• NIF: B24842650
• Domicilio social: Carrer de Llull, 63 2 6. 08005 Barcelona ESPAÑA
• Correo electrónico: hola@autentic.ai
• Sitio web: autentic.ai

En adelante, “Autentic”.

La función de la Entidad investigadora puede variar según el estudio.

3.1. Autentic como responsable

La Entidad investigadora será responsable cuando determine por sí misma las finalidades y los medios esenciales del tratamiento, por ejemplo, para gestionar su panel de participantes, seleccionar personas para estudios, controlar la calidad y prevenir el fraude, gestionar incentivos, mantener registros de participación y realizar investigación propia.

3.2. Autentic como encargada del tratamiento

En algunos estudios, el cliente determinará la finalidad y los medios esenciales y la Entidad investigadora tratará los datos siguiendo sus instrucciones.

En ese caso el cliente será el responsable del tratamiento y su identidad se comunicará. Autentic actuará conforme al contrato de encargo y a las instrucciones documentadas del cliente.

3.3. Corresponsabilidad

Autentic y el cliente podrán ser corresponsables cuando determinen conjuntamente los fines y medios esenciales de un tratamiento.

Cuando exista corresponsabilidad se informará de la identidad de las entidades corresponsables y se distribuirán sus responsabilidades mediante un acuerdo.

3.4. Responsables independientes

Cuando Autentic y el cliente traten los datos para finalidades propias y decidan de forma autónoma cómo hacerlo, cada uno actuará como responsable independiente.

La mera comunicación de datos entre las partes no implica por sí sola que exista corresponsabilidad. La información específica de cada estudio deberá identificar correctamente el modelo aplicable.

Podremos tratar datos de participantes actuales o potenciales, miembros de paneles y personas que aparecen incidentalmente en materiales aportados por participantes, así como los propios datos de las personas que constan como usuarios autorizados por el cliente.

Dependiendo del estudio, podremos tratar distintas categorías de datos de participantes:

• Datos identificativos: Nombre, apellidos, alias, identificador interno, firma, documento identificativo cuando sea estrictamente necesario, fotografía, imagen o voz.
• Datos de contacto: Correo electrónico, teléfono, dirección postal, país, localidad y canal de comunicación preferido.
• Datos sociodemográficos: Edad, fecha o año de nacimiento, género, composición del hogar, situación familiar, nivel educativo, situación laboral, profesión, sector, rango de ingresos u otras variables necesarias para segmentar la muestra.
• Datos sobre consumo y preferencias: Compras, marcas utilizadas, hábitos de consumo, frecuencia de uso, opiniones, valoraciones, intereses, expectativas, intención de compra y experiencia con productos o servicios.
• Respuestas y contenidos: Respuestas y reacciones.
• Datos técnicos: Dirección IP, identificadores de dispositivo o sesión, navegador, sistema operativo, idioma, zona horaria, fecha y hora de conexión, registros de actividad y datos técnicos necesarios para la seguridad o la prevención del fraude.
• Datos profesionales: Empresa, cargo, funciones, experiencia, sector, tamaño de la organización, información de contacto profesional y opiniones expresadas en calidad de profesional.
• Datos económicos: Datos necesarios para pagar incentivos o datos fiscales, cuando resulte necesario.
• Grabaciones: Imagen, voz, lenguaje corporal, intervenciones y transcripciones de entrevistas o sesiones.
• Categorías especiales de datos: Algunos estudios podrán implicar información sobre salud o discapacidad, origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, vida sexual u orientación sexual, datos biométricos destinados a identificar de manera unívoca y datos genéticos. Estas categorías solo se tratarán cuando sean necesarias, se haya facilitado información específica y exista una excepción válida conforme al artículo 9 del RGPD, como el consentimiento explícito cuando resulte procedente. No deberá entenderse que la aceptación general de esta Política equivale al consentimiento explícito para tratar categorías especiales.

Respecto de los usuarios autorizados para acceder tan solo se tratarán los datos identificativos y de contacto para poder disponer de la condición de usuario autorizado así como información de la actividad realizada en su condición de usuario en los sistemas.

Los datos se obtendrán directamente del interesado o de quienes actúen en su nombre en representación del cliente, así como de la actividad realizada a través de nuestra plataforma.

Gestionar su condición de usuario de nuestra plataforma y la actividad en ella realizada. La base jurídica es ejecución de la relación contractual

Elaborar informes agregados: elaborar análisis, conclusiones, estadísticas, presentaciones e informes para uso propio o del cliente. La base jurídica es ejecución del estudio e interés legítimo en obtener resultados de investigación.

Cuando un usuario autorizado activa y utiliza una integración externa, como el conector de Autentic para asistentes de IA (por ejemplo Claude o ChatGPT), Autentic pone a su disposición únicamente los datos del estudio a los que puede acceder en su condición de usuario de su cuenta de Autentic.

Según la herramienta habilitada y utilizada dentro de la interacción del usuario con el asistente de IA, la información a tratar puede incluir datos relativos a la configuración y los resultados del estudio, respuestas y transcripciones de participantes, atributos demográficos, citas utilizadas como evidencia, identificadores de grabaciones y fragmentos de vídeo.

Para indexar, buscar y analizar el contenido de un estudio por parte del usuario, Autentic puede generar representaciones numéricas de texto denominadas embeddings. El texto necesario para esta operación puede incluir preguntas y respuestas de participantes o fragmentos de evidencia al indexar un estudio, así como los términos introducidos por un investigador autorizado al realizar una búsqueda semántica. Este texto se envía a través de OpenRouter al proveedor del modelo seleccionado. En este proceso concreto de generación de embeddings no se envían archivos de audio ni de vídeo. Las instrucciones que el asistente de IA envía a Autentic al invocar una herramienta (por ejemplo, el estudio consultado, los filtros aplicados o los términos de búsqueda) se tratan únicamente para atender esa solicitud.

En los supuestos que Autentic actúe como encargada del tratamiento respecto de los datos del cliente que ostenta la condición de responsable de tratamiento, Autentic tratará estos datos siguiendo las instrucciones del cliente. Cuando Autentic actúe como responsable del tratamiento será esta la responsable de aplicar las medidas necesarias y disponer de la base jurídica para la finalidad correspondiente.

Analítica de producto: separadamente del registro de auditoría del conector, se registra un evento de uso de herramientas (MCP) asociado al identificador externo del usuario. Incluye la herramienta, el resultado de la operación, la duración, el tamaño de la respuesta, los identificadores del estudio y de la organización cuando corresponda, la clase de cliente (Claude, ChatGPT, Cursor u otro), los indicadores de administración e impersonación y la clase de error cuando corresponda. Este evento de uso no incluye los argumentos de la herramienta ni el contenido del estudio. Su finalidad es analizar el uso y funcionamiento del producto. No debe confundirse con el registro de auditoría de seguridad.

Los datos podrán ser comunicados o puestos a disposición de:

• Clientes o patrocinadores del estudio: a los demás usuarios del cliente y a quien ostente la condición de representante del cliente que podrá exigir esta información para evaluar el servicio prestado.
• Autoridades: Los datos podrán comunicarse a juzgados, tribunales, fuerzas de seguridad, administraciones tributarias, autoridades de protección de datos u otros organismos cuando exista una obligación legal o requerimiento válido.

Proveedores de asistentes de IA que el usuario autorizado conecta directamente, como Anthropic (Claude) u OpenAI (ChatGPT y Codex). El usuario conecta el asistente con una cuenta del servicio a la que tiene acceso autorizado. Los datos devueltos por las herramientas habilitadas e invocadas se transmiten desde Autentic al proveedor del asistente elegido y se tratan como parte de la conversación del usuario en dicho servicio. Los datos devueltos dependen de la herramienta utilizada y de los permisos de la cuenta de Autentic del usuario; Autentic no concede a la integración un acceso más amplio que el que el usuario ya tiene en Autentic. En estos casos, tanto el asistente de IA como Autentic actúan a favor del usuario, sin que exista una relación jurídica que vincule a Autentic con el proveedor del asistente escogido y utilizado por el usuario.

Proveedores de servicios que Autentic contrata para prestar la plataforma, que actúan como encargados del tratamiento de Autentic: autenticación e identidad, alojamiento y base de datos, correo transaccional, analítica de producto con alojamiento en la UE, procesamiento y reproducción de vídeo transcripción de voz, y enrutamiento a proveedores de modelos de inteligencia artificial para entrevistas, análisis, informes y embeddings (OpenRouter y el proveedor de modelo seleccionado a través de este servicio). Únicamente se envía la información necesaria para cada operación.

La condición en la que actúan Autentic, el cliente y cada proveedor se determinará según el flujo concreto, las instrucciones del cliente y el servicio elegido por el usuario autorizado. La información específica de cada contrato y proyecto podrá completar esta Política.

Algunos proveedores, clientes o empresas del grupo podrán estar situados fuera del Espacio Económico Europeo.

Cuando se produzca una transferencia internacional, se utilizará alguno de los mecanismos reconocidos por el RGPD. Cuando sea necesario, se evaluarán las circunstancias de la transferencia y se adoptarán medidas complementarias.

El uso de asistentes de IA como Claude o ChatGPT, de OpenRouter o de otros proveedores de modelos o servicios tecnológicos subyacentes puede implicar el tratamiento de datos personales desde países situados fuera del Espacio Económico Europeo (EEE) o el acceso a dichos datos desde terceros países.

Cuando dichas transferencias internacionales se realicen en el marco de servicios contratados, seleccionados o gestionados por Autentic, estas únicamente se llevarán a cabo cuando exista un mecanismo válido conforme al capítulo V del Reglamento (UE) 2016/679 (RGPD), como una decisión de adecuación de la Comisión Europea o, en su defecto, mediante la aplicación de garantías adecuadas, incluidas, cuando corresponda, las cláusulas contractuales tipo aprobadas por la Comisión Europea. Asimismo, se evaluará la necesidad de adoptar medidas técnicas, contractuales u organizativas complementarias atendiendo al país de destino, la naturaleza de los datos y los riesgos asociados al tratamiento.

Cuando el cliente o un usuario autorizado seleccione, configure o conecte directamente un servicio de terceros sobre el que Autentic no determine las condiciones del tratamiento, el tratamiento y, en su caso, las transferencias internacionales derivadas de su utilización estarán sujetas asimismo a las condiciones contractuales y de privacidad, la configuración de la cuenta y los mecanismos de transferencia establecidos por dicho proveedor. En estos casos, el cliente deberá verificar que la utilización del servicio resulta compatible con sus obligaciones en materia de protección de datos y que, cuando proceda, existen garantías adecuadas para las transferencias internacionales, sin perjuicio de las obligaciones que correspondan a Autentic respecto de aquellos tratamientos sobre los que actúe como responsable o encargado del tratamiento.

Los datos de los usuarios autorizados se conservarán mientras mantengan la condición de usuario y durante los plazos necesarios para atender las responsabilidades que puedan derivarse del servicio prestado o de la actuación realizada por el usuario.

La información que se conservará incluirá los datos identificativos y de contacto que le otorgan la condición de usuario así como la actividad realizada en nuestra plataforma.

El conector de Autentic conserva un registro mínimo de acceso que incluye el identificador del usuario de Autentic, la herramienta utilizada, el estudio o la sesión consultados cuando corresponda, el resultado de la operación, el tamaño aproximado de la respuesta, la duración y la fecha y hora. Este registro se conserva durante un máximo de 365 días.

Las direcciones IP y los datos del agente de usuario (navegador o cliente) asociados a las solicitudes del conector se conservan durante un máximo de 90 días y, una vez transcurrido dicho plazo, se eliminan del registro. Las frases de búsqueda, las consultas semánticas y otros argumentos de texto libre no se conservan en el registro de auditoría del conector. Las decisiones de revisión y las notas que un usuario con permisos administrativos registre a través del conector se guardan en el propio estudio, igual que si se hubieran introducido en la plataforma, y siguen el plazo de conservación de los datos del estudio.

El conector no amplía el plazo de conservación aplicable a los datos originales del estudio. Los datos devueltos al asistente de IA pueden pasar a formar parte de la conversación del usuario autorizado en dicho servicio. El texto tratado para generar embeddings pasa a través de OpenRouter y de un proveedor de modelos. La conservación por parte de estos servicios se rige por el contrato aplicable, la configuración de la cuenta y las condiciones de cada proveedor. Autentic no controla ni puede garantizar los plazos de conservación aplicados por servicios que el cliente o el usuario autorizado seleccionan y gestionan directamente.

Los plazos no deberán ampliarse de forma genérica o indefinida sin justificación.

Los plazos de 365 y 90 días anteriores corresponden al registro de auditoría del conector, no a la analítica de producto. La analítica de uso de MCP se trata separadamente en PostHog Cloud, en la UE. El plan de pago actual de Autentic ofrece una ventana de conservación de eventos de siete años. Esta ventana determina qué eventos están disponibles para consultas y no garantiza, por sí sola, su eliminación física al finalizar. Las solicitudes de supresión se gestionan por separado; para solicitar información o ejercer sus derechos, contacte con dpd@autentic.ai.

Se adoptarán medidas técnicas y organizativas adecuadas al riesgo.

Ningún sistema es absolutamente invulnerable. En caso de una brecha de seguridad, se aplicarán los procedimientos de evaluación, documentación y notificación previstos por el RGPD.

• De acceso: el interesado tiene derecho a saber si el responsable trata datos personales suyos y, si es así, tiene derecho a acceder a estos datos, así como a obtener información respecto de los tratamientos realizados.
• Rectificación: Está vinculado al carácter de inexactitud o incompleto de los datos. El interesado tiene derecho a rectificar sus datos personales inexactos y que se completen sus datos personales incompletos.
• Supresión: El interesado tiene derecho a obtener la supresión de sus datos personales ("derecho al olvido"), cuando estos ya no son necesarios para la finalidad para la cual se recogieron, se revoca el consentimiento en el cual se basaba el tratamiento, el interesado se opone al tratamiento, los datos se han tratado ilícitamente, se tienen que suprimir para cumplir una obligación legal o se han obtenido en relación con la oferta de servicios de la sociedad de la información dirigida a menores.
• Limitación del tratamiento: es un derecho de la persona interesada consistente en marcar sus datos de carácter personal conservados con la finalidad de limitar el tratamiento en el futuro. La limitación del tratamiento supone que, a petición de la persona interesada, sus datos personales indicados se dejen de tratar.
• Oposición: el interesado tiene derecho a oponerse al tratamiento de sus datos cuando se base en algunos supuestos concretos y se invoque un motivo relacionado con su situación personal.
• Portabilidad de los datos: el interesado tiene derecho a recibir sus datos personales facilitados al responsable del tratamiento en un formato estructurado, de uso común y de lectura mecánica, si se basa en el consentimiento o en un contrato o cuando el tratamiento se realiza por medios automatizados.
• A no ser objeto de decisiones individuales automatizadas: el interesado tiene derecho a no ser objeto de una decisión basada en el tratamiento automatizado de sus datos, incluida la elaboración de perfiles que produzca efectos jurídicos en él o que le afecte negativamente.

Estas peticiones pueden dirigirse en la dirección postal indicada al inicio o en dpd@autentic.ai

Cuando la persona considere que el tratamiento vulnera la normativa, podrá contactar con Autentic o con el Delegado de Protección de Datos, en dpd@autentic.ai

También puede presentar una reclamación ante la Agencia Española de Protección de Datos.

Las encuestas o plataformas podrán utilizar cookies, almacenamiento local, píxeles, identificadores de sesión u otras tecnologías.

La información detallada deberá incluirse en una Política de Cookies separada cuando corresponda.

Esta Política podrá modificarse por cambios legales, tecnológicos, metodológicos u organizativos. La fecha de actualización se indicará al inicio.

Cuando el cambio afecte sustancialmente a un tratamiento existente, se comunicará por medios adecuados y se solicitará un nuevo consentimiento cuando sea necesario.

Para cualquier duda relacionada con esta Política: dpd@autentic.ai