Contrato de Tratamiento de Datos Personales

1. Partes y objeto

Por un lado, el Cliente, persona física o jurídica titular de la cuenta en UXTap, en calidad de Controlador. Por otro, Qualitap Soluções e Serviços Ltda. (QualiTAP), CNPJ 59.701.681/0001-68, con sede en Osasco/SP, operadora de la plataforma UXTap, en calidad de Operadora.

1. 1.1Este anexo integra los Términos de Uso y disciplina el tratamiento de datos personales de los participantes de las investigaciones creadas por el Cliente.
2. 1.2En caso de conflicto entre este anexo y los Términos de Uso en cuanto a la protección de datos, prevalece este anexo.
3. 1.3Sobre los datos de registro y uso de la cuenta del Cliente, QualiTAP actúa como Controladora, según la Política de Privacidad, y este anexo no se aplica.

2. Descripción del tratamiento

1. 2.1Objeto: recopilación y procesamiento de respuestas y comportamiento de participantes en estudios de usabilidad e investigación configurados por el Cliente.
2. 2.2Naturaleza y finalidad: alojar el estudio, recopilar respuestas, registrar interacciones, grabar sesión cuando el Cliente habilite y el participante consienta, generar análisis, informes y transcripciones para el Cliente.
3. 2.3Duración: mientras el contrato esté en vigor, observados los plazos de retención de la cláusula 10.
4. 2.4Categorías de titulares: participantes de estudios, invitados por el Cliente mediante enlace abierto o panel de reclutamiento; personas que se inscriben en la agenda de entrevistas; visitantes de los sitios del Responsable donde instale la etiqueta o el colector de UXTap; y observadores invitados por el Responsable a sesiones moderadas.
5. 2.5Categorías de datos: respuestas, incluido texto libre; coordenadas de clic, pantallas visitadas, desplazamiento y tiempos; datos técnicos de dispositivo, navegador e idioma; identificador opaco y variables del panel; situación de la participación comunicada al panel; grabación de pantalla; imagen de la cámara; audio de voz; capturas de pantalla de sitio real; nombre, correo, zona horaria y respuestas de selección en entrevistas agendadas; audio, video y pantalla compartida en entrevistas moderadas; y, en los sitios del Responsable, identificador seudónimo del visitante, página de origen, país aproximado, páginas, clics y desplazamiento.
6. 2.6La plataforma no solicita al participante documentos, contraseñas ni datos financieros. Nombre y correo solo se piden al agendar entrevistas moderadas. Si el Cliente configura preguntas que capturen datos sensibles, esa decisión y su base legal son exclusivamente suyas.

3. Roles y responsabilidades

1. 3.1El Controlador define finalidades y medios esenciales, elige la base legal, informa al participante, obtiene consentimiento cuando es necesario y responde por las solicitudes de los titulares.
2. 3.2La Operadora trata los datos solo según instrucciones documentadas del Controlador, representadas por las configuraciones realizadas en la plataforma y por este anexo.
3. 3.3La Operadora informará al Controlador si, en su evaluación, una instrucción viola la legislación de protección de datos, pudiendo suspender la ejecución hasta su aclaración.
4. 3.4La Encargada no usa los datos de los participantes para fines propios, no los comercializa, no los utiliza para entrenar modelos propios y no autoriza a sus subencargados a utilizarlos para entrenar modelos.

4. Instrucciones documentadas

1. 4.1Son instrucciones del Responsable: la configuración del estudio, la elección de bloques y preguntas, la activación o no de grabación, cámara y audio, el idioma, el plazo de retención del plan, la configuración del panel de reclutamiento y las acciones de eliminación realizadas en el panel.
2. 4.2También son instrucciones del Responsable: la publicación de enlaces públicos de informe, clip y recopilación; la instalación de la etiqueta o del colector en sus sitios; la compra de reclutamiento, que implica el envío de la situación de cada participación al panel socio; y la conexión de herramientas externas por API o MCP, cuyo acceso ocurre por cuenta y riesgo del Responsable.
3. 4.3Las instrucciones adicionales deben enviarse por escrito a contato@paineltap.com.br y pueden implicar ajustes de alcance o de precio, si requieren desarrollo.

5. Confidencialidad y personal autorizado

1. 5.1El acceso a los datos está restringido al personal que lo necesita para operar y dar soporte, sujeto a deber de confidencialidad.
2. 5.2El acceso administrativo está limitado a direcciones de correo electrónico autorizadas por configuración y toda acción administrativa queda registrada en una pista de auditoría con autor, acción, objetivo y fecha.

6. Subprocesadores

1. 6.1El Controlador autoriza, de forma general, la contratación de los subprocesadores listados y mantenidos actualizados en uxtap.app/subprocessadores, con finalidad, datos tratados y país de alojamiento.
2. 6.2Los proveedores de inteligencia artificial aparecen en esa página agrupados por función y país. La lista nominal completa, incluidos esos proveedores, se entrega al Responsable previa solicitud, bajo confidencialidad.
3. 6.3La incorporación de un nuevo subencargado que trate datos de participantes, o el cambio del país de tratamiento, se comunica por correo al titular de la cuenta y se publica en uxtap.app/subprocessadores con 30 días de antelación.
4. 6.4El Controlador puede oponerse de forma motivada. No habiendo alternativa técnica razonable, podrá rescindir el contrato sin multa en cuanto al período no disfrutado.
5. 6.5La Operadora responde ante el Controlador por los actos de sus subprocesadores en lo que se refiere a este anexo.

7. Medidas técnicas y organizacionales

Las medidas a continuación están implementadas en la fecha de esta versión.

1. 7.1Cifrado en tránsito por HTTPS en toda la aplicación, con HSTS y encabezados de seguridad (nosniff, referrer-policy).
2. 7.2Autenticación por contraseña con almacenamiento solo de resumen criptográfico bcrypt, y sesión firmada con secreto del servidor.
3. 7.3Autorización por rol, verificada en el servidor en cada solicitud, con lectura de la asociación directamente de la base de datos.
4. 7.4Grabaciones y audios en bucket privado, sin URL pública, con acceso solamente por enlace firmado de validez corta, de 1 hora.
5. 7.5Tokens de integración de terceros cifrados con AES-256-GCM en reposo.
6. 7.6Aislamiento por espacio de trabajo en todas las consultas de lectura y escritura de datos de estudio.
7. 7.7Limitación de solicitudes por dirección y por sesión en las rutas públicas, y techos diarios de consumo por cuenta, para contener abuso y costo.
8. 7.8Registro de eventos de recopilación con deduplicación, impidiendo duplicidad de respuesta por reenvío.
9. 7.9Monitoreo de errores con higienización previa, sin cuerpo de solicitud ni contenido de respuesta.
10. 7.10Copias de seguridad gestionadas por el proveedor de base de datos, con cifrado en reposo, eliminadas en hasta 30 días.
11. 7.11Rutina automática de purga de las grabaciones vencidas conforme al plazo del plan.

La Operadora mantiene un programa de evolución de estas medidas. Ítems aún no implementados, como segundo factor de autenticación y certificación externa, no son objeto de compromiso contractual en esta versión.

8. Apoyo al Controlador

1. 8.1La Operadora pone a disposición en el producto recursos para que el Controlador atienda a los titulares: exportación de respuestas, eliminación de sesión con sus medios, eliminación de grabación y eliminación de estudio.
2. 8.2Recibiendo una solicitud de titular directamente, la Operadora no responde al mérito y la remite al Controlador en un plazo de hasta 3 días hábiles, salvo cuando pueda atenderla por sí misma, caso en el que informa al Controlador.
3. 8.3La Operadora apoya al Controlador en la elaboración de un informe de impacto y en la respuesta a autoridades, en lo que se refiere a información bajo su dominio.

9. Incidentes de seguridad

1. 9.1La Operadora comunica al Controlador sin demora injustificada, y en un máximo de 48 horas desde el conocimiento, sobre un incidente que pueda acarrear riesgo o daño relevante a los datos bajo su responsabilidad.
2. 9.2La comunicación indica la naturaleza del incidente, los datos y titulares afectados, las medidas adoptadas, los riesgos involucrados y el contacto para aclaración.
3. 9.3La comunicación a la ANPD y a los titulares, cuando sea aplicable, es obligación del Controlador, observados los plazos de la Resolución CD/ANPD nº 15/2024, con apoyo de la Operadora.
4. 9.4La Encargada mantiene un registro de los incidentes y de las medidas adoptadas durante al menos 5 años, con la información exigida por la regulación de la ANPD.

10. Retención, devolución y eliminación

1. 10.1Grabaciones y audios son eliminados automáticamente al final del plazo de retención del plan contratado.
2. 10.2Los demás datos de los participantes permanecen mientras el estudio exista en la cuenta o hasta la eliminación ordenada por el Controlador.
3. 10.3Terminado el contrato, el Controlador tiene 30 días para exportar los datos. Finalizado ese plazo, la Operadora elimina los datos de los participantes en un plazo de hasta 60 días, salvo obligación legal de custodia.
4. 10.4La eliminación abarca los registros de la base de datos y los archivos correspondientes en el almacenamiento de objetos. Las copias de seguridad se eliminan en hasta 30 días.
5. 10.5Mediante solicitud, la Operadora emite una declaración de eliminación.

11. Transferencia internacional

1. 11.1Parte del tratamiento ocurre fuera de Brasil, en Estados Unidos y en la Unión Europea, según la página de subencargados. Los servidores de la aplicación y la base de datos están en Estados Unidos.
2. 11.2Las transferencias se realizan con base en el artículo 33 de la Ley General de Protección de Datos de Brasil, bajo las garantías contractuales de protección de datos que ofrece cada subencargado. La Encargada adoptará las cláusulas contractuales tipo aprobadas por la Resolución CD/ANPD n.º 19/2024 conforme al plazo regulatorio.
3. 11.3Una vez adoptadas, las cláusulas tipo de la ANPD prevalecen sobre las disposiciones contrarias de este anexo.

12. Auditoría

1. 12.1La Operadora pone a disposición, mediante solicitud escrita y una vez al año, información razonable para demostrar el cumplimiento de este anexo, incluyendo descripción de medidas técnicas y respuesta a cuestionario de seguridad.
2. 12.2Auditoría presencial o por tercero independiente puede ser acordada en contrato específico, con aviso de 30 días, en horario comercial, sin interrupción de la operación y mediante confidencialidad, corriendo los costos por cuenta del Controlador.

13. Vigencia y disposiciones finales

1. 13.1Este anexo estará en vigor mientras dure el tratamiento de datos de participantes por la Operadora en favor del Controlador.
2. 13.2Sobreviven al término las obligaciones de confidencialidad, eliminación y cooperación.
3. 13.3Alteraciones relevantes serán publicadas en esta página con 30 días de antelación, aplicándose la regla de oposición motivada de la cláusula 6.

14. Responsabilidad, ley y jurisdicción

1. 14.1Cada parte responde por los daños que cause por incumplimiento de la Ley General de Protección de Datos de Brasil o de este anexo, garantizado el derecho de repetición, conforme al artículo 42, §4, de esa ley.
2. 14.2Se aplican la ley brasileña y la jurisdicción prevista en los Términos de Uso.