Contrato de Tratamiento de Datos Personales

1. Partes y objeto

Por un lado, el Cliente, persona física o jurídica titular de la cuenta en UXTap, en calidad de Controlador. Por otro, Painel TAP, CNPJ 59.701.681/0001-68, operadora de la plataforma UXTap, en calidad de Operadora.

1. 1.1Este anexo integra los Términos de Uso y disciplina el tratamiento de datos personales de los participantes de las investigaciones creadas por el Cliente.
2. 1.2En caso de conflicto entre este anexo y los Términos de Uso en cuanto a la protección de datos, prevalece este anexo.
3. 1.3Sobre los datos de registro y uso de la cuenta del Cliente, Painel TAP actúa como Controladora, según la Política de Privacidad, y este anexo no se aplica.

2. Descripción del tratamiento

1. 2.1Objeto: recopilación y procesamiento de respuestas y comportamiento de participantes en estudios de usabilidad e investigación configurados por el Cliente.
2. 2.2Naturaleza y finalidad: alojar el estudio, recopilar respuestas, registrar interacciones, grabar sesión cuando el Cliente habilite y el participante consienta, generar análisis, informes y transcripciones para el Cliente.
3. 2.3Duración: mientras el contrato esté en vigor, observados los plazos de retención de la cláusula 10.
4. 2.4Categorías de titulares: participantes invitados por el Cliente, por enlace abierto o por panel de reclutamiento.
5. 2.5Categorías de datos: respuestas, incluyendo texto libre; coordenadas de clic, pantallas visitadas, desplazamiento y tiempos; datos técnicos de dispositivo, navegador e idioma; identificador opaco y variables del panel; grabación de pantalla; audio de voz; capturas de pantalla de sitio real, cuando sea aplicable.
6. 2.6No solicitamos al participante documento, contraseña o dato financiero. Si el Cliente configura preguntas que capturen datos sensibles, esa decisión y su base legal son exclusivamente suyas.

3. Roles y responsabilidades

1. 3.1El Controlador define finalidades y medios esenciales, elige la base legal, informa al participante, obtiene consentimiento cuando es necesario y responde por las solicitudes de los titulares.
2. 3.2La Operadora trata los datos solo según instrucciones documentadas del Controlador, representadas por las configuraciones realizadas en la plataforma y por este anexo.
3. 3.3La Operadora informará al Controlador si, en su evaluación, una instrucción viola la legislación de protección de datos, pudiendo suspender la ejecución hasta su aclaración.
4. 3.4La Operadora no usa los datos de los participantes para finalidad propia, no los comercializa y no los utiliza para entrenar modelos propios.

4. Instrucciones documentadas

1. 4.1Son instrucciones del Controlador: la configuración del estudio, la elección de los bloques y preguntas, la activación o no de grabación y de audio, el idioma, el plazo de retención del plan, la configuración del panel de reclutamiento y las acciones de eliminación realizadas en el panel.
2. 4.2Instrucciones adicionales deben ser enviadas por escrito a privacidad@uxtap.app y pueden implicar un ajuste de alcance o de precio, si exigen desarrollo.

5. Confidencialidad y personal autorizado

1. 5.1El acceso a los datos está restringido al personal que lo necesita para operar y dar soporte, sujeto a deber de confidencialidad.
2. 5.2El acceso administrativo está limitado a direcciones de correo electrónico autorizadas por configuración y toda acción administrativa queda registrada en una pista de auditoría con autor, acción, objetivo y fecha.

6. Subprocesadores

1. 6.1El Controlador autoriza, de forma general, la contratación de los subprocesadores listados y mantenidos actualizados en uxtap.app/subprocessadores, con finalidad, datos tratados y país de alojamiento.
2. 6.2La inclusión de un nuevo subprocesador que trate datos de participantes se anuncia con 30 días de antelación en esa página.
3. 6.3El Controlador puede oponerse de forma motivada. No habiendo alternativa técnica razonable, podrá rescindir el contrato sin multa en cuanto al período no disfrutado.
4. 6.4La Operadora responde ante el Controlador por los actos de sus subprocesadores en lo que se refiere a este anexo.

7. Medidas técnicas y organizacionales

Las medidas a continuación están implementadas en la fecha de esta versión.

1. 7.1Cifrado en tránsito por HTTPS en toda la aplicación, con HSTS y encabezados de seguridad (nosniff, referrer-policy).
2. 7.2Autenticación por contraseña con almacenamiento solo de resumen criptográfico bcrypt, y sesión firmada con secreto del servidor.
3. 7.3Autorización por rol, verificada en el servidor en cada solicitud, con lectura de la asociación directamente de la base de datos.
4. 7.4Grabaciones y audios en bucket privado, sin URL pública, con acceso solamente por enlace firmado de validez corta, de 1 hora.
5. 7.5Tokens de integración de terceros cifrados con AES-256-GCM en reposo.
6. 7.6Aislamiento por espacio de trabajo en todas las consultas de lectura y escritura de datos de estudio.
7. 7.7Limitación de solicitudes por dirección y por sesión en las rutas públicas, y techos diarios de consumo por cuenta, para contener abuso y costo.
8. 7.8Registro de eventos de recopilación con deduplicación, impidiendo duplicidad de respuesta por reenvío.
9. 7.9Monitoreo de errores con higienización previa, sin cuerpo de solicitud ni contenido de respuesta.
10. 7.10Copias de seguridad gestionadas por el proveedor de base de datos, con cifrado en reposo.
11. 7.11Rutina automática de purga de las grabaciones vencidas conforme al plazo del plan.

La Operadora mantiene un programa de evolución de estas medidas. Ítems aún no implementados, como segundo factor de autenticación y certificación externa, no son objeto de compromiso contractual en esta versión.

8. Apoyo al Controlador

1. 8.1La Operadora pone a disposición en el producto recursos para que el Controlador atienda a los titulares: exportación de respuestas, eliminación de sesión con sus medios, eliminación de grabación y eliminación de estudio.
2. 8.2Recibiendo una solicitud de titular directamente, la Operadora no responde al mérito y la remite al Controlador en un plazo de hasta 3 días hábiles, salvo cuando pueda atenderla por sí misma, caso en el que informa al Controlador.
3. 8.3La Operadora apoya al Controlador en la elaboración de un informe de impacto y en la respuesta a autoridades, en lo que se refiere a información bajo su dominio.

9. Incidentes de seguridad

1. 9.1La Operadora comunica al Controlador sin demora injustificada, y en un máximo de 48 horas desde el conocimiento, sobre un incidente que pueda acarrear riesgo o daño relevante a los datos bajo su responsabilidad.
2. 9.2La comunicación indica la naturaleza del incidente, los datos y titulares afectados, las medidas adoptadas, los riesgos involucrados y el contacto para aclaración.
3. 9.3La comunicación a la ANPD y a los titulares, cuando sea aplicable, es obligación del Controlador, observados los plazos de la Resolución CD/ANPD nº 15/2024, con apoyo de la Operadora.
4. 9.4La Operadora mantiene un registro de los incidentes y de las medidas tomadas.

10. Retención, devolución y eliminación

1. 10.1Grabaciones y audios son eliminados automáticamente al final del plazo de retención del plan contratado.
2. 10.2Los demás datos de los participantes permanecen mientras el estudio exista en la cuenta o hasta la eliminación ordenada por el Controlador.
3. 10.3Terminado el contrato, el Controlador tiene 30 días para exportar los datos. Finalizado ese plazo, la Operadora elimina los datos de los participantes en un plazo de hasta 60 días, salvo obligación legal de custodia.
4. 10.4La eliminación abarca registros de la base de datos y los archivos correspondientes en el almacenamiento de objetos. Copias de seguridad son eliminadas en el ciclo normal de rotación.
5. 10.5Mediante solicitud, la Operadora emite una declaración de eliminación.

11. Transferencia internacional

1. 11.1Parte del tratamiento ocurre fuera de Brasil, conforme a la página de subprocesadores.
2. 11.2Las transferencias se apoyan en las cláusulas estándar contractuales aprobadas por la Resolución CD/ANPD nº 19/2024 o en otro mecanismo legítimo previsto en los artículos 33 a 36 de la Ley General de Protección de Datos.
3. 11.3Habiendo conflicto, prevalecen las cláusulas estándar de la ANPD sobre disposiciones contrarias de este anexo.

12. Auditoría

1. 12.1La Operadora pone a disposición, mediante solicitud escrita y una vez al año, información razonable para demostrar el cumplimiento de este anexo, incluyendo descripción de medidas técnicas y respuesta a cuestionario de seguridad.
2. 12.2Auditoría presencial o por tercero independiente puede ser acordada en contrato específico, con aviso de 30 días, en horario comercial, sin interrupción de la operación y mediante confidencialidad, corriendo los costos por cuenta del Controlador.

13. Vigencia y disposiciones finales

1. 13.1Este anexo estará en vigor mientras dure el tratamiento de datos de participantes por la Operadora en favor del Controlador.
2. 13.2Sobreviven al término las obligaciones de confidencialidad, eliminación y cooperación.
3. 13.3Alteraciones relevantes serán publicadas en esta página con 30 días de antelación, aplicándose la regla de oposición motivada de la cláusula 6.