Política de Privacidad

1. Quiénes somos

UXTap es una plataforma de estudio con usuarios operada por Painel TAP, CNPJ 59.701.681/0001-68. Esta política explica qué datos tratamos, con qué finalidad, con qué base legal, por cuánto tiempo y con quién compartimos.

1. 1.1Canal del titular: privacidad@uxtap.app, o el formulario público disponible en uxtap.app/privacidad/mis-datos.
2. 1.2Plazo de respuesta: hasta 15 días, conforme al artículo 18 de la Ley General de Protección de Datos.

2. Dos roles diferentes, y por qué esto importa

La distinción a continuación es la columna vertebral de esta política. Define quién decide qué sucede con cada dato y a quién debe recurrir el titular.

1. 2.1Somos controladores de los datos de quien contrata: registro del usuario, espacio de trabajo, datos de facturación, registros de uso y soporte. Aquí, nosotros definimos las finalidades.
2. 2.2Somos operadores de los datos de quien participa en los estudios. El cliente que creó el estudio es el controlador: él decide las preguntas, quién es invitado, si habrá grabación y por cuánto tiempo se usarán los datos. Nosotros tratamos esos datos conforme a sus instrucciones y el Contrato de Tratamiento de Datos.
3. 2.3Si tú participaste en un estudio y quieres ejercer derechos, puedes buscarnos: lo remitimos al cliente controlador y, cuando la solicitud pueda ser atendida directamente por nosotros, ejecutamos la eliminación.

3. Datos de quien contrata, y para qué

1. 3.1Registro: nombre, correo electrónico, contraseña guardada solo como resumen criptográfico (bcrypt), idioma preferido y rol en el espacio de trabajo. Finalidad: crear y operar la cuenta. Base legal: ejecución de contrato.
2. 3.2Uso da plataforma: estudos criados, ações no painel, registros técnicos de acesso e erros. Finalidade: operar, dar suporte e melhorar o serviço, além de segurança. Bases legais: execução de contrato e legítimo interesse. Guardamos também eventos de uso do próprio UXTap (qual tela foi aberta, qual ação foi feita) por até dezoito meses, sempre com identificadores e metadados curtos, nunca com conteúdo de estudo ou resposta de participante.
3. 3.3Facturación: nombre, correo electrónico, documento y datos de pago tratados directamente por Stripe. No almacenamos número de tarjeta. Finalidad: facturación. Bases legales: ejecución de contrato y cumplimiento de obligación legal y fiscal.
4. 3.4Comunicación: correos electrónicos transaccionales de invitación, cuota, restablecimiento de contraseña y resúmenes. Finalidad: operar el servicio. Bases legales: ejecución de contrato y legítimo interés. Los resúmenes pueden ser desactivados en la configuración.
5. 3.5Integración con Figma, cuando tú conectas tu cuenta: guardamos un token de acceso cifrado con AES-256-GCM, usado solo para importar las pantallas que tú indiques.

4. Datos de quien participa en un estudio

Lo que se recolecta depende de cómo el cliente configuró el estudio. La lista a continuación es lo máximo que la plataforma es capaz de recolectar.

1. 4.1Respuestas a las preguntas del estudio, incluyendo respuestas abiertas escritas por el participante.
2. 4.2Comportamiento durante la tarea: clics con coordenadas, pantallas visitadas, desplazamiento, tiempo por pantalla, camino recorrido y abandono.
3. 4.3Datos técnicos: tipo de dispositivo, navegador, sistema, idioma y dimensiones de la pantalla. No usamos cookies de rastreo en la pantalla de respuesta.
4. 4.4Cuando el estudio proviene de un panel de reclutamiento: un identificador opaco enviado en la URL y las variables que el cliente configuró, como rango de edad o estado. Este identificador es proporcionado por el panel y no contiene, por sí mismo, nombre o contacto.
5. 4.5Grabación de pantalla de la pestaña del estudio, cuando el participante consiente de forma específica.
6. 4.6Audio del micrófono, cuando el estudio pide que la persona piense en voz alta o cuando hay entrevista por voz, siempre con consentimiento específico.
7. 4.7En estudios en sitio real: páginas visitadas, clics, desplazamiento y capturas de pantalla del sitio indicado. Nunca capturamos teclas digitadas ni contenido de campos de texto.

Voz e imagen de pantalla merecen un cuidado reforzado porque pueden revelar más de lo que la pregunta pedía. Por eso exigen consentimiento separado, quedan en almacenamiento privado con acceso por enlace firmado de corta duración y se eliminan al final del plazo de retención del plan.

5. Consentimiento del participante

1. 5.1Antes de comenzar, el participante ve un aviso claro sobre lo que se recolectará, por quién y para qué, con un enlace a esta política y a la lista de subprocesadores.
2. 5.2La grabación de pantalla y micrófono exigen un segundo consentimiento, explícito y separado, con la opción de rechazar y continuar sin grabación, salvo cuando el estudio exija grabación, hipótesis informada antes del inicio.
3. 5.3El participante puede interrumpir en cualquier momento, incluso deteniendo el compartir por la propia interfaz del navegador, sin perjuicio de las respuestas ya dadas.
4. 5.4El consentimiento se registra con fecha y hora y con la versión del texto presentado.

6. Niños y adolescentes

1. 6.1La plataforma no está destinada a menores como contratantes.
2. 6.2Estudios con participantes menores de edad solo pueden ser conducidos con el consentimiento específico y destacado de al menos uno de los padres o del responsable legal, en la forma del artículo 14 de la Ley General de Protección de Datos. Obtener y comprobar este consentimiento es responsabilidad del cliente que creó el estudio.
3. 6.3Si tomamos conocimiento de recolección de datos de un menor sin este consentimiento, podemos suspender el estudio y eliminar los datos.

7. Con quién compartimos

1. 7.1Con prestadores de servicio necesarios para la operación, listados de forma completa y actualizada en la página de subprocesadores, con finalidad, dato tratado y país.
2. 7.2Con el cliente controlador del estudio, en lo que se refiere a los datos de sus participantes.
3. 7.3Con autoridades, cuando haya requisición legal u orden judicial, en la medida estricta del pedido.
4. 7.4En caso de reorganización societaria, con el sucesor, mantenidas las condiciones de esta política.
5. 7.5No vendemos datos personales y no los usamos para publicidad de terceros.

8. Inteligencia artificial

1. 8.1Usamos modelos de terceros para transcribir audio, identificar temas, generar informes y conducir a la entrevistadora automatizada. Los proveedores están en la página de subprocesadores.
2. 8.2Enviamos solo el contenido necesario para la tarea: fragmentos de respuestas, transcripciones, imágenes de las pantallas del estudio y, en el modo de voz en tiempo real, el audio de la conversación.
3. 8.3Contratamos a estos proveedores en modalidad de pago, cuyos términos no autorizan el uso del contenido enviado para entrenar o ajustar modelos sin instrucción del cliente.
4. 8.4Los resultados son probabilísticos y pueden contener errores. No tomamos decisiones automatizadas con efecto jurídico sobre participantes.
5. 8.5El participante es informado cuando conversa con una entrevistadora automatizada.

La garantía de no uso para entrenamiento depende del plan contratado con el proveedor. Ver "Definiciones pendientes" al final de esta página.

9. Transferencia internacional

1. 9.1Parte de los proveedores está fuera de Brasil, principalmente en Estados Unidos y en la Unión Europea, según se indica en la página de subprocesadores.
2. 9.2Estas transferencias se apoyan en los mecanismos de la Ley General de Protección de Datos, en especial las cláusulas contractuales estándar aprobadas por la Resolución CD/ANPD nº 19/2024, cuya adopción será obligatoria a partir de agosto de 2025.
3. 9.3Mantenemos con estos proveedores instrumentos contractuales de protección de datos y revisamos esta lista periódicamente.

10. ¿Por cuánto tiempo guardamos?

1. 10.1Grabaciones de pantalla y audio: según el plan del cliente. En el plan gratuito, 30 días; en Starter, 90 días; en Pro, 180 días; en Business, plazo extendido definido en contrato. Una vez finalizado el plazo, el archivo se elimina del almacenamiento y la grabación se marca como expirada.
2. 10.2Respuestas, eventos de navegación y resultados agregados: mientras el estudio exista en la cuenta del cliente, salvo solicitud de eliminación.
3. 10.3Transcripciones y audios de entrevista siguen el mismo plazo de la grabación a la que se refieren.
4. 10.4Datos de registro y facturación: durante la relación contractual y, después de ella, por los plazos legales de guarda fiscal y de prescripción.
5. 10.5Registros de acceso a la aplicación: 6 meses, según el artículo 15 del Marco Civil de Internet.
6. 10.6Las copias de seguridad pueden retener datos por un período adicional limitado, siendo eliminadas en el ciclo normal de rotación.

11. Seguridad

Las medidas a continuación están implementadas hoy. La Política de Seguridad de la Información, en página propia, detalla esto y lo que aún está en evolución.

1. 11.1Tráfico cifrado en tránsito por HTTPS, con HSTS para que el navegador nunca intente una conexión no cifrada.
2. 11.2Contraseñas guardadas solo como resumen criptográfico con bcrypt; nunca en texto claro.
3. 11.3Grabaciones y audios en almacenamiento privado, sin URL pública, accesibles solo por enlace firmado con validez de 1 hora.
4. 11.4Tokens de integración de terceros cifrados con AES-256-GCM antes de ser grabados.
5. 11.5Control de acceso por rol dentro del espacio de trabajo, verificado en el servidor en cada solicitud.
6. 11.6Limitación de solicitudes por dirección y por sesión en las rutas públicas, y límites diarios de uso de recursos por cuenta.
7. 11.7Monitoreo de errores con eliminación de cuerpo de solicitud y de contenido de respuesta antes del envío al proveedor.

12. Incidentes de seguridad

1. 12.1Mantenemos un plan interno de respuesta a incidentes, con responsables, plazos y registro.
2. 12.2Cuando actuamos como operadores, comunicamos al cliente controlador sin demora injustificada tan pronto como tenemos conocimiento de un incidente que pueda afectar los datos bajo su responsabilidad.
3. 12.3Cuando actuamos como controladores, comunicamos a la ANPD y a los titulares en los plazos de la Resolución CD/ANPD nº 15/2024, que fija 3 días hábiles, duplicados a 6 días hábiles en el caso de agente de tratamiento de pequeño tamaño.

13. Cookies y almacenamiento en el navegador

1. 13.1En el panel, usamos solo una cookie de sesión, estrictamente necesaria para mantenerte autenticado. Sin ella, el inicio de sesión no funciona.
2. 13.2En la pantalla de respuesta, usamos almacenamiento local del navegador solo para permitir reanudar la investigación desde el punto en que se detuvo y para guardar eventos mientras la conexión esté inestable.
3. 13.3No usamos cookies publicitarias ni seguimiento entre sitios. En páginas públicas, con tu autorización, UXTap mide páginas visitadas, clics y desplazamiento con identificadores aleatorios del navegador, sin texto escrito ni parámetros de URL.
4. 13.4Puedes rechazar o revocar el análisis en Preferencias de privacidad en el pie de página. Las sesiones se conservan hasta 30 días y los agregados hasta 90 días; se respetan DNT y GPC.

14. Tus derechos

La Ley General de Protección de Datos asegura al titular los derechos a continuación, ejercidos gratuitamente.

1. 14.1Confirmación de la existencia de tratamiento y acceso a los datos.
2. 14.2Corrección de datos incompletos, inexactos o desactualizados.
3. 14.3Anonimización, bloqueo o eliminación de datos innecesarios, excesivos o tratados en disconformidad.
4. 14.4Portabilidad e información sobre el intercambio.
5. 14.5Revocación del consentimiento e información sobre la posibilidad de no consentir y las consecuencias.
6. 14.6Oposición a tratamiento fundado en legítimo interés.
7. 14.7Para ejercerlos, usa uxtap.app/privacidade/meus-dados o escribe a privacidad@uxtap.app. Respondemos en un plazo máximo de 15 días. Cuando la solicitud se refiera a datos de un estudio de cliente, la remitimos al controlador y apoyamos técnicamente la atención.

15. Cambios en esta política

1. 15.1Podemos actualizar esta política. Los cambios relevantes se comunican por correo electrónico o en el panel con 30 días de antelación.
2. 15.2La versión vigente siempre estará en esta página, con número de versión, fecha e historial.