Protección de datos y privacidad

Definiciones clave

A continuación definimos términos usados a lo largo de la política para facilitar la comprensión de responsabilidades y prácticas.

Datos personales: información que identifica o puede identificar a una persona natural, como nombre, teléfono, registros de conversación y datos de salud que la persona proporciona directa o indirectamente.

Tratamiento: cualquier operación realizada sobre datos personales, incluyendo recopilación, almacenamiento, uso, comunicación, modificación y eliminación.

Usuario: persona que interactúa con los agentes conversacionales o con los servicios que opera empath-aiti en colaboración con organizaciones socias.

Servicio: plataformas, agentes offline y herramientas que empath-aiti despliega o mantiene en el marco de proyectos con ONG y redes comunitarias.

Cookies: pequeños archivos almacenados en dispositivos para mejorar la experiencia en interfaces web; en muchos despliegues en campo no usamos cookies y priorizamos soluciones SMS/voz/ofline.

Recogemos datos estrictamente necesarios para operar servicios con fines de soporte psicosocial y coordinación. Diferenciamos entre datos proporcionados por el usuario, datos generados automáticamente y datos compartidos por terceros.

Datos proporcionados por el usuario

Cuando interactúa con nuestros agentes o con organizaciones socias, el usuario puede facilitar información que usamos para derivación y seguimiento; siempre solicitamos consentimiento explícito para datos sensibles.

• Nombre y datos de contacto cuando la organización lo solicita para seguimiento (consentimiento requerido).
• Preferencias lingüísticas (español costeño, quechua, aymara) y datos de contexto sociocultural relevantes para la atención.
• Respuestas y transcripciones de sesiones conversacionales que pueden incluir indicios de salud mental; el almacenamiento se limita y se anonimiza cuando es posible.
• Información de derivación: servicios referidos, fechas y notas de seguimiento realizadas por trabajadores comunitarios.
• Consentimientos registrados y parámetros de configuración del agente para cada usuario.
• Datos administrativos mínimos que facilitan la operación del piloto, como la organización socia y el rol del trabajador comunitario.

Datos recogidos automáticamente

Al usar nuestras plataformas se pueden generar datos técnicos que ayudan a mejorar la fiabilidad y mantener la seguridad, siempre con principios de minimización.

• Registro de actividad técnica del agente: tiempos de interacción y errores del sistema para diagnóstico.
• Metadatos de conexión: identificación de intentos de sincronización y condiciones de conectividad en zonas rurales.
• Trazas de uso agregadas para análisis de utilidad y mejoras del flujo conversacional; estos datos se agregan para no identificar a usuarios.
• Identificadores de dispositivo en proyectos donde es estrictamente necesario para gestionar credenciales offline.
• Informes de detección emocional en formato codificado para uso clínico y operativa interna, con retención limitada.
• Logs de auditoría de acceso para controlar quién accede a datos sensibles dentro del equipo.

Datos de terceros

En ciertos proyectos recibimos datos de organizaciones socias o proveedores. Solo procesamos información que sea necesaria para la prestación del servicio y con acuerdos que estipulen obligaciones de privacidad.

• Listas de usuarios y contactos facilitadas por ONG socias para coordinar pilotos y derivaciones.
• Datos de proveedores de comunicaciones (SMS, voz) que actúan como procesadores y mantienen registros técnicos de entrega.
• Información de autoridades de salud cuando la derivación lo requiere y existe base legal o consentimiento.

Finalidades del tratamiento

Describimos por qué procesamos cada tipo de dato, siempre vinculando el uso a la operación del servicio y a la protección de la persona usuaria.

• Proveer agentes conversacionales empáticos en español costeño, quechua y aymara para soporte y detección temprana de cambios emocionales.
• Facilitar derivaciones a servicios de salud mental y mantener un registro operativo de seguimiento en proyectos con ONG.
• Mejorar la robustez del sistema en condiciones de baja conectividad y optimizar versiones offline para feature phones.
• Realizar análisis sociolingüístico y evaluaciones técnicas para adaptar contenidos a contextos andinos.
• Cumplir obligaciones contractuales con organizaciones socias y responder a requerimientos legales cuando proceda.
• Generar métricas agregadas para evaluación de programas y publicación de resultados sin identificar personas.
• Capacitar a equipos locales con protocolos co-diseñados y material formativo basado en datos operativos anonimizados.
• Gestionar la seguridad y el control de accesos para proteger la información sensible de usuarios y colaboradores.

Base legal para el tratamiento

Dependiendo del tipo de dato y del contexto, aplicamos distintas bases legales para el tratamiento, priorizando el consentimiento y el interés legítimo para operaciones internas mínimas.

• Consentimiento informado del usuario para el procesamiento de datos sensibles vinculados a salud mental cuando corresponde.
• Ejecución de contrato o acuerdo con organizaciones socias para la prestación de servicios y pilotos.
• Cumplimiento de obligaciones legales y regulatorias aplicables en Perú.
• Interés legítimo de la organización para garantizar seguridad, calidad del servicio y continuidad operativa, equilibrado con derechos de los usuarios.

Derechos bajo GDPR (si aplica)

Si corresponde la normativa europea, las personas beneficiarias pueden ejercer derechos asociados al Reglamento General de Protección de Datos. A continuación resumimos esos derechos y cómo solicitarlos.

• Derecho de acceso: solicitar información sobre los datos que procesamos relacionados con usted.
• Derecho de rectificación: pedir la corrección de datos inexactos o incompletos.
• Derecho de supresión: solicitar la eliminación de datos cuando no exista base legal para su conservación.
• Derecho a la limitación y oposición: restringir o oponerse al tratamiento por motivos legítimos.
• Derecho a la portabilidad: recibir datos que usted haya proporcionado en formato estructurado y comúnmente usado, cuando proceda.
• Derecho a presentar una reclamación ante una autoridad de control si considera que su derecho no ha sido respetado.

Cookies y tecnologías similares

En interfaces web utilizamos cookies limitadas para funcionalidad y diagnóstico. En despliegues de campo priorizamos canales offline, SMS y voz donde las cookies no aplican.

Empleamos cookies técnicas para el funcionamiento de paneles administrativos y cookies de diagnóstico para identificar fallos; no utilizamos cookies de perfilado sin consentimiento explícito.

Categorías: estrictamente necesarias, rendimiento/diagnóstico y, con permiso, preferencias de usuario en paneles web.

Los administradores pueden gestionar cookies desde la configuración del navegador; para proyectos en terreno se ofrecen alternativas sin cookies siempre que sea posible.

Política de cookies

Compartir datos y transferencias

Compartimos datos solo cuando es necesario para cumplir finalidades operativas y siempre bajo acuerdos contractuales y medidas técnicas adecuadas.

• Procesadores de comunicaciones (SMS, voz) para entregar mensajes y mantener trazabilidad técnica.
• ONG socias y redes comunitarias para coordinar derivaciones y seguimiento de casos.
• Proveedores de infraestructura que soportan sincronización offline a la espera de conectividad.
• Investigadores o evaluadores externos con datos anonimizados y acuerdos que prohíben reidentificación.
• Autoridades de salud cuando existe obligación legal clara o riesgo inmediato que requiere intervención.
• Auditores y asesores técnicos sujetos a cláusulas de confidencialidad y a las limitaciones establecidas en los contratos.

Transferencias internacionales de datos

Podemos compartir datos con proveedores ubicados fuera del Perú para la operación y mantenimiento de los agentes conversacionales de empath-aiti. Cuando las transferencias sean necesarias, buscamos socios que cumplan con estándares técnicos y contractuales adecuados para minimizar riesgos a la privacidad.

Aplicamos medidas como contratos tipo, cláusulas de protección de datos, cifrado en tránsito y evaluaciones previas de impacto. Optamos por procesadores que permiten ejecución local o funcionando en esquemas híbridos para reducir la exposición internacional de datos sensibles.

Conservación de datos

Mantenemos datos sólo por el tiempo necesario para los fines por los que fueron recabados y conforme a obligaciones legales. Nuestra política busca equilibrio entre la utilidad operativa de los modelos y la minimización de datos personales almacenados.

La información de registro de organizaciones y usuarios que gestionan cuentas en empath-aiti se conserva mientras la relación contractual esté activa y por periodos adicionales cuando la ley lo exige. Tras la finalización de la relación, procedemos a la eliminación o anonimización según el tipo de dato.

Los mensajes intercambiados con agentes conversacionales se conservan según el propósito: registros operativos breves para mejora de calidad y trazabilidad, y registros más largos sólo cuando haya consentimiento explícito para fines de investigación o evaluación de impacto. En todos los casos aplicamos medidas técnicas para reducir identidad directa.

Los registros de sistema y logs operativos se guardan para diagnóstico, seguridad y cumplimiento. Estos registros están encriptados y se mantienen con políticas de retención limitadas, revisadas periódicamente para impedir acumulación innecesaria de datos.

Solicitudes legítimas de eliminación serán atendidas de acuerdo con la normativa aplicable y nuestra política interna. Cuando la eliminación inmediata no sea posible por requisitos legales o técnicos, se restringirá el acceso y se programará la eliminación al primer momento posible.

Seguridad de la información

Protegemos los datos mediante controles técnicos y organizativos pensados para entornos de baja conectividad y dispositivos simples. Nuestra aproximación prioriza la seguridad en cada etapa del ciclo de vida de la información, desde la captura hasta el almacenamiento y la eliminación.

• Cifrado en tránsito usando protocolos estándar para proteger comunicaciones entre usuarios, agentes y servidores.
• Controles de acceso basados en roles, autenticación para administradores y auditoría de operaciones críticas.
• Análisis de seguridad periódicos, pruebas de penetración y políticas de copia de seguridad en entornos aislados para preservar integridad y disponibilidad.

Derechos de los usuarios

Reconocemos los derechos de las personas respecto a sus datos personales. Facilitamos mecanismos claros para ejercerlos y respondemos dentro de plazos razonables.

• Acceso: solicitar copia de los datos personales que tratamos relacionadas con la interacción con empath-aiti.
• Rectificación: pedir correcciones si los datos son inexactos o incompletos.
• Supresión: solicitar eliminación cuando proceda, sujeto a limitaciones legales y operativas.
• Limitación del tratamiento: solicitar que se restrinja el uso de determinados datos mientras se resuelven discrepancias.
• Portabilidad: recibir los datos en un formato estructurado y común cuando sea aplicable.
• Oposición: oponerse a ciertos tratamientos basados en intereses legítimos, en los casos previstos por la normativa.
• Retiro del consentimiento: revocar consentimientos otorgados para tratamientos específicos sin que ello afecte la legalidad del tratamiento previo.
• Presentar reclamo ante autoridad competente si considera que sus derechos no han sido respetados.

Cómo ejercer sus derechos

Para ejercer cualquiera de los derechos descritos, envié una solicitud a través de nuestros canales de contacto. Incluya nombre, información de contacto, descripción clara de la solicitud y cualquier documento que ayude a verificar su identidad.

[email protected]

Respondemos a las solicitudes en un plazo de 30 días calendario desde su recepción. Si la solicitud es compleja, le informaremos del estado y plazo adicional razonable dentro de ese periodo.