Política de Privacidad

Introducción

AXI™ es una plataforma B2B de diagnóstico organizacional que mide la exposición estructural de los cargos a la agentificación por IA (módulo AXE) y la adopción real de IA en la organización (módulo AAS). Trabajamos directamente con organizaciones cliente bajo contratos comerciales explícitos.

Esta política describe qué información tratamos, con qué finalidad, qué garantías de privacidad ofrecemos y cuáles son las responsabilidades de cada parte.

Roles bajo la Ley 19.628 / 21.719

Responsable del tratamiento: la organización cliente que contrata AXI™ es responsable del tratamiento de los datos de sus empleados.

Encargado del tratamiento: AXI™ actúa como encargado, tratando los datos exclusivamente bajo las instrucciones del responsable, según lo regulado en un Data Processing Agreement (DPA) firmado entre las partes antes del inicio del servicio.

Qué información tratamos

Módulo AXE — exposición estructural

Tratamos información organizacional: descripciones de cargo, organigrama, áreas, dotación, estructura jerárquica. Esta información describe posiciones, no personas individuales identificables. No constituye dato personal bajo la Ley 19.628.

Módulo AAS — encuesta de adopción

Cuando la organización cliente activa una campaña AAS, tratamos correos electrónicos de empleados únicamente para distribuir las invitaciones a las entrevistas. Las respuestas individuales se almacenan asociadas al área y nivel de cargo declarados, nunca al correo electrónico ni al nombre.

Tras el cierre de la campaña, los correos electrónicos se eliminan automáticamente. Lo que persiste son las respuestas anonimizadas asociadas a metadatos demográficos (área, nivel, gerencia, antigüedad).

Datos de contacto comercial

Cuando un representante de organización solicita información o contrata el servicio, tratamos sus datos de contacto profesional (nombre, correo, cargo, organización) para gestionar la relación comercial.

Garantías estructurales para AAS

Adoptamos las prácticas estándar de la industria de encuestas de clima/cultura (modelo análogo al de Great Place to Work, Rankmi, CultureAmp):

• Wall técnico-contractual entre identificación y respuesta: el correo electrónico se usa solo para enviar el link de la entrevista. Una vez la persona responde, no existe vínculo consultable entre su correo y el contenido de su respuesta.
• Reportes únicamente agregados: el cliente nunca tiene acceso a respuestas individuales identificables. Los reportes que entregamos están agregados con un umbral mínimo de 5 respondientes por segmento (k-anonymity, k=5). Si un segmento tiene menos respondientes, no se reporta.
• Eliminación automática de correos: tras el cierre de cada campaña, los correos electrónicos asociados a las invitaciones se eliminan automáticamente de nuestra base de datos. Se conserva únicamente la respuesta agregada con sus metadatos demográficos.
• Token de un solo uso: cada link de entrevista contiene un token único que solo permite una respuesta. No es posible que una misma persona responda múltiples veces ni que un tercero acceda a una entrevista que no le fue dirigida.
• DPA firmado por adelantado: ningún tratamiento de datos personales (correos AAS) se inicia hasta que el cliente firma el Data Processing Agreement, que detalla finalidades, plazos, medidas de seguridad y derechos del titular.

Subprocesadores

Para operar la plataforma utilizamos los siguientes subprocesadores. Cada uno está bajo contrato con cláusulas de confidencialidad y compromisos de seguridad acordes a la sensibilidad del dato:

• Vercel (hosting de la aplicación) — región Estados Unidos (iad1).
• Neon (base de datos PostgreSQL) — región sa-east-1 (São Paulo, Brasil).
• Anthropic (modelos Claude para análisis de descriptores de cargo y narrativas) — los datos enviados a Anthropic son texto de descripciones de cargo y respuestas de entrevista AAS sin correo electrónico ni nombre.
• Resend (envío transaccional de correos electrónicos para invitaciones AAS y comunicaciones de servicio).

Derechos del titular

Si tu organización participó en una campaña AAS y querés ejercer alguno de los derechos reconocidos por la Ley 19.628 / 21.719 (acceso, rectificación, cancelación, oposición), el canal correcto es:

• Para ejercer derechos sobre tu correo durante una campaña activa, contactar al administrador AAS de tu organización (responsable del tratamiento).
• Si tu solicitud no es resuelta por tu organización, podés contactarnos directamente a privacidad@axi-score.com.

Seguridad

Aplicamos las siguientes medidas técnicas y organizativas:

• HTTPS/TLS obligatorio en todo el tráfico, con HSTS habilitado.
• Cifrado en tránsito y en reposo en la base de datos.
• Headers de seguridad HTTP: X-Frame-Options DENY, X-Content-Type-Options nosniff, Referrer-Policy strict-origin, Content Security Policy.
• Autenticación con NextAuth (sesiones firmadas con secret).
• Control de acceso por organización (cada cliente solo accede a sus propios datos).
• Canal de divulgación responsable de vulnerabilidades en /.well-known/security.txt.

Conservación de datos

• Datos organizacionales (AXE): mientras dure la relación comercial. Tras el término del contrato, se eliminan o anonimizan en un plazo máximo de 90 días.
• Correos electrónicos AAS: se eliminan automáticamente al cierre de cada campaña.
• Respuestas AAS anonimizadas + metadatos: mientras dure la relación comercial. Tras término del contrato, se eliminan o anonimizan en 90 días.
• Datos de contacto comercial: mientras dure la relación comercial + 2 años para fines de comunicación post-contractual o cumplimiento de obligaciones legales.

Comercialización

No vendemos datos. No comercializamos ni cedemos a terceros la información que tratamos, salvo a los subprocesadores listados arriba —que actúan únicamente como ejecutores técnicos del servicio bajo nuestras instrucciones contractuales.

Contacto

Para consultas sobre esta política, ejercicio de derechos del titular, solicitud de copia del DPA o reporte de incidentes de seguridad, escribir a privacidad@axi-score.com.

Esta política puede actualizarse para reflejar cambios legales, técnicos o de la operación. Las versiones anteriores se conservan a disposición del cliente; los cambios sustantivos se comunican por correo a los administradores de cada organización cliente.