Política de Privacidad

1. Quiénes somos

El Servicio es operado por Протасов Александр Романович (Protasov Alexander Romanovich), persona física registrada bajo el régimen ruso de “Impuesto sobre la Renta Profesional” (trabajador autónomo).

• NIF fiscal (ИНН): 663905577316
• Contacto para cuestiones de privacidad: [email protected]

En esta Política, “kResearch”, “nosotros” y “nuestro” se refieren al operador indicado anteriormente.

2. Ámbito de aplicación

Esta Política se aplica a los sitios web en krsrch.com y app.krsrch.com y a cualquier página relacionada de la aplicación web de kResearch, sus funciones y APIs (en conjunto, el “Servicio”).

kResearch es un asistente de flujos de trabajo de investigación. No es un dispositivo médico ni una herramienta de diagnóstico o tratamiento, y no proporciona asesoramiento médico.

3. Datos que recopilamos

Recopilamos únicamente los datos necesarios para prestar el Servicio. Categorías de datos que recopilamos:

• Identidad de la cuenta de Google. Dirección de correo electrónico, nombre visible e identificador de cuenta de Google devueltos por Google OAuth durante el inicio de sesión.
• Datos de cuenta y sesión. Una cookie de sesión firmada que vincula el navegador a una cuenta, junto con metadatos de la cuenta como la fecha de creación y el nivel del plan.
• Contenido del estudio. Títulos de estudios, descripciones, notas sobre la población objetivo, escalas seleccionadas, secciones de formularios personalizados, estructura de variables / libro de códigos y configuración de formularios.
• Consultas y resultados de IA. Cuando usted activa una función de IA, la consulta enviada y el borrador resultante se almacenan en su cuenta para que el espacio de trabajo pueda mostrarlos.
• Metadatos de documentos cargados. Cuando carga un cuestionario en formato PDF o DOCX, registramos el nombre del archivo, el tipo MIME y el tamaño.
• Texto extraído del documento. Durante la carga, el documento se analiza en memoria para que la IA pueda extraer secciones y campos. El resultado estructurado de la extracción (secciones, escalas detectadas, notas) se almacena en su cuenta. Los bytes brutos del archivo cargado no se conservan una vez completada la solicitud — solo se persisten los metadatos indicados y el resultado estructurado de la extracción.
• Tokens de Google OAuth y permisos concedidos. Cuando autoriza la generación de Google Forms / Sheets / Drive, almacenamos los tokens de acceso y actualización y los permisos concedidos para poder llamar a las APIs de Google en su nombre. Los tokens se cifran en reposo.
• Metadatos de recursos de Google generados. Identificadores y enlaces de los Google Forms y Google Sheets creados en su nombre, para que el espacio de trabajo pueda mostrarlos y volver a abrirlos.
• Datos de uso, telemetría, cuotas y costes de IA. Identificador del modelo de IA por llamada, recuentos de tokens de entrada/salida y coste calculado, más contadores de límite de velocidad y cuota mensual por usuario utilizados para aplicar los límites del plan. No almacenamos el texto de la consulta ni de la respuesta en el propio registro de telemetría.
• Datos de pago y acceso de pago de Robokassa. ID de transacción, importe, moneda, plan, estado del pago, fecha de pago, correo electrónico de facturación y datos enmascarados de la tarjeta (como los últimos cuatro dígitos) si Robokassa los devuelve.
• Correspondencia de soporte. Correos electrónicos que usted envía a [email protected], incluyendo el contenido y los encabezados necesarios para responder.

4. Datos que NO recopilamos intencionalmente

• No recopilamos intencionalmente registros médicos reales de pacientes, información de salud protegida (PHI) ni datos directamente identificables de pacientes. El Servicio está diseñado para que los datos de los encuestados residan en su propio espacio de trabajo de Google Forms / Google Sheets, no en kResearch.
• No recopilamos intencionalmente las respuestas de los encuestados enviadas a los Google Forms que usted genera, a menos que usted pegue manualmente dichos datos en kResearch.
• No recopilamos ni almacenamos números completos de tarjeta ni CVV.
• No vendemos datos personales.
• No utilizamos datos de usuarios de Google con fines publicitarios.
• No utilizamos datos de usuarios de Google para entrenar modelos generales de IA o aprendizaje automático.

5. Cómo utilizamos los datos

• Autenticación, inicio de sesión y gestión de cuentas.
• Creación y gestión de los flujos de trabajo de investigación que usted construye en kResearch (estudios, selección de escalas, secciones de formularios, libros de códigos, metadatos de puntuación).
• Creación en su nombre de Google Forms, Google Sheets y artefactos de Google Drive que usted solicita explícitamente.
• Generación de kits de investigación descargables, libros de códigos y metadatos de puntuación.
• Provisión de las funciones opcionales de IA (borradores de estudios, recomendaciones de escalas, extracción de documentos).
• Gestión de planes, acceso de pago, pagos, reembolsos, recibos y aplicación de cuotas.
• Seguridad, prevención de abusos, resolución de problemas y fiabilidad del Servicio.
• Atención a solicitudes de soporte.
• Cumplimiento de las obligaciones legales, fiscales, contables y de pago aplicables al operador.

6. Datos de usuarios de Google y acceso a la API de Google

Esta sección describe cómo kResearch gestiona los datos obtenidos a través de Google OAuth y las APIs de Google.

• kResearch utiliza Google OAuth para el inicio de sesión y, cuando usted lo autoriza explícitamente, para crear en su nombre Google Forms, Google Sheets y artefactos relacionados de Google Drive.
• El inicio de sesión básico “Iniciar sesión con Google” solicita únicamente su identidad (OpenID, dirección de correo electrónico y perfil básico). No solicita ningún acceso a Google Drive, Google Forms ni Google Sheets.
• El acceso a Google Workspace es un paso separado y opcional. kResearch lo solicita solo si usted elige explícitamente “Conectar Google Drive”, y entonces solicita un único permiso mínimo: drive.file. Ese permiso permite a kResearch ver y gestionar únicamente los archivos que crea para usted (los Google Forms generados y la hoja de Google Sheets vinculada). No concede acceso a ningún otro archivo de su Google Drive: kResearch no puede leer, listar ni modificar el contenido existente de su Drive.
• kResearch utiliza los datos de usuarios de Google únicamente para proporcionar y mejorar las funciones orientadas al usuario que usted solicita.
• kResearch no vende datos de usuarios de Google.
• kResearch no utiliza datos de usuarios de Google con fines publicitarios ni para ningún propósito relacionado con la publicidad.
• kResearch no utiliza datos de usuarios de Google para entrenar modelos generales de IA o aprendizaje automático.
• kResearch no permite que personas físicas lean datos de usuarios de Google, salvo: (a) con su permiso explícito; (b) por motivos de seguridad o depuración necesarios para proteger el Servicio; (c) para cumplir con la ley aplicable; o (d) cuando sea estrictamente necesario para operar el Servicio (por ejemplo, al investigar una solicitud de soporte específica que usted abrió).
• kResearch no transfiere datos de usuarios de Google a terceros, salvo: (a) cuando sea necesario para proporcionar la función solicitada por el usuario (por ejemplo, enviar una solicitud a la API de Google Forms / Sheets de vuelta a Google); (b) para cumplir con la ley aplicable; (c) como parte de las medidas de seguridad necesarias; o (d) con su consentimiento explícito.
• Puede revocar el acceso de kResearch a Google en cualquier momento en myaccount.google.com/permissions. Si revoca el acceso, es posible que kResearch ya no pueda crear ni actualizar en su nombre artefactos de Google Forms, Sheets o Drive.

Disponibilidad regional. Para los usuarios ubicados en la Federación de Rusia, el inicio de sesión con Google y la conexión con Google Drive pueden estar deshabilitados, y no se proporciona acceso a las funciones que requieren autorización, ya que actualmente no podemos ofrecer un método de autorización que cumpla con los requisitos locales. En ese caso no se recopilan datos de usuario de Google, dado que el flujo de autorización no se ejecuta. Consulte los Términos de Servicio para más detalles.

7. Proveedores de IA

Cuando usted activa una función de IA, kResearch envía la consulta y el contexto relevantes (descripción del estudio, identificadores de escalas seleccionadas, texto extraído del documento) al proveedor de IA configurado para que devuelva un borrador. Las funciones de IA son opcionales y se activan por el usuario.

Los proveedores de IA actuales son:

• Anthropic Claude — la API de Anthropic, cuando está configurada;
• OpenAI — la API de OpenAI, cuando está configurada.

No enviamos tokens de Google OAuth ni datos de tarjetas de pago a los proveedores de IA. La PHI está prohibida por los Términos y no debe cargarse en el Servicio, por lo que tampoco debe llegar a los proveedores de IA.

8. Robokassa y procesamiento de pagos

La introducción de datos de tarjeta y la autorización de pagos son gestionadas por Robokassa a través del formulario de pago de Robokassa o la infraestructura de pago relacionada de Robokassa. Robokassa puede procesar los datos de la tarjeta, realizar la autenticación 3-D Secure e informar a kResearch sobre el estado del pago.

kResearch recibe únicamente los metadatos de pago y acceso de pago que necesita para la facturación, el estado de la cuenta, los reembolsos, el soporte y la contabilidad. kResearch no almacena números completos de tarjeta ni CVV.

9. Cookies

• kresearch_session — cookie de sesión HTTP-only y Secure utilizada para mantener la sesión iniciada.
• kresearch_oauth_state — cookie HTTP-only de corta duración utilizada para proteger el flujo de inicio de sesión de Google frente a ataques CSRF.
• kresearch_oauth_connect_state — cookie HTTP-only de corta duración utilizada para proteger el flujo opcional “Conectar Google Drive” frente a ataques CSRF.

No utilizamos cookies para el seguimiento, la elaboración de perfiles ni la publicidad. Si en el futuro se añaden cookies de seguimiento, se introducirán con aviso previo y, cuando sea obligatorio, con consentimiento.

10. Compartición de datos y subencargados

Compartimos datos con las siguientes categorías de subencargados solo en la medida necesaria para operar el Servicio:

• Google — Google OAuth, Google Forms, Google Sheets, Google Drive.
• Anthropic — proveedor de IA opcional, cuando está configurado y activado por usted.
• OpenAI — proveedor de IA opcional, cuando está configurado y activado por usted.
• Robokassa — procesamiento de pagos con tarjeta y estado del pago.
• Proveedor de alojamiento e infraestructura — servidores, base de datos y caché para la aplicación.
• Herramientas de correo electrónico y soporte, cuando corresponda, para gestionar la correspondencia de soporte y las notificaciones operativas.

La lista actualizada de subencargados se facilitará a petición y podrá evolucionar a medida que el Servicio crezca.

11. Transferencias internacionales de datos

El Servicio se ofrece a una audiencia global. Es posible que usted se encuentre fuera del país donde opera el operador o uno de nuestros subencargados, en cuyo caso sus datos podrán ser procesados en los países donde operen dichos proveedores. Nos apoyamos en las protecciones contractuales y técnicas que ofrecen esos proveedores.

12. Seguridad

• Todo el tráfico entre su navegador y el Servicio está cifrado con HTTPS / TLS.
• Las cookies de sesión están marcadas como HTTP-only y Secure fuera del entorno de desarrollo local.
• Los tokens de Google OAuth se cifran en reposo mediante AES-256-GCM antes de escribirse en la base de datos.
• El acceso a los datos de producción está restringido al operador según el principio de mínimo privilegio.

kResearch no declara actualmente conformidad con SOC 2, ISO 27001, HIPAA, ni haber realizado una auditoría externa o una prueba de penetración por terceros. Actualizaremos esta sección a medida que se implementen medidas adicionales o se obtengan certificaciones.

13. Conservación de datos

• Los datos de la cuenta y el contenido de los estudios se conservan mientras su cuenta esté activa.
• Si elimina un estudio, se elimina de la base de datos activa de forma inmediata.
• Si elimina su cuenta (desde Perfil & cuenta → Zona de peligro, o por correo electrónico), eliminamos sus estudios, borradores de IA, biblioteca de escalas personal y credenciales de Google cifradas. Las escalas del catálogo y el contenido compartido con otros usuarios no se ven afectados.
• Las copias de seguridad realizadas antes de la eliminación pueden conservarse durante un breve período operativo antes de ser eliminadas.
• Los registros de facturación, fiscales y de pago pueden conservarse durante el período exigido por la ley aplicable y las obligaciones contables, incluso después de la eliminación de la cuenta.
• Los correos electrónicos de soporte se conservan durante el tiempo necesario para responder y mantener un historial de soporte razonable.

14. Sus derechos

Con sujeción a la ley aplicable, usted puede solicitarnos que:

• accedamos o exportemos una copia de los datos de su cuenta;
• corrijamos datos inexactos;
• eliminemos su cuenta y los datos asociados;
• nos opongamos a determinados tratamientos o los limitemos cuando la ley lo permita.

Puede revocar el acceso a Google en cualquier momento desde la configuración de su cuenta de Google. Para ejercer cualquiera de los derechos anteriores, envíe un correo electrónico a [email protected] desde la dirección vinculada a su cuenta de kResearch.

Residentes de California. Si usted es residente de California, tiene derecho a saber qué información personal recopilamos sobre usted, el derecho a acceder a dicha información y a eliminarla, el derecho a corregir información inexacta, el derecho a rechazar la venta o el intercambio de información personal para publicidad conductual de contexto cruzado, y el derecho a no ser discriminado por ejercer estos derechos. kResearch no vende información personal y no comparte información personal para publicidad conductual de contexto cruzado.

15. Menores de edad

El Servicio no está dirigido a menores de 13 años y no está destinado a usuarios menores de 18 años. No recopilamos conscientemente información personal de menores. Si cree que un menor nos ha proporcionado información personal, contáctenos para que podamos eliminarla.

16. Cambios en esta Política

Podemos actualizar esta Política periódicamente. La fecha de “Última actualización” en la parte superior de la página refleja la revisión más reciente. Los cambios materiales que afecten a los usuarios activos se comunicarán a través del Servicio o por correo electrónico.

17. Contacto

Las preguntas sobre privacidad, las solicitudes de eliminación y otras solicitudes relacionadas con derechos sobre datos pueden enviarse a [email protected].