Revisado el 4 de octubre de 2026.
Esta política describe los datos procesados a través de ai-psychometrics.com, el portal de clientes, las invitaciones, las evaluaciones, los informes, las insignias opcionales y el chat de consulta del sitio web (en conjunto, el «Servicio»). La Empresa mantendrá esta política alineada con los flujos de datos efectivamente desplegados y con las notificaciones aplicables. No sustituye las obligaciones del Cliente de notificación a los candidatos ni de obtención de consentimientos. Los idiomas de la interfaz no identifican los países donde está aprobada la contratación o el procesamiento de candidatos. Los mercados que se prevé admitir son la República de Corea, Australia, Singapur, los Estados Unidos y Canadá. Las ubicaciones de los candidatos, las notificaciones locales y las transferencias deben establecerse, en cualquier caso, por separado antes de la incorporación; la designación de un mercado no es una afirmación de cumplimiento legal local. Otros países no quedan abiertos por una traducción de la interfaz. Contacto: help@ai-psychometrics.com.
1. Roles y alcance
Un Cliente decide por qué invitar y evaluar a candidatos y cómo usar los resultados para la contratación; en general controla esos datos de los candidatos. AI Psychometrics Inc. procesa esos datos para prestar el Servicio contratado, con sujeción a las instrucciones del Cliente, al Anexo de Procesamiento de Datos («DPA») y a la ley aplicable. Determinamos nuestros propios fines para los visitantes del sitio web, la administración de cuentas, el soporte, la facturación, el fraude y la seguridad, y los registros legales. Una credencial pública objeto de aceptación separada puede requerir un análisis de roles adicional según la ley local. La Empresa aplicará los controles de privacidad de verificación pública y de registro de forma coherente en sus páginas, API y vistas previas de enlaces. Los términos «responsable» y «encargado» describen roles del RGPD, no una afirmación de que la PIPA de Corea, la PIPEDA de Canadá o la ley de Columbia Británica utilicen categorías idénticas. Según la PIPA de Corea, los términos correspondientes son el responsable del tratamiento (consignante) y el consignatario. La participación en la evaluación, la investigación opcional de equidad, la publicación pública de insignias y cualquier uso de un titular identificado en marketing requieren notificaciones y opciones distintas cuando la ley lo exija. Toda pantalla de consentimiento de un candidato o titular debe mostrar la finalidad, los campos públicos y la vía de retirada, conservar su versión y fecha y hora, y no debe condicionar una evaluación a la exhibición pública opcional. Si un empleador le invitó, dirija las solicitudes sobre la evaluación y la decisión de contratación a ese empleador; puede contactarnos y las dirigiremos o asistiremos según corresponda.
2. Qué recopilamos
Cuenta empresarial y facturación: nombres de la empresa y de los usuarios, organización, cargo, correo electrónico de trabajo, teléfono y departamento opcionales, identificadores de autenticación y registros de sesión, Pedidos, Créditos, registros de pagos y reembolsos, facturas, comunicaciones, acciones de los usuarios y mensajes de soporte. Un procesador de pagos gestiona las credenciales de pago.
Evaluación de candidatos: datos de contacto proporcionados por el Cliente (normalmente correo electrónico y posiblemente nombre), registros de invitaciones y tokens, configuración de la evaluación y del puesto, respuestas incluido el contenido de texto libre o de conversación, ítems presentados, tiempos, progreso, puntuaciones y estimaciones de aptitud, contenido y rutas de los informes, registros de integridad de las respuestas, registros técnicos, de sesión y de seguridad, e historial de acceso o compartición autorizado por el Cliente. Las respuestas de texto libre pueden contener incidentalmente información sensible; no incluya información sensible innecesaria. Ese procesamiento incidental no puede descartarse.
Programa de insignias y credenciales: finalización de la evaluación y producto, número de certificado o registro, fechas de emisión y vencimiento, estado de verificación, banda de puntuación y puesto opcionales, versión del consentimiento y elección de exhibición del nombre, cuenta del titular y configuración de la cartera pública, actividad de los enlaces compartidos y, para una credencial de empleo opcional, elección del titular, confirmación del empleador, reconfirmación y estado de retirada o revocación. Los registros del registro de empleadores y socios a nivel de empresa incluyen datos de la organización y del registro. Los registros de credenciales de candidatos y los metadatos de las páginas no deben revelar la identidad del empleador que invita de forma predeterminada. Los campos públicos exactos dependen de la pantalla de consentimiento separada y del tipo de registro; la Sección 6 indica los límites.
Widget de consulta del sitio web: mensajes del visitante y del asistente, fechas y horas, página de origen, identificador temporal de visitante o de sesión, idioma y registros técnicos básicos. Un visitante puede proporcionar opcionalmente su nombre y correo electrónico para seguimiento; el correo electrónico no es necesario para iniciar un chat. Los avisos internos al personal de soporte pueden contener un extracto del mensaje y datos de contacto opcionales. No introduzca en el widget información confidencial de otra persona ni información personal sensible. Cuando el almacenamiento del widget está habilitado, la Empresa procesará y conservará la conversación como se describe en esta política.
Datos técnicos del sitio web y del portal: dirección IP, datos del navegador, del dispositivo y de las solicitudes, cookies esenciales y almacenamiento local o de sesión, registros de acceso y de errores e indicadores de seguridad. La Empresa mantendrá actualizado su inventario de cookies y rastreadores.
3. Fines y fundamentos jurídicos
Procesamos los datos de los candidatos para enviar invitaciones, administrar evaluaciones, puntuar respuestas, generar informes y las credenciales permitidas, permitir que los usuarios autorizados del Cliente vean los resultados, proteger el Servicio, atender solicitudes y dar soporte al Cliente, y cumplir las instrucciones lícitas. Para los usuarios del Cliente y los visitantes del sitio web, proporcionamos cuentas, facturación, soporte, respuestas de consulta, seguridad y cumplimiento legal. En Australia y Singapur, los principios de privacidad pertinentes y los deberes legales de notificación, consentimiento, seguridad, acceso y rectificación y transferencia al extranjero deben revisarse frente al rol y la ruta de datos reales; la mera enumeración de estos países como mercados no constituye una notificación ni un mecanismo de transferencia completados. Cuando se aplique el RGPD o una ley comparable, el Cliente identifica un fundamento jurídico para su procesamiento de candidatos; nuestros usos independientes pueden basarse en el contrato, en intereses legítimos de operación segura, en obligaciones legales o en el consentimiento cuando se requiera. La Empresa y el Cliente establecerán los fundamentos jurídicos específicos de Corea, las notificaciones transfronterizas y los mecanismos de consentimiento aplicables antes del procesamiento correspondiente. No trate el consentimiento de la evaluación como consentimiento para publicar una insignia, usar datos identificables en marketing ni realizar investigación opcional de equidad. La Empresa no venderá datos personales de candidatos ni los usará para publicidad. Cualquier investigación de equidad, calibración o calidad con datos seudonimizados requiere igualmente un fundamento jurídico aplicable, controles de acceso y la opción separada diseñada cuando se haya prometido. Los datos verdaderamente anonimizados o agregados solo se tratan cuando la reidentificación no es razonablemente posible y la ley lo permite.
4. IA y resultados de las evaluaciones
Theta AI utiliza puntuación estadística y puede usar modelos para generar contenido de evaluación; Titan AI utiliza procesamiento de modelos de lenguaje para evaluar respuestas conversacionales. Los proveedores y las configuraciones pueden variar. Enviamos únicamente el contexto necesario a los procesadores autorizados para la tarea solicitada, pero no podemos afirmar que no exista ningún procesamiento externo. Las puntuaciones, las bandas, los fundamentos, los resultados comparativos y los registros de integridad de las respuestas pueden tener limitaciones, errores o sesgos. Sirven de apoyo a una decisión humana del Cliente; nosotros no determinamos a quién se contrata. Una puntuación, una banda o una recomendación de un modelo no constituye por sí misma una decisión final. Un punto de corte configurado por el Cliente o una aprobación humana meramente nominal pueden seguir generando obligaciones relativas a decisiones automatizadas según la ley aplicable. Los candidatos deben preguntar al Cliente que les invitó sobre las consecuencias de la evaluación, la revisión humana, las adaptaciones o las alternativas. Si una ley aplicable trata un flujo de trabajo concreto como decisión automatizada o elaboración de perfiles, la notificación y los derechos legalmente exigidos siguen aplicándose con independencia de esta descripción del producto.
5. Quién recibe los datos
Los usuarios autorizados del Cliente reciben los datos de los candidatos dentro de su organización y, cuando el Cliente lo habilita, su socio autorizado o los destinatarios de informes. Los proveedores de infraestructura y de servicios solo pueden procesar los datos necesarios para su tarea: Vercel (alojamiento del portal), Supabase (base de datos, autenticación y almacenamiento), Google Cloud (ejecución), OpenAI (procesamiento de modelos de lenguaje), GitHub (canalización estadística de Theta y artefactos de trabajos), Neon (datos de generación de ítems de Theta), Resend (correo transaccional), Stripe (facturación y pagos) y otros servicios verificados enumerados en el anexo vigente del DPA. Las categorías de datos, los países y los detalles de las transferencias aplicables se tratan en el DPA. Una empresa que recibe un informe de un candidato es generalmente el Cliente, no nuestro subencargado. Una acción de compartición en LinkedIn iniciada por un usuario es una revelación iniciada por ese usuario, no una publicación automática nuestra ni necesariamente una relación de subencargo; el flujo de compartición debe mostrar qué sale del Servicio. Podemos revelar datos a asesores sujetos a confidencialidad, o a las autoridades cuando la ley lo exija. No revelamos los datos de candidatos de un Cliente para uso de otro empleador por el mero hecho de que ambos usen el Servicio.
El widget del sitio web puede usar un identificador aleatorio de sesión de visitante en localStorage después de su uso y enviar el contexto de la conversación al proveedor de modelos configurado. El texto de las respuestas de los candidatos puede incluirse en rutas externas de procesamiento de modelos. Un indicador store:false a nivel de solicitud no es una garantía de retención cero por parte del proveedor. La Empresa mantendrá actualizadas las revelaciones sobre el procesamiento activo, los campos específicos de cada servicio y la retención.
6. Insignias públicas y verificación
La mera finalización de una evaluación no autoriza una credencial personal pública. Una credencial pendiente no debe resolverse públicamente hasta que el candidato haga una elección separada e informada. El candidato puede elegir si muestra un nombre (completo, iniciales o anónimo cuando esté disponible), puede elegir una cartera pública y puede retirar la exhibición pública con independencia de su participación en la evaluación. Una página pública de verificación de una credencial de evaluación consentida puede exponer la forma de nombre seleccionada, el tipo de credencial, la banda de puntuación en lugar de la puntuación bruta, el puesto solo cuando se selecciona un nombre no anónimo, el código de certificado, las fechas de emisión y vencimiento y el estado actual. Un código público o un enlace compartido puede copiarse e indexarse, e incluso una insignia «anónima» puede vincularse a una persona si la comparte desde un perfil personal. La identidad de la empresa que invita no debe exponerse en las superficies de credenciales de candidatos ni en las vistas previas de enlaces. Un interruptor de privacidad del registro de empresas debe suprimir también el registro público, la respuesta de la API y los metadatos generados por nosotros, no simplemente ocultar un botón; las cachés de terceros pueden persistir. Las páginas de registro de empleadores y empresas son distintas y pueden mostrar el nombre de la empresa, el número, las fechas y el estado del ciclo de vida; un estado Inactivo puede significar la pérdida de un derecho, no una conducta indebida. Una credencial de empleo requiere tanto el consentimiento del titular como la confirmación del empleador; está sujeta a reconfirmación, vencimiento y retirada. Una vez que terceros copian la información, nuestra retirada no puede eliminar esas copias. La reutilización en marketing de la identidad o la insignia de una persona requiere un permiso opcional separado.
7. Cookies, sesiones y registros de seguridad
Se utiliza almacenamiento esencial de inicio de sesión y de seguridad para mantener las sesiones y prevenir el uso indebido. El widget puede usar un identificador temporal de visitante. La Empresa mantendrá actualizado su registro de cookies y rastreadores. La configuración del navegador puede bloquear parte del almacenamiento, pero puede impedir que funcionen las funciones básicas. Los registros de seguridad pueden contener IP e identificadores y pueden sobrevivir al contenido relacionado conforme a un calendario revisado por separado.
8. Procesamiento internacional
Los datos de candidatos y de cuentas pueden consultarse o procesarse fuera del país de la persona, incluidos los Estados Unidos y Canadá y las ubicaciones de los procesadores verificados. Un componente alojado en Corea no significa que todo el procesamiento de las evaluaciones permanezca en Corea. Antes de una transferencia cubierta por la PIPA coreana, la parte responsable debe identificar el fundamento aplicable del artículo 28-8 y revelar los datos exigidos para ese fundamento; el consentimiento es una base posible, no la única. Confirme los destinatarios reales, los países de destino, los contactos, el momento y el método, los fines, la retención y las consecuencias exigidas de la negativa, y evalúe las transferencias posteriores por separado. Las transferencias a la UE, el Reino Unido y Suiza necesitan una decisión de adecuación aplicable, cláusulas contractuales y cualquier evaluación de transferencia exigida; el DPA no puede rellenar ubicaciones en blanco con una suposición. Las ubicaciones conocidas de cómputo y almacenamiento incluyen Ohio para Supabase y Neon y Seúl para Titan Cloud Run, con un bucket de copia de seguridad separado en Iowa. Las ubicaciones de almacenamiento no establecen todos los países de acceso de soporte de los proveedores ni de transferencias posteriores. Se trata de servicios separados, no de una garantía de procesamiento en un solo país. La Empresa identificará los países de procesamiento de modelos y de acceso de soporte en el Anexo 3 antes de la transferencia correspondiente y mantendrá esa información actualizada. Las etiquetas de cuenta Global/Standard Retention no constituyen un compromiso de solo EE. UU. ni de retención cero. Consulte el Anexo 3 del DPA para la información de transferencia vigente y sus actualizaciones.
9. Retención y eliminación
La Empresa conservará los datos de evaluación de los candidatos durante un período predeterminado de hasta tres años (1.095 días), con sujeción a las instrucciones del Cliente y a la ley aplicable. La Empresa documentará el hecho de inicio de cada categoría en el Anexo 1 del DPA. Tras la solicitud escrita de devolución o eliminación del Cliente o la terminación del Servicio, la Empresa proporcionará una ventana de exportación de 30 días y eliminará los datos correspondientes de los sistemas activos y de las copias de seguridad dentro de los períodos verificados indicados en el Anexo 1 del DPA para cada sistema y categoría, con sujeción a las excepciones de retención lícitas. La Empresa solo indicará un período después de verificar el ciclo de eliminación real del sistema o procesador correspondiente. La Empresa aplicará cualquier configuración de retención del Cliente más corta que se haya acordado y volverá a aplicar la eliminación a las copias restauradas.
Las obligaciones de retención y eliminación cubren los registros de bases de datos aplicables, las respuestas en bruto, las evaluaciones, los informes individuales y de cohorte, el almacenamiento de objetos, los registros de insignias, los registros, las bandejas de salida de correo, los artefactos de trabajos de terceros y las copias de seguridad. La Empresa coordinará la eliminación con los procesadores correspondientes; la eliminación de una fila de cuenta por sí sola no satisface la obligación de tratar los archivos y copias relacionados. La Empresa identificará y limitará cualquier retención legalmente exigida o conservación justificada, restringirá el uso y el acceso durante la conservación y eliminará los datos cuando ese fundamento termine. Las solicitudes pueden enviarse a help@ai-psychometrics.com y están sujetas a verificación de identidad y a la asignación de roles entre el Cliente y la Empresa.
Cuando el almacenamiento del widget del sitio web está habilitado, la Empresa eliminará la conversación principal almacenada y los datos vinculados del visitante 90 días después del último mensaje del visitante o del asistente; las actualizaciones de nombre o correo electrónico por sí solas no reinician el cómputo. La Empresa tratará los registros secundarios relacionados, las copias de notificaciones, los registros de correos de soporte y las copias de seguridad conforme a su calendario de retención aplicable. La Empresa conservará los registros seudonimizados de DIF y equidad aprobados por separado durante no más de 12 meses, los mantendrá separados de los registros principales de evaluación, restringirá el acceso y los eliminará cuando venza el período aprobado. La Empresa mantendrá actualizado el esquema de categorías del DPA.
10. Seguridad y gestión de incidentes
Utilizamos autorización basada en roles, conexiones de red cifradas, cifrado en reposo del proveedor de alojamiento cuando se proporciona, restricciones de acceso y registro para proteger los datos personales. Ningún método de seguridad es infalible. Los detalles de seguridad del anexo del DPA deben coincidir con los controles reales de la cuenta de cliente, los enlaces firmados, la gestión de secretos, las copias de seguridad y los procedimientos de incidentes. La Empresa mantendrá procedimientos adecuados de notificación de incidentes y de retención. Esta política no promete ninguna certificación de seguridad.
11. Derechos y contacto
Según la ley, las personas pueden solicitar acceso, rectificación, supresión, limitación, portabilidad, oposición, retirada del consentimiento o revisión de determinadas decisiones automatizadas, y reclamar ante una autoridad. Un candidato debe contactar primero con el Cliente que le invitó en relación con una evaluación o una decisión de contratación; podemos ayudar a identificar o dirigir la solicitud a través de help@ai-psychometrics.com, con sujeción a verificación de identidad. La retirada de la publicación de una insignia es distinta de una solicitud de eliminación de una evaluación. Los usuarios empresariales y los visitantes del sitio web pueden enviar solicitudes a la misma dirección. No exigiremos que una insignia permanezca pública como condición de un resultado de evaluación. Pueden aplicarse excepciones legales.
12. Menores, actualizaciones e idioma
El Servicio está dirigido a adultos en un contexto empresarial de contratación y no está destinado a menores de 18 años. Si tenemos conocimiento de que se envió información de un menor, lo trataremos con el Cliente conforme a la ley aplicable. Identificaremos las fechas de entrada en vigor y de actualización en la política publicada y daremos cualquier notificación exigida para los cambios sustanciales. El texto en inglés es el que rige para los lectores no coreanos y no sustituye ninguna notificación exigida en un idioma local. Para las personas en Corea, la notificación en coreano, tal como se les proporciona, es la notificación eficaz. Las normas imperativas locales sobre el texto y la interpretación de las notificaciones prevalecen. Contacto: help@ai-psychometrics.com.