1. Responsable del tratamiento
Canonical Research S.A.P.I. de C.V., con domicilio en Av. Paseo de la Reforma 296, piso 12, Col. Juárez, Cuauhtémoc, 06600, Ciudad de México, México (en adelante, “Canonical”, “nosotros”), es responsable del tratamiento de los datos personales descritos en esta política. Puedes contactar a nuestro responsable de privacidad en privacidad@canonical.lat.
Esta política aplica al sitio canonical.lat, a la plataforma app.canonical.lat y a las comunicaciones comerciales de Canonical. No aplica a la red de participantes Basset, que tiene su propio aviso de privacidad y su propio responsable; ver la sección 4.
2. A quién aplica y qué roles existen
Distinguimos cuatro tipos de personas, porque tratamos sus datos de forma distinta:
- Visitantes del sitio: quien navega canonical.lat o envía un formulario de demo o contacto.
- Usuarios de la plataforma: personas que trabajan en una empresa cliente y tienen una cuenta en el workspace de esa empresa.
- Personas cuyos datos conecta un cliente (Intelligence): clientes o contactos del cliente contenidos en el CRM, NPS, documentos u otras fuentes que el cliente conecta. Respecto de estos datos, Canonical actúa como encargado del tratamiento por cuenta del cliente.
- Participantes de estudios: personas que responden entrevistas. Su identidad la verifica y custodia Basset; Canonical recibe únicamente un pseudónimo por cliente y las respuestas. Ver la sección 4 y el aviso de consentimiento para participantes.
3. Qué datos tratamos y para qué
| Rol | Datos | Finalidad | Base |
|---|---|---|---|
| Visitante | Correo de trabajo, nombre, empresa, país, mensaje; datos técnicos (IP, navegador, páginas vistas) | Responder a tu solicitud, agendar una demo, medir el uso del sitio | Consentimiento; interés legítimo (operación del sitio) |
| Usuario de la plataforma | Nombre, correo de trabajo, rol, registro de actividad (estudios creados, exportaciones, consultas) | Prestar el servicio, seguridad, auditoría del workspace, soporte | Ejecución del contrato con el cliente |
| Datos conectados por el cliente | Los que el cliente decida conectar (CRM, NPS, documentos, tickets) | Estructurarlos y responder consultas del cliente (Intelligence); proponer perfiles a entrevistar | Instrucciones del cliente (encargo); el cliente es responsable |
| Participante | Pseudónimo por cliente, respuestas (texto, audio y transcripción), perfil de screening, versión de consentimientos, metadatos de la entrevista | Ejecutar el estudio, procesar y entregar insights al cliente; si hay consentimiento específico, construir participantes simulados | Consentimiento registrado en Basset con versión |
No usamos los datos de un cliente para entrenar modelos compartidos ni para alimentar simulaciones de otro cliente. Los datos de cada cliente están aislados lógicamente por workspace.
4. Participantes: lo que Canonical no ve
La verificación de identidad de los participantes (documento, biometría cuando aplique) y sus datos de pago los trata exclusivamente Basset, Basset Research S.A.P.I. de C.V., como responsable independiente. Esos datos nunca se transfieren a Canonical ni a los clientes.
Cuando una persona responde un estudio, Basset genera un pseudónimo específico para el cliente de ese estudio. Canonical y el cliente reciben ese pseudónimo, las respuestas y el perfil de screening. El mismo participante tiene pseudónimos distintos en clientes distintos; ni Canonical ni los clientes pueden vincularlos.
Los consentimientos del participante (investigación, entrenamiento de modelos, contacto para oportunidades) se registran en Basset con fecha y versión. Canonical recibe la versión vigente de cada consentimiento junto con cada entrevista y la respeta en el procesamiento: por ejemplo, las respuestas de un participante que no consintió el entrenamiento de modelos no se usan para construir participantes simulados.
Si eres participante y quieres ejercer tus derechos, hazlo a través de Basset (basset.lat/ayuda). Canonical no puede identificarte a partir de un pseudónimo.
5. Audio, transcripciones y contenido de las respuestas
Las entrevistas por voz se graban y transcriben para procesarlas. El audio y la transcripción se almacenan asociados al pseudónimo, no a una identidad.
Las respuestas pueden contener datos personales que el participante mencione espontáneamente (un nombre, un teléfono, una dirección). Aplicamos detección y redacción automática de ese contenido ([nombre], [teléfono]) antes de que aparezca en reportes y exportaciones, y los clientes se obligan contractualmente a no intentar reidentificar a los participantes.
6. Con quién compartimos datos
- Con el cliente del estudio: respuestas y perfil bajo pseudónimo, dentro de su workspace.
- Con proveedores que nos prestan servicios de infraestructura, transcripción, correo y análisis, bajo contrato de encargo y con las garantías que exige la ley aplicable. La lista de subencargados vigente está disponible en canonical.lat/legal/subencargados y se notifica a los clientes con antelación ante cambios.
- Con autoridades, cuando una obligación legal lo requiera.
- Con un adquirente, en caso de fusión o venta, sujeto a esta misma política.
No vendemos datos personales. No compartimos datos de participantes entre clientes.
7. Transferencias internacionales
Nuestra infraestructura se aloja en Amazon Web Services, en la región de Virginia (Estados Unidos). Para clientes Enterprise ofrecemos alojamiento de datos en la región de São Paulo (Brasil). Cuando una transferencia sale del país de origen de los datos, aplicamos cláusulas contractuales y las garantías que exija la ley de México y la ley aplicable al cliente.
8. Conservación
- Formularios del sitio: 24 meses desde el último contacto, salvo que se convierta en relación contractual.
- Cuentas de usuario y registros de actividad: durante la vigencia del contrato y 12 meses después, salvo obligación legal distinta.
- Datos conectados por el cliente: mientras el cliente los mantenga conectados; se eliminan a su instrucción o a los 30 días del fin del contrato.
- Respuestas de participantes: mientras el cliente mantenga el estudio en su workspace; el audio original se elimina a los 12 meses de la transcripción. Si un participante revoca su consentimiento, sus respuestas dejan de usarse en nuevos procesamientos y simulaciones, y se eliminan o anonimizan según lo descrito en el aviso de consentimiento.
9. Seguridad
Aplicamos cifrado en tránsito y en reposo, aislamiento lógico por cliente, control de acceso por roles, registro de auditoría de exportaciones y revisiones periódicas. Estamos en proceso de certificación SOC 2 Tipo I, con el informe previsto para el segundo trimestre de 2027. Los detalles técnicos están en la página de seguridad y en el cuestionario de seguridad disponible para clientes.
10. Tus derechos
Según la ley de México y la ley aplicable a tu residencia, puedes solicitar acceso, rectificación, cancelación, oposición, portabilidad y limitación del tratamiento, y revocar un consentimiento. Escríbenos a privacidad@canonical.lat indicando tu rol (visitante, usuario, persona en datos de un cliente). Respondemos en un máximo de 20 días hábiles.
Si tus datos están en una fuente conectada por un cliente, te redirigiremos al cliente responsable y le ayudaremos a atender tu solicitud. Si eres participante, dirígete a Basset.
Puedes presentar una reclamación ante la autoridad de protección de datos de México, la Secretaría Anticorrupción y Buen Gobierno.
12. Cambios a esta política
Publicamos cada versión con fecha. Si un cambio afecta de forma sustancial el tratamiento, avisamos a los usuarios de la plataforma por correo y a los participantes a través de Basset con al menos 30 días de antelación. Última actualización: 15 de septiembre de 2026.