Política de uso y privacidad
Versión de trabajo 0.2 · 20 de octubre de 2026. Ámbito inicial: Ecuador.
Borrador para el piloto técnico. Aisthesis Arché es una herramienta experimental de registro y revisión. Esta versión no diagnostica, no calcula probabilidades de autismo u otras condiciones y no ha demostrado validez clínica. Este texto no acredita certificación, autorización sanitaria o consentimiento del participante.
Antes de invitar a una persona: la institución debe completar sus datos y contactos, definir el estudio y sus medidas de protección y obtener los dictámenes y permisos aplicables. No se ha acreditado aquí una aprobación CEISH. Una política publicada no concede esa aprobación ni autoriza a recoger datos de terceros.
1. Para qué puede utilizarse
Para registrar y revisar señal EEG de Muse, seguimiento ocular por webcam, eventos, anotaciones y resultados descriptivos, dentro de actividades autorizadas de desarrollo o investigación supervisada. Permite vincular varias sesiones a una ficha. Los registros técnicos no constituyen una norma de cerebro típico ni un expediente clínico certificado.
No utilizar como criterio único de diagnóstico, tratamiento, selección escolar/laboral, acceso a servicios o decisiones que perjudiquen a una persona. No utilizar en emergencias, vigilancia encubierta o grabaciones sin base jurídica y autorizaciones aplicables. No intentar identificar condiciones o emociones reales desde una etiqueta del modelo.
2. Límites de las mediciones
Movimiento, iluminación, colocación, gafas, parpadeos, contacto de electrodos, interferencias y configuración pueden afectar los resultados. Un indicador de señal o un gráfico fluido no garantiza exactitud. La calibración debe evaluarse en el área utilizada; los tiempos locales de recepción no prueban sincronización física. Los datos ausentes, inválidos o simulados deben conservar esa condición, sin presentarlos como mediciones válidas.
La apariencia facial estimada no demuestra la emoción interna. El autoinforme y las observaciones del especialista son fuentes separadas. Varias visitas no aumentan automáticamente la certeza de una conclusión ni equivalen a varias personas.
3. Responsabilidades de uso y del proyecto
- El operador debe contar con autorización, explicar la actividad, verificar los datos introducidos, las condiciones, los sensores y el resultado de las exportaciones; atender advertencias, documentar incidencias y detener la prueba si hay malestar o fallos. No debe forzar una calibración ni ocultar datos desfavorables.
- El operador o institución debe proteger el ordenador, limitar accesos, custodiar copias y descargas, evitar identificadores innecesarios en texto libre y aplicar las reglas del estudio. No compartir claves, publicar registros o reutilizarlos con otra finalidad sin fundamento y autorización aplicables.
- Las modificaciones no verificadas, entradas incorrectas, accesos no autorizados, divulgaciones indebidas o utilización fuera del alcance pueden causar resultados incorrectos o exposición de datos. Cualquier responsabilidad se determinará por los hechos y la ley aplicable; no se presume automáticamente culpa del usuario.
- El proyecto debe describir honestamente sus límites, atender defectos e incidentes conocidos y no prometer funciones o seguridad inexistentes. Esta política no excluye obligaciones legales del desarrollador, proveedor o institución ni responsabilidades que legalmente no puedan limitarse.
Leer esta página o utilizar la aplicación no equivale a consentir una investigación, renunciar a derechos o autorizar tratamientos adicionales. La decisión profesional sigue bajo responsabilidad del especialista dentro de su competencia, sin eximir al proveedor de los defectos que le correspondan.
4. Qué datos trata esta versión
- Ficha: código, fecha de nacimiento, nombre de referencia opcional e identificador interno; edad y grupo descriptivo calculados por evaluación.
- Sesión: fechas, protocolo, condiciones declaradas, notas, eventos, señales EEG, estimaciones de mirada, indicadores técnicos y derivados.
- Cuando se reciben: PPG infrarrojo, estimación de pulso, acelerómetro y giroscopio. El pulso no es ECG o SpO2 validado; el movimiento no demuestra orientación absoluta ni sincronización física.
- Si se habilita: apariencia facial estimada, autoinforme y observación escrita. La vista previa sin sesión se procesa en memoria; guardar anotaciones requiere sesión.
- Preferencias funcionales del navegador y, al vincular la web, autorización temporal en almacenamiento de sesión. Borrar almacenamiento del navegador no elimina fichas o grabaciones.
En el flujo actual los cuadros de cámara se procesan en memoria: no se guarda vídeo ni se envían imágenes a un clasificador externo. Esto no impide que una captura de pantalla o una exportación realizada por el operador cree otra copia bajo su custodia. Las señales, códigos, notas y tiempos pueden seguir identificando personas aunque falte el nombre.
5. Para qué se usan y dónde se guardan
Se utilizan para la actividad técnica autorizada, seguimiento de sesiones, revisión descriptiva, integridad y resolución de fallos. La investigación con participantes y cualquier reutilización o entrenamiento requieren una finalidad y base jurídica propias; esta página no las concede. No es una autorización para publicidad, venta de datos o entrenamiento general de modelos.
La modalidad habitual conserva fichas, relaciones y grabaciones en SQLite y archivos del ordenador. El ZIP experimental no incluye automáticamente nombre y nacimiento, pero no garantiza anonimato. Las copias completas sí pueden incluir datos identificativos. La versión actual no incorpora cifrado de aplicación de toda la base/exportaciones ni un sistema completo de cuentas clínicas individuales.
Si el administrador configura expresamente una API central, pueden transmitirse fichas —incluidos nombre y nacimiento—, sesiones terminadas y derivados a ese servidor. Antes debe informar responsable, proveedor, ubicación, destinatarios, transferencias y condiciones aplicables. No hay que activar esa modalidad para usar SQLite local. La interfaz Pages se vincula al capturador; alojar la interfaz no convierte a Pages en la base clínica.
Servidores web y proveedores de infraestructura pueden procesar metadatos técnicos de acceso conforme a su servicio y configuración. No se afirma ausencia absoluta de registros externos. No incluir datos de participantes en URLs, consultas de soporte o reportes públicos.
6. Participación, conservación y derechos
El responsable de cada estudio debe informar quién decide sobre los datos, para qué finalidad y con qué base, quién accede, dónde se alojan, cuánto se conservan y cómo ejercer derechos. Debe obtener el consentimiento o la autorización que corresponda por separado, incluida la representación y participación de menores según las reglas aplicables. La aceptación del especialista no sustituye esos requisitos.
El software no establece todavía un plazo automático de conservación ni borra todos los datos al archivar una sesión. El responsable debe fijar y comunicar los plazos, controlar las copias y tramitar acceso, rectificación, restricción, oposición, portabilidad o eliminación cuando procedan. Retirar un consentimiento no convierte en ilícito el uso previo legítimo; algunas obligaciones pueden exigir conservar información y restringir su uso. No se promete eliminación instantánea de todas las copias.
Quien solicita derechos debe recibir un canal efectivo y una respuesta conforme a la ley aplicable. Si la eliminación procede, debe revisarse también en exportaciones, copias, estaciones y servidores configurados. No enviar historias clínicas o documentos de identidad por canales públicos.
7. Datos que deben completarse antes de un estudio con participantes
Pendientes de formalización: identidad y domicilio del responsable; contacto real de privacidad e incidentes; entidad operadora/encargados; base jurídica por finalidad; ubicación y destinatarios; transferencias; plazos de conservación; procedimiento de derechos y autoridad competente. Estos datos no se han inventado ni sustituido con un correo o teléfono de ejemplo.
Hasta completar esa información y revisar el protocolo y los permisos, este borrador no debe presentarse como aviso de privacidad final para recoger datos de terceros. El participante debe recibir la información específica de su estudio antes de participar.
8. Cambios y soporte
Los cambios relevantes requieren una nueva versión, explicación y comunicación adecuada; publicar un texto nuevo no autoriza retroactivamente otra finalidad. Ante incidentes, detener la actividad afectada, preservar evidencia mínima y avisar al responsable designado. El proyecto debe revisar riesgos, corregir lo que corresponda y tramitar las notificaciones exigibles. Esta política complementa las obligaciones aplicables y no las reemplaza.
9. Participación accesible y voluntaria
Ser autista, tener otra condición o comunicarse de una forma distinta no implica incapacidad para decidir. La información y la comprobación de comprensión deben adaptarse a la decisión concreta: lenguaje claro, lectura asistida, comunicación aumentativa o alternativa, tiempo suficiente y apoyo elegido por la persona. Un familiar o acompañante no es automáticamente representante legal.
La investigación propuesta no exige ocultar movimientos autorregulatorios, mirar al operador, cambiar medicación, quitarse ayudas necesarias o continuar ante dolor o sobrecarga para mejorar un registro. Los ajustes de la tarea se documentan porque pueden cambiar las mediciones. El consentimiento no debe obtenerse mediante presión docente, terapéutica, económica o familiar.
Se debe ofrecer pausa y retirada sin castigo ni pérdida de atención, notas o apoyos. Ante petición de parar, disenso observable, dolor, irritación, cansancio o malestar sensorial se detiene el procedimiento afectado. Esta versión experimental no ofrece un beneficio diagnóstico individual garantizado. La institución debe explicar antes la duración, tareas, descansos, gastos o compensación, asistencia ante daños y devolución de resultados.
10. Consentimiento, menores y representación
La revisión ética previa, el permiso del centro, la participación informada y la base jurídica para tratar datos son requisitos distintos. No se ha acreditado aquí la autorización de un CEISH. Las observaciones previas de desarrollo no se convierten retroactivamente en un estudio aprobado. La clasificación de riesgo o una eventual exención debe seguir el procedimiento competente, no una declaración del desarrollador.
Un protocolo con menores necesita información y asentimiento adecuados, representación válida cuando corresponda y las autorizaciones aplicables. El artículo 19 del Reglamento General de la LOPDP exige representante para datos de menores de 15 años y consentimiento expreso del representante para datos sensibles de menores. La autonomía progresiva desde 15 años para otros tratamientos no equivale a permiso general para esta investigación. Debe respetarse la voluntad y el disenso de la persona; en el procedimiento no terapéutico propuesto no se continuará contra su rechazo.
Antes de participar se entregará la versión específica aprobada de información, con investigador, institución, contactos efectivos, procedimiento, finalidades, riesgos, conservación y condiciones. La institución debe custodiar la decisión, versión de texto, idioma, representación y evidencia válida, y entregar copia. El permiso de cámara, el botón de análisis facial o el campo técnico local_consent no equivalen a ese consentimiento ni a una firma válida.
Separar participación principal y finalidades opcionales, sin casillas premarcadas: apariencia facial, nuevos contactos o un uso secundario concreto. Aceptar una no autoriza todas. El consentimiento no es una renuncia de derechos; tampoco obliga a ceder datos para una futura patente, venta o entrenamiento. No introducir identidades, firmas o documentos de participantes en repositorios, chats o reportes públicos.
11. IA, seguridad y expansión
El análisis automatizado debe explicarse por su finalidad y límites. Las etiquetas de apariencia no describen emociones verdaderas y no justifican decisiones perjudiciales. La institución debe evaluar riesgos, bases, accesos, registro de actividades y las evaluaciones de impacto que correspondan, incluidas las reglas SPDP sobre IA, gran escala y transferencias. Un piloto pequeño no recibe por eso una exención automática.
Esta política no añade por sí sola cifrado integral, cuentas clínicas individuales, auditoría completa de lecturas, firma electrónica o borrado distribuido. La institución debe comprobar las salvaguardas reales antes de tratar datos de terceros. Eliminar nombres no garantiza anonimato; archivar en la aplicación no elimina exportaciones o copias. No se habilita nube o transferencia nueva por publicar este texto.
La revisión inicial se centra en Ecuador. HIPAA, RGPD y reglas de otros países se analizan según su ámbito y relaciones concretas; no existe una certificación mundial obtenida mediante esta página. Cualquier uso médico futuro requiere además evaluación sanitaria y evidencia apropiadas.
12. Licencia y futura propiedad intelectual
El proyecto contempla evaluar protección de propiedad intelectual y una posible explotación futura. La parte original del código tiene una licencia de uso interno autorizado y reserva de derechos en el repositorio; los componentes de terceros conservan sus propios permisos. Esto no concede patente, no acredita titularidad exclusiva ni elimina una divulgación anterior. Una licencia de software no autoriza tratar datos personales ni transfiere derechos de participantes.
La confidencialidad del desarrollo no debe impedir denunciar problemas, consultar al comité, ejercer derechos o informar riesgos. No se impone a participantes una obligación de silencio mediante esta política. Los conflictos e intereses comerciales del equipo deben informarse en el protocolo y la información específica del estudio.
13. Fuentes oficiales y revisión
- SPDP: ley y reglamento de protección de datos y resoluciones de la SPDP.
- MSP: función de los comités CEISH. La institución debe confirmar reconocimiento, alcance y vigencia del comité elegido.
- Declaración de Helsinki, revisión 2024 y pautas CIOMS de investigación, 2016: referencias éticas; no autorizaciones de este proyecto.
- RGPD, para revisión de su aplicabilidad cuando corresponda.
Revisión documental dirigida al 20 de octubre de 2026, no dictamen jurídico ni certificación. El expediente interno conserva URLs, fecha y alcance de lectura; las vigencias y obligaciones concretas requieren comprobación antes de iniciar cada estudio. Mientras falten los datos institucionales de la sección 7, este aviso sigue siendo un borrador.