SalvaOps · Versión 1.0

Política de privacidad y aviso de privacidad de SalvaOps

Fecha de entrada en vigor: 10 de octubre de 2026.

Responsable: Lehi Salvador Rangel Cárdenas, nombre comercial Salva Systems.

3.1. Responsable e información de contacto

El responsable del tratamiento de datos personales vinculados con SalvaOps y, cuando estén habilitadas, sus integraciones con proveedores como Vercel es Lehi Salvador Rangel Cárdenas, que opera bajo el nombre comercial Salva Systems. Domicilio del responsable para efectos de privacidad: Indelpro 307, Corredor Industrial, Altamira, Tamaulipas, México. Correo electrónico para consultas y ejercicio de derechos: privacidad@salvasystems.site. Este aviso se refiere a los tratamientos realizados por SalvaOps y sus componentes de conexión, y a los datos técnicos estrictamente necesarios para servir estas páginas legales. No pretende sustituir los avisos de privacidad de otros productos o sitios de Salva Systems que realicen tratamientos distintos.

3.2. Datos que pueden tratarse

Según las funciones que active la persona usuaria y las capacidades reales de cada integración, pueden tratarse las siguientes categorías:

Identificadores de cuenta asociados a proveedores conectados: nombre de usuario, identificador, organización, team, permisos y otros datos que el proveedor devuelva legítimamente.
Identificadores y metadatos de recursos seleccionados: repositorio, Project, base de datos, entorno, proyecto remoto, alias y estado de conexión.
Credenciales técnicas o autorizaciones de integración: tokens manuales, tokens OAuth, tokens de renovación y referencias protegidas necesarias para efectuar las operaciones autorizadas. Estas credenciales son información confidencial y no deben publicarse.
Registros de seguridad y operación: identificadores de operaciones, fechas, respuestas normalizadas, errores técnicos, controles de autorización y evidencia mínima de diagnóstico.
Información de soporte que la persona usuaria decida aportar voluntariamente al solicitar asistencia.
Cuando la persona usuaria utiliza la autorización OAuth guiada, SalvaOps emplea un relay alojado en Vercel (https://salvaops-relay.vercel.app; región iad1). El relay recibe temporalmente el código de autorización y el state de la respuesta del proveedor; valida el state contra un hash y conserva el verificador PKCE sellado mientras se completa la autorización. La transacción caduca a los 15 minutos y el resultado OAuth se conserva sellado durante un máximo de 5 minutos. El relay no persiste tokens en claro: sella el resultado con una clave de cifrado protegida del hosting y lo vincula al hash de la clave del dispositivo; solo lo entrega al Broker autenticado para ese dispositivo mediante TLS. Una vez vencido su TTL, esos datos dejan de estar disponibles; los blobs sellados no consultados pueden permanecer físicamente hasta unas 26 horas, hasta el siguiente barrido diario, que elimina blobs con más de 2 horas. Los logs de acceso conservan la ruta sin la cadena de consulta, por lo que no incluyen el código ni el state; los eventos internos registran solo datos operativos mínimos.
El servidor que entrega estas páginas puede generar registros de seguridad, como fecha, ruta solicitada y dirección IP, según la configuración efectiva del hosting.

SalvaOps no necesita pedir la contraseña principal de GitHub, Vercel o Supabase cuando la autorización se realiza mediante los mecanismos oficiales de estos proveedores. Tampoco se solicita entregar códigos de recuperación permanentes para enlazar una cuenta. La aplicación no está diseñada para solicitar categorías sensibles de datos personales con el fin de conectar los proveedores; si un Project contiene ese tipo de datos por decisión del usuario, su tratamiento queda sujeto a las medidas y obligaciones correspondientes.

3.3. Finalidades del tratamiento

Los datos se utilizan en la medida necesaria para:

Identificar cuentas y recursos autorizados y permitir su selección por Project.
Completar el proceso de inicio de sesión y autorización con los proveedores elegidos, cuando esa función esté disponible.
Guardar, renovar, verificar o revocar autorizaciones en los mecanismos efectivamente habilitados.
Ejecutar, registrar y verificar operaciones dentro de los permisos, recursos y entornos definidos.
Detectar accesos no autorizados, errores, expiraciones, conflictos de recursos y otros problemas operativos.
Dar soporte, atender solicitudes y cumplir obligaciones jurídicas aplicables.

No se autoriza mediante este aviso utilizar credenciales de control para publicidad, elaborar perfiles comerciales ajenos a la finalidad de desarrollo o comercializar bases de datos personales. Cualquier finalidad secundaria que se incorpore en el futuro y requiera consentimiento se informará por separado, con las opciones legales de aceptación o rechazo que correspondan.

3.4. Dónde se procesa y protege la información

La arquitectura de SalvaOps contempla un componente local de control (Broker) y un almacenamiento de credenciales protegido (Vault) que busca evitar la entrega directa de secretos de control a agentes de IA en operaciones ordinarias. El almacenamiento y las barreras de seguridad efectivas dependen de la instalación y versión utilizada. No se garantiza que toda información permanezca siempre en un único dispositivo: los proveedores externos reciben las solicitudes autorizadas y, cuando el usuario emplee el flujo OAuth, un componente de intermediación seguro podría procesar temporalmente los datos técnicos indispensables para completar la autorización. Salva Systems implementará medidas administrativas y técnicas proporcionales a los riesgos, que pueden incluir control de permisos, separación de credenciales, cifrado donde corresponda, registros restringidos y mecanismos de revocación. Ningún sistema conectado a internet ofrece seguridad absoluta. La persona usuaria debe mantener protegidos sus dispositivos, sus cuentas y sus factores de autenticación. Las funciones de autorización por OAuth mediante un relay remoto solo operarán cuando dicho componente se encuentre realmente habilitado y configurado. Desde el 11 de octubre de 2026 el relay está desplegado en Vercel y atiende las autorizaciones de Supabase y de Vercel. El relay solo procesa los datos técnicos indispensables descritos en el apartado 3.2.

3.5. Comunicación y proveedores externos

Cuando la persona usuaria decide conectar un servicio y la función está disponible, SalvaOps puede comunicar a GitHub, Vercel, Supabase u otro proveedor autorizado los datos técnicos que sus APIs requieren para autenticar, consultar o ejecutar la operación solicitada. Esos proveedores actúan de acuerdo con sus propios términos y políticas, que conviene consultar antes de autorizar la conexión. Para recibir consultas de privacidad y soporte se utiliza actualmente ImprovMX como servicio de reenvío del correo del dominio hacia una bandeja Outlook administrada por el responsable. Los proveedores de correo participan en la transmisión, recepción y custodia de la correspondencia conforme a sus características y políticas aplicables. ImprovMX Free permite el reenvío entrante, no el envío SMTP desde los alias del dominio. Las respuestas pueden salir temporalmente desde otra dirección administrada por el responsable, que será visible para quien las reciba. También pueden intervenir otros proveedores tecnológicos de hospedaje, seguridad, correo o infraestructura para operar las funciones efectivamente disponibles. El responsable determinará, según el caso y la legislación, si cada tercero actúa como encargado, responsable independiente o receptor de una transferencia. Se informará y recabará consentimiento cuando resulte exigible. Una transmisión necesaria para cumplir la función autorizada no permite utilizar los datos para fines ajenos al servicio.

3.6. Conservación y eliminación

La información se conservará únicamente mientras exista una finalidad legítima y por el periodo necesario para seguridad, cumplimiento normativo, operación, respaldo o solución de controversias. Las autorizaciones podrán permanecer activas mientras la persona usuaria mantenga la cuenta conectada y el proveedor las considere válidas, salvo que se revoquen o sustituyan. Los registros de operación y seguridad se conservarán conforme a las políticas técnicas reales de cada componente, documentadas y revisables. La eliminación o desconexión de una cuenta en SalvaOps puede no revocar una autorización directamente en el proveedor cuando tal función no esté disponible o haya fallado; en ese caso se informará cómo revocarla ante el proveedor. Eliminar datos del dispositivo no implica necesariamente eliminarlos de los sistemas de terceros, de respaldos sujetos a conservación o de registros que deban retenerse legalmente.

3.7. Derechos de las personas titulares

Las personas titulares pueden solicitar, según la legislación aplicable, acceso a sus datos personales, rectificación, cancelación, oposición al tratamiento, revocación del consentimiento y limitación de usos no necesarios. En México, estos derechos incluyen los conocidos como ARCO. Las solicitudes se pueden presentar al correo privacidad@salvasystems.site con información suficiente para identificar a la persona titular, describir los datos y el derecho que desea ejercer, y proporcionar un medio para recibir la respuesta. Los correos se reenvían mediante ImprovMX a una bandeja Outlook administrada por el responsable. Actualmente, las respuestas pueden enviarse desde una dirección distinta de la dirección pública de recepción, por lo que la persona destinataria podría visualizar un remitente diferente. El responsable utilizará dicha respuesta para identificar el trámite y mantendrá la comunicación por el medio proporcionado por la persona titular. No se afirma que exista envío SMTP desde privacidad@salvasystems.site. El responsable podrá solicitar elementos razonablemente necesarios para verificar identidad o representación, procurando no recabar información excesiva. Cuando resulte aplicable la legislación mexicana de datos personales en posesión de particulares, la determinación se comunicará, por regla general, dentro de veinte días contados desde la recepción de la solicitud; si procede el ejercicio del derecho, este se hará efectivo dentro de los quince días siguientes. Los plazos podrán ampliarse únicamente en los supuestos y condiciones previstos por la ley. Las solicitudes relacionadas con datos que controla directamente un proveedor externo pueden requerir que la persona titular también contacte a dicho proveedor.

3.8. Opciones para limitar el uso, consentimiento y revocación

La persona usuaria puede dejar de vincular nuevos recursos y solicitar la eliminación o desconexión de los que controle. Cuando una funcionalidad dependa de transmitir datos a un tercero, deshabilitar o revocar dicha autorización puede impedir que esa función siga operando. El responsable informará cuáles operaciones están disponibles desde SalvaOps y cuáles deben completarse en GitHub, Vercel o Supabase. Para oponerse a finalidades que legalmente admitan oposición o para revocar un consentimiento, la persona titular puede escribir a privacidad@salvasystems.site. La revocación no afecta retroactivamente tratamientos válidos ya efectuados ni obligaciones legales de conservación. No se condicionará una finalidad principal a aceptar finalidades secundarias que requieran consentimiento separado.

3.9. Transferencias internacionales y uso de infraestructura

La utilización de proveedores tecnológicos internacionales puede suponer comunicaciones o tratamiento de información fuera de México. El responsable evaluará las garantías y obligaciones correspondientes a cada servicio realmente utilizado y comunicará las transferencias y solicitudes de consentimiento cuando la legislación lo exija. La ubicación efectiva del procesamiento puede variar conforme a las políticas y contratos de cada proveedor.

3.10. Páginas legales, registros del sitio y tecnologías de seguimiento

Estas páginas legales son documentos informativos públicos. No requieren iniciar sesión ni proporcionar directamente datos personales para su lectura. El hosting puede registrar solicitudes técnicas necesarias para entregar el contenido y defender el sitio. Si la implementación real incorpora analítica, cookies no esenciales, publicidad o seguimiento adicional en estas rutas, ese tratamiento deberá identificarse y documentarse antes de habilitarlo; estas páginas no deben introducir nuevos sistemas de seguimiento por el solo hecho de existir.

3.11. Cambios a esta política

El responsable podrá actualizar este aviso para reflejar cambios jurídicos, operativos o de proveedores. Publicará la fecha de vigencia de la versión actualizada y utilizará canales razonables para comunicar modificaciones relevantes. Cuando el tratamiento nuevo lo requiera, solicitará el consentimiento que resulte legalmente exigible.

3.12. Información y contacto

Consultas, solicitudes ARCO y asuntos de privacidad: privacidad@salvasystems.site. Domicilio del responsable: Indelpro 307, Corredor Industrial, Altamira, Tamaulipas, México. Para las condiciones de uso del producto, consulte el Acuerdo de licencia de SalvaOps.