documento legal

Política de privacidad

Última actualización: 24 de octubre de 2026

# Política de privacidad

**Última actualización:** 24 de octubre de 2026

## 1. Responsable

Antonio Fernández Porrúa, empresario individual y operador de promethia.dev.\
NIF: 71643249C.\
Domicilio: Muros del Nalón 7 5N, 33012 Oviedo.\
Contacto: [support@promethia.dev](mailto:support@promethia.dev).

## 2. Qué recogemos y para qué

- **API keys para GitHub Actions:** el titular de la cuenta puede crear y revocar claves para entregar versiones de código a la aplicación de la clave. Guardamos hash, prefijo, nombre y fechas de creación y último uso autorizado; nunca la clave completa. No caducan automáticamente y al revocarlas se elimina su registro. La clave permite entregar ZIP, pero no leer informes, configurar las reglas ni administrar la cuenta. GitHub custodia el secreto del repositorio. La Action registra identificador de versión, commit y huella del ZIP. La regla elegida y confirmada por el propietario determina si una entrega inicia una evaluación; entregar código no inicia un cobro ni confirma que el análisis haya terminado.

- **Cuenta e invitaciones:** Clerk gestiona identidad y sesiones. Promethia conserva el identificador de cuenta, empresa, etapa, hito, preguntas compartidas, aceptación de términos y fechas para gestionar la solicitud y el servicio (art. 6.1.b RGPD). Las invitaciones de evaluación se limitan a un expediente; almacenamos su hash, revisión y caducidad, nunca el secreto completo. El enlace permite al equipo leer y actualizar el contexto compartido y consultar el informe, pero no administrar otras evaluaciones. El titular de la cuenta puede revocarlo. Los ZIP se almacenan de forma privada y registramos tamaño, huella y fecha de recepción. El informe y su método quedan asociados al mismo expediente.

- **Contacto y contratación:** si nos escribes, usamos tu email, idioma e información facilitada para responder. Al contratar una evaluación registramos su divisa y consentimientos contractuales para prestar el servicio (art. 6.1.b RGPD). Iniciar sesión no autoriza la publicación.
- **Facturación:** Stripe trata métodos de pago, facturas y datos de facturación. Promethia guarda la asociación entre tu cuenta y su Customer de Stripe, suscripciones por aplicación, pedidos y confirmaciones de pago (arts. 6.1.b y 6.1.c). Los datos de tarjeta y fiscales permanecen en Stripe. Entregar un ZIP no autoriza cargos extra; la suscripción y las evaluaciones adicionales se confirman en Stripe.
- **Logs técnicos:** Cloudflare trata direcciones IP y metadatos para servir y proteger la web (interés legítimo, art. 6.1.f).

- **Validación de certificados:** si subes un PDF al validador público, lo procesamos temporalmente para comprobar su firma, el documento certificado y su inclusión en el registro. No guardamos el archivo ni lo enviamos al proveedor de IA. Los metadatos de los PDF exportados incluyen el documento firmado y su prueba de inclusión; los bloques contienen hashes, sin documentos ni identificadores reales de otras cuentas.

- **Notificaciones:** el dashboard privado conserva eventos importantes de entregas, evaluaciones y pagos, sus identificadores de recurso, fechas, importes cuando corresponda y estado de lectura. Solo el titular de la cuenta puede consultarlos. No contienen código, documentos de apoyo ni datos de tarjeta y no envían correos.

La revisión web opcional usa solo las páginas, recursos y acciones autorizados en el panel. El acceso privado admite un usuario de pruebas, un enlace temporal o un token, almacenados cifrados fuera del contexto de evaluación, con caducidad máxima de 24 horas y revocación. El mantenimiento elimina los secretos caducados del registro activo; las copias de seguridad siguen su ciclo de conservación independiente; su uso queda bloqueado al caducar aunque la purga esté pendiente. El agente no recibe las credenciales. Con autorización expresa, el texto visible de páginas privadas puede incluir datos reales, ser procesado por el proveedor de análisis y conservarse como evidencia privada; no se garantiza su anonimización completa. Se omiten las capturas de sesiones privadas. No incluya secretos en ZIP, documentos ni contexto.

- **Miembros de aplicaciones:** Para compartir una aplicación conservamos el correo invitado, los identificadores de aplicación y cuenta, el rol, el creador de la invitación, las fechas, el estado y la revisión. Las invitaciones caducan a los siete días y solo se aceptan al acceder con el correo invitado verificado. Propietarios y administradores gestionan miembros. Los administradores también pueden publicar o revocar certificados tras revisar el documento exacto; los editores actualizan contexto y documentos y solicitan evaluaciones; los miembros de solo lectura consultan los materiales y resultados autorizados. La membresía no da acceso a la facturación de la cuenta propietaria. Las invitaciones aparecen en la cuenta del destinatario; no se envía ningún correo automáticamente.

## 3. Aplicaciones, documentos e informes privados

El contexto pertenece a la aplicación: descripción, prácticas declaradas de tratamiento de datos, usuarios, mercados y documentación. Una evaluación conserva la versión utilizada, el ZIP, las lecturas de evidencia y los informes separados. Los documentos pueden ser texto, Markdown, PDF o DOCX. Retirar un documento del contexto activo no elimina las copias referenciadas por evaluaciones ya iniciadas. Atendemos solicitudes de supresión mediante soporte.

El historial conserva también las versiones que no se evalúan. Se aplica la misma política de conservación y supresión a esos ZIP.

El proveedor de IA seleccionado —OpenAI o Anthropic— procesa las instrucciones y los fragmentos de código, contexto y documentos que el análisis necesita. Las fuentes públicas se consultan mediante un catálogo cerrado; las consultas no incluyen el contenido privado de la aplicación. Los informes permanecen privados. El titular puede publicar un certificado firmado con los hallazgos fechados solo tras revisar su contenido y confirmar la publicación. El código y los materiales de respaldo siguen siendo privados.

## 4. Cookies

Promethia instala la cookie funcional propia, `promethia_lang`, para recordar el idioma durante un año. El acceso a la cuenta también utiliza las cookies de autenticación necesarias gestionadas por Clerk para mantener y verificar la sesión. Consulta la [documentación de cookies de Clerk](https://clerk.com/docs/guides/how-clerk-works/cookies). No cargamos scripts de analítica ni publicidad.

La cookie funcional `promethia_application` recuerda durante un año la última aplicación abierta en el área privada. Solo contiene su identificador; en cada solicitud se verifica que tu cuenta tenga acceso.

## 5. Encargados

Usamos **Clerk** para la identidad y el acceso a la cuenta, **Cloudflare** para alojamiento, almacenamiento estructurado D1 y almacenamiento privado de objetos R2, **OpenAI o Anthropic** para el análisis asistido por IA y **Stripe** para la facturación donde esté configurado. Algunos tratamientos pueden ocurrir fuera del EEE mediante un mecanismo de transferencia aplicable. No vendemos datos personales.

## 6. Conservación

Las evaluaciones solicitadas desde tu cuenta y sus archivos privados se revisan para su eliminación, como máximo, a los 12 meses desde la última actividad, salvo obligación legal o necesidad justificada de conservarlos. Promethia se encarga de revisar la conservación de estos archivos y de atender las solicitudes de supresión.

Conservamos los registros de facturación durante los plazos fiscales y mercantiles aplicables.

## 7. Tus derechos

Puedes solicitar acceso, rectificación, supresión, limitación, portabilidad, retirar el consentimiento cuando proceda u oponerte al tratamiento escribiendo a [support@promethia.dev](mailto:support@promethia.dev). También puedes reclamar ante la Agencia Española de Protección de Datos ([aepd.es](https://www.aepd.es)) o tu autoridad local.

1. Responsable

Antonio Fernández Porrúa, empresario individual y operador de promethia.dev.
NIF: 71643249C.
Domicilio: Muros del Nalón 7 5N, 33012 Oviedo.
Contacto: support@promethia.dev.

2. Qué recogemos y para qué

API keys para GitHub Actions: el titular de la cuenta puede crear y revocar claves para entregar versiones de código a la aplicación de la clave. Guardamos hash, prefijo, nombre y fechas de creación y último uso autorizado; nunca la clave completa. No caducan automáticamente y al revocarlas se elimina su registro. La clave permite entregar ZIP, pero no leer informes, configurar las reglas ni administrar la cuenta. GitHub custodia el secreto del repositorio. La Action registra identificador de versión, commit y huella del ZIP. La regla elegida y confirmada por el propietario determina si una entrega inicia una evaluación; entregar código no inicia un cobro ni confirma que el análisis haya terminado.
Cuenta e invitaciones: Clerk gestiona identidad y sesiones. Promethia conserva el identificador de cuenta, empresa, etapa, hito, preguntas compartidas, aceptación de términos y fechas para gestionar la solicitud y el servicio (art. 6.1.b RGPD). Las invitaciones de evaluación se limitan a un expediente; almacenamos su hash, revisión y caducidad, nunca el secreto completo. El enlace permite al equipo leer y actualizar el contexto compartido y consultar el informe, pero no administrar otras evaluaciones. El titular de la cuenta puede revocarlo. Los ZIP se almacenan de forma privada y registramos tamaño, huella y fecha de recepción. El informe y su método quedan asociados al mismo expediente.
Contacto y contratación: si nos escribes, usamos tu email, idioma e información facilitada para responder. Al contratar una evaluación registramos su divisa y consentimientos contractuales para prestar el servicio (art. 6.1.b RGPD). Iniciar sesión no autoriza la publicación.
Facturación: Stripe trata métodos de pago, facturas y datos de facturación. Promethia guarda la asociación entre tu cuenta y su Customer de Stripe, suscripciones por aplicación, pedidos y confirmaciones de pago (arts. 6.1.b y 6.1.c). Los datos de tarjeta y fiscales permanecen en Stripe. Entregar un ZIP no autoriza cargos extra; la suscripción y las evaluaciones adicionales se confirman en Stripe.
Logs técnicos: Cloudflare trata direcciones IP y metadatos para servir y proteger la web (interés legítimo, art. 6.1.f).
Validación de certificados: si subes un PDF al validador público, lo procesamos temporalmente para comprobar su firma, el documento certificado y su inclusión en el registro. No guardamos el archivo ni lo enviamos al proveedor de IA. Los metadatos de los PDF exportados incluyen el documento firmado y su prueba de inclusión; los bloques contienen hashes, sin documentos ni identificadores reales de otras cuentas.
Notificaciones: el dashboard privado conserva eventos importantes de entregas, evaluaciones y pagos, sus identificadores de recurso, fechas, importes cuando corresponda y estado de lectura. Solo el titular de la cuenta puede consultarlos. No contienen código, documentos de apoyo ni datos de tarjeta y no envían correos.

Miembros de aplicaciones: Para compartir una aplicación conservamos el correo invitado, los identificadores de aplicación y cuenta, el rol, el creador de la invitación, las fechas, el estado y la revisión. Las invitaciones caducan a los siete días y solo se aceptan al acceder con el correo invitado verificado. Propietarios y administradores gestionan miembros. Los administradores también pueden publicar o revocar certificados tras revisar el documento exacto; los editores actualizan contexto y documentos y solicitan evaluaciones; los miembros de solo lectura consultan los materiales y resultados autorizados. La membresía no da acceso a la facturación de la cuenta propietaria. Las invitaciones aparecen en la cuenta del destinatario; no se envía ningún correo automáticamente.

3. Aplicaciones, documentos e informes privados

El historial conserva también las versiones que no se evalúan. Se aplica la misma política de conservación y supresión a esos ZIP.

4. Cookies

Promethia instala la cookie funcional propia, promethia_lang, para recordar el idioma durante un año. El acceso a la cuenta también utiliza las cookies de autenticación necesarias gestionadas por Clerk para mantener y verificar la sesión. Consulta la documentación de cookies de Clerk. No cargamos scripts de analítica ni publicidad.

La cookie funcional promethia_application recuerda durante un año la última aplicación abierta en el área privada. Solo contiene su identificador; en cada solicitud se verifica que tu cuenta tenga acceso.

5. Encargados

Usamos Clerk para la identidad y el acceso a la cuenta, Cloudflare para alojamiento, almacenamiento estructurado D1 y almacenamiento privado de objetos R2, OpenAI o Anthropic para el análisis asistido por IA y Stripe para la facturación donde esté configurado. Algunos tratamientos pueden ocurrir fuera del EEE mediante un mecanismo de transferencia aplicable. No vendemos datos personales.

6. Conservación

Conservamos los registros de facturación durante los plazos fiscales y mercantiles aplicables.

7. Tus derechos

Puedes solicitar acceso, rectificación, supresión, limitación, portabilidad, retirar el consentimiento cuando proceda u oponerte al tratamiento escribiendo a support@promethia.dev. También puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es) o tu autoridad local.