Política de privacidad

1. Quiénes somos

SlopGrade lo opera Maxor Global LLC, sociedad de responsabilidad limitada de Delaware, 2915 Ogletown Road, #5188, Newark, DE 19713, USA. Sitio matriz: maxor-global.com. Maxor Global LLC construye plataformas de cómputo determinista. SlopGrade es un gate de seguridad de CI: revisa cada pull request y bloquea las fugas de datos cross-tenant y otras clases de vulnerabilidades antes de que lleguen a tu rama principal. También ofrece un evaluador determinista de calidad de texto y una API de análisis de código.

• Privacidad: privacy@slopgrade.ai
• Legal: legal@slopgrade.ai
• General: hello@slopgrade.ai
• Superficies: slopgrade.ai (marketing), app.slopgrade.ai (app y panel de CI), app.slopgrade.ai/api (API). https://api.slopgrade.ai es nuestro host de base de datos e inicio de sesión.

Maxor Global LLC es el responsable de los datos personales tratados mediante SlopGrade. Maxor Technologies Inc (Quebec) es una entidad relacionada para servicios de ingeniería en Canadá; no opera SlopGrade salvo contrato aparte.

2. Qué tratamos

• Datos de cuenta: dirección de email, identificadores de inicio de sesión y los campos de perfil que completes (nombre visible, cargo, imagen de avatar). Si inicias sesión con GitHub, tu usuario y avatar de GitHub.
• El contenido que eliges guardar en la app: textos evaluados y su historial, documentos de redacción, mensajes del chat de soporte, invitaciones de equipo (el email de la persona invitada), marca blanca, dominios vigilados y solicitudes de cambio de email.
• Datos de CI de los repositorios que conectas: la huella que envía la Action de GitHub y los resultados de cada ejecución (ver abajo).
• Código fuente, solo por las dos vías opcionales descritas abajo: el deep scan del Firewall y la Deep Scan API.
• Datos de facturación de los planes de pago: identificadores de cliente y suscripción de Stripe, plan, estado e importes. La tarjeta se introduce en el formulario de Stripe y nunca llega a nuestros servidores.
• Datos técnicos: dirección IP (en los registros de límite de solicitudes y en los registros de nuestros proveedores de alojamiento), user agent del navegador (en los informes de error), marcas de tiempo y metadatos de solicitud.
• Atribución de registro: parámetros utm_*, un código ref, el host del sitio de origen (nunca la URL completa), tu primera página de llegada y el método de inicio de sesión que usaste.
• Cookies y almacenamiento del navegador, listados en la Política de cookies.

3. Bases legales (RGPD art. 6)

• Contrato (art. 6(1)(b)) — la cuenta, el gate de CI, las evaluaciones, el historial, la API y los planes de pago que solicitas.
• Interés legítimo (art. 6(1)(f)) — seguridad, prevención de abusos y fraude, fiabilidad del servicio, soporte. Puedes oponerte.
• Obligación legal (art. 6(1)(c)) — impuestos, contabilidad y requerimientos legales.
• Interés legítimo (art. 6(1)(f)) — medición de audiencia con Plausible: páginas vistas y eventos de registro y pago, contados sin cookies y sin guardar dirección IP ni identificador personal. Ni publicidad ni seguimiento entre sitios.

4. Inicio de sesión

No hay contraseña. Inicias sesión con un enlace o un código de un solo uso enviado a tu email, o con Iniciar sesión con GitHub. Con GitHub, GitHub comparte tu identidad de GitHub (usuario, avatar, el email de tu cuenta de GitHub) con nuestro servicio de inicio de sesión. Los emails de inicio de sesión los envía Resend.

5. Los textos que evalúas

• Evaluador web, con sesión iniciada: guardamos la evaluación y el texto mismo, hasta 50 000 caracteres, para que puedas volver a abrirlo en tu historial. La etiqueta del historial es la primera frase del texto, hasta 72 caracteres, salvo que la renombres. Una evaluación es pública solo si tu ajuste de compartir la hace pública. Se queda hasta que la borres o cierres la cuenta.
• API con una clave: el texto se evalúa y no se guarda, salvo que tu solicitud pida guardarlo.
• MCP y evaluación por lotes: la puntuación se guarda en tu historial si tienes sesión iniciada o lo pides; el texto no se guarda.
• La evaluación pública gratuita (sin cuenta, hasta 2 000 caracteres) no se guarda.

La evaluación es determinista: ningún modelo de lenguaje lee tu texto para evaluarlo. No vendemos tus textos ni los usamos para entrenar ningún modelo.

6. Código fuente: deep scan del Firewall

Por defecto, la Action de GitHub analiza tu repositorio en tu propio runner de CI y nos envía una huella estructural, no tus archivos. La huella contiene rutas de archivo y números de línea, los tipos de hallazgo, los nombres de tablas y columnas de base de datos que usan tus consultas y tus políticas de acceso, el método de cada consulta y, para los secretos, una puntuación de aleatoriedad (nunca el secreto). En un repositorio de pago, los packs de detectores cerrados añaden valores cortos de 200 caracteres como máximo, como los nombres de las dependencias de tus manifiestos.

El deep scan es opcional. Solo si un repositorio añade `deep-scan: "true"` a su workflow, la Action envía el código completo de un conjunto acotado de archivos (80 como máximo, 200 000 caracteres cada uno y 2 M en total): los archivos que marcó un detector local o que contienen una llamada sensible, empezando por los archivos que cambia la pull request. Viajan por TLS a app.slopgrade.ai y de ahí a heisen-slop, nuestro motor de análisis, alojado en Railway. Solo se analizan los repositorios de pago: un repositorio gratuito que activa la opción igualmente sube esos archivos; el envío se rechaza sin analizarse y los archivos se descartan.

• El código se procesa en memoria durante la solicitud. No se almacena, no se registra y no se usa para entrenar ningún modelo. Mientras el proceso del motor funciona, puede guardar en una caché de memoria expresiones regulares tomadas de tu código (nunca en disco).
• Lo que guardamos para tu historial de CI es el hallazgo: ruta del archivo, número de línea, la clase de debilidad (CWE), una explicación de una línea y la expresión corta de la llamada vulnerable (por ejemplo `subprocess.check_output() with shell=True`). En modo biblioteca también guardamos hasta 50 hallazgos candidatos con los mismos campos.
• Quitar la opción detiene todo envío de código.

7. Código fuente: Deep Scan API (claves API)

La Deep Scan API (app.slopgrade.ai/api/deep-scan) recibe los archivos fuente que le envías con una clave API de alcance `deepscan`, o desde una sesión iniciada: 80 archivos como máximo, 200 000 caracteres cada uno y 2 M en total. Los archivos van al mismo motor en Railway y se procesan igual: en memoria, sin almacenarse, sin registrarse, sin usarse para entrenar ningún modelo. Devolvemos los hallazgos y no los guardamos.

Guardamos, por cuenta y por mes UTC, el número de archivos y de solicitudes. Si activas la facturación por uso, el número de archivos facturados más allá de tu asignación mensual se envía a Stripe para la factura.

8. Resultados de CI y demo con repositorio público

Cuando un repositorio conectado ejecuta la Action de GitHub de SlopGrade, guardamos el resultado de cada ejecución para tu historial de CI: SHA del commit, el veredicto pasa o bloquea, los conteos por clase, la columna tenant que detectó el gate, hasta 20 fugas cross-tenant (ruta, línea, tabla y método) y, en un repositorio de pago, todos los hallazgos de los packs de detectores (regla, ubicación, detalle corto, severidad). Nunca guardamos los archivos en sí.

La App de GitHub de SlopGrade lee los metadatos del repositorio, los check runs, el estado de las pull requests y el archivo de workflow de SlopGrade (.github/workflows/slop-gate.yml) para mostrar si está al día; cuando lo pides, abre una pull request para instalar o actualizar ese archivo.

La demo «escanear un repositorio público» de slopgrade.ai solo funciona con repositorios públicos de GitHub. Nuestro servidor descarga la rama por defecto desde GitHub, la descomprime en memoria, escribe los archivos de código en un directorio temporal para el análisis y borra el directorio al terminar. El resultado se guarda en memoria hasta 10 minutos para que una solicitud repetida sea rápida; nada de la demo se escribe en nuestra base de datos. Tu dirección IP se usa para el límite de solicitudes de la demo.

9. Chat de soporte

Los mensajes del chat de soporte se guardan en nuestra base de datos para que la conversación pueda continuar. Cuando el asistente responde, enviamos tus 12 últimos mensajes (hasta 4 000 caracteres cada uno), la página en la que estás, tu plan y la etiqueta de tu última evaluación, a través de nuestra pasarela de asistente (alojada en Railway), a un modelo de lenguaje de xAI. Las respuestas pueden quedar en memoria hasta una hora. Nuestro equipo de soporte también usa un asistente interno con el mismo modelo; puede recibir datos de la cuenta, como tu email, mientras atiende tu solicitud.

10. Para qué lo tratamos

Para ejecutar el gate de CI y mostrar sus resultados; analizar el código que envías; ofrecer evaluaciones y tarjetas para compartir; dar historial, exportación y soporte; proteger el servicio y prevenir abusos; facturar los planes de pago; y mejorar el producto con métricas agregadas, sin contenido.

11. Encargados del tratamiento

Estos proveedores tratan datos por nuestra cuenta bajo contrato, solo para prestar su servicio:

No vendemos datos personales. Los clientes profesionales pueden pedir un acuerdo de tratamiento (DPA, con las cláusulas contractuales tipo de 2021) en privacy@slopgrade.ai.

12. Transferencias internacionales

• El operador y la mayoría de los encargados están en Estados Unidos. Si estás en el EEE, el Reino Unido o Suiza, tus datos se transfieren a Estados Unidos.
• Las transferencias se basan en las cláusulas contractuales tipo (2021/914) de los acuerdos de tratamiento de nuestros encargados.
• Canadá tiene una decisión de adecuación de la UE (PIPEDA) para organizaciones comerciales.

13. Tus derechos

Según tu lugar (RGPD, RGPD del Reino Unido, CCPA/CPRA, PIPEDA, Ley 25) puedes pedir acceso, corrección, supresión, exportación, limitación u oposición. Escribe a privacy@slopgrade.ai. Respuesta prevista en 30 días. Puedes reclamar ante una autoridad (AEPD, CNIL, ICO, CAI Quebec, OPC Canadá o tu autoridad local).

Puedes eliminar tu cuenta tú mismo desde la página de cuenta: te enviamos un código por email, válido una hora. La eliminación es inmediata en cuanto lo introduces. Tus suscripciones terminan al momento, con una última factura por el uso ya consumido y sin reembolso, y se borran tus evaluaciones, textos, claves, historial de CI y demás datos de la cuenta. Guardamos un registro de cierre (identificador de cuenta, email, identificador de cliente de Stripe) para la contabilidad y la prevención de abusos, la opinión anónima de cierre si la das, el usuario de GitHub de una cuenta que usó una prueba gratuita, para que la prueba se conceda una sola vez, y el registro de todo plan que nuestro equipo concedió o retiró a la cuenta (identificador de cuenta, email, plan antes y después, motivo, fecha), que es un registro de auditoría. Stripe conserva sus propios registros de cliente y facturas.

14. California (CCPA / CPRA)

Los residentes de California pueden conocer, eliminar y rechazar la venta o el intercambio de su información personal. Maxor Global LLC no vende información personal ni la comparte para publicidad conductual entre contextos. Para ejercer tus derechos: privacy@slopgrade.ai. No discriminamos por ejercerlos.

15. Quebec (Ley 25)

Los residentes de Quebec están protegidos por la Ley 25. La persona responsable de la información personal de SlopGrade está en privacy@slopgrade.ai. La notificación de incidentes a la CAI sigue la ley aplicable (incluido el plazo de 72 horas cuando aplica). No mostramos un banner de consentimiento porque no ponemos cookies publicitarias ni analíticas: la única cookie de slopgrade.ai es NEXT_LOCALE (idioma), y la app solo pone las cookies necesarias para iniciar tu sesión y recordar tu idioma. La Política de cookies las lista.

16. Conservación

• Datos de cuenta y contenido que guardas (evaluaciones y textos, documentos, mensajes de soporte): hasta que los borres o cierres la cuenta.
• Resultados de CI: 13 meses, luego se borran automáticamente; antes si cierras la cuenta.
• Registros de límite de solicitudes, que contienen direcciones IP: alrededor de un día.
• Registros de alojamiento, base de datos y errores: según los ajustes de conservación de nuestros proveedores.
• Registros de facturación: hasta 7 años si la ley fiscal lo exige.
• Registros de cierre y registros de planes concedidos por nuestro equipo: se conservan 7 años para la contabilidad y la auditoría, y luego se borran automáticamente. El registro de pruebas gratuitas (usuario de GitHub): se conserva 3 años para impedir pruebas repetidas, y luego se borra automáticamente.

17. Seguridad

TLS en tránsito. Las claves API se guardan como hash, nunca en claro. El acceso a producción se limita a quien lo necesita. El inicio de sesión no tiene contraseña que robar: un enlace, un código de un solo uso o GitHub. Ninguna medida es perfecta. Reporta una vulnerabilidad en privado vía GitHub (github.com/maxor-tech/slopgrade-firewall/security) o a security@maxor-global.com: acusamos recibo en 3 días hábiles y compartimos un plan de corrección en 10 días hábiles para un problema confirmado.

18. Menores

SlopGrade no está dirigido a menores de 16 años. Debes poder contratar en tu jurisdicción para crear una cuenta (ver los Términos — normalmente 18). No crees una cuenta si no tienes la edad de consentimiento digital aplicable.

19. Representante en la UE (RGPD art. 27)

Maxor Global LLC aún no ha designado un representante en la UE del artículo 27 (Art. 27). Mientras tanto, los interesados del EEE escriben a privacy@slopgrade.ai. Publicaremos el representante aquí y en el pie de página cuando se designe. No inventamos un nombre para parecer conformes.

20. Cambios

Podemos actualizar esta política. Los cambios importantes se reflejan en la fecha de «Última actualización» y, cuando corresponda, con un aviso en el producto.

21. Contacto

Maxor Global LLC · 2915 Ogletown Road, #5188, Newark, DE 19713, USA · privacy@slopgrade.ai · maxor-global.com