Aviso de privacidad

Última actualización: 29 de octubre de 2026

Resumen

Solo pedimos tu nombre, tu correo y una contraseña para crear tu cuenta.
No usamos cookies de analítica ni de publicidad. Solo usamos las cookies técnicas de tu sesión y del acceso.
Por ahora el acceso está reservado al equipo de Make Flow IA y la puerta de entrada usa Clerk.
Puedes descargar tus informes y eliminar tu cuenta tú mismo desde Configuración.
Si trabajas en equipo, las personas de tu espacio de trabajo ven tu nombre, tu correo y las auditorías del espacio.
Los textos públicos de las páginas que auditas se envían a modelos de IA para analizarlos; tus datos de cuenta, no.
El código que nos das a revisar se lee en memoria y se descarta: no lo guardamos.
En la auditoría con acceso, las cookies de tus cuentas de prueba se guardan cifradas unos segundos y se borran en cuanto se usan.
La versión local corre en tu equipo y no nos envía nada.

Quién es responsable

Ricardo José Silva Véliz (RFC SIVR7707243S6), persona física con el nombre comercial Make Flow IA, con domicilio en Av. México 211, entre las calles Estado y República, Fraccionamiento Villa San Marcos, C.P. 29010, Tuxtla Gutiérrez, Chiapas, México, es responsable del tratamiento de tus datos personales en Make Auditor. Contacto para privacidad y derechos: makeflowia@gmail.com.

Qué datos tratamos y para qué

Datos de cuenta (nombre, correo y contraseña cifrada): para darte acceso. Base jurídica: ejecución del contrato de servicio.
Datos de sesión (dirección IP y navegador asociados a tu sesión): para mantenerte conectado y prevenir abusos. Base jurídica: interés legítimo en la seguridad.
Auditorías (direcciones que auditas, captura de pantalla, evidencia técnica e informe): para prestarte el servicio. Base jurídica: ejecución del contrato.
Espacios de trabajo (nombre del espacio, quién pertenece a él, con qué rol y quién lanzó cada auditoría): para que un equipo comparta sus auditorías, su vigilancia y sus dominios verificados. Las personas del mismo espacio ven entre sí su nombre y su correo. Base jurídica: ejecución del contrato.
Invitaciones (el correo de la persona invitada y el rol): para mandarle la invitación que pidió quien la invita. Solo se le escribe una vez; si no la acepta, la invitación vence en 48 horas. Base jurídica: interés legítimo de quien invita a su equipo.
Código que auditas (un repositorio público de GitHub o un ZIP que subes): se lee en memoria como texto, sin ejecutarlo, y se descarta al terminar. Solo guardamos los hallazgos: archivo, línea y un extracto corto con las llaves enmascaradas. Base jurídica: ejecución del contrato.
Vigilancia semanal (qué sitio o repositorio vigilas, cada cuánto, los avisos que genera y si confirmaste tu correo): para volver a auditarlo y avisarte, en la app y por correo, si algo empeora. Base jurídica: ejecución del contrato, a partir de que la activas.
Auditoría con acceso (los dominios que verificas, su código de verificación y las cookies de cuentas de prueba que nos das): para revisar tu app con la sesión iniciada. Las cookies viajan y se guardan cifradas (AES-256-GCM), el escáner las usa una sola vez y las borra de la base al tomar la auditoría; como máximo duran una hora si algo falla. Nunca aparecen en el informe. Te pedimos usar cuentas de prueba sin datos reales de tus clientes. Base jurídica: ejecución del contrato.
Lo que declaras en «Lo interno» (si tienes contratos, registros o un plan ante brechas, y tus notas): para mostrártelo en el informe y llenar los borradores que descargas. Base jurídica: ejecución del contrato.

No vendemos tus datos ni los usamos para publicidad. Al auditar una página guardamos lo que esa página muestra públicamente; te pedimos no auditar direcciones que contengan datos personales (enlaces con tokens o de restablecimiento), y eliminamos los parámetros de cada dirección antes de guardarla.

Finalidades secundarias. Todas las finalidades de arriba son necesarias para darte el servicio que pides. No tratamos tus datos para finalidades secundarias o adicionales, como publicidad, mercadotecnia o prospección comercial, por eso ninguna requiere un consentimiento aparte. La vigilancia semanal y sus correos solo empiezan si tú la activas. Si algún día quisiéramos usar tus datos para algo adicional, te lo pediríamos antes y podrías negarte sin que eso afecte el servicio.

Cómo limitar el uso o la divulgación de tus datos. Puedes desactivar la vigilancia y sus correos, quitar los dominios que verificaste, salir de un espacio de trabajo (o quitar a alguien, si lo administras), eliminar un espacio o eliminar tu cuenta desde Configuración. Para cualquier otro límite u oposición, escribe a makeflowia@gmail.com.

Con quién se comparten

Neon (base de datos, servidores en Fráncfort, Alemania): almacena tu cuenta y tus auditorías.
OpenRouter y los proveedores de modelos que usa (Anthropic, OpenAI y Google, en Estados Unidos): reciben el texto público del aviso de privacidad de la página auditada y la evidencia técnica, nunca tus datos de cuenta. Pedimos que solo se usen proveedores que no guardan ni entrenan con esos datos.
Vercel (alojamiento de la aplicación; sus servidores para Make Auditor están en Fráncfort, Alemania, y la empresa en Estados Unidos): procesa las peticiones a la página y tu sesión.
OSV (base pública de vulnerabilidades de Google y OpenSSF, Estados Unidos): solo recibe nombres y versiones de los paquetes del código que auditas, nunca el código ni tus datos.
GitHub: cuando auditas un repositorio público, lo descargamos desde GitHub. No le enviamos datos tuyos.
Resend (envío de correo, Estados Unidos): manda el correo para confirmar tu dirección y los avisos de la vigilancia. Recibe tu correo, tu nombre y el texto del aviso. Solo te escribimos si activas la vigilancia, y los avisos solo a correos confirmados.
Clerk (inicio de sesión, Estados Unidos): mientras el acceso esté reservado al equipo de Make Flow IA, la puerta de entrada usa Clerk para comprobar quién entra. Recibe el correo y, si entras con Google, los datos básicos de esa cuenta. Solo se carga cuando pulsas «Entrar».

Las transferencias a Estados Unidos se amparan en el Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor está certificado, o en cláusulas contractuales tipo.

Cuánto tiempo los conservamos

Tu cuenta y los datos de cada espacio de trabajo (auditorías, vigilancias con sus avisos, dominios verificados y lo que se declare) se conservan hasta que se quiten, se elimine el espacio o elimines tu cuenta (la verificación de un dominio vale 90 días). Las cookies de la auditoría con acceso se borran en cuanto se usan. Las invitaciones se borran 30 días después de vencer, aceptarse o cancelarse. Al eliminar tu cuenta se borran de inmediato tu identidad y los espacios donde eres la única persona dueña, con todo lo que tienen; en los demás espacios, las auditorías que lanzaste se quedan sin tu nombre. Solo guardamos un registro anónimo (sin nombre ni correo) de que una cuenta o un espacio se eliminó y cuándo, como prueba de que cumplimos la solicitud.

Tus derechos

Puedes acceder a tus datos, corregirlos, eliminarlos, oponerte a su uso, limitarlo y llevártelos (derechos ARCO en México; derechos del RGPD en la Unión Europea; derechos equivalentes en otros países). La forma más rápida: Configuración → Eliminar mi cuenta y la descarga en JSON de cada informe. Para lo demás, escribe a makeflowia@gmail.com indicando tu nombre, el derecho que quieres ejercer y un medio para responderte; contestamos en un máximo de 20 días hábiles.

Si no quedas conforme, puedes acudir a la autoridad de tu país: en México, la Secretaría Anticorrupción y Buen Gobierno; en España, la Agencia Española de Protección de Datos; en otros países de la UE, su autoridad nacional; en Brasil, la ANPD; en Argentina, la AAIP; en Colombia, la SIC.

Cookies

Solo usamos cookies técnicas, necesarias para que puedas entrar: la de tu sesión (Better Auth) y, mientras el acceso esté reservado, las de la puerta de entrada (las de sesión de Clerk y un pase propio firmado que dura 12 horas). Las de Clerk solo se crean cuando pulsas «Entrar». No usamos analítica, píxeles ni publicidad, por eso no te mostramos un banner de cookies. La fuente tipográfica se sirve desde nuestro propio sitio.

Seguridad

Las conexiones van cifradas (HTTPS), las contraseñas y las cookies de la auditoría con acceso se guardan cifradas, cada consulta comprueba que la auditoría sea tuya y el escáner solo visita direcciones públicas de internet. La auditoría con acceso solo se permite en dominios que demuestres que son tuyos.

Cambios

Si cambiamos este aviso, actualizaremos la fecha de arriba y, si el cambio es importante, te avisaremos al entrar.