INGENIUM BY SIVIDEV

Política de Privacidad de SIVI / Ingenium

Fecha de entrada en vigor y última actualización: 12 de octubre de 2026. Las indicaciones [PENDIENTE] identifican limitaciones y validaciones materiales que esta versión no declara resueltas.

1. Responsable y contacto

Esta política explica el tratamiento de datos personales relacionado con el sitio ingenium.sividev.net y con la aplicación interna «SIVI Ingenium – Prospectos», utilizada para gestionar la prospección comercial de servicios de ingeniería y automatización industrial.

SIVI e Ingenium son las denominaciones comerciales empleadas en esta política.

  • Responsable del tratamiento: SiviDev S.A.C., constituida en Perú.
  • RUC: 20608421361.
  • Nombre comercial: SIVI / Ingenium.
  • Domicilio fiscal: Av. Guardia Peruana 692, Chorrillos, Lima, Perú.
  • Representante legal: Gary Silva Vivanco.
  • Correo comercial para consultas, cotizaciones, proyectos y atención a clientes: proyectos@sividev.net.
  • Correo administrativo y canal oficial para solicitudes de privacidad y ejercicio de derechos de protección de datos: garysilva@sividev.net.
  • Web corporativa: sividev.net. Web de Ingenium: ingenium.sividev.net.

La política distingue los datos de visitantes y personas que contactan mediante la web, los datos de prospectos comerciales y el acceso interno autorizado mediante Google OAuth.

2. Datos de visitantes y consultas de la web

El formulario comercial exige nombre, correo electrónico y mensaje. Empresa, teléfono y área de interés son opcionales. El código envía los campos a FormSubmit mediante una petición HTTPS, junto con la URL de origen, un asunto y una configuración de presentación del correo, para remitir la consulta a proyectos@sividev.net. El código de la web no guarda estos campos en el almacenamiento local del navegador ni implementa una base de datos propia. El formulario comercial de Ingenium fue probado con entrega real del mensaje INGENIUM-ENTREGA-001 a proyectos@sividev.net, confirmada por la empresa. [PENDIENTE: verificar la conservación efectiva en FormSubmit y en el buzón receptor].

Si contactas por correo electrónico o WhatsApp, recibimos los datos de contacto y la información que decidas compartir.

Estos datos se utilizan para responder consultas, analizar necesidades de ingeniería, organizar reuniones o demostraciones y preparar propuestas solicitadas. El envío del formulario no supone por sí mismo una suscripción a campañas comerciales.

La web utiliza:

  • FormSubmit, para procesar el formulario y remitir la consulta por correo.
  • Google Fonts, para cargar las tipografías. Esta conexión transmite información técnica necesaria para atender la petición, incluida la dirección IP.
  • Cloudflare Pages, para alojar y publicar el sitio.

La configuración de registros técnicos de Cloudflare no está incluida en el repositorio revisado. No se puede determinar desde él si existen registros de acceso, qué contienen, quién accede o cuánto se conservan. [PENDIENTE: verificar estos extremos en la configuración del alojamiento].

Evita incluir información sensible o datos de terceros que no sean necesarios para explicar tu consulta.

3. Datos de prospectos comerciales y su procedencia

SIVI utiliza un CRM para investigar empresas potencialmente interesadas en automatización CAD, integración CAD–ERP y otros servicios de ingeniería industrial.

Los registros pueden contener:

  • Empresa, sector, ubicación y actividad profesional.
  • Nombre y cargo de personas de contacto.
  • Direcciones de correo corporativas y otros datos de contacto profesional disponibles.
  • Posibles necesidades de automatización o integración.
  • Borradores comerciales, estados del prospecto y actuaciones de seguimiento.
  • Fechas de envío, respuestas y solicitudes de baja o exclusión, cuando existan.

La información puede proceder de fuentes públicas de las empresas y de las comunicaciones mantenidas con ellas. Los datos obtenidos durante la investigación pueden incluir valoraciones o clasificaciones elaboradas por el sistema; estas no deben confundirse con hechos confirmados por el prospecto.

Que una información sea pública no significa que pueda utilizarse sin atender a las obligaciones de protección de datos.

Las fuentes pueden incluir webs corporativas y directorios públicos. El sistema conserva referencias de las fuentes y datos de investigación cuando están disponibles; no se afirma que todos los registros dispongan de una trazabilidad completa. [PENDIENTE: concretar los directorios utilizados y la cobertura del registro de fuente y fecha].

4. Finalidades y estado de las automatizaciones

El CRM y sus herramientas auxiliares se utilizan para:

  • Investigar y organizar posibles oportunidades comerciales.
  • Crear, consultar y actualizar registros de prospectos.
  • Identificar posibles necesidades relacionadas con los servicios de SIVI.
  • Preparar campañas y borradores de comunicaciones.
  • Gestionar respuestas, estados y seguimientos.
  • Consultar información y elaborar informes comerciales.
  • Registrar exclusiones y solicitudes de baja.

La creación, lectura y actualización de Google Sheets han sido probadas correctamente.

La investigación automática y los informes por Telegram ya están activados. La actualización diaria automática de Google Sheets y los envíos comerciales automáticos todavía no están activados. La preparación de borradores o campañas no implica su envío automático.

Antes de activar nuevas funciones deberá revisarse su tratamiento de datos y actualizarse esta información cuando corresponda.

5. Bases jurídicas y prospección comercial

SiviDev S.A.C. trata datos personales para atender consultas comerciales, gestionar relaciones con clientes e investigar oportunidades empresariales y, cuando exista una habilitación legal válida, realizar comunicaciones comerciales sobre automatización industrial, desarrollo de software e integración de sistemas. La prospección B2B se dirige inicialmente a Perú; ello no determina por sí solo la normativa aplicable a cada tratamiento.

El marco de referencia incluye la Ley peruana N.º 29733, el D. S. N.º 016-2024-JUS, especialmente sus artículos 11 y 26, y las restricciones de comunicaciones comerciales de la Ley N.º 32323, según su ámbito de aplicación. El RGPD se considerará cuando corresponda por el establecimiento o por las actividades de oferta de bienes o servicios o seguimiento de personas en la Unión Europea. No se presume su aplicación a todas las operaciones ni que todas las comunicaciones B2B se amparen automáticamente en interés legítimo.

Actividades operativas y funciones pausadas

Actualmente funcionan el formulario comercial, la atención manual de privacidad, la investigación pública y los informes automáticos de Telegram. La sincronización periódica de Sheets, la creación de borradores y el procesamiento automático de respuestas siguen pausados; los envíos comerciales automáticos están desactivados. Las pruebas puntuales y las capacidades de los adaptadores no constituyen campañas activas. La investigación pública puede implicar datos personales: que los envíos estén pausados no resuelve la validación jurídica de ese tratamiento.

Consultas recibidas y relaciones con clientes

Cuando una persona contacta voluntariamente con SiviDev S.A.C., los datos facilitados se utilizan para atender su solicitud, preparar propuestas y gestionar las actuaciones precontractuales o contractuales que correspondan. Contactar o solicitar una cotización no equivale a autorizar publicidad posterior.

[PENDIENTE DE VALIDACIÓN JURÍDICA: concretar la condición que legitima cada actuación y su alcance, especialmente cuando el contacto representa a una empresa y no es personalmente parte del contrato].

Investigación empresarial y contactos profesionales

La investigación puede utilizar información empresarial pertinente de fuentes lícitas, como sitios web corporativos y directorios profesionales. Se distinguirá la información de empresas y direcciones corporativas generales de los nombres, cargos, correos profesionales y demás datos que permitan identificar a personas. Una dirección general puede quedar vinculada a una persona por su contenido o contexto; no se presume que todos los registros corporativos estén fuera de la normativa de protección de datos.

Cuando se traten datos personales, deberá documentarse la finalidad y la condición que legitime el tratamiento, respetando proporcionalidad, finalidad, transparencia y minimización. Que un dato sea público no autoriza por sí solo el envío de publicidad.

[PENDIENTE DE VALIDACIÓN JURÍDICA Y TÉCNICA: evaluar las fuentes conforme al artículo 11, distinguir investigación empresarial de prospección con datos personales y documentar la habilitación aplicable a cada finalidad y categoría de contacto. No se afirma que esta documentación esté completa para todos los registros].

Solicitud de consentimiento

Solicitar consentimiento y enviar publicidad son actuaciones distintas. Cualquier primer contacto para recabarlo requerirá validar previamente su licitud y las restricciones aplicables; el artículo 26 no se presenta como permiso general para contactar ni para reiterar contactos.

[PENDIENTE DE VALIDACIÓN JURÍDICA: determinar si procede solicitar consentimiento, por qué canal y en qué supuestos, considerando conjuntamente el artículo 26 y la Ley N.º 32323. No se presume que la condición B2B excluya la protección del consumidor ni que permita campañas de solicitud de consentimiento].

Publicidad a destinatarios habilitados

El criterio previsto es enviar comunicaciones comerciales únicamente a destinatarios habilitados conforme a la normativa aplicable y dentro de las finalidades y condiciones autorizadas. Cuando se requiera consentimiento, este deberá cumplir los requisitos legales y su obtención deberá poder acreditarse. No se considera suficiente que exista un correo profesional publicado, una relación previa o la etiqueta B2B.

[PENDIENTE DE VALIDACIÓN JURÍDICA Y TÉCNICA: concretar la habilitación por destinatario, finalidad y canal, el alcance de la Ley N.º 32323 y la evidencia necesaria; verificar el registro de autorizaciones y los controles previos al envío. No se declara que todos esos mecanismos estén implementados o comprobados].

Información indirecta, oposición, revocación y exclusión

Cuando los datos personales no se obtengan directamente del interesado, deberá facilitarse la información exigible sobre el tratamiento, incluida su procedencia cuando corresponda. [PENDIENTE: validar cómo y cuándo se informa y la trazabilidad efectiva de las fuentes].

Los destinatarios pueden solicitar que cesen las comunicaciones o ejercer oposición o revocación mediante un canal sencillo y gratuito: garysilva@sividev.net. La atención es manual. Los mecanismos de baja y exclusión existentes no implican procesamiento automático ni acreditan que todos los sistemas impidan nuevos contactos. Deberá conservarse únicamente la información mínima justificada para respetar una exclusión.

[PENDIENTE DE VALIDACIÓN JURÍDICA Y TÉCNICA: precisar los efectos y plazos aplicables a oposición y revocación, y comprobar las exclusiones en todos los sistemas y envíos pendientes. La Ley N.º 32323 establece efecto inmediato para la revocación en su ámbito; no debe confundirse con el plazo de respuesta al ejercicio de derechos].

Herramientas y automatización comercial

Las herramientas informáticas se utilizan para investigar empresas, organizar oportunidades y preparar borradores. Su uso no sustituye una base jurídica válida ni limita los derechos. Los envíos comerciales y las campañas automáticas permanecen desactivados. Antes de cualquier envío deberán verificarse la habilitación del destinatario y las exclusiones u oposiciones aplicables. La preparación de borradores no acredita que esos controles estén operativos.

6. Uso de datos obtenidos mediante Google APIs

Responsable, aplicación y permiso

SiviDev S.A.C. es responsable de la aplicación interna «SIVI Ingenium – Prospectos» y del tratamiento descrito. La integración Google Drive/Sheets utiliza exclusivamente el alcance OAuth https://www.googleapis.com/auth/drive.file. No es una aplicación pública ofrecida a otros usuarios y no solicita autorización Google a quienes envían el formulario comercial.

El permiso permite crear archivos y acceder a archivos específicos creados por la aplicación o autorizados para ella. No concede acceso general a todo Drive ni es exclusivamente de lectura. La integración puede crear, leer y actualizar archivos y hojas autorizados; no solicita permisos de Gmail, Google Calendar o Google Contacts. OAuth limita el acceso por archivo, no por columnas: los adaptadores comerciales pueden leer rangos completos de las pestañas autorizadas, incluidas columnas adicionales existentes.

La funcionalidad utilizada no requiere eliminar archivos de Drive. Esto no significa que drive.file impida técnicamente eliminar archivos autorizados.

Datos y finalidad del acceso

Los datos accesibles a través de los archivos autorizados del CRM pueden incluir:

  • Identificadores de prospectos, campañas, archivos y registros.
  • Empresas y datos profesionales de contacto.
  • Servicios ofrecidos, asuntos y contenidos de comunicaciones.
  • Estados de preparación, aprobación, envío y entrega.
  • Fechas, respuestas, resúmenes y seguimientos.
  • Exclusiones, incidencias y referencias de fuentes.

SiviDev S.A.C. utiliza estos datos para administrar su CRM comercial interno, organizar oportunidades, preparar comunicaciones, registrar interacciones y realizar seguimiento de campañas autorizadas. Los estados del CRM son datos registrados; su existencia no acredita por sí sola entrega de correo ni una campaña activa.

Operaciones comprobadas y estado actual

Se han realizado pruebas puntuales de lectura y escritura en Google Sheets y operaciones de correo. Estas pruebas no constituyen campañas comerciales activas ni sincronización continua.

Solo están activas las automatizaciones de investigación pública y generación de informes por Telegram. Ambas funcionan sin llamadas directas a modelos de IA ni acceso a Google o Zoho. La sincronización periódica de Google Sheets, la creación de borradores y el procesamiento automático de respuestas siguen pausados. Los envíos comerciales automáticos permanecen desactivados.

Almacenamiento

Google Sheets es el almacenamiento principal del CRM. El VPS de Hetzner Cloud en Helsinki, Finlandia puede conservar registros operativos, eventos, reservas de envío, datos de campañas, resultados intermedios y evidencias de procesamiento para ejecutar y verificar las operaciones y mantener su trazabilidad. No se afirma que se copie íntegramente cada hoja al VPS.

Comunicación a otros servicios

Los siguientes flujos dependen de la operación utilizada o autorizada; no describen un envío automático de todo el CRM a todos los proveedores:

  • OpenAI mediante Codex, único proveedor de inferencia habilitado: los datos pueden incorporarse al contexto de IA si aparecen en resultados de herramientas, archivos leídos o mensajes del operador, para el análisis o preparación de contenido correspondiente. No existe un filtro universal verificado que impida transmitir datos personales; no se afirma que los datos de Google nunca lleguen a modelos de IA ni que exista anonimización universal.
  • Zoho Mail: cuando se autoriza una operación de correo, recibe los datos necesarios, como remitente, destinatario, asunto y contenido, para procesarla. Esto no implica que el procesamiento automático de respuestas esté activo.
  • Telegram: los informes automáticos actuales incluyen estados, cantidades y errores; no transmiten filas completas del CRM ni cuerpos de correo. Estos informes proceden del estado local y no realizan acceso automático a Google o Zoho.
  • Proveedores de búsqueda: según las herramientas utilizadas, pueden recibir consultas, URLs y metadatos de conexión para atender búsquedas y consultas de sitios. Esto no implica acceso directo de esos proveedores a las hojas autorizadas.

La posible incorporación posterior de resultados al contexto de Hermes es distinta de las automatizaciones actuales sin llamadas directas a IA. Las ubicaciones, condiciones y límites de los proveedores se detallan en los apartados 8 y 9.

Seguridad, conservación y límites

La integración utiliza OAuth con drive.file, conexiones HTTPS, almacenamiento restringido de tokens, bloqueos entre procesos y comprobaciones posteriores de escritura. Estos controles no equivalen a cifrado integral, anonimización universal o garantías contractuales de los proveedores.

La limpieza de sesiones y temporales de Hermes es parcial; no constituye eliminación general del CRM o de las copias conservadas. Los criterios internos adoptados en el apartado 10 están reflejados en un procedimiento manual; su ejecución técnica integral sigue pendiente de comprobación. No se ha verificado un procedimiento integrado de eliminación en Sheets, correo, VPS, memoria, registros, copias y proveedores. Tampoco se afirma que todos los datos se eliminen automáticamente.

[PENDIENTE DE VALIDACIÓN: conservación y eliminación por categoría, alcance de copias y evidencias, y ejecución verificable de las solicitudes en cada sistema].

El control «Mejorar el modelo para todo el mundo» de la cuenta personal de ChatGPT está desactivado y no hay entornos guardados en Codex Cloud. Estos hechos no constituyen un acuerdo empresarial de tratamiento ni acreditan retención cero, residencia específica o garantías contractuales. El uso de store=false tampoco acredita esas garantías. [PENDIENTE: verificar las condiciones contractuales, conservación y residencia aplicables a la cuenta, y el cumplimiento de las políticas de Google, incluidos los requisitos de uso limitado que resulten aplicables, para datos obtenidos mediante Google APIs y sus derivados].

Revocar OAuth y solicitar eliminación

Para revocar el acceso, entra con la cuenta Google que autorizó la integración en Conexiones con aplicaciones y servicios de terceros, selecciona «SIVI Ingenium – Prospectos» y elimina su acceso a la cuenta. Puedes consultar las instrucciones de Google.

La revocación impide futuros accesos mediante esa autorización, pero no elimina automáticamente datos ya conservados por la aplicación. Cerrar sesión o eliminar una autenticación local tampoco equivale a revocación remota ni a supresión de todas las copias.

Las solicitudes de privacidad y eliminación se dirigen a garysilva@sividev.net. Gary Silva Vivanco las atiende mediante el procedimiento manual aprobado de SiviDev S.A.C., con registro privado, identificación del derecho, verificación necesaria, revisión de sistemas y respuesta. La solicitud se evalúa conforme a las obligaciones aplicables de conservación; la aprobación del procedimiento no acredita eliminación integral comprobada ni procesamiento automático.

7. Almacenamiento y seguridad

Además de Google Sheets, la aplicación utiliza un servidor VPS de Hetzner Cloud, donde funciona Hermes Agent.

En ese servidor se procesan investigaciones y se conservan resultados intermedios, configuraciones, registros operativos e historial necesario para las automatizaciones. Los candidatos nuevos pueden almacenarse temporalmente antes de incorporarse al CRM.

Las credenciales OAuth se guardan en archivos protegidos del VPS, con acceso restringido al usuario del servicio y permisos de archivo 600. Los tokens se renuevan mediante OAuth y se almacenan utilizando escritura atómica y bloqueo entre procesos.

Los tokens y credenciales no se publican en la web. El formulario comercial transmite sus datos a FormSubmit mediante HTTPS.

El acceso administrativo al VPS utiliza SSH mediante claves y una red privada Tailscale. La renovación OAuth y los controles de acceso están implementados, pero estas medidas no equivalen a cifrado integral de los datos ni acreditan certificaciones no verificadas. La existencia de copias de seguridad y de un procedimiento de respuesta a incidentes no ha sido verificada.

[PENDIENTE: identificar las personas con acceso administrativo, las medidas adicionales de seguridad, las copias de seguridad y la gestión de incidentes].

8. Proveedores y destinatarios

La siguiente descripción incorpora el informe técnico de Hermes del 11 de octubre de 2026, limitado a configuración y registros locales del VPS y las integraciones con Google y Zoho. No es una auditoría integral del producto Ingenium, de la web ni de los contratos. Distingue utilización actual, configuración y posible intervención. No implica que todos los proveedores reciban todos los datos ni acredita condiciones contractuales determinadas.

Servicios con utilización actual confirmada

  • Hetzner Cloud: aloja el VPS donde se ejecuta Hermes Agent. En el servidor se procesan investigaciones y se conservan resultados intermedios, configuraciones, registros operativos e historial; pueden conservarse datos profesionales de investigación antes de incorporarse al CRM. La base operativa prevista para los candidatos del piloto no existía en la ruta configurada al auditarse; no se afirma que los trabajos programados ya hubieran generado esa colección. El alojamiento no acredita que el personal del proveedor acceda habitualmente al contenido. La ubicación del VPS contratado, confirmada directamente en Hetzner Cloud Console, es Helsinki, Finlandia, dentro de la Unión Europea, con zona de red eu-central. Esta confirmación se limita al servidor contratado; las ubicaciones de copias de seguridad y los accesos del proveedor quedan [PENDIENTES DE VERIFICACIÓN].
  • Google Drive y Google Sheets: almacenamiento y gestión del CRM comercial en archivos autorizados. Los datos accesibles, incluida la lectura de rangos completos y columnas adicionales, están detallados en el apartado 6. La finalidad es el CRM interno; las operaciones puntuales de lectura y escritura comprobadas no implican sincronización periódica activa. La integración utiliza exclusivamente el permiso drive.file descrito allí. Región de las cuentas, ubicaciones de tratamiento y acceso: [PENDIENTE DE VERIFICACIÓN].
  • Zoho Mail: procesamiento del correo comercial, incluidos destinatarios, direcciones, contenido de mensajes y respuestas, metadatos y, cuando existan, adjuntos. Cuando se autoriza una operación de correo, recibe los datos necesarios, como remitente, destinatario, asunto y contenido, conforme al apartado 6; el procesamiento automático de respuestas sigue pausado. La configuración de la cuenta corresponde a la región US; no acredita por sí sola todas las ubicaciones de tratamiento, soporte o subencargados.
  • Telegram: informes, alertas y notificaciones. Los informes automáticos actuales incluyen estados, cantidades y errores, sin filas completas del CRM ni cuerpos de correo. Puede recibir el contenido enviado e identificadores y metadatos asociados. Destinatarios de los informes y ubicaciones: [PENDIENTE DE VERIFICACIÓN].

Proveedor principal de IA con uso confirmado

OpenAI mediante Codex es el único proveedor de inferencia habilitado y utilizado en Hermes. El modelo principal es gpt-6.1-sol. Nous Portal y sus alias están deshabilitados y no existen rutas de fallback configuradas hacia Nous; el Gateway fue reiniciado y comprobado. Los registros confirman llamadas del modelo principal y usos auxiliares para evaluación de comandos, compresión de contexto, revisión en segundo plano y generación de títulos. El identificador local es gpt-6.1-sol; la conexión observada utiliza el backend de Codex de ChatGPT, sin que la facturación incluida en una suscripción identifique un plan Business o Enterprise.

El contexto puede contener mensajes y respuestas, memoria y perfil persistentes, resultados de herramientas, archivos leídos, resúmenes y material para subagentes. Puede incluir nombres, cargos, correos, teléfonos, fuentes y notas de prospectos; destinatarios, asuntos, borradores, aprobaciones, estados, exclusiones, fechas e identificadores del CRM; y remitentes, destinatarios, metadatos o, cuando se autorice su lectura, cuerpos y extractos de correo devueltos por Zoho.

El historial local conserva referencias a Sheets, Zoho y direcciones de correo. Esto acredita su presencia en el contexto conservado, no una reconstrucción exacta de cada transmisión de red. No existe un filtro verificado que limite todo el contexto a información pública; ocultar secretos no equivale a anonimizar datos personales. Las categorías y circunstancias de incorporación al contexto están documentadas en el apartado 6; ello no reconstruye cada transmisión de red. [PENDIENTE: comprobar los detalles de transmisiones no cubiertos por esa matriz, sin presumir que todo el CRM se haya enviado].

No se atribuyen automáticamente a una conexión personal de Codex las condiciones o garantías de una API empresarial. El control «Mejorar el modelo para todo el mundo» está desactivado en la cuenta personal de ChatGPT y no hay entornos guardados en Codex Cloud. La ausencia de entornos guardados no acredita un ajuste determinado de «Include environments» ni ausencia de conservación por el proveedor. El adaptador local fuerza store=false y la telemetría compartida está desactivada. Ninguno de estos hechos equivale a un DPA empresarial ni permite afirmar retención cero o residencia específica. [PENDIENTE: confirmar plan concreto y entidad titular, términos contractuales y eventual DPA aplicable, conservación y residencia del servicio utilizado].

Autenticación histórica y posibles proveedores auxiliares

Nous Portal — servicio histórico deshabilitado: sus credenciales históricas permanecen almacenadas, pero no habilitadas. Nous y sus alias están deshabilitados, sin rutas de fallback configuradas hacia Nous. No se confirmó inferencia satisfactoria en los intentos históricos y no se presenta como proveedor activo. La deshabilitación no equivale a eliminación de credenciales ni de datos históricos. Existen volcados de solicitudes históricas fallidas con contexto e intentos hacia el servicio de inferencia de Nous. Eso no confirma inferencia satisfactoria ni identifica al operador final de los modelos intermediados; el prefijo de un modelo no acredita una conexión directa con otro proveedor. [PENDIENTE: verificar qué datos llegaron al servicio, operadores finales, condiciones históricas de privacidad y conservación, contrato y tratamiento de las credenciales conservadas].

Parallel, Firecrawl, Keenable y Exa: durante la auditoría las herramientas informaron respuestas servidas por estos proveedores para búsquedas públicas de documentación, sin contenido privado de correo en esas consultas. Esa evidencia no demuestra su intervención en todas las investigaciones. Cuando se utilicen, pueden recibir consultas, términos, URLs y contexto enviado a la herramienta, que podría incluir información profesional si se incorpora. No se afirma que reciban los mismos datos. [PENDIENTE: documentar la selección de proveedor y los campos enviados en las demás operaciones, y verificar sus condiciones].

Los dos trabajos programados activos de investigación e informe funcionan sin invocar al agente: el primero utiliza Bing y consulta sitios públicos, con almacenamiento local; el segundo lee el estado local y entrega por Telegram. Sus scripts no llaman por sí mismos a un modelo de IA ni consultan Google o Zoho. Si Hermes lee después sus resultados, pueden incorporarse al contexto de IA. Bing y los sitios consultados pueden recibir consultas, URLs y metadatos de conexión; sus ubicaciones y condiciones quedan [PENDIENTES DE VERIFICACIÓN].

La transcripción de audio figura habilitada, con opciones de modelo local y OpenAI whisper-1, pero no se confirmó qué ruta se utilizó. No se presenta como transmisión de audio a OpenAI comprobada.

Otros servicios ya identificados

  • Tailscale: red privada para acceso administrativo al VPS; pueden tratarse identificadores de usuarios o dispositivos y metadatos de conexión. [PENDIENTE: confirmar campos, ubicaciones y condiciones].
  • FormSubmit: recibe los datos del formulario comercial y los parámetros descritos en el apartado 2. El formulario comercial de Ingenium fue probado con entrega real del mensaje INGENIUM-ENTREGA-001 a proyectos@sividev.net, confirmada por la empresa.
  • Cloudflare Pages: alojamiento de la web; puede recibir información técnica de las conexiones, sin que el repositorio acredite los registros y su conservación.
  • Google Fonts: carga de tipografías e información técnica de la petición, incluida la dirección IP.

[PENDIENTE DE VALIDACIÓN CONTRACTUAL, JURÍDICA Y TÉCNICA: identificar las entidades prestadoras y sus funciones, contratos y acuerdos de tratamiento aplicables, subencargados, accesos, conservación y eliminación; documentar por operación las categorías y el origen de los datos transmitidos, incluido el posible origen en Google APIs. No se inventan acuerdos, certificaciones ni garantías no verificadas].

9. Transferencias internacionales

El responsable está constituido en Perú. La ubicación de un proveedor, de una cuenta, del servidor, de sus subencargados o de accesos de soporte puede implicar tratamiento y transferencias internacionales. No se afirma que todos los datos permanezcan en Perú o Europa.

Regiones confirmadas y ubicaciones pendientes

La configuración de Zoho Mail corresponde a la región US. La auditoría confirma la configuración US y endpoints .com, correspondientes a la ruta regional estadounidense; no permite afirmar dónde se realizan todas las operaciones ni qué garantías se aplican.

El VPS de Hetzner Cloud utilizado para Hermes está alojado en Helsinki, Finlandia, dentro de la Unión Europea, con zona de red eu-central, según la comprobación directa en Hetzner Cloud Console. Esta ubicación corresponde exclusivamente al servidor contratado y no demuestra que los demás proveedores, sus subencargados o las copias de seguridad procesen datos únicamente en la Unión Europea. Las ubicaciones de las copias del VPS y los posibles accesos internacionales del proveedor siguen [PENDIENTES DE VERIFICACIÓN]. Para Google Drive y Sheets, OpenAI/Codex, Telegram y los buscadores auxiliares, así como el tratamiento histórico mediante Nous Portal, las ubicaciones de tratamiento y los posibles accesos internacionales quedan [PENDIENTES DE VERIFICACIÓN]. Lo mismo se aplica a las ubicaciones y accesos de Tailscale, FormSubmit, Cloudflare Pages y Google Fonts.

Evaluación contractual y jurídica

Deberán identificarse, por cada flujo efectivamente utilizado, las entidades destinatarias, países, categorías de datos, finalidad y accesos, y evaluarse los requisitos y garantías exigibles conforme a la normativa aplicable. Configurar un servicio o autorizarlo mediante OAuth no demuestra por sí solo una garantía de transferencia.

[PENDIENTE DE VALIDACIÓN CONTRACTUAL Y JURÍDICA: verificar las condiciones de las cuentas concretas, la existencia y alcance de acuerdos de tratamiento, subencargados y mecanismos de transferencia; determinar la habilitación, las garantías y los deberes de información aplicables. No se afirma que se hayan suscrito cláusulas contractuales, que exista una decisión de adecuación aplicable ni que haya certificaciones o mecanismos específicos sin comprobarlos].

En particular, las garantías de la conexión utilizada con Codex deben verificarse según su modalidad real; no se trasladan automáticamente condiciones de una API empresarial a una conexión personal. Nous está deshabilitado y no tiene rutas de fallback configuradas; las credenciales históricas permanecen almacenadas. Los intentos históricos no acreditan inferencia satisfactoria ni identifican operadores finales, ubicaciones o eliminación posterior de los datos. Las consultas públicas servidas por los buscadores durante la auditoría sí confirman su intervención en esas operaciones, pero no sus ubicaciones ni garantías. También deben verificarse las ubicaciones y condiciones de Bing y de los sitios consultados.

10. Conservación, revisión, bajas y eliminación

SiviDev S.A.C. ha adoptado los siguientes criterios internos iniciales, reflejados en un procedimiento manual de conservación y eliminación guardado fuera del repositorio web. No son obligaciones legales universales ni acreditan que su aplicación técnica se haya comprobado en todos los sistemas.

Una fecha de revisión exige evaluar la necesidad de conservar los datos; no es una fecha automática de eliminación ni permite conservar indefinidamente. La decisión manual debe documentar eliminación, anonimización efectiva o conservación justificada con una nueva revisión. La eliminación prevista de temporales es un objetivo manual, no un proceso automático ya ejecutado.

  • Prospectos sin respuesta: revisión a los 6 meses, tomando como referencia el último contacto justificado. Cuando no exista ese contacto o su fecha, deberá definirse y documentarse la referencia aplicable, sin inventarla.
  • Prospectos con interacción: revisión a los 12 meses desde la última interacción comercial.
  • Consultas web cerradas: revisión a los 12 meses desde el cierre documentado.
  • Investigaciones temporales: eliminación prevista a los 30 días tras finalizar su procesamiento. No se aplica por ese solo motivo a registros ya incorporados al CRM. [PENDIENTE: delimitar archivos y evidencias incluidos y documentar la fecha de finalización en cada caso].
  • Registros técnicos: revisión a los 90 días, seguida de una decisión manual de eliminación, anonimización efectiva o conservación justificada. [PENDIENTE: identificar clases de registros y fecha inicial de cómputo].
  • Clientes y documentos contractuales: conservación conforme a las obligaciones legales aplicables. [PENDIENTE DE VALIDACIÓN JURÍDICA: concretar categorías, obligaciones, plazos y alcance; este criterio no extiende la conservación a todo el CRM].
  • Lista de exclusión comercial: conservar únicamente los datos mínimos necesarios para impedir nuevos contactos, sin reutilizarlos para publicidad. [PENDIENTE: concretar identificadores mínimos, fundamento y condiciones de revisión y retirada].
  • Tokens OAuth: conservar mientras la conexión esté autorizada; revocar y eliminar cuando corresponda. La revocación remota, la eliminación local y la supresión de datos comerciales son actuaciones distintas. [PENDIENTE: comprobar su ejecución y el tratamiento de posibles copias de credenciales].

El procedimiento manual coordina el inventario, la evaluación, la aprobación de acciones concretas, su ejecución y verificación en Google Sheets/Drive, Zoho Mail, Hermes/VPS y archivos locales. Comprende referencias cruzadas, resultados, memoria, sesiones, registros, adjuntos, exportaciones, papelera y versiones cuando correspondan. Cada acción y limitación se documenta en un control privado separado del CRM; no se presentan actuaciones pendientes como completadas.

La existencia y alcance de copias de seguridad deben inventariarse. Si existen, deberán verificarse su conservación, acceso y opciones de eliminación. Una copia que no permita eliminación selectiva debe quedar identificada con tratamiento y expiración por validar; no se declara supresión integral mientras permanezca sin resolver. Antes de reutilizar datos restaurados deberán comprobarse y respetarse las eliminaciones y exclusiones vigentes, para evitar reintroducir datos retirados o reactivar contactos.

La limpieza parcial de sesiones y temporales de Hermes no sustituye este procedimiento ni elimina todos los datos a los 90 días. No existe eliminación general automática declarada. Las solicitudes de derechos se gestionan conforme al procedimiento manual del apartado 11, sin esperar a la revisión ordinaria cuando corresponda. El procesamiento automático de bajas sigue pausado.

[PENDIENTE DE APLICACIÓN Y VALIDACIÓN: completar inventario y fechas, verificar acceso y posibilidades de eliminación en cada sistema y proveedor, definir conservación y copias de los controles privados, validar obligaciones legales y documentar pruebas de ejecución y tratamiento de restauraciones].

11. Derechos y cómo ejercerlos

Puedes solicitar información, acceso, rectificación, oposición y supresión o cancelación de tus datos. Cuando resulte aplicable, también podrás solicitar limitación o portabilidad y retirar un consentimiento previamente otorgado.

SiviDev S.A.C. es el responsable del tratamiento. El canal oficial para consultas de privacidad y ejercicio de derechos es garysilva@sividev.net. Gary Silva Vivanco es la persona encargada internamente de atender las solicitudes.

Indica el derecho solicitado, la información necesaria para localizar tus datos y un medio de respuesta. Si actúas en representación de otra persona, indica esa circunstancia. La identidad y la representación se verifican conforme a los requisitos aplicables, solicitando únicamente los datos necesarios.

Para consultas comerciales, cotizaciones, proyectos y atención a clientes, utiliza proyectos@sividev.net.

Procedimiento manual aprobado

Las solicitudes se gestionan manualmente conforme al procedimiento interno de SiviDev S.A.C., aprobado y en vigor desde el 11 de octubre de 2026. El documento interno está almacenado en una carpeta privada fuera del repositorio web; el registro de solicitudes está preparado y el control diario manual del buzón está establecido. Los documentos internos y los expedientes no se publican en la web.

La atención comprende registrar la solicitud en el control privado separado del CRM comercial, identificar el derecho, calcular el plazo legal, efectuar la verificación necesaria y evaluar la petición. Se revisan los datos relacionados en Google Sheets, Zoho Mail, Hermes, archivos locales y demás sistemas pertinentes. Ante una oposición, el procedimiento establece suspender los contactos comerciales.

La evaluación considera la normativa aplicable y las obligaciones de conservación. Cuando corresponda, se conserva únicamente la información mínima necesaria para respetar las exclusiones comerciales. Se comunica una respuesta clara al solicitante y se registra la resolución y el cierre, distinguiendo las actuaciones realizadas de las que sigan pendientes.

La respuesta se gestiona según los plazos legales aplicables a cada solicitud, incluidas, cuando procedan, las reglas de subsanación, requerimientos adicionales y ampliación. No se aplica un plazo único a todos los derechos o países.

La aprobación del procedimiento manual no implica eliminación integral automatizada ni acredita que la supresión se haya probado en todos los proveedores externos. La eliminación de datos y copias se evalúa y verifica en los sistemas pertinentes; no se presentan actuaciones pendientes como ejecutadas. Las limitaciones de conservación y eliminación descritas en los apartados 6 y 10 se mantienen.

Podrás reclamar ante la autoridad competente, incluida la AEPD en España o la Autoridad Nacional de Protección de Datos Personales en Perú, cuando corresponda.

12. Cookies y almacenamiento del navegador

No se han identificado herramientas de analítica ni código que establezca cookies propias de analítica o publicidad en los archivos revisados. Esto no permite descartar servicios o mecanismos configurados fuera del repositorio.

La preferencia de idioma se guarda en localStorage, mediante la clave ingenium-lang. Puedes eliminarla borrando los datos del sitio en tu navegador.

Los servicios externos pueden recibir información técnica al atender sus conexiones. Los enlaces a WhatsApp conducen a un servicio con sus propias condiciones de privacidad.

[PENDIENTE: comprobar en producción los mecanismos de almacenamiento incorporados por los servicios y documentar su finalidad y duración cuando corresponda].

13. Actualizaciones

Esta política se actualizará cuando cambien las finalidades, funciones o servicios utilizados. La fecha de entrada en vigor y última actualización de esta versión es el 12 de octubre de 2026.