Política de privacidad

Quién es el responsable

MCP for PADI, en padi.mcp.visin.ch, está gestionado por Marco Visin, Lugano, Suiza. Marco Visin responde de tus datos personales: es el responsable del tratamiento según la Ley Federal suiza de Protección de Datos (LPD) y, cuando sea aplicable, según el Reglamento General de Protección de Datos de la UE (RGPD).

Para cualquier pregunta sobre tus datos, o para ejercer tus derechos, escribe a marco@visin.ch.

Qué guardamos y por qué

Solo guardamos lo que el servicio necesita para funcionar:

• Tu cuenta. Tu dirección de correo electrónico y la contraseña que elegiste para MCP for PADI. La contraseña se guarda solo como un hash scrypt, así que no podemos verla. También guardamos cuándo creaste la cuenta y cuándo iniciaste sesión por última vez, y si está desactivada o es una cuenta de administrador. Lo necesitamos para darte una cuenta y mantenerla segura.
• Tu solicitud de acceso. Si solicitas acceso, el mensaje que escribes al administrador, para que pueda decidir. Se elimina cuando se aprueba tu solicitud. Si este servicio tiene configurado un servidor de correo y el administrador no ha desactivado las notificaciones por correo electrónico, también se le envían por correo tu dirección de correo electrónico y este mensaje (consulta "Quién recibe tus datos").
• Códigos de invitación. Si te registras con un código de invitación, en la invitación quedan registrados tu dirección de correo electrónico y el momento en que la usaste.
• Tu conexión con PADI. Tu dirección de correo electrónico de PADI, el token de inicio de sesión (un refresh token) que PADI entrega cuando inicias sesión aquí, tu ID de cuenta de PADI (el affiliate id), tu nombre tal como lo tiene PADI y tus ajustes: unidades, modo de solo lectura y zona horaria, con la hora en que iniciaste sesión. Se guardan cifrados con AES-256-GCM. Tu contraseña de PADI se usa una sola vez para iniciar sesión y nunca se guarda. Los necesitamos para acceder a tu bitácora de PADI en tu nombre.
• Tu foto de perfil. Si tu cuenta de PADI tiene una foto de certificación aprobada (la foto de tus eCards de PADI, que el sitio web de PADI muestra como tu foto de perfil), guardamos una copia para mostrarla como tu foto de perfil en estas páginas. Solo se guarda esta foto. La foto se vuelve a comprobar aproximadamente una vez al día, cuando abres la página de tu cuenta.
• Apps de IA conectadas. Cuando conectas una app de IA, guardamos el registro de la app (el nombre y las direcciones web que indica ella misma) y los tokens que le permiten actuar en nombre de tu cuenta. Los tokens se guardan solo como hashes. También guardamos cuándo se creó cada conexión y cuándo se usó por última vez, para que puedas verla y revocarla.
• Registro de actividad. Por cada acción que realiza una app de IA (una llamada a herramienta, por ejemplo logbook_list_dives), registramos la hora, la app, la herramienta, cuánto tardó y si funcionó. No registramos lo que se leyó o se escribió: ni inmersiones, ni puntos de inmersión, ni compañeros de buceo, ni notas, ni certificaciones. Ves las últimas entradas en la página Apps conectadas, y usamos el registro para detectar errores y abusos.
• Sesiones del navegador. Cuando inicias sesión, tu navegador recibe un código de sesión aleatorio en una cookie. Solo guardamos un hash de ese código, con la hora en que se creó y cuándo caduca.
• Dirección IP. Como cualquier sitio web, el servidor ve la dirección IP de cada solicitud. MCP for PADI solo la conserva en memoria, durante un día como máximo, para limitar los intentos repetidos, como demasiados inicios de sesión. No la guarda en su base de datos ni en su registro.
• Registro del servidor. El servidor escribe un breve registro técnico de sucesos como un inicio de sesión fallido, una cuenta nueva o un error. No contiene contraseñas, tokens de inicio de sesión, direcciones IP ni contenidos de tu bitácora. Pero cuando una acción falla, el mensaje de error puede incluir un breve detalle, como un valor que PADI rechazó.

Tu bitácora no se guarda

Cuando una app de IA pide tus inmersiones, MCP for PADI las obtiene de PADI y se las pasa a la app. Solo se mantienen en memoria mientras dura la solicitud y no se guardan en la base de datos ni en el disco. Esto incluye las fotos de las inmersiones y las tarjetas de certificación. La única excepción es tu foto de perfil, descrita más arriba. El registro del servidor solo contiene los breves datos de error descritos arriba. El ajuste de unidades de tu bitácora de PADI se mantiene en memoria unos minutos, para que las solicitudes repetidas sean más rápidas.

Las inmersiones que tu app de IA añade, modifica o elimina se cambian en tu bitácora en PADI, como si lo hicieras tú en el sitio web de PADI. Cuando envías una inmersión para que la verifiquen, PADI pasa la solicitud al PADI Pro que indicas.

Bases jurídicas

Tratamos tus datos conforme a la LPD suiza. Cuando se aplica el RGPD, nos basamos en estas bases jurídicas:

• Contrato (art. 6, apdo. 1, letra b, del RGPD): para prestarte el servicio en el que te registraste, es decir, tu cuenta, tu conexión con PADI y tu foto de perfil, tus apps conectadas y tu registro de actividad.
• Interés legítimo (art. 6, apdo. 1, letra f, del RGPD): para mantener el servicio seguro y en funcionamiento, con límites a los intentos repetidos, el registro del servidor, copias de seguridad y protección contra abusos.
• Obligación legal (art. 6, apdo. 1, letra c, del RGPD): cuando la ley nos obliga a conservar o entregar datos.

Cuánto tiempo conservamos los datos

• Cuenta: hasta que la elimines tú o la elimine el administrador.
• Conexión con PADI y foto de perfil: hasta que elimines la conexión en la página Cuenta de PADI, conectes otra cuenta de PADI o elimines tu cuenta. Entonces el token de inicio de sesión y la foto se eliminan de este servidor, y el token caduca por sí solo en PADI. Si tu cuenta de PADI ya no tiene una foto aprobada, la copia se elimina en la siguiente comprobación.
• Solicitudes de acceso: se eliminan de inmediato si se rechazan, y a los 30 días si nadie responde. El mensaje al administrador se elimina cuando se aprueba la solicitud. Un correo de notificación sobre una solicitud se queda en el buzón del administrador hasta que este lo elimine.
• Sesiones del navegador: hasta que cierres sesión, como máximo 14 días.
• Conexiones de apps: un token de acceso es válido durante 60 minutos. Una conexión termina cuando la revocas, o tras 60 días sin usarse. Cada token se elimina un día después de caducar.
• Registros de apps (no vinculados a tu cuenta): se eliminan al cabo de un día si nadie ha aprobado la app; si no, cuando ya ninguna conexión los usa, y como pronto 90 días después de la primera aprobación.
• Registro de actividad: 90 días.
• Invitaciones: hasta que el administrador elimine la invitación. Eliminar tu cuenta no borra tu dirección de correo electrónico de una invitación que hayas usado, así que escríbenos y la eliminaremos.
• Registro del servidor: se guarda en archivos de tamaño limitado (50 MB en total). Las entradas más antiguas se sobrescriben.
• Copias de seguridad: se hace una copia de la base de datos antes de cada actualización o reversión del software, o de forma manual, y solo se conservan las 10 copias más recientes. Se guardan en el mismo servidor. Los datos que eliminas pueden permanecer en estas copias hasta que se reemplacen. Tu conexión con PADI sigue cifrada en ellas.

Quién recibe tus datos

No vendemos tus datos, no los compartimos con anunciantes y no los usamos para entrenar modelos de IA. Tus datos solo llegan a:

• PADI. Para acceder a tu bitácora, MCP for PADI inicia sesión una vez en los servidores de PADI con la dirección de correo electrónico y la contraseña que introduces, y después envía a PADI las solicitudes que haces tú o tus apps de IA: leer, añadir, modificar y eliminar inmersiones, leer tus tarjetas de certificación, tu foto de perfil y las fotos de tus inmersiones, buscar a un PADI Pro y enviar una inmersión a un PADI Pro para que la verifique. PADI gestiona tu inicio de sesión a través de Amazon Web Services (AWS Cognito). PADI entrega la foto de perfil como un enlace temporal a un servicio de almacenamiento, que puede estar gestionado por un proveedor de nube para PADI; MCP for PADI no envía allí ningún dato de inicio de sesión. PADI trata estos datos según su propia política de privacidad.
• Las apps de IA que conectas. Cada app que apruebas, por ejemplo Claude de Anthropic o ChatGPT de OpenAI, recibe los datos de la bitácora y de las certificaciones que pide y los resultados de sus acciones. Lo que la app hace con estos datos se rige por sus propias condiciones y su política de privacidad, y por tus ajustes en esa app. No tenemos ningún control sobre ello.
• Nuestro proveedor de alojamiento. MCP for PADI funciona en un servidor alquilado a un proveedor de alojamiento en la nube. El proveedor guarda los datos por encargo nuestro y no puede usarlos para sus propios fines.
• El administrador. El administrador de MCP for PADI ve una lista de cuentas con la dirección de correo electrónico, el estado, si PADI está conectado, el último inicio de sesión, el número de llamadas a herramientas de los últimos 7 días y los mensajes de las solicitudes de acceso. Las páginas de administración nunca muestran tu conexión con PADI ni tu token de inicio de sesión. Si este servicio tiene configurado un servidor de correo y el administrador no ha desactivado las notificaciones por correo electrónico sobre las solicitudes de acceso (están activadas de forma predeterminada), también recibe por correo la dirección de correo electrónico y el mensaje de cada solicitud nueva, enviados a través del servidor de correo de este servicio.
• Autoridades, solo cuando la ley lo exige.

No usamos servicios de análisis, publicidad ni seguimiento, y estas páginas no cargan nada de otros sitios web.

Datos en otros países

Los datos que guarda MCP for PADI se conservan en su servidor y en sus copias de seguridad, en el proveedor de alojamiento. PADI y las apps de IA que conectas pueden tratar tus datos en otros países, entre ellos Estados Unidos, donde funciona el servicio de inicio de sesión de PADI. Esto ocurre porque eliges usar sus servicios. Si solicitas acceso, es posible que tu dirección de correo electrónico y tu mensaje se envíen por correo al administrador, así que el proveedor del servidor de correo también puede tratarlos. Sus políticas de privacidad explican dónde tratan los datos y cómo los protegen.

Cómo protegemos tus datos

• Tu conexión con PADI, con su token de inicio de sesión, se cifra con AES-256-GCM. Las contraseñas de MCP for PADI se guardan como hash con scrypt, y los códigos de sesión, los tokens y los códigos de invitación solo se guardan como hashes.
• Las conexiones con MCP for PADI usan HTTPS, y las conexiones con PADI también usan HTTPS.
• Los formularios están protegidos contra solicitudes falsificadas, las páginas funcionan con una política de seguridad de contenido estricta y los intentos repetidos están limitados.
• El servicio funciona en un contenedor aislado y sin permisos adicionales, y su sistema de archivos es de solo lectura, salvo su carpeta de datos.

Como MCP for PADI se comunica con PADI en tu nombre, el servidor tiene la clave de cifrado y puede descifrar tu token de inicio de sesión. Por eso nunca guarda tu contraseña de PADI, solo el token, que puedes eliminar en cualquier momento en la página Cuenta de PADI.

Ningún sistema es totalmente seguro. Si encuentras un problema de seguridad, comunícalo a marco@visin.ch. Te responderemos lo antes posible y corregiremos los problemas confirmados.

Tus derechos

Tienes derecho a saber qué datos tenemos sobre ti, a obtener una copia, a que se corrijan o se eliminen, a limitar su uso u oponerte a él, y a llevártelos a otro servicio. Buena parte de esto puedes hacerlo por tu cuenta:

• Cambia tu conexión con PADI, o elimínala, en la página Cuenta de PADI.
• Consulta tus apps conectadas y el registro de actividad, y revoca el acceso de cualquier app, en la página Apps conectadas.
• Elimina tu cuenta en la página Seguridad. Así se eliminan a la vez tu cuenta, tu conexión con PADI, tu foto de perfil, tus sesiones, tus conexiones de apps y tu registro de actividad. Lo que quede en las copias de seguridad desaparece a medida que estas se reemplazan. Tu bitácora en PADI no se modifica.

Para todo lo demás, escribe a marco@visin.ch. Respondemos en un plazo de 30 días.

También puedes presentar una reclamación ante una autoridad de protección de datos: en Suiza, el Comisionado Federal de Protección de Datos y de Información (FDPIC); en la UE, la autoridad del país donde vives o trabajas.

Cookies

MCP for PADI solo usa las cookies que necesita para funcionar. No hay cookies de seguimiento ni de publicidad. Las cookies solo se envían a este sitio, los scripts de la página no pueden leerlas y no se comparten con nadie.

• __Host-pdm_session mantiene tu sesión iniciada. Se elimina cuando cierras sesión y dura como máximo 14 días.
• __Host-pdm_pre protege los formularios de inicio de sesión y de registro contra solicitudes falsificadas. Dura 12 horas.
• __Host-pdm_lang recuerda el idioma que elegiste en el menú de idiomas. Dura 365 días.

Menores

MCP for PADI no está pensado para menores. Debes tener al menos 16 años para usarlo. Si crees que un menor ha creado una cuenta, escríbenos y la eliminaremos.

Cambios en esta política

Actualizamos esta política cuando cambian el servicio o la ley. La fecha de arriba indica el último cambio. Si un cambio afecta a cómo se usan tus datos, lo indicaremos en este sitio.