Política de privacidad

Quién es el responsable

El responsable del tratamiento es SISIP SPA, sociedad constituida y domiciliada en Chile, que opera RepoFit. Para cualquier consulta sobre esta política, para ejercer tus derechos o para solicitar un acuerdo de tratamiento de datos, el canal es el correo indicado al final de esta página.

• SISIP SPA · Chile
• RUT: 77.146.172-7
• Domicilio: Lota 2258, Providencia, Región Metropolitana, Chile
• support@repofit.ai

Qué guardamos

Al conectar un repositorio, RepoFit ingiere metadata de su historial git: identificadores de commits, fechas, la primera línea de cada mensaje, contadores de cambios, rutas de archivos y los nombres y emails de los autores (necesarios para reconciliar identidades y construir el mapa de equipo). También guardamos lo que tú y tu equipo crean en la plataforma (tableros, specs, contexto de dominio) y los resultados estructurados que tu propio agente de IA envía vía MCP (veredictos, módulos, findings). De tu cuenta guardamos email, nombre, tu foto de perfil si la subes, y el último día en que usaste el servicio (solo la fecha: sin hora ni historial de visitas).

Qué NO guardamos

• Tu código fuente, nunca. No almacenamos archivos, diffs ni fragmentos de tu código. El análisis usa una copia temporal de solo lectura que se elimina al terminar, y el análisis semántico profundo lo ejecuta tu propio agente en tu entorno. Dos excepciones declaradas: guardamos el archivo CODEOWNERS (metadata de gobernanza: dueños por área) y los resultados estructurados que tu agente decide enviarnos — a los agentes se les instruye referenciar rutas, no pegar código.
• El cuerpo de los mensajes de commit (solo la primera línea).
• Secretos, archivos .env o credenciales de tus repos (jamás se leen).
• Tokens de acceso de tu login social (se usan solo para verificar tu email y se descartan).

Cómo medimos el producto

Para saber si RepoFit sirve de verdad —y qué recomendación mejora un repositorio y cuál no— calculamos una vez al día un resumen en números de lo que pasó en la plataforma. El resumen no lleva tu identidad ni la de tu workspace: son cuentas, no registros. Se calcula a partir de información que ya tenemos por prestarte el servicio —no instalamos nada nuevo ni te seguimos por la web—, y esa información se borra junto con tu workspace. Esto es lo que contamos, y no hay nada más:

• Cuántos workspaces tuvieron actividad cada día (un número, no cuáles).
• Cuántas veces ocurrió cada tipo de acción en la plataforma.
• Cuántas veces se cerró y cuántas volvió a fallar cada check de la rúbrica.
• Cuántos ciclos se aprobaron y cuánto tardaron.
• Cuántos análisis terminaron bien y cuántos fallaron.
• Cuántos repositorios mejoraron su score y cuántos puntos en total.
• Cuántas veces se llamó cada herramienta del conector MCP cada día, y cuántas de esas llamadas fallaron. Este conteo se anota en el momento de cada llamada, sin guardar quién la hizo, desde qué workspace ni qué pidió.

No entra nada escrito por ti ni por tu equipo: ni títulos de tarjetas, ni nombres de repositorios, ramas o archivos, ni mensajes de commit. Tampoco tu IP, tu navegador ni cookies de seguimiento. Hay una prueba automática en nuestro código que impide agregar cualquier medición que no esté en la lista de arriba.

Finalidades y base de licitud

Cuánto conservamos cada cosa

Quién más trata tus datos

Para prestar el servicio nos apoyamos en proveedores de infraestructura y de servicios que actúan como encargados de tratamiento por cuenta nuestra. La lista está publicada y se mantiene al día, con qué hace cada uno, qué datos toca y dónde los aloja.

Estadísticas agregadas que sobreviven al borrado

Cuando analizamos un repositorio guardamos también una medición anónima y sin vínculo con él: la versión de la rúbrica, el puntaje, la banda, cómo quedó cada pilar y cada check, y el tamaño del código en tramos. No lleva el nombre del repositorio, ni tu workspace, ni el identificador del commit, ni una sola ruta de archivo, y no se puede volver a asociar con nadie — no es que prometamos no hacerlo: no está guardado el dato que lo permitiría. Con eso calibramos la rúbrica, que es el instrumento que después mide a todos, y por eso esas mediciones no se borran cuando borras un repositorio o tu cuenta: en ese momento ya dejaron de ser datos tuyos y son estadística. Todo lo demás sí se borra, y eso incluye lo único que revela algo de tu código: los hallazgos con sus rutas y las citas de tu documentación.

Las personas que aparecen en el historial y no son usuarias nuestras

Cuando conectas un repositorio ingerimos el nombre y el correo de quienes hicieron cada commit, y con eso construimos el mapa de equipo: agrupamos las identidades de una misma persona y derivamos indicadores agregados de su actividad en ese repositorio (en qué áreas trabajó, con qué frecuencia, qué proporción de sus cambios son correcciones). Esas personas suelen ser tu equipo y no tienen cuenta con nosotros, así que conviene ser explícito en tres puntos. Primero: esos datos ya están en el historial git que tú controlas, y los tratamos por encargo tuyo para prestarte el servicio — en ese tratamiento tú eres el responsable y nosotros el encargado, con los compromisos del acuerdo de tratamiento de datos. Segundo: informar a tu equipo de que usas esta herramienta te corresponde a ti, porque es tu relación con ellos y nosotros no tenemos cómo contactarlos. Tercero: no elaboramos perfiles de desempeño individual, no puntuamos personas y el score es siempre del repositorio, nunca de alguien; los indicadores por persona existen para ubicar conocimiento en el código, no para evaluar a nadie. Cualquiera de ellas puede ejercer sus derechos escribiéndonos, y si borras el repositorio se borran sus datos derivados con él.

Transferencias internacionales

Nuestra infraestructura está alojada en centros de datos fuera de Chile, y algunos de nuestros encargados operan desde otras jurisdicciones. Eso implica que tus datos se transfieren internacionalmente. En esos casos exigimos a cada encargado compromisos contractuales de confidencialidad y seguridad equivalentes a los que asumimos contigo, y limitamos el tratamiento a las finalidades declaradas en esta política.

Tus derechos

Puedes ejercer estos derechos en cualquier momento escribiéndonos al correo del final de esta página. Te responderemos en un plazo máximo de treinta días corridos. No cobramos por ejercerlos, y no es necesario que justifiques tu solicitud.

• Acceso: saber qué datos tuyos tratamos y obtener una copia.
• Rectificación: corregir un dato inexacto o incompleto.
• Supresión: pedir que eliminemos tus datos (también puedes hacerlo tú, desde la aplicación).
• Oposición: oponerte a un tratamiento que se base en nuestro interés legítimo.
• Portabilidad: recibir tus datos en un formato estructurado y de uso común.
• Limitación: pedir que suspendamos un tratamiento mientras se resuelve una discrepancia.
• Reclamación: acudir a la autoridad de protección de datos que te corresponda.

Tus datos, tu control

• Puedes eliminar un repositorio y todos sus datos derivados desde su página, en cualquier momento.
• Puedes eliminar tu cuenta y sus datos desde Configuración → Cuenta y seguridad.
• No vendemos tus datos, no los cedemos a terceros con fines comerciales y no los usamos para entrenar modelos de inteligencia artificial. Sí los tratan por cuenta nuestra los encargados que necesitamos para operar —infraestructura, los proveedores git que tú conectas y, solo mientras das acceso a soporte, la herramienta de IA con la que lo revisamos—, y están publicados uno por uno con qué toca cada cual.

Cookies

Usamos solo cookies necesarias para que el servicio funcione. No usamos cookies de publicidad, de perfilado ni de analítica de terceros, así que no hay nada que consentir ni que rechazar: si las bloqueas, el servicio deja de funcionar.

Almacenamiento en tu navegador

Además de las cookies guardamos dos preferencias en el almacenamiento local de tu navegador. No viajan a nuestros servidores, no identifican a nadie y las borras vaciando los datos del sitio. Las declaramos porque la norma no habla de cookies sino de guardar información en tu dispositivo, y esto lo es.

Cuando conectas tu propio agente de IA

El análisis profundo lo ejecuta el agente que tú elijas (Claude Code, Codex, Cursor u otro) en tu máquina o en tu CI. Nosotros le entregamos las preguntas por MCP y recibimos sus respuestas, pero el agente corre bajo tu control y con tus credenciales: lo que le mandes procesar viaja al proveedor de modelo que tú contrataste, bajo los términos y la política de privacidad de ese proveedor, no bajo los nuestros. No elegimos ese proveedor, no tenemos relación contractual con él por tu cuenta y no podemos responder por lo que haga con esos datos. Lo decimos porque es la parte del flujo que no controlamos, y callarla haría que esta política pareciera cubrir más de lo que cubre.

Menores de edad

El servicio está dirigido a personas que trabajan profesionalmente con repositorios de código y no está pensado para menores de edad. No recopilamos deliberadamente datos de menores; si detectamos una cuenta de un menor, la eliminamos.

Incidentes de seguridad

Si ocurre una brecha que afecte a tus datos personales y pueda suponer un riesgo para ti, te lo notificaremos sin dilación indebida por el correo de tu cuenta, describiendo qué pasó, qué datos se vieron afectados y qué estamos haciendo al respecto, y lo comunicaremos a la autoridad cuando corresponda.

Cambios en esta política

Si cambiamos esta política, actualizamos la fecha del encabezado. Cuando el cambio afecte de forma sustancial a cómo tratamos tus datos, te avisaremos por correo antes de que entre en vigor, con al menos treinta días de antelación, para que puedas decidir si sigues usando el servicio.