Política de Privacidad

1. Resumen General

unsandbox.com está comprometido a proteger tu privacidad. Esta Política de Privacidad explica qué información recopilamos, cómo la usamos y tus derechos con respecto a tus datos. Seguimos un enfoque de recopilación mínima, recopilando solo lo necesario para proporcionar nuestro servicio de ejecución de código y prevenir el abuso.

2. Información que Recopilamos

2.1 Información Recopilada Automáticamente

Direcciones IP:

• Utilizadas exclusivamente para limitación de tasa y prevención de abuso
• Retenidas solo el tiempo necesario para la aplicación de límites de tasa (típicamente 24-48 horas)
• No vinculadas a usuarios individuales ni almacenadas permanentemente

Metadatos de Solicitud:

• Endpoint de API accedido
• Marca de tiempo de la solicitud
• Códigos de estado de respuesta
• Identificadores de rastreo para correlación de solicitudes entre servicios internos
• Utilizados para monitoreo de salud del servicio y limitación de tasa

2.2 Información Proporcionada por el Usuario

Direcciones de Correo Electrónico (Opcional):

• Completamente opcional - el servicio funciona completamente de forma anónima sin correo electrónico
• Almacenado junto al registro de la clave API en nuestra base de datos cuando se proporciona
• Usado para: códigos OTP sudo para confirmación de operaciones destructivas, avisos de expiración de claves API y alertas de seguridad
• Nunca vendidas ni compartidas con terceros
• Se puede proporcionar en el momento de la compra o añadir después desde la página de configuración de la consola

Contactos (control de acceso multi-correo):

• Los propietarios de claves API pueden invitar contactos adicionales por correo electrónico
• A cada contacto se le asigna un rol: propietario (control total), operador (recibe códigos OTP sudo) o lector (solo notificaciones)
• Las direcciones de correo de los contactos se almacenan en nuestra base de datos junto con la clave API
• Los contactos invitados reciben un correo de verificación con un token firmado por HMAC que expira después de 7 días
• Cuando se activa el OTP sudo, cada contacto operador y propietario recibe un código único de un solo uso
• El correo específico del contacto que verifica el OTP se registra en el registro de auditoría para rendición de cuentas

Solicitudes de Ejecución de Código:

• El código enviado para ejecución se procesa en sandboxes aislados
• Las salidas de ejecución se te devuelven y luego se descartan
• Sin almacenamiento permanente de código o resultados de ejecución
• El almacenamiento en caché temporal puede ocurrir solo para sesiones de ejecución activas

Servicios (Contenedores Persistentes):

• Los servicios son contenedores de larga duración que persisten datos entre operaciones
• El código del cliente, archivos y estado de la aplicación se almacenan dentro de los contenedores de servicio
• Los datos del servicio permanecen almacenados hasta que destruyas explícitamente el servicio
• Los servicios pueden congelarse (pausarse) mientras se preservan todos los datos almacenados
• Tú controlas cuándo se eliminan servicios y sus datos vía la API o CLI

Instantáneas (Respaldos Puntuales):

• Las instantáneas capturan el estado completo de un servicio o sesión en un momento específico
• Los datos de instantánea incluyen todos los archivos, paquetes instalados y estado de la aplicación
• Las instantáneas permanecen almacenadas hasta que las elimines explícitamente
• Puedes restaurar servicios o sesiones desde instantáneas, creando nuevas instancias con ese estado
• Los datos de instantánea se almacenan en nuestra infraestructura y se asocian con tu clave API

Bóveda de entorno (secretos cifrados):

• Las variables de entorno y secretos almacenados en la bóveda están cifrados en reposo usando AES-256-GCM
• Los contenidos de la bóveda se descifran solo cuando se inyectan en su contenedor de servicio en tiempo de ejecución
• No accedemos ni inspeccionamos el contenido de la bóveda excepto cuando sea necesario para la operación del servicio
• Los datos de la bóveda se eliminan permanentemente cuando elimina la bóveda o destruye el servicio asociado
• Los contenidos de la bóveda se incluyen en los snapshots y se cifran dentro de los datos del snapshot

Información de Pago:

• Direcciones de criptomonedas para procesamiento de pagos
• Montos de transacción y estado de confirmación
• Método de pago seleccionado (tipo de criptomoneda o Stripe)
• Direcciones de reembolso (si se proporcionan)
• Asociaciones de clave API para seguimiento de pagos
• Almacenadas solo para verificación de transacciones y entrega del servicio

Registro de auditoría:

• Mantenemos un registro de auditoría de solo adición de operaciones destructivas (eliminar, desbloquear, bloquear, congelar, descongelar) realizadas con claves API
• Cada entrada del registro de auditoría registra: la clave API utilizada, correo electrónico asociado (si existe), dirección IP del cliente, marca de tiempo, acción realizada, recurso afectado y resultado
• Cuando un contacto verifica un OTP sudo, el correo específico del contacto se registra en la entrada de auditoría para atribución
• Las entradas del registro de auditoría se conservan indefinidamente y no pueden modificarse ni eliminarse
• Los registros de auditoría se utilizan para investigación de seguridad y rendición de cuentas
• El registro de auditoría ocurre independientemente de si la protección sudo está habilitada

3. Cómo Usamos tu Información

Usamos la información recopilada para los siguientes propósitos:

• Entrega del Servicio: Procesamiento de solicitudes de ejecución de código y entrega de resultados
• Servicios Persistentes: Manteniendo contenedores de servicio con tu código y datos para operación extendida
• Almacenamiento de Instantáneas: Almacenando respaldos puntuales de tus servicios y sesiones para restauración
• Límite de Solicitudes: Aplicación de límites de ejecución basados en niveles para garantizar un uso justo
• Prevención de Abuso: Detección y prevención de abuso del servicio, amenazas de seguridad y violaciones
• Procesamiento de Pagos: Verificación de pagos en criptomonedas y activación de claves API
• Soporte al Cliente: Respuesta a solicitudes de soporte (solo si se proporciona correo electrónico)
• Verificación OTP sudo: Envío de códigos de confirmación de un solo uso al correo registrado antes de que procedan las operaciones destructivas
• Pista de auditoría: Registro de operaciones destructivas en un registro inmutable para investigación de seguridad y rendición de cuentas
• Monitoreo del Servicio: Seguimiento de la salud del sistema y métricas de rendimiento

4. Almacenamiento y Retención de Datos

Ejecuciones Estándar (Almacenamiento Mínimo):

• Los servidores de ejecución registran solo en consola - sin persistencia en disco de código o salidas
• El código y los resultados de ejecución son temporales y se descartan después de la entrega
• Direcciones IP retenidas solo para ventanas activas de limitación de tasa
• Registros de pago conservados para historial de transacciones y activación de claves
• Claves API almacenadas con fechas de expiración e información de nivel
• Direcciones de correo electrónico (si se proporcionan) almacenadas hasta la expiración de la clave o solicitud de eliminación

Servicios (Datos Persistentes):

• Los contenedores de servicio almacenan todos los datos que creas, subes o generas dentro de ellos
• Los datos persisten durante la vida del servicio, incluyendo cuando está congelado
• Los servicios se retienen hasta que los destruyas explícitamente vía API o CLI
• Tras destrucción del servicio, todos los datos asociados se eliminan permanentemente
• Los servicios inactivos pueden ser destruidos automáticamente después de períodos prolongados según los límites de tu nivel
• Puedes exportar o respaldar tus datos en cualquier momento antes de destruir un servicio

Instantáneas (Retención de Respaldo):

• Las instantáneas se retienen hasta que las elimines explícitamente
• El almacenamiento de instantáneas cuenta contra la asignación de almacenamiento de tu cuenta
• Las instantáneas permanecen disponibles incluso después de que el servicio o sesión original sea destruido
• Tras eliminación de instantánea, todos los datos de estado capturados se eliminan permanentemente
• Si tu clave API expira, las instantáneas pueden retenerse por un período de gracia antes de la eliminación

Registro de auditoría (retención permanente):

• Las entradas del registro de auditoría para operaciones destructivas se conservan indefinidamente
• Las entradas no pueden modificarse, eliminarse ni anonimizarse después de su creación
• Esto incluye el identificador de clave API, correo electrónico (si está asociado), dirección IP del cliente, acción, recurso y marca de tiempo

Ubicación de Datos:

• Todos los datos almacenados en infraestructura segura dentro de los Estados Unidos
• Datos de servicio e instantánea almacenados en almacenamiento de disco cifrado
• Monitoreo de pagos en criptomonedas a través de redes blockchain (públicas por naturaleza)

5. Dominios de servicio y dominios personalizados

URLs de servicio público:

• Cada servicio recibe una URL pública bajo *.on.unsandbox.com
• El tráfico a la URL de su servicio pasa a través de nuestra infraestructura de proxy
• Los registros de acceso para dominios de servicio incluyen direcciones IP de visitantes y metadatos de solicitud
• No inspeccionamos ni registramos el contenido de las solicitudes proxied más allá de los registros de acceso estándar

Dominios personalizados (CNAME):

• Puede apuntar dominios personalizados (ej., www.example.com) a su servicio mediante registro CNAME
• Los certificados TLS para dominios personalizados se aprovisionan automáticamente mediante TLS bajo demanda
• La propiedad del dominio se valida mediante resolución DNS en el momento de emisión del certificado
• Almacenamos la asociación entre su dominio personalizado y servicio para fines de enrutamiento

5. Compartir Información

NO vendemos, alquilamos ni compartimos tu información personal con terceros, excepto:

• Procesadores de Pago: Stripe (para pagos con tarjeta/USDC) recibe datos de pago necesarios
• Redes Blockchain: Cadenas de bloques Bitcoin, Litecoin, Dogecoin, Monero (públicas por naturaleza)
• Socios: Los socios autorizados que aprovisionan claves API en su nombre reciben el par de claves y la información de nivel necesaria para la prestación del servicio
• Requisitos Legales: Si lo requiere la ley o para prevenir actividades ilegales
• Protección del Servicio: Para hacer cumplir nuestros Términos de Uso y proteger el servicio

6. Medidas de Seguridad

Implementamos prácticas de seguridad estándar de la industria:

• Todo el tráfico web cifrado con TLS/HTTPS
• Claves API generadas usando valores aleatorios criptográficamente seguros
• Ejecución de código en contenedores aislados con límites de recursos
• Servicios aislados entre sí y de nuestra infraestructura
• Datos de instantánea almacenados en volúmenes de almacenamiento cifrados
• Actualizaciones de seguridad y monitoreo regulares
• Solo tú puedes acceder a tus servicios, sesiones e instantáneas vía tu clave API

7. Cookies y Rastreo

Rastreo Mínimo:

• Sin cookies publicitarias
• Sin Google Analytics ni analíticas de terceros
• Cookies esenciales solo para protección CSRF y gestión de sesiones
• Sin rastreo entre sitios
• Sin perfilado de usuarios ni rastreo de comportamiento

8. Tus Derechos de Privacidad

Uso Anónimo:

• Puedes usar nuestro servicio completamente de forma anónima sin proporcionar correo electrónico
• Los pagos en criptomonedas permiten compras sin identidad
• Sin creación de cuenta ni información personal requerida

Control Sobre Tus Datos:

• Lista, accede y administra todos tus servicios vía API o CLI
• Destruye servicios en cualquier momento, eliminando permanentemente todos los datos asociados
• Lista, accede y elimina tus instantáneas en cualquier momento
• Exportar datos de servicios antes de destrucción
• Control completo sobre el ciclo de vida de datos a través de herramientas de autoservicio

Si Proporcionas un Correo Electrónico:

• Solicita la eliminación de tu dirección de correo electrónico en cualquier momento
• Opta por no recibir comunicaciones de soporte
• Solicita información sobre los datos que almacenamos relacionados con tu correo electrónico

Derechos GDPR (Usuarios de la UE):

• Derecho a acceder a tus datos personales
• Derecho a la rectificación de datos inexactos
• Derecho al borrado (eliminación)
• Derecho a la portabilidad de datos
• Derecho a oponerse al procesamiento

Nota: Dado nuestro modelo de recopilación mínima y la opción de uso anónimo, muchos derechos de datos tradicionales pueden no aplicarse si no proporcionas información personal.

9. Servicios de Terceros

Procesamiento de Pagos:

• Stripe: Procesa pagos con tarjeta de crédito y USDC (sujeto a la política de privacidad de Stripe)
• Redes de Criptomonedas: Cadenas de bloques Bitcoin, Litecoin, Dogecoin, Monero (públicas por naturaleza)

Infraestructura:

• Los proveedores de alojamiento pueden tener acceso a los registros del servidor (anonimizados cuando sea posible)
• Servicios CDN para entrega de activos estáticos
• Todos los terceros vinculados por acuerdos de confidencialidad

10. Privacidad de Menores

Nuestro servicio no está dirigido a niños menores de 13 años. No recopilamos a sabiendas información personal de niños. Si crees que un niño nos ha proporcionado información personal, contáctanos de inmediato.

11. Usuarios Internacionales

Si accedes a nuestro servicio desde fuera de los Estados Unidos, tu información puede ser transferida, almacenada y procesada en los Estados Unidos. Al usar nuestro servicio, consientes esta transferencia. Cumplimos con las leyes de protección de datos aplicables para transferencias internacionales.

12. Transparencia de Código Abierto

Partes de la infraestructura de unsandbox.com pueden ser de código abierto. Puedes revisar nuestro código para verificar nuestras prácticas de privacidad. Creemos en la transparencia y alentamos la investigación de seguridad.

13. Cambios a esta Política

Podemos actualizar esta Política de Privacidad de vez en cuando. Los cambios se publicarán en esta página con una fecha actualizada de "Última actualización". El uso continuado del servicio después de las modificaciones constituye aceptación de la política actualizada. Los cambios importantes se anunciarán mediante notificaciones del servicio.