Política de Privacidad

1. Naturaleza single-user del servicio

socialatom es una herramienta personal de gestión de redes sociales operada por su único propietario, Rodrigo Velasco Barja (rvelascobarja@gmail.com), accesible exclusivamente en https://socialatom.cmagnetico.com mediante credenciales privadas. No tiene usuarios externos, no acepta registros públicos y no recolecta datos de terceros.

El propietario es tanto el desarrollador como el único usuario final de la aplicación. Esta política describe cómo se manejan sus propios datos cuando él autoriza a la aplicación a acceder a sus servicios de Google.

2. Datos que la aplicación procesa

• Tokens OAuth de Google (access + refresh) y de otras plataformas conectadas, almacenados cifrados en reposo en Supabase Postgres.
• Identificadores de las cuentas conectadas (provider account id, email, nombre de perfil, foto pública). Nunca contraseñas.
• Manifiestos de publicación en formato CSV o Google Sheets ubicados en el Drive del propietario, leídos para conocer la programación de posts.
• Media (imágenes y videos) que el propietario decide publicar, ya sea arrastrados directamente a la app o leídos desde su Drive.
• Métricas públicas de los posts publicados (likes, comments, shares, reach, views) para visualización histórica en el dashboard.

3. Mapeo de scopes de Google a propósito

Cada permiso solicitado se usa exclusivamente para la función descrita. socialatom no usa ningún scope para propósitos distintos a los enumerados aquí.

• drive.readonly— leer los archivos de media (jpg, png, mp4, mov) y el manifiesto de publicación (CSV o Sheet llamado "posts") ubicados en la carpeta de Drive que el propietario designa como raíz del workspace. La app no escribe, modifica ni borra archivos en Drive.
• spreadsheets.readonly— leer las filas de la hoja de cálculo "posts" que contiene fecha, plataforma, caption, hashtags y nombre de archivo de cada post programado. La app no modifica la hoja.
• youtube.upload — subir videos al canal de YouTube del propietario en el horario programado por él mismo.
• youtube.readonly — leer estadísticas públicas (views, likes, comments) de los videos publicados por la app, para mostrarlas en el dashboard interno. No accede a otros videos del canal.
• business.manage — publicar posts en las ubicaciones de Google Business Profile del propietario, en el horario que él programe (uso futuro).
• userinfo.email / profile — identificar al usuario conectado (email + nombre + foto) para mostrarlo en la UI y asociar la cuenta con sus tokens en la base de datos.

4. Cumplimiento con la política "Limited Use" de Google API Services

socialatom cumple con la Google API Services User Data Policy, incluyendo los requisitos de Limited Use. Específicamente:

• El uso de la información obtenida de las API de Google se restringe estrictamente a las funciones declaradas en esta política.
• No se transfiere esta información a terceros, salvo cuando sea necesario para proveer y mejorar las funciones declaradas, para cumplir leyes aplicables, o como parte de una fusión / adquisición con notificación previa al propietario.
• No se usa esta información para publicidad, incluyendo retargeting, personalización o publicidad basada en intereses.
• No se permite que humanos lean esta información, excepto: (a) con el consentimiento explícito del propietario para casos específicos, (b) para fines de seguridad, debugging o cumplimiento legal, o (c) cuando la información se haya agregado y anonimizado completamente.
• No se usa esta información para desarrollar, mejorar o entrenar modelos de IA generalizados / LLMs.

5. Almacenamiento y seguridad

Los datos se almacenan en una instancia privada de Supabase (PostgreSQL alojado en AWS) con Row-Level Security activado, accesible solo mediante claves de servicio que residen en variables de entorno de Vercel. Las conexiones de red son sobre TLS 1.2+. Los tokens de refresco se rotan automáticamente cuando Google los emite. La cookie de sesión es firmada con HMAC-SHA256, marcada HttpOnly + Secure + SameSite=Lax.

6. Retención y eliminación

Los tokens OAuth se conservan mientras la cuenta esté conectada y se eliminan al revocar el acceso. Los archivos de media subidos manualmente vía la sección "Componer" se eliminan automáticamente del bucket de Storage 30 días después de ser publicados (job semanal). Las filas de posts publicados se mantienen indefinidamente para histórico analítico, pero ya no contienen datos sensibles después de la limpieza.

El propietario puede revocar todos los accesos en cualquier momento desde myaccount.google.com/permissions o desde la sección "Conexiones" de la app. Para borrado completo de su cuenta puede contactar al desarrollador (sección 8).

7. APIs de terceros utilizadas

socialatom integra con los siguientes proveedores, cada uno con su propia política:

• Google APIs (Drive, Sheets, YouTube Data v3, Business Profile, OAuth 2.0, OpenID Connect) — sujetos a la Google API Services User Data Policy.
• Meta Graph API (Instagram, Facebook, Threads) — uso futuro, pendiente de registro.
• TikTok Content Posting API — uso futuro, pendiente de registro.
• Supabase (PostgreSQL + Storage + Realtime) — proveedor de infraestructura.
• Vercel — proveedor de hosting.

8. Contacto y soporte

Para cualquier consulta sobre esta política, solicitud de borrado de datos, o reporte de seguridad, contactar directamente al propietario: rvelascobarja@gmail.com. El tiempo de respuesta objetivo es de 7 días hábiles.