MantisCode

Política de privacidad

Última actualización: 21 de octubre de 2026

Esta política explica qué datos personales trata MantisCode, para qué, durante cuánto tiempo, con quién se comparten y cómo puedes ejercer tus derechos. Se aplica a la app de MantisCode para iOS y Android, a su backend (api.mantiscode.app), a los workspaces remotos donde se ejecuta el agente y a la web mantiscode.app.

En resumen:

• De tu cuenta de GitHub solo guardamos tu identificador y tu nombre de usuario. No guardamos tu correo, tu nombre real ni tu foto.
• Tu código, tus conversaciones con el agente y tus adjuntos viven en tu workspace, no en nuestra base de datos, y se borran cuando el workspace se destruye.
• No vendemos tus datos, no mostramos publicidad, no usamos analítica ni herramientas de seguimiento y no entrenamos modelos de IA con tu contenido.
• Lo que envías al agente llega al proveedor del modelo de IA que eliges, que lo trata según sus propias condiciones.

1. Responsable del tratamiento

El responsable es Rubén Solano Jiménez, que presta MantisCode a título personal. Para cualquier asunto de privacidad, escribe a [email protected]. Sus datos completos de identificación figuran en los Términos de servicio.

2. Qué datos tratamos

2.1 Cuenta de GitHub

Inicias sesión con GitHub. Guardamos tu identificador numérico de GitHub y tu nombre de usuario (login). Nunca vemos tu contraseña de GitHub.

Para trabajar con tus repositorios, MantisCode pide a GitHub estos permisos:

• repo: lectura y escritura en tus repositorios públicos y privados, y en los de las organizaciones que lo permitan.
• workflow: modificar los ficheros de GitHub Actions de esos repositorios.
• read:user: leer tu perfil público.
• read:org: ver, sin modificarlas, las organizaciones y equipos a los que perteneces. Lo usamos para mostrarte las organizaciones en las que puedes crear repositorios.

2.2 Credenciales

• Token de GitHub y sesión de la app. El token de acceso de GitHub se guarda cifrado en nuestra base de datos. Los tokens de sesión de la app se guardan en nuestra base de datos y en el almacenamiento seguro de tu dispositivo.
• Copia en tu workspace. Para que Git y la CLI de GitHub funcionen, el token de GitHub está disponible dentro de tu workspace como variables de entorno (GH_TOKEN y GITHUB_TOKEN) y en un fichero que solo puede leer el usuario del workspace.
• Proveedores de IA. Si conectas un proveedor con una clave API, la guardamos cifrada en nuestra base de datos y la copiamos a tu workspace para que el agente pueda usarla. Si te conectas con el inicio de sesión del propio proveedor (por ejemplo, con un código de dispositivo), el token se guarda solo en tu workspace.
• Servidores por SSH. Si añades un servidor, guardamos su dirección, el usuario, las huellas del servidor, la clave pública y la clave privada, esta última cifrada.

2.3 Contenido de tu trabajo

Dentro de tu workspace se tratan la copia del repositorio que abres, tus mensajes, las respuestas y acciones del agente, tus adjuntos (fotos, documentos y capturas), los diffs, los cambios y las skills. Ese contenido se guarda en el workspace, no en nuestra base de datos.

Los adjuntos pasan por nuestro servidor de camino al workspace y se borran de él en un plazo máximo de 24 horas.

En nuestra base de datos solo guardamos lo necesario para mostrarte tus sesiones: la URL del repositorio, la rama, el título de la sesión, el estado de los cambios, los contadores del diff y si hay preguntas o permisos pendientes, sin su texto.

2.4 Notificaciones push

Si las activas, guardamos el token de notificaciones de tu dispositivo, un identificador del dispositivo, la plataforma y el idioma. El texto de la notificación es genérico (por ejemplo, «Hay una nueva respuesta en mi-repo») y no incluye lo que escribe el agente. Sí incluye el nombre y la URL del repositorio e identificadores internos de la sesión.

2.5 Suscripción

Las compras se hacen en App Store o Google Play y se gestionan con RevenueCat. Recibimos el estado de tu suscripción, el plan, sus fechas y los eventos de compra, asociados a tu identificador interno de MantisCode. Antes de guardar esos eventos eliminamos recibos, tokens, firmas y correos. Nunca recibimos los datos de tu tarjeta.

2.6 Datos técnicos

• Estado y eventos de tus workspaces (creación, hibernación, reanudación y errores) y su consumo de CPU, memoria y disco.
• Registros técnicos del servidor, con identificadores internos y URLs de repositorios. No registramos el contenido de tus conversaciones ni tus mensajes al agente.
• Tu dirección IP se usa en el momento para limitar abusos. No la guardamos en la base de datos, aunque puede aparecer de forma transitoria en registros técnicos que se sobrescriben automáticamente.

2.7 Datos guardados en tu dispositivo

La app guarda tus credenciales en el almacenamiento seguro del sistema y, en su propio almacenamiento, una caché de conversaciones, borradores, preferencias de modelos y ajustes.

Al cerrar sesión se borran las credenciales, la caché de conversaciones, los borradores y los ajustes en caché. Se conservan el tema, el idioma, algunas preferencias de la interfaz, los identificadores del dispositivo y los datos que permiten recuperar una compra hecha en ese dispositivo. Desinstalar la app lo borra todo.

2.8 Permisos del dispositivo

• Cámara y fotos: solo cuando adjuntas una imagen.
• Micrófono y reconocimiento de voz: solo cuando usas el dictado. La transcripción la hace el servicio de reconocimiento de voz de tu sistema (Apple o Google), que puede procesar el audio en sus servidores. MantisCode solo recibe el texto.
• Notificaciones: solo si las aceptas.

No pedimos tu ubicación ni seguimos tu actividad en otras apps o webs.

2.9 Web mantiscode.app

Las páginas públicas no usan cookies, analítica ni recursos de terceros. Solo guardan en tu navegador el tema claro u oscuro que elijas. El panel de operadores usa una cookie técnica de sesión, solo para el operador.

3. Para qué usamos los datos y con qué base legal

• Prestarte el servicio que contratas (ejecución del contrato, art. 6.1.b del RGPD): iniciar sesión, crear, hibernar y recuperar tu workspace, abrir repositorios, ejecutar el agente, hacer las acciones de Git que pidas, aplicar tu configuración de modelos, enviarte notificaciones y gestionar tu suscripción.
• Mantener el servicio seguro y en funcionamiento (interés legítimo, art. 6.1.f del RGPD): prevenir abusos, limitar peticiones, diagnosticar fallos y dimensionar la infraestructura con datos de consumo. Puedes oponerte escribiéndonos (sección 9).
• Cumplir obligaciones legales (art. 6.1.c del RGPD): atender tus solicitudes de derechos y los requerimientos de las autoridades.

Los permisos de cámara, micrófono y notificaciones los decides tú en tu dispositivo y puedes retirarlos cuando quieras.

No usamos tus datos para publicidad, no elaboramos perfiles, no tomamos decisiones automatizadas con efectos jurídicos sobre ti y no vendemos ni cedemos tus datos. MantisCode no entrena modelos de IA con tu código, tus mensajes ni las respuestas del agente.

4. Proveedores de IA

Para hacer una tarea, el agente envía a un modelo de IA tus mensajes, tus adjuntos y el contexto del repositorio que necesita. Quién lo recibe depende del modelo que elijas:

• Un proveedor que conectas tú (por ejemplo, OpenAI, Anthropic, xAI, GitHub Copilot o Amazon Bedrock): lo usas con tu propia cuenta o clave. Ese proveedor trata los datos según su contrato contigo y sus políticas, incluidas sus reglas de conservación y de entrenamiento.
• Los modelos gratuitos de OpenCode Zen: tu workspace incluye acceso a ellos sin que tengas que conectar ninguna cuenta, y la app usa uno por defecto si no has elegido otro modelo. Lo que les envíes llega a OpenCode Zen y al proveedor de cada modelo, con condiciones de privacidad que dependen del modelo y que pueden incluir el uso de tus datos para mejorarlo. Consúltalas antes de enviar código confidencial y, si lo prefieres, elige un modelo de un proveedor que hayas conectado.

MantisCode no controla qué hace cada proveedor con tus datos. Elegir un modelo es elegir a quién se envía tu contenido.

5. Con quién compartimos datos

Proveedores que tratan datos por cuenta nuestra (encargados del tratamiento):

• Alojamiento, con centros de datos en Alemania: servidores del backend, base de datos, copias de seguridad y workspaces.
• RevenueCat, Inc. (EE. UU.): gestión de suscripciones.
• Expo (650 Industries, Inc., EE. UU.): envío de notificaciones push a través de Apple Push Notification service y Firebase Cloud Messaging.

Terceros que tratan los datos según sus propias políticas:

• GitHub, Inc. (EE. UU.): inicio de sesión, repositorios y operaciones de Git.
• Apple y Google: distribución de la app, pagos, notificaciones y reconocimiento de voz.
• Proveedores de IA, según la sección 4.
• Quien reciba un enlace público de vista previa que compartas (sección 7).

Solo entregaremos datos a una autoridad cuando una ley o una orden judicial nos obliguen.

6. Transferencias internacionales

Guardamos tus datos en la Unión Europea (Alemania). Algunos de los servicios de la sección 5 están en EE. UU. u otros países. Cuando el destinatario está adherido al Marco de Privacidad de Datos UE-EE. UU., la transferencia se ampara en él; si no lo está, en las cláusulas contractuales tipo de la Comisión Europea incluidas en sus condiciones. Los envíos al proveedor de IA que eliges se hacen por indicación tuya. Puedes pedirnos información sobre estas garantías.

7. Enlaces públicos de vista previa

Si compartes una vista previa web de tu workspace, cualquier persona que tenga el enlace puede verla sin iniciar sesión. El enlace se muestra una sola vez, no se puede revocar por separado y deja de funcionar cuando caduca la vista previa o se destruye el workspace. No compartas vistas previas que muestren datos personales o secretos.

8. Cuánto tiempo conservamos los datos

• Sesión de la app: 7 días, renovable hasta 30 días con el token de refresco. Las sesiones caducadas se borran cada hora.
• Token de GitHub en nuestra base de datos: mientras dure tu sesión. Se borra al cerrar sesión.
• Workspace (código, conversaciones, adjuntos, historial y copias del token y de las credenciales): hiberna tras 60 minutos sin actividad y se destruye con todo su contenido a los 7 días de hibernación. Al cerrar sesión intentamos destruirlo en el momento; si no es posible, se aplica la misma regla. MantisCode no es un archivo de tus conversaciones: sube a GitHub lo que quieras conservar.
• Copia de seguridad al recrear un workspace: si pides recrear un workspace, antes guardamos tu trabajo sin publicar como una referencia oculta (refs/mantis/backup/...) en tu repositorio de GitHub. Esa referencia sigue en GitHub hasta que la borres.
• Adjuntos en nuestro servidor: hasta 24 horas.
• Credenciales de proveedores, servidores SSH, preferencias de modelos y dispositivos de notificaciones: hasta que los borres o elimines tu cuenta. Cerrar sesión no los borra.
• Datos técnicos y de consumo de los workspaces: 90 días.
• Registros técnicos del servidor: rotan por tamaño y se sobrescriben de forma continua.
• Cuenta y datos de suscripción: mientras exista tu cuenta. No borramos automáticamente las cuentas inactivas.
• Copias de seguridad de la base de datos: los datos eliminados pueden seguir en ellas hasta que se sobrescriben en su rotación normal.
• Comunicaciones contigo: el tiempo necesario para atender tu solicitud; después, bloqueadas durante los plazos legales de prescripción.

9. Tus derechos

Puedes ejercer gratis, en cualquier momento, tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad. Escribe a [email protected] con tu nombre de usuario de GitHub y el derecho que quieres ejercer. Como no guardamos tu correo, podemos pedirte que demuestres que controlas esa cuenta de GitHub.

Te responderemos en un plazo máximo de un mes. Si la solicitud es compleja, podemos ampliarlo dos meses más, y te lo diremos dentro del primer mes.

• Portabilidad: te entregamos en formato JSON los datos de tu cuenta que guardamos en nuestra base de datos. Tu código ya está en tus repositorios de GitHub.
• Eliminación de la cuenta: sigue los pasos de mantiscode.app/delete-account. Borramos de nuestros sistemas tu cuenta, credenciales, servidores, preferencias, dispositivos, sesiones, workspaces y datos de suscripción, y pedimos a RevenueCat que borre tu registro de cliente. Los historiales de compra de Apple y Google los gestionan ellos.
• Desde la app puedes cerrar sesión, borrar credenciales de proveedores y servidores, y desactivar las notificaciones.
• Acceso a GitHub: cerrar sesión o eliminar tu cuenta borra el token de nuestros sistemas, pero no revoca la autorización en GitHub. Para revocarla, ve a GitHub → Settings → Applications → Authorized OAuth Apps. Te recomendamos hacerlo cuando dejes de usar MantisCode.
• Reclamación: si crees que no hemos atendido bien tus derechos, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es) o ante la autoridad de protección de datos de tu país de residencia en la UE.

10. Seguridad

• Los tokens de GitHub, las credenciales de proveedores y las claves SSH se guardan cifrados con AES-256-GCM.
• Todas las comunicaciones van cifradas (HTTPS y WSS).
• Cada workspace es privado y está aislado de los de otros usuarios. Reglas de red le impiden acceder a nuestra infraestructura interna y a los servicios de metadatos del proveedor de alojamiento.
• El panel de operadores solo muestra tu nombre de usuario de GitHub, el estado de tus workspaces y su consumo de recursos. No muestra tus repositorios ni tus conversaciones.
• Como administrador de los servidores, el responsable tiene acceso técnico a la infraestructura. Solo accede a los datos de un usuario cuando es imprescindible para resolver una incidencia, atender una solicitud suya o cumplir una obligación legal.
• Si una brecha de seguridad afecta a tus datos, la notificaremos a la Agencia Española de Protección de Datos en un máximo de 72 horas y, si supone un riesgo alto para ti, te avisaremos sin demora por los medios de que dispongamos.

Límites que debes conocer:

• El código y los comandos que se ejecutan en tu workspace, incluidos los del agente, pueden leer el token de GitHub y las credenciales de proveedores que hay en él, y tienen acceso a internet. No ejecutes código en el que no confíes y no guardes en el repositorio secretos que no quieras que el agente lea o envíe al modelo.
• Ningún sistema es infalible. Si crees que una credencial se ha expuesto, revócala en su servicio y avísanos.

11. Menores

MantisCode está dirigido a mayores de 18 años. No tratamos conscientemente datos de menores. Si sabemos que un menor ha creado una cuenta, la eliminaremos.

12. Cambios en esta política

Publicaremos cada nueva versión, con su fecha, en la app y en mantiscode.app/privacy-policy. Si el cambio es relevante (por ejemplo, nuevos usos o nuevos destinatarios de tus datos), lo anunciaremos de forma visible en la web y en las notas de la versión de la app antes de aplicarlo. No usaremos tus datos para una finalidad nueva sin informarte antes y, cuando la ley lo exija, sin pedir tu consentimiento.