privacy

# SilvaMatrix Aviso de Privacidad / Privacy Notice — Beta B2B Controlada / Controlled B2B Beta

**VERSIÓN FINAL APROBADA POR EL OPERADOR PARA LA BETA CONTROLADA — NO REVISADA NI APROBADA POR ABOGADO**

**FINAL OPERATOR APPROVED FOR CONTROLLED BETA — NOT LAWYER APPROVED**

- Responsable/operador / Controller/operator: Cristian Valenciano, persona física, Costa Rica
- Versión / Version: `1.2`
- Fecha efectiva / Effective date: `2026-09-22T00:00:00+00:00`
- Contacto humano de privacidad / Human privacy contact: `cristianvalenciano310@gmail.com`

## Alcance y finalidades

SilvaMatrix es una Beta B2B controlada, con cuentas provisionadas por un administrador y sin autorregistro público.

Procesa identidad, estado de correo verificado, hashes de contraseñas, material TOTP cifrado, hashes de códigos de respaldo, intentos de recuperación y verificación, estado de preautenticación y sesión, security epoch, metadatos del origen de solicitudes almacenados mediante hash, entitlement comercial, aceptaciones legales versionadas y eventos de seguridad append-only para identidad, seguridad, control de acceso, recuperación y auditoría.

Procesa registros forestales y empresariales del cliente, incluyendo fincas, lotes, especies, árboles, mediciones, campañas, fórmulas, proyecciones, raleos, tablas de pagos y surtidos, costos, tipos de cambio, artefactos de ML y resultados derivados.

Los datos privados de GPS/telemetría pueden incluir marcas de tiempo, coordenadas, precisión, estado, tipo de evento y payload estructurado. El almacenamiento offline del navegador puede contener borradores de campo y telemetría pendiente.

## Compartición, exportaciones y comunicaciones

SilvaMatrix no dispone de un servicio alojado de compartición pública. Los registros históricos de compartición están revocados y se conservan únicamente cuando sea necesario para auditoría.

Los usuarios autenticados pueden descargar exportaciones; cualquier compartición posterior fuera de SilvaMatrix queda bajo control del usuario. La compartición explícita a través del sistema operativo de un JPG GPS generado localmente no crea un endpoint de divulgación alojado.

AWS SES procesa direcciones de destino y correos transaccionales de verificación, contraseña, seguridad y recuperación. No es el buzón de soporte humano. El canal humano para solicitudes es el contacto indicado arriba.

## Proveedores y seguridad

AWS soporta el alojamiento en Lightsail, entrega mediante SES, operaciones Route 53/CloudWatch/SNS y backups cifrados en S3/KMS.

PostgreSQL, Redis, Nginx, Celery, TLS, credenciales hasheadas, MFA, throttling, invalidación basada en epoch y eventos durables protegen el servicio.

Healthchecks.io recibe información sobre el estado operativo de los heartbeats, no registros de clientes de forma intencional.

Ningún sistema garantiza seguridad absoluta.

AWS y otros proveedores identificados pueden procesar o almacenar datos limitados del servicio en infraestructura ubicada fuera de Costa Rica. SilvaMatrix aplica las medidas contractuales, técnicas, de control de acceso, cifrado y minimización descritas aquí, pero no afirma que toda operación de procesamiento ocurra en Costa Rica ni que una revisión jurídica externa haya certificado el esquema de procesamiento internacional.

## Retención, offboarding y solicitudes de derechos

Los objetivos operativos actuales son: 365 días para SecurityEvents, autenticación/recuperación, historial de entitlement e historial de consentimientos legales; 90 días para perfil/datos empresariales/media después del offboarding; 30 días para logs; 90 días para monitoreo; y los tiers de backup existentes sin cambios.

Los registros fiscales y de facturación están fuera del alcance actual de la aplicación.

Las solicitudes de acceso, corrección, exportación, supresión/disposición o cierre de cuenta utilizan el contacto humano indicado arriba.

El proceso manual verifica identidad, asigna un UUID de caso, comprueba legal hold, previsualiza el alcance, requiere autorización, ejecuta una disposición controlada, verifica el estado y conserva evidencia. El objetivo interno de respuesta es de cinco días hábiles; no se afirma que constituya un plazo legal universal.

No se promete una eliminación total inmediata. Los historiales obligatorios de auditoría, consentimiento, entitlement y seguridad se conservan durante los períodos aprobados o mientras exista legal hold.

La eliminación en los sistemas activos no elimina inmediatamente los residuos de backups cifrados; estos expiran conforme a los tiers normales de 6 horas/7 días, diario/30 días, semanal/84 días, mensual/365 días y predeploy/30 días.

Este aviso no ha sido revisado ni aprobado por un abogado. La revisión jurídica externa fue diferida por decisión empresarial para la Beta controlada. Los derechos y excepciones aplicables, incluyendo derechos no renunciables, continúan regidos por la ley.

---

# English

## Scope and purposes

SilvaMatrix is an administrator-provisioned controlled B2B Beta with no public self-registration. It processes identity, verified-email state, password hashes, encrypted TOTP material, backup-code hashes, recovery/verification attempts, preauthentication/session state, security epoch, hashed request-origin metadata, commercial entitlement, versioned legal acceptance, and append-only security events for identity, security, access control, recovery, and audit.

It processes customer forestry and business records, including properties, plots, species, trees, measurements, campaigns, formulas, projections, thinning, payment/assortment tables, costs, exchange inputs, ML artifacts, and derived results. Private GPS/telemetry may include timestamps, coordinates, accuracy, status, event type, and structured payload. Offline browser storage may hold field drafts and pending telemetry.

## Sharing, exports, and communications

SilvaMatrix has no hosted public-share service. Historical share rows are revoked and retained only where needed for audit. Authenticated users may download exports; later sharing outside SilvaMatrix is controlled by the user. Explicit client-side OS sharing of a locally generated GPS JPG creates no hosted disclosure endpoint.

AWS SES processes destination addresses and transactional verification, password, security, and recovery email. It is not the human support mailbox. The human request channel is the contact above.

## Providers and security

AWS supports Lightsail hosting, SES delivery, Route 53/CloudWatch/SNS operations, and encrypted S3/KMS backups. PostgreSQL, Redis, Nginx, Celery, TLS, hashed credentials, MFA, throttling, epoch-based invalidation, and durable events protect the service. Healthchecks.io receives operational heartbeat status, not intended customer records. No system guarantees absolute security.

AWS and other identified providers may process or store limited service data in infrastructure located outside Costa Rica. SilvaMatrix applies the contractual, technical, access-control, encryption, and minimization measures described here, but does not claim that every processing operation occurs in Costa Rica or that external legal review has certified the international-processing arrangement.

## Retention, offboarding, and rights requests

Current operational targets are: 365 days for SecurityEvents, authentication/recovery, entitlement history, and legal consent history; 90 days for profile/business/media after offboarding; 30 days for logs; 90 days for monitoring; and unchanged backup tiers. Fiscal/billing records are outside the current application scope.

Requests for access, correction, export, suppression/disposition, or account closure use the human contact above. The manual process verifies identity, assigns a case UUID, checks legal hold, previews scope, requires authorization, executes controlled disposition, verifies state, and retains evidence. The internal response target is five business days; it is not asserted as a universal legal deadline.

No hard delete is promised. Required audit, consent, entitlement, and security history is preserved under approved periods or legal hold. Active-system deletion does not immediately erase encrypted backup residuals; these expire through the normal 6-hour/7-day, daily/30-day, weekly/84-day, monthly/365-day, and predeploy/30-day tiers.

This notice is not lawyer approved. External legal review was deferred by business decision for the controlled Beta. Applicable rights and exceptions, including non-waivable rights, remain governed by law.