XIUSoft
LiveSSHPolítica de privacidad
Esta política explica cómo trata XIUSoft los datos personales cuando usted utiliza la aplicación LiveSSH y LiveSSH Cloud. Se aplica a los usuarios de todos los países. La versión breve está en la tabla resumen; las secciones siguientes ofrecen el detalle y las reglas aplicables en regiones concretas. La propia cuenta de XIUSoft (inicio de sesión, perfil, sesiones), las páginas de cuenta (account.xiu.kr) y el sitio web de la empresa (xiu.kr) se rigen por la política de privacidad de XIUSoft; esta política cubre lo específico de la aplicación LiveSSH y LiveSSH Cloud.
Última actualización: 2026-10-10 · Fecha de entrada en vigor: 2026-10-10 · Versión: 2.3
Esta es la versión anterior (2.3). Se aplica hasta el 2026-10-12; a partir del 2026-10-13 se aplica la versión 2.4. Versiones anteriores a esa: 2.2, 2.1.
Actualizada el 2026-10-09 sin nuevo número de versión: copias de seguridad diarias y cifradas de la base de datos, conservadas 7 días (secciones 6, 10 y 11), y fin de la prueba gratuita automática para cuentas nuevas (secciones 2 y 6).
Documentos relacionados: Términos del servicio · Soporte
El texto en inglés es el original de este documento. Si una traducción difiere de él, el texto en inglés se utiliza para interpretar el significado solo cuando la legislación de su país lo permita; en caso contrario, prevalece la versión en su propio idioma. Sus derechos imperativos nunca dependen del idioma en que lea este documento.
Resumen
| Tema | En breve |
|---|---|
| Quién es el responsable | XIUSoft (República de Corea), contact@xiu.kr. Véase la sección 1. |
| Sin cuenta | SSH, SFTP y las demás funciones locales no necesitan cuenta. No se nos envía nada sobre sus servidores. |
| Con cuenta | Almacenamos la dirección de correo electrónico y el identificador de inicio de sesión que facilita su cuenta de Apple o Google (no existe un registro aparte por correo electrónico), una bóveda cifrada de extremo a extremo, los tokens de dispositivo para notificaciones push y el estado de su suscripción. Véase la sección 2. |
| Lo que no podemos leer | Las direcciones de sus hosts, nombres de usuario, contraseñas, claves privadas, fragmentos (snippets) y demás elementos sincronizados se cifran en su dispositivo antes de subirse. No podemos descifrarlos. Excepción: la etiqueta del host que se usa para las notificaciones, que es usuario@dirección si el host no tiene nombre (véase Notificaciones push). |
| Notificaciones push | El texto de las notificaciones (título, cuerpo, nombre de la sesión de tmux, etiqueta del host) no está cifrado de extremo a extremo. Pasa por nuestro servidor y por Google (Firebase Cloud Messaging) y, en iOS, por Apple. Véase la sección 2. |
| Ajustes de notificaciones y aprobaciones | Si establece horas de silencio o silencia notificaciones, esos ajustes y la zona horaria de su dispositivo se almacenan en nuestro servidor para que pueda decidir si enviar cada notificación push y cómo hacerlo. El historial de aprobaciones (registro de auditoría) permanece solo en su dispositivo, 30 días de forma predeterminada. Véanse las secciones 2 y 3. |
| Informes de fallos | Desactivados hasta que usted acepte (solo Android e iOS). Se envían a Google Firebase Crashlytics y se conservan 90 días. Puede desactivarlos en cualquier momento. |
| Estadísticas de uso (opcionales) | Desactivadas hasta que usted las active. Recuentos diarios anónimos de cuántas veces se usa cada función de la app, solo con la versión de la app y el nombre y la versión principal del sistema operativo. Sin identificador de cuenta, de dispositivo ni de instalación. Se conservan 400 días. Puede desactivarlas en cualquier momento. Véase la sección 2. |
| Publicidad, analítica, seguimiento | Aplicaciones: sin publicidad ni seguimiento. Sin SDK de publicidad ni de analítica de uso, sin identificador publicitario, sin venta ni cesión de datos de las aplicaciones. El único recuento del uso de la app son las estadísticas de uso anónimas y opcionales, desactivadas por defecto (sección 2). Sitio web (livessh.xiu.kr): las páginas muestran anuncios de Google, y Google utiliza cookies publicitarias. Véase la sección 12. |
| Dónde se tratan los datos | En nuestro servidor de Osaka, Japón (Oracle Cloud) y con los proveedores de la sección 4, principalmente en Estados Unidos. Véanse las secciones 4 y 5. |
| Copias de seguridad | Diarias, cifradas y solo para recuperación ante desastres; se conservan 7 días en nuestro servidor en Japón. Los datos que elimine desaparecen de todas las copias de seguridad en un plazo de 7 días. Véase la sección 6. |
| Sus derechos | Acceso, rectificación, supresión, portabilidad, oposición y más, según el lugar donde viva. Escriba a contact@xiu.kr. Véase la sección 7. |
| Eliminar todo | En la aplicación: Ajustes > LiveSSH Cloud > Eliminar cuenta. Surte efecto de inmediato; las copias en nuestras copias de seguridad cifradas desaparecen en un plazo de 7 días. Véase la sección 11. Excepto dos registros que solo contienen un hash y no permiten identificarle (registro de eliminación y, si su cuenta recibió la antigua prueba gratuita automática, registro de prueba gratuita): véase la sección 6. |
| Edad mínima | 16 años. Véase la sección 9. |
| Usuarios en China continental | Sus datos se almacenan en Japón y los tratan los destinatarios en el extranjero de la sección 4, solo con su consentimiento separado cuando la ley lo exija. Es posible que algunas funciones basadas en Google no funcionen allí; SSH y SFTP sí funcionan. Véase la sección 8. |
1. Quiénes somos
El responsable del tratamiento (quien decide cómo se utilizan sus datos personales) es XIUSoft (nombre coreano: 시우소프트), República de Corea. Representante: Ga Ram Jung (정가람). Número de registro mercantil: 752-41-01398. Dirección: 901-401, 33 Dongtanjungsimsangga 1-gil, Dongtan-gu, Hwaseong-si, Gyeonggi-do, 18455, Republic of Korea. Teléfono: +82 507-1432-9182.
Contacto para todas las cuestiones de privacidad, incluidas las solicitudes de ejercicio de sus derechos: contact@xiu.kr. No hemos designado un delegado de protección de datos porque la ley no lo exige para nuestro tamaño y nuestras actividades. El punto de contacto en materia de protección de datos, para usted y para las autoridades (la función de contacto de un delegado de protección de datos), es nuestro representante, Ga Ram Jung (정가람), en la misma dirección de correo electrónico y el mismo número de teléfono. En la República de Corea, esta persona es también nuestro responsable de la protección de la información personal (개인정보 보호책임자).
Representantes: si el RGPD o el RGPD del Reino Unido nos exige tener un representante en la UE o en el Reino Unido, designaremos uno y publicaremos aquí su nombre y dirección. Si otro país exige un representante local o un punto de contacto, haremos lo mismo. Hasta entonces, escriba a contact@xiu.kr y atenderemos su solicitud.
2. Qué recopilamos, por qué y con qué base jurídica
La tabla enumera todo lo que tratamos. Las bases jurídicas se indican para los usuarios del EEE, el Reino Unido y Suiza (RGPD). Lo que no figura en la lista no se recopila.
Los elementos marcados «con cuenta» solo se tratan si usted crea una cuenta de LiveSSH Cloud; las funciones que requieren una suscripción se describen en las Condiciones del servicio. Facilitar los datos es voluntario, pero sin ellos no podemos prestar la función de que se trate.
| Datos | Qué exactamente | Por qué | Base jurídica (RGPD) |
|---|---|---|---|
| Cuenta (con cuenta) | Si inicia sesión con Apple o Google: el nombre del proveedor, el identificador de la cuenta en el proveedor y la dirección de correo electrónico que el proveedor nos facilita (en el caso de Apple puede ser una dirección de retransmisión privada), y el nombre que el proveedor nos facilita si usted lo permite. Un ID de usuario aleatorio, la hora de creación, el nombre para mostrar y el ajuste de idioma, y los datos de inicio de sesión y de sesión. Por seguridad, el servidor de inicio de sesión registra los inicios y cierres de sesión y las renovaciones de token, incluidas la dirección de correo electrónico y la dirección IP. | Crear y proteger su cuenta. | Contrato (art. 6.1.b) |
| Bóveda cifrada (con cuenta) | Un conjunto de claves (su clave de datos, envuelta por su contraseña maestra y por su clave de recuperación) y el texto cifrado de los elementos sincronizados, como hosts, fragmentos (snippets), claves SSH y fotos de perfil. Podemos ver el tipo, el ID, el tamaño, las marcas de tiempo y el indicador de eliminación de cada elemento, y cuántos elementos tiene. No podemos ver el contenido. | Sincronizar sus elementos entre sus dispositivos. | Contrato (art. 6.1.b) |
| Datos de notificaciones push (con cuenta, si activa las notificaciones) | Token del dispositivo y plataforma (Android, iOS o macOS) con la hora de su actualización; un hash SHA-256 de su token de hook de notificaciones con una etiqueta (el nombre para mostrar del host, almacenado en texto plano; si el host no tiene un nombre propio, es usuario@dirección, es decir, su nombre de usuario SSH y la dirección del host; para evitarlo, asigne un nombre al host antes de instalar el hook), y cuándo se creó y se usó por última vez ese token (se registra como máximo una vez por hora). Cada notificación: título, cuerpo (hasta 300 caracteres), nombre de la sesión de tmux y etiqueta del host. El servidor no escribe el cuerpo de las notificaciones en sus registros. Con las Actividades en vivo de iOS, también se almacena un token push de la Actividad en vivo, y el servidor envía el mismo título, cuerpo y etiqueta del host y, en una solicitud de aprobación, el nombre del proyecto (carpeta) a esa actividad a través de Apple. Los hooks de notificación más recientes también pueden enviar un ID de solicitud, el nombre del proyecto (carpeta), el nombre del agente (por ejemplo, Claude Code), el nombre de la herramienta (por ejemplo, Bash) y un nivel de riesgo; estos datos viajan con la notificación, no se escriben en la base de datos y se mantienen en la memoria del servidor como máximo 10 minutos, solo para evitar notificaciones duplicadas. | Entregar las notificaciones push de sus servidores a sus dispositivos. | Contrato (art. 6.1.b); permiso de notificaciones de su dispositivo |
| Ajustes de notificaciones (con cuenta, si los cambia en la app) | Si las horas de silencio (no molestar) están activadas; sus horas de inicio y fin y sus días; la zona horaria de su dispositivo (un identificador como Europe/Madrid); qué notificaciones se reciben igualmente durante las horas de silencio; los tipos de notificación que silenció; los ajustes por host, asociados al nombre que usted le dio al host (silenciado o no, tipos de notificación y agentes permitidos; los hosts sin nombre propio no se incluyen); y la hora del último cambio. | Decidir en nuestro servidor, justo antes de cada notificación push, si enviarla y si enviarla en silencio, de modo que sus ajustes se apliquen aunque su dispositivo esté apagado o la app cerrada. | Contrato (art. 6.1.b) |
| Estado de la suscripción (con cuenta) | Su ID de usuario se utiliza como ID de usuario de la aplicación en RevenueCat. RevenueCat y la tienda (Apple, Google, Microsoft) procesan la compra. Almacenamos el nombre de la tienda, el producto, el identificador de la transacción, el estado, las fechas de inicio y vencimiento, si se renueva y si es una compra de prueba. Nunca recibimos los datos de su tarjeta ni de pago. | Comprobar que una función de pago está disponible para usted. | Contrato (art. 6.1.b) |
| Informes de fallos (solo si usted acepta; solo Android e iOS) | Traza de la pila, sistema operativo y versión de la aplicación, modelo del dispositivo, hora del fallo, y los identificadores y el estado básico del dispositivo que añade Firebase Crashlytics (por ejemplo, un ID de instalación de Firebase). Los mensajes de error se recortan a su primera línea y las direcciones de correo electrónico, URL, rutas de archivos, direcciones IP y nombres de host se enmascaran antes del envío. Nunca se incluyen: direcciones de hosts, nombres de usuario, contraseñas, claves, comandos, salida del terminal, nombres de archivos. | Encontrar y corregir fallos. | Consentimiento (art. 6.1.a), que puede retirar en cualquier momento en Ajustes > Seguridad |
| Estadísticas de uso (opcionales) | Si activa «Enviar estadísticas de uso» en Ajustes, la app nos envía una vez al día cuántas veces se usó cada función (por ejemplo, abrir un terminal o SFTP, ejecutar un snippet, responder a una solicitud de un agente) en los días anteriores, junto con la versión de la app (principal.secundaria) y el nombre y la versión principal del sistema operativo. Nada más: ningún identificador de cuenta, de dispositivo ni de instalación, ni nombres de servidores, comandos, salida o nombres de archivos. Los números de todos los dispositivos se suman por día; no podemos distinguirlos. Puede ver los datos exactos en «Vista previa del envío» y desactivarlas en cualquier momento, lo que también borra los contadores del dispositivo. | Analítica anónima: saber qué funciones de la app se usan. | Consentimiento (art. 6.1.a), que puede retirar en cualquier momento desactivando «Enviar estadísticas de uso» en Ajustes |
| Registros del servidor | Dirección IP, hora de la solicitud, ruta solicitada, estado de la respuesta y el identificador del navegador o de la aplicación (user agent) de las solicitudes a nuestros servidores. | Seguridad, prevención de abusos, resolución de problemas. | Intereses legítimos (art. 6.1.f): mantener la seguridad del servicio. Es necesario porque la dirección IP y la línea de solicitud son los datos mínimos para detectar e investigar ataques; se conservan solo 7 días. |
| Registro de eliminación de cuenta | Cuando elimina su cuenta, escribimos un registro que contiene un hash unidireccional de su ID de usuario (no de su correo electrónico), la hora y qué pasos de eliminación se completaron con éxito. No permite identificarle. | Demostrar que las eliminaciones se llevaron a cabo y completar los pasos que fallaron. | Intereses legítimos (art. 6.1.f): poder demostrar que se llevó a cabo una eliminación. Es necesario porque un hash es el dato mínimo que puede probarlo; se conserva hasta 3 años y después se purga. |
| Registro de prueba gratuita (cuentas que recibieron la antigua prueba automática) | Hasta octubre de 2026, cada cuenta nueva recibía automáticamente una prueba gratuita. Para conceder una sola prueba por cuenta de Apple o Google, guardábamos un hash unidireccional con clave secreta (SHA-256) de su proveedor de inicio de sesión y del ID de cuenta en ese proveedor, y la fecha en que se usó la prueba. Ya no lo recopilamos para cuentas nuevas; las pruebas gratuitas ahora las ofrecen las tiendas de aplicaciones. Los hashes existentes no pueden revertirse al ID, no son su dirección de correo electrónico y se conservan 1 año desde que se usó la prueba, aunque elimine su cuenta. | Evitar pruebas gratuitas repetidas (prevención del fraude y del abuso). Solo para los hashes guardados antes de que terminara la prueba automática. | Intereses legítimos (art. 6.1.f): evitar el abuso de la prueba gratuita. Es necesario porque un hash con clave es el dato mínimo que permite reconocer una cuenta que vuelve; se conserva 1 año y después se elimina automáticamente. |
| Solicitudes de soporte y de ejercicio de derechos | El correo que nos envía y nuestra respuesta. El formulario de comentarios de la app solo abre su app de correo o la hoja de compartir; antes verá el texto completo. Los datos de diagnóstico son opcionales e incluyen la versión de la app, la compilación, el sistema operativo, el modelo del dispositivo, el idioma de la app y los últimos cinco fallos de conexión, con los nombres de host sustituidos por números; nunca el contenido del terminal, direcciones de hosts, claves, contraseñas ni su cuenta. | Responderle y conservar constancia de su solicitud. | Intereses legítimos (art. 6.1.f): responderle y defender reclamaciones jurídicas. Es necesario porque debemos poder demostrar lo que respondimos; se conserva hasta 3 años después del cierre. Obligación legal (art. 6.1.c) cuando la ley exija conservar un registro. |
No utilizamos sus datos para decisiones automatizadas con efectos jurídicos, para publicidad ni para entrenar modelos de IA. No recopilamos identificadores publicitarios, ubicación, contactos, fotos (salvo una foto de perfil que usted elija, que se almacena cifrada) ni ninguna categoría especial de datos personales. Para cada tratamiento basado en intereses legítimos hemos ponderado nuestro interés frente a sus derechos y expectativas y conservamos solo los datos indicados; usted puede oponerse (sección 7).
3. Qué permanece en su dispositivo
Lo siguiente no se nos envía nunca, salvo que usted active la sincronización de LiveSSH Cloud, y aun así solo como texto cifrado que no podemos leer:
- Direcciones de hosts SSH, puertos, nombres de usuario, contraseñas, claves privadas y frases de contraseña, guardados en el almacenamiento seguro de su dispositivo (Llavero en iOS y macOS, almacenamiento respaldado por Keystore en Android, almacenamiento de credenciales de Windows). Excepción: si instala el hook de notificaciones para un host sin nombre propio, su etiqueta usuario@dirección (nombre de usuario y dirección del host) se almacena en texto plano en nuestro servidor (véase la sección 2).
- Fragmentos (snippets), ajustes, huellas de claves de host guardadas, reglas de reenvío de puertos, historial de actividad de los agentes (se conserva 30 días en el dispositivo) y el historial de desplazamiento del terminal.
- La entrada y salida del terminal, el historial de comandos y los archivos que transfiere por SFTP. Van directamente entre su dispositivo y el servidor que usted elija.
- Si activa el desbloqueo biométrico, su contraseña maestra se guarda en el almacenamiento seguro de su dispositivo. Los datos de su huella dactilar o de su rostro los gestiona el sistema operativo; la aplicación nunca los recibe.
- Historial de aprobaciones (registro de auditoría): qué solicitud de un agente se aprobó o rechazó (por usted o por una regla de aprobación automática que usted creó), cuándo, en qué host y sesión, por qué vía (en la app, desde una notificación, con Siri o Atajos, o en el Apple Watch), la herramienta, el nivel de riesgo y un breve resumen (hasta 300 caracteres) en el que se ocultan secretos como tokens y contraseñas. Se conserva solo en el dispositivo, como máximo 30 días de forma predeterminada, y no se sincroniza. Puede exportarlo (CSV o JSON) y borrarlo en la app. El hook de notificaciones de su propio servidor también guarda en ese servidor un registro de tamaño limitado de sus decisiones (~/.livessh/audit.jsonl); nunca lo recibimos.
- Siri, Atajos y Apple Watch: una aprobación o un rechazo con Siri o Atajos lo ejecuta la app en su dispositivo, directamente por SSH en su servidor; no se nos envía nada al respecto (las solicitudes de voz a Siri las procesa Apple según su política de privacidad). Si usa LiveSSH en el Apple Watch, su iPhone envía al reloj un breve resumen de las solicitudes pendientes, los agentes y el estado de los servidores (sin credenciales, comandos ni diffs; un host aparece con el nombre que usted le dio, o como usuario@dirección si no tiene) mediante el enlace WatchConnectivity de Apple entre sus dispositivos enlazados, y su respuesta en el reloj vuelve al iPhone, que responde por SSH. Nuestros servidores no reciben ningún dato adicional por ello.
Al eliminar la aplicación se eliminan estos datos locales (en iOS, las entradas del almacenamiento seguro pueden sobrevivir a la reinstalación; use Cerrar sesión y Eliminar cuenta antes de desinstalar si desea que se eliminen).
4. Quién recibe datos (encargados y destinatarios)
No vendemos sus datos ni cedemos los datos de las aplicaciones y de LiveSSH Cloud con fines publicitarios (sobre los anuncios del sitio web, véase la sección 12). Utilizamos los proveedores indicados a continuación para hacer funcionar el servicio. Actúan siguiendo nuestras instrucciones (como encargados del tratamiento, o «partes encomendadas») salvo que se indique otra cosa.
| Destinatario | Finalidad | Datos | Ubicación | Garantía de transferencia (EEE, Reino Unido, Suiza) |
|---|---|---|---|---|
| Servidor de XIUSoft (Supabase Auth y base de datos autoalojados en Oracle Cloud Infrastructure; Oracle Corporation es el proveedor de alojamiento) | Cuentas e inicio de sesión, bóveda, tabla de dispositivos push, registros de suscripción, registros del servidor | Como en la sección 2 | Osaka, Japón | Japón: decisión de adecuación. Oracle (alojamiento): contrato de encargado del tratamiento, con cláusulas contractuales tipo cuando personal de Oracle ubicado fuera de un país con nivel adecuado pueda acceder a los datos. Suiza: anexo suizo. |
| Google Workspace (Google LLC); nuestro proveedor de correo electrónico | Recepción y respuesta de los correos de soporte | Su dirección de correo electrónico y el contenido del correo | Estados Unidos y otras ubicaciones de Google | Marco de Privacidad de Datos UE-EE. UU. (Google LLC está certificada); en caso contrario, cláusulas contractuales tipo de las condiciones de tratamiento de datos de Google, con el Anexo del Reino Unido y el anexo suizo. |
| Google Firebase Cloud Messaging (Google LLC) | Entrega de notificaciones push a Android y, en iOS, retransmisión a Apple | Token del dispositivo, título y cuerpo de la notificación, sesión y etiqueta del host | Estados Unidos y otras ubicaciones de Google | Igual que para Google Workspace. |
| Apple Push Notification service (Apple Inc.) | Entrega de notificaciones push y actualizaciones de Actividades en vivo a iOS | Igual que lo anterior | Estados Unidos y otras ubicaciones de Apple | Cláusulas contractuales tipo (Apple indica que las utiliza para los datos procedentes del EEE, el Reino Unido y Suiza), con los anexos del Reino Unido y suizo. |
| Google Firebase Crashlytics (Google LLC) | Informes de fallos (solo con su consentimiento) | Como en la sección 2 | Estados Unidos y otras ubicaciones de Google | Igual que para Google Workspace. |
| RevenueCat, Inc. | Gestión y verificación de suscripciones | ID de usuario de la aplicación (su ID de usuario), información de compra y de derechos de acceso | Estados Unidos | Cláusulas contractuales tipo del contrato de encargado del tratamiento de RevenueCat, con el Anexo del Reino Unido o el Acuerdo de Transferencia Internacional de Datos (IDTA) y el anexo suizo. |
| Google (Google AdSense; Google LLC y, para usuarios del EEE y Suiza, Google Ireland Limited) | Mostrar y medir anuncios en el sitio web de LiveSSH. Responsable independiente (sección 12). | De los visitantes del sitio web: dirección IP, información del navegador y del dispositivo, páginas visitadas, identificadores de cookies, anuncios mostrados y clics en ellos. Ningún dato de las aplicaciones. | Estados Unidos y otras ubicaciones de Google | Marco de Privacidad de Datos UE-EE. UU. (Google LLC está certificada); en caso contrario, cláusulas contractuales tipo en las que se basa Google. |
| Apple (App Store, Sign in with Apple), Google (Google Play, Sign in with Google), Microsoft (Microsoft Store) | Distribución, pago, inicio de sesión. Estas empresas son responsables del tratamiento independientes conforme a sus propias políticas. Apple y Google son los comerciantes registrados (merchants of record) de las compras; en las compras de Microsoft Store, Microsoft procesa el pago en nuestro nombre. | Datos de compra y de inicio de sesión | En todo el mundo | Sus propios mecanismos, indicados en sus políticas de privacidad. |
Podemos comunicar datos a autoridades, tribunales o asesores cuando la ley lo exija, o para proteger nuestros derechos, y a un sucesor si se transmite el negocio (se lo comunicaríamos y las reglas de esta política seguirían aplicándose).
5. Transferencias internacionales
XIUSoft tiene su sede en la República de Corea. Nuestro servidor está en Japón y nuestros demás proveedores están en Estados Unidos y en otros países, por lo que sus datos se transfieren a través de las fronteras dondequiera que usted viva. La mayoría de las transferencias solo se producen si usted crea una cuenta, activa las notificaciones o acepta los informes de fallos; las funciones locales de la aplicación no nos transfieren nada.
Para los usuarios del EEE, el Reino Unido y Suiza: las transferencias a la República de Corea y a Japón están cubiertas por decisiones de adecuación de la Comisión Europea (Corea: Decisión (UE) 2022/254; Japón: Decisión (UE) 2019/419) y por la normativa de adecuación del Reino Unido. Para Estados Unidos utilizamos, para cada proveedor, la garantía indicada en la última columna de la tabla de la sección 4: el Marco de Privacidad de Datos UE-EE. UU. (y sus extensiones para el Reino Unido y Suiza) cuando el destinatario está certificado y, en caso contrario, las cláusulas contractuales tipo (Decisión (UE) 2021/914) con el Anexo del Reino Unido o el Acuerdo de Transferencia Internacional de Datos y, para Suiza, el anexo suizo. Puede solicitar una copia de las garantías en contact@xiu.kr.
Para los usuarios de Corea, Japón, Brasil, China continental y otros lugares: sus datos se tratan en los países indicados anteriormente, con las garantías y avisos de la sección 8. Puede rechazar una transferencia no utilizando la función de que se trate o eliminando su cuenta.
6. Cuánto tiempo conservamos los datos
| Datos | Conservación |
|---|---|
| Cuenta, bóveda, tokens push, hashes de tokens de hook, registros de suscripción | Hasta que elimine su cuenta. La eliminación de nuestra base de datos es inmediata y completa; las copias en nuestras copias de seguridad cifradas desaparecen cuando estas caducan, a más tardar en 7 días (véase «Copias de seguridad» más abajo). Los tokens push también se eliminan cuando cierra sesión en la aplicación o cuando el proveedor de push informa de que el token no es válido. No eliminamos automáticamente las cuentas inactivas. Las únicas excepciones son los dos registros siguientes, que solo contienen un hash (registro de eliminación de cuenta, registro de prueba gratuita). |
| Ajustes de notificaciones y tokens de Actividades en vivo | Hasta que cambie los ajustes o elimine su cuenta; se eliminan con la cuenta, y las copias en nuestras copias de seguridad cifradas desaparecen en un plazo de 7 días. Un token de Actividad en vivo también se elimina cuando la actividad termina, cuando cierra la sesión o cuando Apple informa de que no es válido. |
| Historial de aprobaciones (solo en su dispositivo) | Como máximo 30 días de forma predeterminada; después se elimina en el dispositivo. Puede exportarlo (CSV o JSON) y borrarlo en la app. Nunca se nos envía; eliminar la app lo elimina. |
| Copias de seguridad | La base de datos completa se copia una vez al día. Cada copia se comprime y se cifra en nuestro servidor de Osaka, Japón, con una clave pública, de modo que el propio servidor no puede descifrarla. Las copias se conservan 7 días y después se eliminan automáticamente. Por tanto, los datos que elimine, o que se eliminen con su cuenta, desaparecen de todas las copias de seguridad en un plazo de 7 días. Las copias de seguridad solo se usan para restablecer el servicio tras un fallo o un desastre. |
| Registros del servidor (dirección IP, hora de la solicitud, ruta, estado) | Rotan a diario y se eliminan a los 7 días (como máximo 8 días en total). Se conservan solo para detectar e investigar abusos. |
| Registro de inicio de sesión (incluidos correo e IP) | Se elimina automáticamente a los 7 días, y de inmediato cuando elimina su cuenta. |
| Informes de fallos | Los conserva Firebase Crashlytics durante 90 días (retención predeterminada de Google). Al desactivar los informes de fallos se eliminan los informes aún no enviados. |
| Estadísticas de uso | Se eliminan automáticamente a los 400 días. |
| Registro de eliminación de cuenta (solo hash) | Hasta 3 años y después se purga. Nos permite demostrarle a usted y a las autoridades que se llevó a cabo una eliminación, y completar los pasos que fallaron. No le identifica. |
| Registro de prueba gratuita (solo hash) | Ya no se recopila para cuentas nuevas (la prueba gratuita automática terminó en octubre de 2026; las pruebas gratuitas ahora las ofrecen las tiendas de aplicaciones). Los registros existentes se eliminan automáticamente 1 año después de usar la prueba, aunque haya eliminado su cuenta antes. Es un hash unidireccional con clave que no puede revertirse al ID de su cuenta y no contiene su dirección de correo electrónico. |
| Correos de soporte y solicitudes de ejercicio de derechos | Hasta 3 años después del cierre de la solicitud y después se elimina. Es necesario para atender preguntas posteriores, demostrar que respondimos y defender reclamaciones jurídicas que puedan surgir dentro de ese plazo. |
| Registros de compras y de pagos | Los conservan Apple y Google como comerciantes registrados (merchants of record), Microsoft, que procesa los pagos de Microsoft Store en nuestro nombre, y RevenueCat, conforme a sus propias políticas y a la ley que les sea aplicable. No conservamos registros de pago propios; nuestra copia de sus registros de suscripción se elimina con su cuenta y, al mismo tiempo, eliminamos su registro de suscriptor en RevenueCat. |
7. Sus derechos
Según el lugar donde viva, tiene algunos o todos estos derechos sobre sus datos personales: saber qué datos conservamos y obtener una copia (acceso); rectificarlos; suprimirlos; limitar el tratamiento u oponerse a él; recibirlos en un formato portable; retirar su consentimiento en cualquier momento (sin que ello afecte al tratamiento anterior a la retirada); y no ser objeto de decisiones basadas únicamente en un tratamiento automatizado (no tomamos ninguna). Aplicamos estos derechos a todos los usuarios, sea cual sea su país, salvo que una ley establezca una excepción.
Cómo ejercerlos: utilice los controles de la aplicación (eliminar cuenta, interruptor de informes de fallos, ajustes de notificaciones) o escriba a contact@xiu.kr desde la dirección de correo electrónico de su cuenta. Podemos pedirle que confirme su identidad. Respondemos sin dilación indebida, en el plazo exigido por la ley aplicable y, en cualquier caso, en un máximo de 30 días (en algunos lugares se aplican plazos más cortos, por ejemplo 10 días conforme a la ley coreana), y le informamos si la ley permite que dispongamos de más tiempo y lo necesitamos. Las solicitudes son gratuitas, salvo que sean manifiestamente infundadas o excesivas.
Dado que la bóveda está cifrada de extremo a extremo, podemos exportar o eliminar su texto cifrado, pero no podemos mostrarle su contenido; utilice la aplicación para leer sus propios datos.
Si no está conforme con nuestra respuesta, puede presentar una reclamación ante la autoridad de protección de datos del lugar donde vive o trabaja. Ejemplos: Personal Information Protection Commission (Corea, PIPC); Personal Information Protection Commission (Japón, PPC); Autoridade Nacional de Proteção de Dados (Brasil, ANPD); las autoridades nacionales de los Estados del EEE (lista en edpb.europa.eu); la Information Commissioner’s Office (Reino Unido, ICO); el Encargado Federal de Protección de Datos y de la Información (Suiza, PFPDT); el Fiscal General de California y la California Privacy Protection Agency; la Oficina del Comisionado de Privacidad de Canadá; la Office of the Australian Information Commissioner (OAIC); la Personal Data Protection Commission (Singapur, PDPC); el Data Protection Board of India. Agradeceríamos la oportunidad de resolver antes su inquietud.
8. Reglas para regiones concretas
Espacio Económico Europeo, Reino Unido, Suiza (RGPD, RGPD del Reino Unido, LPD)
Las bases jurídicas están en la sección 2 y las transferencias en la sección 5. Usted tiene los derechos de la sección 7 y puede presentar una reclamación ante su autoridad de control. Cuando haya dado su consentimiento, puede retirarlo en cualquier momento. Puede oponerse en cualquier momento al tratamiento basado en intereses legítimos; dejaremos de tratar los datos salvo que tengamos motivos legítimos imperiosos o necesitemos los datos para la formulación, el ejercicio o la defensa de reclamaciones. Si una violación de la seguridad de los datos personales puede entrañar un riesgo para usted, se lo comunicaremos a usted y a las autoridades sin dilación indebida y dentro del plazo legalmente exigido (por ejemplo, 72 horas a la autoridad de control conforme al RGPD).
California y otros estados de EE. UU. (CCPA/CPRA y leyes similares)
En los últimos 12 meses recopilamos estas categorías: identificadores (dirección de correo electrónico, identificadores de cuenta, token push del dispositivo, dirección IP); información comercial (registros de suscripción); actividad en internet o en la red (registros del servidor); información del dispositivo (informes de fallos, si usted aceptó); y, almacenada pero ilegible para nosotros, otra información de su bóveda cifrada. Fuentes: usted, su dispositivo y las tiendas y proveedores de la sección 4. Finalidades: las de la sección 2. Conservamos cada categoría durante el tiempo indicado en la sección 6.
No vendemos información personal ni compartimos los datos de las aplicaciones y de LiveSSH Cloud para publicidad conductual entre contextos. Los anuncios personalizados de Google en el sitio web de LiveSSH pueden considerarse «compartir»; puede excluirse como se describe en la sección 12. No tenemos conocimiento real de que vendamos o compartamos datos de menores de 16 años. No utilizamos ni divulgamos información personal sensible (que incluye las credenciales de inicio de sesión de una cuenta) salvo para prestar el servicio que usted ha solicitado. Las divulgaciones con fines comerciales se hacen a los encargados de la sección 4.
Puede solicitar conocer, acceder a, rectificar, eliminar y portar su información, excluirse de la venta o el uso compartido (no hacemos ninguna de las dos cosas con los datos de las aplicaciones y de LiveSSH Cloud; para los anuncios personalizados de Google en el sitio web, consulte la sección 12) y no ser discriminado por ejercer estos derechos. Puede recurrir a un agente autorizado; verificaremos las facultades del agente y su identidad. Respondemos en 45 días (prorrogables una vez por otros 45 días con aviso). Si denegamos una solicitud, puede apelar respondiendo a nuestra decisión en contact@xiu.kr. No ofrecemos incentivos financieros por datos. Otras leyes estatales de EE. UU. (por ejemplo, de Virginia, Colorado, Connecticut o Texas) otorgan derechos similares, que respetamos del mismo modo.
República de Corea (PIPA)
Esta política es también nuestra política de privacidad conforme a la Ley de Protección de la Información Personal (Personal Information Protection Act). Datos recopilados: sección 2 (necesarios para la cuenta: dirección de correo electrónico o identificador de inicio de sesión; recopilados automáticamente: dirección IP, registros de uso del servicio, token del dispositivo e información de fallos solo con su consentimiento). Finalidades: sección 2. Conservación: hasta que elimine su cuenta o retire su consentimiento, tras lo cual los datos se destruyen de inmediato de forma irreversible; a los demás datos se les aplican los plazos de la sección 6.
Encomienda del tratamiento y transferencia al extranjero: las partes encomendadas y los destinatarios se enumeran en la sección 4 con sus finalidades, datos y país. La transferencia se realiza a través de la red en el momento en que usted utiliza la función de que se trate (registro o inicio de sesión, notificaciones, informes de fallos, compras) y se conserva durante los plazos de la sección 6. Puede rechazar la transferencia no utilizando esa función o eliminando su cuenta; esto puede hacer que la función deje de estar disponible. Para consultas dirigidas a un destinatario en el extranjero, escríbanos a contact@xiu.kr.
Responsable de la protección de la información personal: Ga Ram Jung (정가람), representante; contact@xiu.kr, +82 507-1432-9182. Medidas de seguridad: sección 10. Quejas y reparación: el Personal Information Infringement Report Center (privacy.kisa.or.kr, 118), el Personal Information Dispute Mediation Committee (kopico.go.kr, 1833-6972), la División de Investigación de Ciberdelitos de la Fiscalía Suprema (spo.go.kr, 1301) y la Oficina de Ciberdelincuencia de la Agencia Nacional de Policía (ecrm.police.go.kr, 182). Los usuarios menores de 14 años no pueden usar el servicio (sección 9).
Japón (APPI)
Tratamos la información personal, y los datos personales que conservamos, como operador que maneja información personal conforme a la Ley de Protección de la Información Personal (Act on the Protection of Personal Information). Las finalidades de uso están en la sección 2. No facilitamos datos personales a terceros distintos de las partes encomendadas de la sección 4. Información sobre transferencias al extranjero: nuestros servidores están en Japón; XIUSoft está en la República de Corea, cuya Ley de Protección de la Información Personal es una ley integral de protección de datos aplicada por una comisión independiente; nuestros proveedores en Estados Unidos están obligados, por sus propios programas de privacidad y por nuestros contratos, a proteger los datos y a utilizarlos solo para las finalidades indicadas, aunque Estados Unidos no tiene una única ley federal integral de protección de datos. Puede solicitarnos más información sobre el sistema de un país extranjero y sobre las medidas que adopta un destinatario, así como la divulgación, la rectificación, la suspensión del uso y la eliminación, escribiendo a contact@xiu.kr. Medidas de seguridad: sección 10.
Brasil (LGPD)
El controlador es XIUSoft (sección 1); el punto de contacto (encarregado) es contact@xiu.kr. Las bases jurídicas son las de la sección 2, correspondidas con la LGPD: ejecución de un contrato (art. 7, V), consentimiento (art. 7, I), interés legítimo (art. 7, IX) y cumplimiento de obligaciones legales (art. 7, II). Usted tiene los derechos enumerados en el artículo 18 (confirmación, acceso, rectificación, anonimización, bloqueo o eliminación, portabilidad, información sobre la comunicación de datos, información sobre la posibilidad de denegar el consentimiento y sus consecuencias, y revocación del consentimiento). Puede presentar una reclamación ante la ANPD. Las transferencias internacionales se basan en los mecanismos del artículo 33 de la LGPD, en particular las cláusulas contractuales específicas, y en su consentimiento específico cuando sea necesario para las transferencias descritas en la sección 5.
China continental (PIPL)
Si usted se encuentra en China continental, puede resultar aplicable la Ley de Protección de la Información Personal (PIPL). Tratamos la información personal de los usuarios en China sobre la base de su consentimiento y, cuando sea necesario, para prestar la cuenta o la suscripción que usted solicita. Sus datos se almacenan en nuestro servidor de Osaka, Japón; no tenemos ningún servidor en China continental. Los trata XIUSoft en la República de Corea y los destinatarios en el extranjero de la sección 4 (Google, Apple, RevenueCat y, para el alojamiento, Oracle), en los países que allí se indican, para las finalidades de la sección 2 y durante los plazos de la sección 6. Las funciones locales de la aplicación no transfieren nada; las transferencias se producen solo si usted crea una cuenta, activa las notificaciones o acepta los informes de fallos.
Cuando la ley lo exija, pedimos su consentimiento separado, como una opción independiente en la aplicación y antes de que los datos salgan de China continental, para (a) la transferencia transfronteriza descrita en esta política y (b) cualquier tratamiento de información personal sensible. No tratamos intencionadamente información personal sensible ni tratamos la información personal de menores de 14 años. Si no da su consentimiento, las funciones que necesitan nuestro servidor no estarán disponibles, pero SSH, SFTP y las demás funciones locales seguirán funcionando. Puede retirar su consentimiento en cualquier momento desactivando la función o eliminando su cuenta; esto no afecta al tratamiento anterior.
Para ejercer sus derechos conforme a la PIPL (a conocer, a decidir, a limitar o rechazar el tratamiento, a acceder y obtener copia, a la portabilidad, a rectificar, a suprimir y a pedirnos que expliquemos estas reglas), también frente a un destinatario en el extranjero, escriba a contact@xiu.kr desde el correo electrónico de su cuenta; este es nuestro canal de contacto para las cuestiones de la PIPL. Respondemos dentro del plazo que exija la ley y, en cualquier caso, en 30 días. Si considera que hemos vulnerado sus derechos, puede presentar una queja ante la autoridad competente de China. Cuando la PIPL nos exija designar a un responsable de la protección de la información personal o a una institución o representante específico en China continental, designaremos uno y publicaremos aquí el contacto. No afirmamos que exista ninguna presentación, registro, contrato tipo o evaluación de seguridad; completaremos los que la ley exija para nuestra situación antes de ofrecer la aplicación en las tiendas de aplicaciones de China continental.
Algunas funciones dependen de servicios que pueden no estar accesibles desde China continental: el servicio push de Google (Firebase Cloud Messaging) para las notificaciones de Android, los informes de fallos de Firebase Crashlytics e Inicio de sesión con Google (Sign in with Google). Las funciones principales de SSH y SFTP funcionan sin ellos y sin cuenta.
Canadá (PIPEDA), Australia (Privacy Act), Singapur (PDPA), India (DPDP Act)
Canadá: obtenemos su consentimiento para la recopilación, el uso y la divulgación descritos aquí; su información puede tratarse fuera de Canadá y puede ser accesible a autoridades extranjeras conforme a la ley local. Puede retirar su consentimiento o acceder a su información y rectificarla, y presentar una queja ante la Oficina del Comisionado de Privacidad de Canadá.
Australia: tratamos la información personal de conformidad con los Australian Privacy Principles. Cuando divulgamos información a destinatarios en el extranjero (sección 4), adoptamos medidas razonables para asegurarnos de que la traten de forma coherente con los APP. Puede solicitar el acceso o la rectificación y, si no resolvemos una queja, acudir a la OAIC.
Singapur: recopilamos, utilizamos y divulgamos datos personales con su consentimiento o según lo permita la PDPA, y los transferimos al extranjero solo con una protección comparable a la de la PDPA. Contacto para asuntos de protección de datos: contact@xiu.kr. Puede presentar una queja ante la PDPC.
India: tratamos sus datos personales sobre la base de su consentimiento y para los usos legítimos que permite la Digital Personal Data Protection Act. Puede acceder a sus datos, rectificarlos, completarlos y suprimirlos, retirar el consentimiento, designar a otra persona para ejercer sus derechos y utilizar nuestro contacto para reclamaciones (contact@xiu.kr; respondemos en 30 días). Puede presentar una queja ante el Data Protection Board of India una vez que haya utilizado nuestro procedimiento de reclamaciones.
Hong Kong, Taiwán y otras regiones
Los usuarios de Hong Kong (PDPO), Taiwán (PDPA) y cualquier otro país tienen los derechos de la sección 7 en la medida en que su legislación los prevea, y pueden contactarnos en contact@xiu.kr o acudir a su autoridad local. Cuando la ley local le otorgue un derecho más fuerte que esta política, se aplicará la ley local.
9. Menores
LiveSSH no está dirigido a menores. Debe tener al menos 16 años para crear una cuenta o usar LiveSSH Cloud. Elegimos una única edad mundial de 16 años porque es la edad de consentimiento digital predeterminada más alta de la UE (los Estados miembros la fijan entre 13 y 16 años) y además supera los umbrales de Corea (14), Estados Unidos (13, COPPA), Brasil y Japón, de modo que una sola regla funciona en todas partes. Si su país fija una edad superior para consentir o para celebrar contratos, esa edad se le aplica a usted.
No recopilamos a sabiendas datos personales de menores de 16 años. Si cree que un menor nos ha facilitado datos, escriba a contact@xiu.kr y los eliminaremos sin demora.
10. Seguridad
- Cifrado de extremo a extremo de la bóveda en su dispositivo con XChaCha20-Poly1305; claves derivadas de su contraseña maestra con Argon2id (64 MiB, 3 iteraciones) o de su clave de recuperación. Consulte la página de Seguridad para ver los detalles y los límites.
- TLS para el tráfico entre la aplicación y nuestro servidor; certificados de Let’s Encrypt.
- Seguridad a nivel de fila en la base de datos para que cada cuenta solo pueda acceder a sus propias filas; puertos del servidor cerrados a internet salvo el punto de entrada HTTPS; acceso administrativo únicamente por una red privada.
- Los tokens de hook se almacenan como hashes SHA-256; el cuerpo de las notificaciones se mantiene fuera de los registros del servidor.
- Las copias de seguridad diarias de la base de datos se cifran al crearse con una clave pública; la clave privada necesaria para descifrarlas no está en el servidor.
- Ningún sistema es perfectamente seguro. El código fuente de la aplicación no es público y no ha sido auditado por un tercero. Si una violación de la seguridad de los datos personales le afecta, se lo notificaremos a usted y a las autoridades sin dilación indebida y dentro del plazo legalmente exigido (por ejemplo, 72 horas a la autoridad conforme al RGPD).
11. Eliminación de su cuenta y de sus datos
En la aplicación: Ajustes > LiveSSH Cloud > Eliminar cuenta. Tras un nuevo inicio de sesión y la escritura de una confirmación, su cuenta y todo lo almacenado para ella en nuestro servidor se eliminan de inmediato: correo electrónico o identificador de inicio de sesión, bóveda cifrada, tokens push, hashes de tokens de hook y registros de suscripción. Las copias en nuestras copias de seguridad cifradas desaparecen en un plazo de 7 días, cuando estas caducan (sección 6). Quedan dos registros que contienen solo un hash, como se indica en la sección 6: el registro de eliminación (hasta 3 años) y si su cuenta recibió la antigua prueba gratuita automática, el registro de prueba gratuita (1 año desde la prueba). Ninguno permite identificarle.
Si su cuenta utiliza Sign in with Apple, revocamos el token de inicio de sesión de Apple durante la eliminación y eliminamos su registro de suscriptor en RevenueCat. Si un paso no puede completarse, se lo comunicamos en la aplicación y lo terminamos manualmente a petición suya en un plazo de 30 días (contact@xiu.kr). También puede eliminar la conexión en los ajustes de su ID de Apple o de su cuenta de Google.
Eliminar la cuenta no cancela una suscripción de la tienda. Cancélela primero en el App Store, Google Play o Microsoft Store (véanse las Condiciones del servicio).
Si no puede usar la aplicación, escriba a contact@xiu.kr desde el correo de su cuenta y eliminaremos la cuenta tras comprobar que es suya, en el plazo exigido por la ley aplicable y, en cualquier caso, en un máximo de 30 días.
Los informes de fallos no contienen información que le identifique directamente; si aun así desea que se eliminen, escríbanos. Los datos de su dispositivo se eliminan cuando desinstala la aplicación.
Paso a paso: guía paso a paso para eliminar su cuenta.
12. Sitio web, cookies, publicidad y seguimiento
Las páginas del sitio web de LiveSSH no cargan fuentes ni analítica externas. Muestran anuncios de Google AdSense: como responsable independiente, Google utiliza cookies y tecnologías similares en su navegador para mostrar y medir anuncios, prevenir el fraude y, cuando está permitido, personalizarlos. Qué recoge Google, durante cuánto tiempo lo conserva y cómo rechazarlo (incluidos el mensaje de consentimiento en el EEE, el Reino Unido y Suiza, Mi Centro de anuncios de Google y la exclusión prevista para determinados estados de EE. UU.) se describe en Publicidad en el sitio web, en la política de privacidad de XIUSoft. Nosotros mismos no establecemos cookies de seguimiento ni publicitarias. Las páginas establecen dos cookies de preferencias propias, xiu_theme (visualización según el sistema, clara u oscura) y xiu_lang (idioma), pero solo cuando usted elige un tema con el botón correspondiente o un idioma en el menú de idiomas; el mero hecho de ver una página no establece nada. Duran 1 año y se pueden leer en .xiu.kr para que su elección se mantenga entre xiu.kr, livessh.xiu.kr y account.xiu.kr. No contienen ningún identificador y nunca se usan para reconocerle ni rastrearle. Son estrictamente funcionales (recuerdan una elección que usted mismo ha hecho), por lo que no requieren consentimiento según las normas de ePrivacy, incluidas las directrices de la CNIL francesa sobre preferencias elegidas por el usuario. Puede eliminarlas en cualquier momento en los ajustes de su navegador; las páginas mostrarán entonces los valores predeterminados (el modo de pantalla de su dispositivo, idioma de su navegador). Las cookies y el almacenamiento del navegador de las páginas de cuenta (account.xiu.kr) se describen en la política de privacidad de XIUSoft. Las aplicaciones no le rastrean entre aplicaciones ni sitios web y no utilizan un identificador publicitario (la App Tracking Transparency de Apple no se aplica).
13. Cambios en esta política
Publicaremos aquí la nueva versión con una nueva fecha y conservaremos las versiones anteriores a petición. Si los cambios son importantes o adversos, como nuevos tipos de datos, nuevas finalidades o nuevos destinatarios, se lo comunicaremos en la aplicación o por correo electrónico al menos 30 días antes de que se apliquen y pediremos su consentimiento cuando la ley lo exija. Para los cambios que no le perjudiquen (por ejemplo, una aclaración o un cambio a su favor) damos un preaviso de al menos 7 días.
14. Contacto
Preguntas y solicitudes sobre privacidad: contact@xiu.kr. Teléfono: +82 507-1432-9182. Dirección postal: XIUSoft, 901-401, 33 Dongtanjungsimsangga 1-gil, Dongtan-gu, Hwaseong-si, Gyeonggi-do, 18455, Republic of Korea. Soporte e informes de seguridad: véase la página de Soporte.