Transparencia OAuth
Qué accede SENTINEL cuando conectas tus herramientas
Cuando conectas Google Workspace o Microsoft 365, SENTINEL accede solo a la lista de aplicaciones instaladas en tu organización. Nunca leemos emails, documentos, conversaciones ni datos de usuarios. Esta página explica exactamente qué permisos pedimos y por qué.
GitHub
GitHub es el único conector que accede a repositorios de código. El acceso es mínimo y específico: solo leemos los archivos de dependencias para detectar librerías de IA. Nunca accedemos al código fuente.
📦
Archivos de dependencias únicamente — leemos package.json, requirements.txt, pyproject.toml y Pipfile. Solo la sección de dependencias, no el código.
repo (lectura de contenido de archivos específicos)
📋
Nombres y metadatos de repositorios — para saber qué repos analizar. Solo el nombre del repo, el idioma principal y cuándo fue actualizado por última vez.
read:user — solo metadatos básicos
¿Qué detecta el scanner?
Librerías de IA como openai, anthropic, torch, transformers, langchain y 50+ más.
Si las encuentra, te indica el nivel de riesgo EU AI Act y si eres provider (desarrollas IA propia) o deployer (usas IA de terceros).
Esta distinción determina si necesitas Annex IV como provider o solo DPIA como deployer.
Google Workspace
📋
Lista de aplicaciones instaladas en tu organización — qué apps de terceros tienen permisos OAuth en tu Google Workspace. Solo los nombres de las apps, no su contenido.
admin.directory.app.readonly
📁
Apps con acceso a Google Drive — qué herramientas tienen permiso para leer o escribir en Drive. Solo la lista de apps, no los archivos ni su contenido.
drive.metadata.readonly
👥
Número de usuarios del workspace — para determinar el tamaño de tu organización (microempresa / pyme / gran empresa). No se guardan nombres ni emails de usuarios.
admin.directory.user.readonly — solo count
Microsoft 365
🔌
Aplicaciones registradas en Azure AD — lista de apps y servicios que tu organización tiene autorizados, incluyendo integraciones de terceros. Solo nombres e IDs de app.
Application.Read.All
🏢
Información del directorio de la organización — nombre de la empresa y tamaño aproximado. No se leen datos de empleados individuales.
Directory.Read.All — solo metadatos de organización
Lo que SENTINEL nunca accede
Emails, mensajes de Outlook, Gmail o Teams. Nunca.
Documentos, archivos, hojas de cálculo o presentaciones. Nunca.
Datos personales de empleados — nombres, emails, teléfonos, salarios. Nunca.
Historial de navegación o actividad de usuarios. Nunca.
Calendarios, contactos ni conversaciones privadas. Nunca.
Contraseñas, credenciales ni información de autenticación. Nunca.
Datos financieros, nóminas ni información de RRHH. Nunca.
Lo que sí hacemos con los datos
Comparamos la lista de apps detectadas contra nuestra base de datos de 20+ herramientas de IA conocidas para identificar cuáles son sistemas de IA.
Clasificamos automáticamente el nivel de riesgo EU AI Act de cada herramienta de IA detectada.
Pre-rellenamos el inventario de IA del quiz para que solo tengas que confirmar o corregir, no declarar de cero.
Guardamos la lista de apps detectadas en tu cuenta SENTINEL (Supabase, Frankfurt, EU) para que esté disponible al generar documentación.
Registramos en el audit trail que se realizó un auto-discovery OAuth (fecha, proveedor, número de apps encontradas) — sin guardar el contenido.
Preguntas frecuentes
¿Puedo revocar el acceso en cualquier momento?
Sí. Desde tu dashboard SENTINEL puedes desconectar cualquier proveedor con un clic. Además puedes revocar los permisos directamente desde
Google Security o
Microsoft My Apps en cualquier momento, sin necesidad de pasar por SENTINEL.
¿Dónde se guardan los tokens OAuth?
Los tokens de acceso se guardan en Supabase Frankfurt (Alemania, UE), cifrados en reposo. Nunca se registran en logs, nunca se envían a terceros. Se eliminan automáticamente cuando desconectas el proveedor.
¿Los tokens se renuevan automáticamente?
Los tokens tienen una duración limitada. Si necesitamos renovarlos para un nuevo auto-discovery, te pediremos que autorices de nuevo. No renovamos tokens en segundo plano sin tu conocimiento.
¿Qué base legal cubre este tratamiento de datos?
El tratamiento se basa en tu consentimiento explícito (Art. 6.1.a RGPD), otorgado en el momento de autorizar la conexión OAuth. Puedes retirar el consentimiento en cualquier momento desconectando el proveedor.
¿El auto-discovery es obligatorio para usar SENTINEL?
No. Es completamente opcional. Puedes generar toda la documentación de compliance declarando manualmente tus sistemas de IA en el quiz. El auto-discovery es una comodidad para quien no está seguro de todas las herramientas que usa su empresa.
¿Qué pasa si una herramienta no está en la base de datos de SENTINEL?
La verás en la lista como "App detectada — sin clasificación de riesgo automática". Puedes añadirla manualmente en el quiz indicando su función y nivel de riesgo. Si crees que debería estar en nuestra base de datos, escríbenos a
info@sentinelrisk.io.
¿Tienes más preguntas?
Escríbenos directamente. Respondemos en menos de 24 horas.
info@sentinelrisk.io →
🇪🇺 Datos almacenados en la UE · Supabase Frankfurt · RGPD compliant
SENTINEL · sentinelrisk.io · info@sentinelrisk.io · Última actualización: Mayo 2026