Última actualización: 19 de octubre de 2026. Versión 1.2. Este aviso explica quién trata tus datos personales, con qué fines, cuánto tiempo los conserva y cómo puedes ejercer tus derechos. Completa los términos y condiciones del sitio.

1. Identidad del responsable y contacto

Responsable del tratamiento. Saúl Damián López de la Peña, creador, fundador y administrador de Comatus. Puedes contactarlo en saul_lopez@uadec.edu.mx. Es una persona física: detrás del proyecto no hay ninguna razón social constituida. Su domicilio es en Saltillo, Coahuila, México; el domicilio es virtual, sin oficina física abierta al público (las notificaciones se reciben en saul_lopez@uadec.edu.mx), y su RFC es LOPS030114859.

Operador del sitio. Quien opera el sitio, publica el catálogo, administra las cuentas y atiende las solicitudes es la misma persona identificada arriba. Detrás del proyecto no hay una razón social constituida. El sitio se publica en el dominio comatus.pages.dev (antes mentohru.pages.dev) y se opera desde Saltillo, Coahuila, México. Si el proyecto se traslada o cambia de nombre, se avisará con tiempo en la portada del sitio y en los términos (sección 14.2).

Quién decide y quién ejecuta. El responsable decide qué datos se recaban, con qué finalidades, por cuánto tiempo y con qué proveedores. Los proveedores de la sección 4 ejecutan ese tratamiento por cuenta de Comatus y no deciden para qué se usan tus datos. Cada proveedor los trata bajo sus propias condiciones, que también puedes consultar, y solo conforme a las instrucciones que le damos para prestar el servicio contratado. Cuando se agregue un proveedor nuevo o se cambie uno, se avisará en esta misma sección antes de que empiece a tratar tus datos.

Los pedidos también llegan a LaClaveMaestra13. Cuando pides una mentoría, pides un trabajo a la medida, reservas un curso exclusivo o te registras como profesional, el pedido (tu nombre, cómo contactarte y lo que pediste) se reenvía a LaClaveMaestra13, el sello discográfico del mismo titular, que es quien lo revisa y te contesta. No se reenvía nada más: ni tu contraseña, ni los archivos que adjuntas, ni los clics que das en el sitio. LaClaveMaestra13 guarda el pedido en su propia base de datos, y es también donde puedes pedir que lo borren.

El asistente de IA. Un asistente de inteligencia artificial llamado Beatrice apoya al equipo: clasifica y prioriza las solicitudes. No es un tercero independiente ni el responsable del tratamiento, sino una herramienta interna que opera bajo las mismas instrucciones y bajo la revisión de una persona del equipo. Todo lo que el asistente produce se revisa antes de comunicarlo.

2. Datos personales que recabamos

Tu nombre y tu contacto: tu WhatsApp con lada o tu correo, como nos los des.

Los datos de tu solicitud: módulo y universidad de interés, tipo de servicio (mentoría, pedido o curso), plan elegido, la descripción de lo que necesitas, el precio que propones y, si adjuntas un archivo, su nombre. Los archivos pueden ser PDF, Word, imagen o ZIP, hasta 10 MB.

Si te registras como profesional: el módulo o especialidad en el que trabajarás, tu profesión o título, tus años de experiencia, el tipo de trabajo que quieres hacer y cómo se verificó tu autorización (confirmación de contacto con el tutor, acreditación de la guarda o pendiente de revisión).

Si te declaras menor de edad: el nombre y el contacto de tu madre, padre o tutor.

Si creas cuenta: tu nombre, tu contacto y tu contraseña. La contraseña nunca se guarda en texto claro (sección 10).

Datos técnicos: la dirección IP de tu conexión, que usamos solo para limitar los intentos de registro e inicio de sesión, y el registro de eventos descrito en la sección 9.

No recabamos de forma deliberada datos de salud, datos biométricos ni datos de tarjetas o de pago: el sitio no procesa pagos. Si tú incluyes información sensible en la descripción de tu solicitud o en un archivo adjunto, se tratará como parte de esa solicitud y con el mismo plazo.

3. Finalidades y consentimientos separados

Usamos tus datos para dos finalidades distintas. Cada una tiene su propio consentimiento y puedes aceptarlas por separado.

Consentimiento A — atender tu solicitud (necesario). Finalidad: registrar tu solicitud, contactarte, buscar un profesional disponible, coordinar la mentoría, el pedido o el curso, enviarte la constancia de mentoría y, si lo pides, impartir prácticas o mandarte vacantes. Sin este consentimiento no podemos atender tu solicitud: es la base del servicio. Con este consentimiento guardamos tu nombre, tu contacto, el módulo y la universidad, el tipo de servicio y el plan, tu descripción, el precio que propones, el archivo opcional y, si eres menor, los datos de tu tutor.

Consentimiento B — mejorar y entrenar modelos de IA (opcional). Finalidad: usar el contenido de tu solicitud, con los datos personales enmascarados, para mejorar la memoria de Beatrice (el asistente que organiza las solicitudes) y, en el futuro, entrenar modelos de IA. Este consentimiento es independiente del anterior: puedes rechazarlo sin perder el servicio, no se da por hecho y puedes revocarlo cuando quieras (sección 6). Está apagado por defecto.

Consentimiento C — menores de edad. Si eres menor de 18 años, los dos consentimientos anteriores requieren el consentimiento de tu madre, padre o tutor, y ese consentimiento debe ser propio y verificable. Además, por decisión de minimización, los datos de menores de edad no se usan para entrenar modelos de IA (sección 8).

Estado actual de la separación en los formularios. Los formularios del sitio ya traen las dos casillas separadas: una obligatoria para atender tu solicitud (consentimiento A) y otra opcional y desmarcada para el entrenamiento de IA (consentimiento B). Si marcas solo la primera, te atendemos igual y tu solicitud no se copia al archivo de aprendizaje. Si marcas la segunda, ese consentimiento queda registrado por separado, con la fecha y la hora de tu aceptación. En los formularios donde se declara ser menor de edad, la segunda casilla se desactiva sola.

Componentes del modelo alojados fuera de la infraestructura propia. Revisamos el código del asistente y esta es la respuesta corta: los pesos del modelo (el adaptador LoRA y el modelo base), la base de datos de conocimiento, los cálculos de significado y el enmascarado viven en el equipo del proyecto, sin depender de un servicio externo. Lo que sí se ejecuta fuera es el motor de lenguaje que redacta la respuesta, que es un servicio de IA en la nube (NVIDIA NIM, OpenRouter, Groq, Cerebras, Google Gemini y Mistral), con un modelo local como relevo cuando ninguno responde. El detalle de qué sale del equipo y con qué controles está en la sección 5.

4. Encargados y transferencias fuera de México

Antes este aviso decía que no compartíamos tus datos con terceros ajenos a Comatus. Era una simplificación: sí hay terceros, aunque es cierto que no vendemos tus datos. Estos son los proveedores que tratan tus datos por cuenta de Comatus:

— Cloudflare, Inc. Aloja el sitio y guarda la base de cuentas, las sesiones y la bitácora de eventos (Cloudflare Pages y su almacén KV). Ve tu nombre, tu contacto, la huella de tu contraseña y los eventos de la sección 9.

— Web3Forms. Entrega tu solicitud por correo electrónico. Ve los campos de tu solicitud y, si adjuntas un archivo, el archivo.

— Microsoft (Microsoft Teams, mediante Power Automate). Publica tu solicitud en el canal interno del equipo. Ve los campos de tu solicitud y, si adjuntas un archivo, su nombre.

— Slack (Salesforce). Publica tu solicitud en el canal interno del equipo. Ve los campos de tu solicitud y, si adjuntas un archivo, su nombre.

— HubSpot. Registra tu solicitud como contacto en el CRM del equipo: busca o crea un contacto con tu correo y deja una nota con el detalle de la solicitud. Ve tu correo y los campos de tu solicitud.

— Canal heredado de notificación. Mientras no estén configurados los canales de empresa, el Worker de notificaciones sigue avisando por el canal de siempre para que no se caiga la bandeja de solicitudes. En cuanto se configura Teams, Slack o HubSpot, ese canal se apaga solo, sin ninguna acción de tu parte.

El Worker de notificaciones (notificacion-worker.js) es la pieza que hace este reparto: recibe tu solicitud y la entrega a los canales que estén configurados. Si fallan todos, se responde con un error y la solicitud queda registrada para atención manual.

Transferencias fuera de México. Los proveedores anteriores pueden tratar la información en centros de datos fuera de México, en particular en Estados Unidos (Cloudflare, Microsoft, Salesforce y HubSpot). Cuando eso ocurre se trata de una transferencia internacional. Tus derechos de la sección 6 también se ejercen sobre los datos que un proveedor guarda fuera de México: si un proveedor conserva datos tuyos, escríbenos a saul_lopez@uadec.edu.mx desde el correo o el número con el que te registraste, dinos a cuál te refieres y respondemos ante ti con los mismos plazos y la misma forma que para el resto de tus datos.

No vendemos tus datos, no los cedemos con fines publicitarios y no los usamos para perfilado publicitario. La bolsa de trabajo del sitio no usa los datos de tus solicitudes: las ofertas se obtienen de fuentes públicas de empleo remoto y de avisos de la comunidad, y se muestran resumidas.

5. Uso con ayuda de un modelo de IA

El sitio usa un asistente de IA propio, Beatrice, para clasificar y priorizar las solicitudes y apoyar al equipo. La IA no atiende a los estudiantes por sí sola ni decide quién recibe qué mentoría: una persona del equipo revisa y aprueba lo que se comunica.

Los datos que alimentan esa memoria son los eventos de la bitácora (sección 9), a los que se aplica un enmascarado: los correos y los teléfonos se sustituyen por marcadores (por ejemplo, <correo> y <telefono>), y también se ocultan tarjetas, CURP y RFC. Si un evento contiene algo que parece un secreto (por ejemplo, una contraseña), el evento se descarta y no se copia.

Usar tus datos con ese fin (entrenar o mejorar modelos) exige el consentimiento B de la sección 3. El contenido de una sesión de mentoría, un archivo que adjuntes o material de trabajo nunca se usan para entrenamiento.

Revisamos el enmascarado de forma periódica. Si en algún momento se usara un modelo de IA alojado por un tercero con una configuración distinta, se informará en esta sección antes, con el nombre del proveedor y los datos que vería.

Qué está en el equipo y qué sale de él. Esto es lo que revisamos en el código del asistente: (a) los pesos —el adaptador LoRA (lora_beatrice/adapter_model.safetensors) y el modelo base Qwen/Qwen2.5-Coder-1.5B-Instruct— se cargan en el equipo y no se descargan de ningún servicio externo; (b) la memoria de conocimiento es una base de datos local (ChromaDB) y los cálculos de significado los hace un modelo que corre en el mismo equipo; (c) el enmascarado se aplica en el equipo antes de que un evento se escriba en el archivo de aprendizaje; y (d) el motor de lenguaje que redacta la respuesta sí es externo: se consultan por turno los proveedores de IA en la nube (NVIDIA NIM, OpenRouter, Groq, Cerebras, Google Gemini y Mistral) y, si ninguno responde, entra un modelo local como relevo. Consecuencia práctica: cuando el asistente responde, el contexto que recupera de la memoria (que puede incluir el resumen diario de actividad de Comatus, ya enmascarado) viaja dentro del mensaje que se envía al proveedor de la nube. En ese mensaje no van tu nombre, tu teléfono ni tu correo, porque en la memoria están sustituidos por marcadores, y los archivos que adjuntas nunca se cargan al asistente. El texto libre que tú escribes sí puede contener datos personales que el enmascarado automático no alcance: por eso lo revisamos de forma periódica.

6. Derechos ARCO: acceso, rectificación, cancelación y oposición

Puedes ejercer tus derechos de acceso, rectificación, cancelación y oposición (ARCO), y además revocar los consentimientos que hayas dado. El procedimiento es el mismo para todos:

1) Escribe, desde el correo o el número que registraste en tu cuenta o que usaste en tu solicitud, a saul_lopez@uadec.edu.mx.

2) Indica con claridad qué derecho quieres ejercer (acceso, rectificación, cancelación, oposición o revocación del consentimiento de entrenamiento de IA) y qué datos te identifican: tu nombre, tu correo o teléfono, el módulo y la fecha aproximada de la solicitud. Si no tienes cuenta, esos últimos datos bastan para localizarla.

3) Si el derecho que ejerces es de rectificación, incluye los datos correctos.

Respondemos en un máximo de 20 días hábiles contados a partir de la recepción de tu solicitud, y entregamos la respuesta por correo electrónico, a la dirección desde la que ejerciste el derecho. Si se rechaza, te lo informamos por escrito, con los motivos, en un plazo máximo de 15 días hábiles adicionales, y te indicamos los medios para inconformarte: puedes presentar tu inconformidad ante la Secretaría Anticorrupción y Buen Gobierno, o ante la autoridad garante del estado donde se encuentre el domicilio del titular.

Qué se conserva aunque pidas la cancelación. Podemos conservar, y solo durante lo necesario: los registros de acceso y de seguridad que sirven para prevenir fraude y para demostrar que una operación se realizó (por ejemplo, el registro de que se intentó iniciar sesión con una contraseña incorrecta); los datos que una autoridad competente nos exija conservar; y, en su caso, los datos fiscales o contables que la ley obligue a llevar. Conservamos además conteos agregados y anónimos (por ejemplo, cuántos pedidos se hicieron por módulo), que no te identifican. Los registros de acceso y de seguridad se conservan 60 días, el mismo plazo de la bitácora de eventos de la sección 7; los datos que una autoridad competente nos exija conservar, hasta que se resuelva; y los datos fiscales o contables, por el tiempo que fijen las normas aplicables. Ninguno de esos datos se usa para atender solicitudes ni para entrenar la IA, y los conteos agregados y anónimos no permiten identificarte.

Cuando pides la cancelación cesa el uso de tus datos para atender solicitudes y para el entrenamiento de IA, se cierran tus sesiones y se eliminan tu cuenta y tus solicitudes, con las excepciones del párrafo anterior.

7. Conservación y plazos

Los plazos dependen del tipo de dato:

— Tu cuenta y tus solicitudes: mientras dure el servicio y hasta 12 meses contados a partir de la última actividad. Después se eliminan, salvo que exista una reclamación, un litigio o una orden de autoridad, en cuyo caso se conservan solo hasta que se resuelva.

Qué se entiende por "última actividad". Es la fecha del último movimiento vivo de la titular: el último inicio de sesión o la última solicitud registrada con su mismo contacto. El criterio es uno solo y es el mismo en todas partes: se conserva todo lo que tenga actividad dentro de los últimos 12 meses y se borra lo más antiguo. Si no hay ninguna actividad registrada dentro de ese plazo, los datos se borran aunque el servicio siga funcionando. La fecha se guarda junto a la cuenta (campo ultimo_uso) y se actualiza en cada inicio de sesión y en cada solicitud que llega con ese mismo contacto.

— Sesiones activas: 30 días. Después se invalidan solas.

— Contadores de intentos (registro e inicio de sesión): 1 hora. Se usan solo para limitar la fuerza bruta.

— Bitácora de eventos en la nube: 60 días. El sistema la borra sola.

— Copia local en la computadora del fundador: el archivo de datos de aprendizaje de Beatrice (mentohru_eventos.jsonl) guarda los eventos enmascarados. Cada 30 minutos un proceso automático los copia desde la nube, les aplica el enmascarado y borra el original en la nube. Solo se copian las solicitudes con el consentimiento B aceptado: las que no lo tienen se descartan en la nube y nunca llegan al archivo de aprendizaje, y las de menores de edad se descartan aunque la casilla esté marcada. Conservamos 12 meses de ese archivo y después lo depuramos. La purga es automática y deja constancia: un proceso programado borra los registros con más de 12 meses y escribe en una bitácora (purgar_eventos.log) qué borró, cuántos registros eran y cuándo. Hoy ese archivo contiene avisos de vacantes ya resumidos, sin datos personales, más las solicitudes de quienes aceptaron el consentimiento B, ya enmascaradas.

— Datos de menores de edad: los mismos plazos del primer punto, y nunca se usan para entrenamiento de IA.

— Archivos que adjuntas: se eliminan junto con la solicitud. El equipo puede conservarlos el tiempo que sea necesario para atenderla.

8. Menor de edad

Cómo funciona hoy. Si te declaras menor de edad en el formulario, el sitio pide el nombre y el contacto de tu madre, padre o tutor y los envía junto con la solicitud. Ese consentimiento es declarativo: el sitio no lo verifica de forma automática, no comprueba que quien escribe sea el titular ni que el tutor haya dado su autorización.

El riesgo. Como no hay verificación, un menor podría registrarse sin la autorización de su tutor, alguien podría hacerse pasar por tutor o el tutor podría no saber que su hijo usó el servicio. El riesgo es real y no queremos ocultarlo: por eso lo decimos aquí.

Qué hacemos, paso a paso. La verificación la hace una persona del equipo, siguiendo este procedimiento: 1) Al recibir una solicitud marcada como menor de edad, el equipo toma la fecha, el módulo y el contacto del menor, y el nombre y el contacto del tutor que se capturaron. 2) Se contacta al tutor en ese número o correo —llamada o mensaje— y se le confirma que el menor es su hijo o pupilo y que autoriza el uso del servicio. 3) Si el tutor no contesta, si duda, si el menor cuenta otra cosa o si hay algún señalamiento, se le pide una acreditación de la guarda (por ejemplo, el acta de nacimiento del menor donde aparezca el tutor, o un documento equivalente). 4) Si el tutor no autoriza o no se puede confirmar la autorización, se cancela el servicio, se eliminan los datos de esa solicitud y se le informa al tutor. 5) El resultado queda registrado en el campo "verificación de la autorización" de la solicitud, que puede quedar como pendiente de revisión, como confirmación de contacto con el tutor o como acreditación de la guarda.

Dónde se registra. El formulario de registro de profesionales incluye el campo "verificación de la autorización", que arranca en "pendiente de revisión" y se actualiza con el resultado del procedimiento anterior. En las solicitudes de menores de edad que llegan por los formularios de cuenta, de búsqueda y de servicio, el mismo resultado se anota en la ficha de la solicitud que el equipo recibe. Lo que el sitio no puede hacer: no verifica en automático que quien escribe sea el titular ni que el tutor haya dado su autorización, y no comprueba la identidad contra ningún documento. La verificación es una llamada de una persona, no una comprobación automática.

Tratamiento especial en el entrenamiento de IA. Los datos de menores de edad no se usan para entrenar ni para mejorar modelos de IA, y su consentimiento para ese fin no se acepta: basta el consentimiento para atender la solicitud. Aplica además el enmascarado de la sección 5, y su contenido no alimenta la memoria del asistente. Si en algún momento se quisiera incluir ese uso, tendría que habilitarse de forma expresa, con el consentimiento específico del tutor, y avisarse en esta sección antes.

9. Cookies, almacenamiento local y bitácoras

No usamos cookies. El sitio no coloca cookies, no usa cookies de terceros y no incluye píxeles de seguimiento ni publicidad comportamental.

Almacenamiento local. El sitio guarda en tu navegador (localStorage) cuatro claves:

— mentohruVisitado: marca que ya viste la pantalla de bienvenida.

— mentohruCuenta: tu nombre, tu contacto y tu token de sesión, si creaste cuenta.

— mentohruCuentaOmitida: marca que elegiste continuar sin cuenta.

— mentohruLang: recuerda el idioma que elegiste para los textos legales (español o inglés).

Puedes borrar estas claves desde la configuración de tu navegador. Si borras mentohruCuenta, pierdes la sesión en este dispositivo.

Bitácora. Cuando envías una solicitud o creas una cuenta, el sitio registra un evento: el tipo de evento (por ejemplo, "Nueva solicitud de mentoría") y los campos de la solicitud. Es un registro técnico, no un perfil publicitario: se usa para organizar la bandeja del equipo, para el límite de intentos y para la memoria del asistente de IA. Cada evento se guarda hasta 60 días, se limita a 4,000 caracteres y su envío se limita a 60 eventos por hora y por conexión.

En los formularios, un campo trampa invisible para las personas detecta los envíos automatizados: si viene lleno, el envío se descarta en silencio.

10. Seguridad de la información

Contraseñas. Tu contraseña nunca se guarda ni se transmite en texto claro. Se deriva con PBKDF2-HMAC-SHA256, 100,000 iteraciones, con una sal aleatoria de 16 bytes por usuario, y el resultado es una huella de 256 bits. Si la pierdes, puedes pedir una contraseña temporal, que se envía por correo electrónico.

Sesiones. Cada inicio de sesión genera un token aleatorio de 32 bytes que se guarda en el servidor durante 30 días y se invalida al cerrar sesión.

Control de intentos. El registro y el inicio de sesión se limitan a 20 intentos por hora y por dirección IP.

Transporte. El sitio se sirve por HTTPS.

Límites. Los archivos adjuntos se limitan a 10 MB y los campos de una solicitud a 1,000 caracteres.

Lo que no hacemos. No ciframos con una clave propia los datos de las solicitudes antes de entregarlos a los proveedores de la sección 4: viajan cifrados en tránsito por HTTPS, pero cada proveedor los almacena en su propia plataforma, conforme a sus propias condiciones, que también puedes consultar.

Cifrado en reposo desde tu navegador: qué evaluamos y por qué no está activo. La opción técnica existe y es viable: se puede cifrar el archivo adjunto en tu navegador con AES-GCM de 256 bits (API WebCrypto), derivando la clave con PBKDF2 a partir de una contraseña que te pediríamos, y enviar el archivo ya cifrado. El costo real está en esa contraseña: habría que entregarla por un canal distinto del archivo (una llamada o un mensaje aparte), quien la pierda ya no podría abrir el archivo porque el cifrado no se deshace con un link del sitio, y el archivo es justamente el insumo del trabajo, así que el equipo y el profesional que lo atienden necesitan poder abrirlo. Por eso hoy no lo activamos: los archivos viajan cifrados en tránsito por HTTPS desde tu navegador hasta los proveedores de la sección 4 y se eliminan junto con la solicitud. Queda pendiente, si más adelante se decide activarlo: fijar el algoritmo (AES-GCM de 256 bits con PBKDF2 y al menos 210,000 iteraciones), el canal de entrega de la contraseña y el texto del formulario que explique qué archivos sí se podrían cifrar y cuáles no.

11. Cambios a este aviso

Este aviso se actualizó por última vez el 19 de octubre de 2026. Los cambios principales de esta versión: se rellenaron los datos del titular (carácter de persona física, ciudad de Saltillo, Coahuila, México, y los dos datos que solo él puede aportar: domicilio callejero con código postal y RFC); se documentó el cobro del 5% de la ganancia después de impuestos que Comatus cobra a los profesionales, con el precio al estudiante fijado por el profesional y sin recargo para el usuario; se precisó que la respuesta a los derechos ARCO se entrega por correo electrónico y ante qué autoridad puedes inconformarte; y se detalló qué se conserva aunque pidas la cancelación y con qué plazo.

Historial de versiones de este aviso

— Versión 1.2 — 19 de octubre de 2026 (vigente). Los cambios de esta versión son los que se resumen en el párrafo anterior.

— Versión 1.1 — 19 de octubre de 2026 (anterior). Se separó el consentimiento en los formularios, con una casilla obligatoria para atender tu solicitud y otra opcional, desmarcada por omisión, para el entrenamiento de IA; el consentimiento de entrenamiento se registra por separado, con fecha y hora, y las solicitudes que no lo aceptan ya no se copian al archivo de aprendizaje; se escribió el criterio de "última actividad" y se automatizó la purga a los 12 meses, con bitácora de cada borrado; se documentó el procedimiento de verificación de la autorización del tutor y el campo donde se registra; se documentó la evaluación del cifrado en reposo del lado del cliente y por qué no está activo; y se publicaron los componentes del modelo que corren fuera de la infraestructura propia.

— Versión 1.0 — 19 de octubre de 2026 (superada; se publicó ese mismo día, antes que la 1.1). Corrigió la afirmación anterior de que no compartíamos datos con terceros y nombró a los proveedores que sí los tratan; separó las dos finalidades y sus consentimientos; documentó los derechos ARCO completos, con procedimiento y plazos; fijó plazos de conservación por tipo de dato; y documentó el tratamiento de los menores de edad, del almacenamiento local y de la seguridad de las contraseñas. Su texto íntegro se conserva aquí: privacidad-2026-10-19.html.

— Versión 0.1 — 10 de octubre de 2026 (superada). El aviso era un solo párrafo dentro de la página principal: usaba una sola casilla de consentimiento que cubría a la vez el contacto y el entrenamiento de IA, afirmaba que no compartíamos datos con terceros ajenos a Comatus y no fijaba plazos ni procedimiento de derechos ARCO. Su texto íntegro se conserva en el archivo del proyecto (carpeta avisos); no se publica porque en él se nombraba el canal de mensajería heredado, que este sitio no nombra.

Los cambios que afecten de manera sustancial el uso de tus datos —en particular los relacionados con el entrenamiento de IA— se anuncian en la portada del sitio con al menos 15 días de anticipación y, si tienes cuenta registrada, por correo electrónico a la dirección que tengas registrada.

12. Contacto

Para cualquier duda sobre este aviso, para ejercer tus derechos o para pedir la eliminación de tus datos, escribe a saul_lopez@uadec.edu.mx desde el correo o el número con el que te registraste o enviaste tu solicitud. Los términos y condiciones completan este aviso y forman parte de la relación con el sitio.

Last updated: October 19, 2026. Version 1.2. This notice explains who processes your personal data, for what purposes, for how long it is kept, and how you can exercise your rights. It completes the site's terms and conditions.

1. Identity of the controller and contact

Data controller. Saúl Damián López de la Peña, creator, founder and administrator of Comatus. You can reach him at saul_lopez@uadec.edu.mx. He is a natural person: there is no incorporated legal entity behind the project. His domicile is in Saltillo, Coahuila, Mexico; the domicile is virtual, with no physical office open to the public (notices are received at saul_lopez@uadec.edu.mx), and his RFC (Mexican tax ID) is LOPS030114859.

Site operator. The person who operates the site, publishes the catalog, manages the accounts and handles requests is the same person identified above. There is no incorporated legal entity behind the project. The site is published on the comatus.pages.dev domain (formerly mentohru.pages.dev) and is operated from Saltillo, Coahuila, Mexico. If the project moves or changes its name, it will be announced in good time on the homepage and in the terms (section 14.2).

Who decides and who executes. The controller decides which data is collected, for what purposes, for how long and with which providers. The providers listed in section 4 carry out that processing on Comatus's behalf and do not decide how your data is used. Each provider handles them under its own terms, which you can also consult, and only according to the instructions we give it to provide the service it was hired for. When a new provider is added or one is changed, it will be announced in this same section before it starts handling your data.

Orders also reach LaClaveMaestra13. When you request a mentoring session, request custom work, book an exclusive course or sign up as a professional, the order (your name, how to reach you and what you asked for) is forwarded to LaClaveMaestra13, the record label of the same owner, which reviews it and replies to you. Nothing else is forwarded: not your password, not the files you attach, not the clicks you make on the site. LaClaveMaestra13 keeps the order in its own database, and that is also where you can ask for it to be deleted.

The AI assistant. An artificial intelligence assistant called Beatrice supports the team: it classifies and prioritizes requests. It is not an independent third party nor the data controller, but an internal tool that operates under the same instructions and under the review of a member of the team. Everything the assistant produces is reviewed before it is communicated.

2. Personal data we collect

Your name and your contact details: your WhatsApp number with country code or your email address, as you give them to us.

Your request data: module and university of interest, type of service (mentorship, order or course), selected plan, the description of what you need, the price you propose and, if you attach a file, its name. Files may be PDF, Word, image or ZIP, up to 10 MB.

If you register as a professional: the module or specialty you will work on, your profession or degree, your years of experience, the type of work you want to do and how your authorization was verified (confirmation of contact with the guardian, proof of guardianship or pending review).

If you declare that you are a minor: the name and contact details of your mother, father or legal guardian.

If you create an account: your name, your contact details and your password. The password is never stored in plain text (section 10).

Technical data: the IP address of your connection, which we use only to limit registration and sign-in attempts, and the event log described in section 9.

We do not deliberately collect health data, biometric data or card or payment data: the site does not process payments. If you include sensitive information in the description of your request or in an attached file, it is treated as part of that request and under the same deadline.

3. Purposes and separate consents

We use your data for two distinct purposes. Each has its own consent, and you can accept them separately.

Consent A — handling your request (necessary). Purpose: to record your request, contact you, find an available professional, coordinate the mentorship, order or course, send you the certificate of mentorship and, on request, arrange internships or send you vacancies. Without this consent we cannot process your request: it is the basis of the service. Under this consent we store your name, your contact details, the module and university, the service type and plan, your description, the price you propose, the optional attachment and, if you are a minor, your guardian's details.

Consent B — improving and training AI models (optional). Purpose: to use the content of your request, with personal data masked, to improve Beatrice's memory (the assistant that organizes requests) and, in the future, to train AI models. This consent is independent of the previous one: you can refuse it without losing the service, it is never assumed, and you can revoke it at any time (section 6). It is off by default.

Consent C — minors. If you are under 18, both consents above require the consent of your mother, father or legal guardian, and that consent must be specific and verifiable. In addition, as a matter of data minimization, data from minors is not used to train AI models (section 8).

Current state of the separation on the forms. The site's forms now carry the two boxes separately: one mandatory to handle your request (Consent A) and another optional and unticked by default for AI training (Consent B). If you only tick the first one, we still handle your request and it is not copied to the learning file. If you tick the second one, that consent is recorded separately, with the date and time of your acceptance. On the forms where you can declare that you are a minor, the second box is disabled automatically.

Model components hosted outside our own infrastructure. We reviewed the assistant's code and this is the short answer: the model's weights (the LoRA adapter and the base model), the knowledge database, the embeddings and the masking all run on the project's own computer, with no external service involved. What does run outside is the language model that writes the answer, which is a cloud AI service (NVIDIA NIM, OpenRouter, Groq, Cerebras, Google Gemini and Mistral), with a local model as a fallback when none of them answers. The details of what leaves our computer and under which controls are in section 5.

4. Processors and transfers outside Mexico

This notice previously said that we did not share your data with third parties outside Comatus. That was a simplification: there are third parties, although it is true that we do not sell your data. These are the providers that process your data on Comatus's behalf:

— Cloudflare, Inc. Hosts the site and stores the account database, the sessions and the event log (Cloudflare Pages and its KV store). It sees your name, your contact details, your password hash and the events described in section 9.

— Web3Forms. Delivers your request by email. It sees your request fields and, if you attach a file, the file.

— Microsoft (Microsoft Teams, through Power Automate). Posts your request to the team's internal channel. It sees your request fields and, if you attach a file, its name.

— Slack (Salesforce). Posts your request to the team's internal channel. It sees your request fields and, if you attach a file, its name.

— HubSpot. Records your request as a contact in the team's CRM: it searches for or creates a contact with your email and leaves a note with the details of the request. It sees your email and your request fields.

— Legacy notification channel. While the company channels are not configured, the notification Worker keeps notifying through the usual channel so that the request inbox does not go down. As soon as Teams, Slack or HubSpot is configured, that channel switches itself off, with no action on your part.

The notification Worker (notificacion-worker.js) is the piece that does this distribution: it receives your request and delivers it to whichever channels are configured. If all of them fail, an error is returned and the request stays recorded for manual attention.

Transfers outside Mexico. The providers above may process the information in data centers outside Mexico, particularly in the United States (Cloudflare, Microsoft, Salesforce and HubSpot). When that happens it is an international transfer. Your rights in section 6 also cover the data a provider keeps outside Mexico: if a provider holds your data, write to us at saul_lopez@uadec.edu.mx from the email address or phone number you registered with, tell us which one you mean, and we will answer you with the same deadlines and in the same way as for the rest of your data.

We do not sell your data, we do not disclose it for advertising purposes and we do not use it for advertising profiling. The site's job board does not use your request data: offers come from public remote job sources and from community postings, and are shown in summary form.

5. Use with the help of an AI model

The site uses its own AI assistant, Beatrice, to classify and prioritize requests and support the team. The AI does not attend to students on its own and does not decide who gets which mentorship: a member of the team reviews and approves what is communicated.

The data feeding that memory are the events from the log (section 9), to which a masking process is applied: email addresses and phone numbers are replaced by placeholders (for example, <correo> and <telefono>), and card numbers, CURP and RFC are also hidden. If an event contains something that looks like a secret (a password, for example), the event is discarded and is not copied.

Using your data for that purpose (training or improving models) requires Consent B in section 3. The content of a mentorship session, a file you attach or working material are never used for training.

We review the masking process periodically. Should an AI model hosted by a third party ever be used with a different configuration, it will be announced in this section beforehand, with the provider's name and the data it would see.

What stays on our computer and what leaves it. This is what we found in the assistant's code: (a) the weights —the LoRA adapter (lora_beatrice/adapter_model.safetensors) and the base model Qwen/Qwen2.5-Coder-1.5B-Instruct— are loaded on our computer and are not downloaded from any external service; (b) the knowledge memory is a local database (ChromaDB) and the embeddings are computed by a model running on the same computer; (c) the masking is applied on our computer before an event is written to the learning file; and (d) the language model that writes the answer is external: the cloud AI providers (NVIDIA NIM, OpenRouter, Groq, Cerebras, Google Gemini and Mistral) are tried in turn and, if none answers, a local model takes over. Practical consequence: when the assistant answers, the context it retrieves from memory (which may include the daily summary of Comatus activity, already masked) travels inside the message sent to the cloud provider. Your name, phone number and email do not travel in that message, because in memory they are replaced by placeholders, and the files you attach are never loaded into the assistant. Free text that you write may still contain personal data the automatic masking does not catch: that is why we review it periodically.

6. ARCO rights: access, rectification, cancellation and objection

You may exercise your rights of access, rectification, cancellation and objection (ARCO), and may also revoke the consents you have given. The procedure is the same for all of them:

1) Write, from the email address or phone number you registered with your account or used in your request, to saul_lopez@uadec.edu.mx.

2) State clearly which right you are exercising (access, rectification, cancellation, objection or revocation of the AI training consent) and what identifies you: your name, your email or phone number, the module and the approximate date of the request. If you have no account, that last information is enough for us to find it.

3) If the right you are exercising is rectification, include the corrected information.

We reply within a maximum of 20 business days counted from receipt of your request, and the reply is delivered by email, to the address from which you exercised the right. If we refuse it, we tell you in writing, with the reasons, within a further maximum of 15 business days, and we indicate the means available to contest that decision: you may lodge your inconformity (recurso de inconformidad) with the Secretaría Anticorrupción y Buen Gobierno, or with the state authority in charge of the state where the controller's domicile is located.

What is kept even if you ask for cancellation. We may keep, and only for as long as necessary: access and security logs used to prevent fraud and to demonstrate that an operation took place (for example, a record that a sign-in was attempted with an incorrect password); data that a competent authority requires us to keep; and, where applicable, tax or accounting data that the law requires us to hold. We also keep aggregated, anonymized counts (for example, how many orders were made per module), which do not identify you. Access and security logs are kept for 60 days, the same deadline as the event log in section 7; data that a competent authority requires us to keep, until it is resolved; and tax or accounting data, for as long as the applicable rules set. None of that data is used to handle requests or to train the AI, and the aggregated, anonymous counts do not allow you to be identified.

When you request cancellation, the use of your data to handle requests and for AI training stops, your sessions are closed and your account and requests are deleted, subject to the exceptions in the paragraph above.

7. Retention and deadlines

Deadlines depend on the type of data:

— Your account and your requests: for as long as the service lasts and up to 12 months from your last activity. After that they are deleted, unless there is a claim, a dispute or an order from an authority, in which case they are kept only until it is resolved.

What "last activity" means. It is the date of the account holder's last live movement: the last sign-in or the last request registered with the same contact details. The criterion is single and the same everywhere: everything with activity within the last 12 months is kept and everything older is deleted. If there is no activity recorded within that period, the data is deleted even if the service keeps running. The date is stored with the account (ultimo_uso field) and is updated on every sign-in and on every request that arrives with that same contact.

— Active sessions: 30 days. After that they expire on their own.

— Attempt counters (registration and sign-in): 1 hour. They are used only to limit brute-force attempts.

— Event log in the cloud: 60 days. The system deletes it automatically.

— Local copy on the founder's computer: the Beatrice learning data file (mentohru_eventos.jsonl) keeps the masked events. Every 30 minutes an automatic process copies them from the cloud, applies the masking and deletes the original in the cloud. Only requests with Consent B accepted are copied: the ones without it are discarded in the cloud and never reach the learning file, and requests from minors are discarded even if the box was ticked. We keep 12 months of that file and then purge it. The purge is automatic and leaves a record: a scheduled process deletes records older than 12 months and writes to a log (purgar_eventos.log) what it deleted, how many records there were and when. Today that file contains already summarized vacancy notices, with no personal data, plus the requests of those who accepted Consent B, already masked.

— Data from minors: the same deadlines as the first item, and never used for AI training.

— Files you attach: deleted together with the request. The team may keep them for as long as needed to handle it.

8. Minors

How it works today. If you declare that you are a minor on the form, the site asks for the name and contact details of your mother, father or legal guardian and sends them with the request. That consent is declarative: the site does not verify it automatically, does not check that the person writing is the account holder, and does not check that the guardian has actually given authorization.

The risk. Because there is no verification, a minor could register without their guardian's authorization, someone could pose as a guardian, or the guardian might not know their child used the service. The risk is real and we do not want to hide it: that is why we say it here.

What we do, step by step. A member of the team carries out the verification, following this procedure: 1) When a request marked as coming from a minor arrives, the team takes the date, the module and the minor's contact details, plus the name and contact details of the guardian that were captured. 2) The guardian is contacted at that phone number or email —a call or a message— and confirms that the minor is their child or ward and that they authorize the use of the service. 3) If the guardian does not answer, if they hesitate, if the minor tells a different story or if there is any report, proof of guardianship is requested (for example, the minor's birth certificate showing the guardian, or an equivalent document). 4) If the guardian does not authorize it, or the authorization cannot be confirmed, the service is cancelled, the data of that request is deleted and the guardian is informed. 5) The result is recorded in the request's "authorization verification" field, which can be left as pending review, set to confirmation of contact with the guardian, or set to proof of guardianship.

Where it is recorded. The professional registration form includes the "authorization verification" field, which starts as "pending review" and is updated with the result of the procedure above. For requests from minors that arrive through the account, search and service forms, the same result is noted in the request record the team receives. What the site cannot do: it does not verify automatically that the person writing is the account holder, nor that the guardian gave authorization, and it does not check identity against any document. The verification is a call by a person, not an automatic check.

Special handling in AI training. Data from minors is not used to train or improve AI models, and consent for that purpose is not accepted: the consent to handle the request is enough. The masking described in section 5 also applies, and its content does not feed the assistant's memory. If that use were ever wanted, it would have to be expressly enabled, with the specific consent of the guardian, and announced in this section beforehand.

9. Cookies, local storage and event logs

We do not use cookies. The site sets no cookies, uses no third-party cookies and includes no tracking pixels or behavioral advertising.

Local storage. The site stores four keys in your browser (localStorage):

— mentohruVisitado: marks that you have already seen the welcome screen.

— mentohruCuenta: your name, your contact details and your session token, if you created an account.

— mentohruCuentaOmitida: marks that you chose to continue without an account.

— mentohruLang: remembers the language you chose for the legal texts (Spanish or English).

You can delete these keys from your browser settings. If you delete mentohruCuenta, you lose the session on this device.

Event log. When you submit a request or create an account, the site records an event: the event type (for example, "New mentorship request") and the request fields. It is a technical record, not an advertising profile: it is used to organize the team's inbox, to enforce the attempt limit and to feed the AI assistant's memory. Each event is kept for up to 60 days, is capped at 4,000 characters, and its submission is limited to 60 events per hour per connection.

On the forms, a honeypot field invisible to people detects automated submissions: if it comes back filled, the submission is discarded silently.

10. Information security

Passwords. Your password is never stored or transmitted in plain text. It is derived with PBKDF2-HMAC-SHA256, 100,000 iterations, with a random 16-byte salt per user, producing a 256-bit hash. If you lose it, you can request a temporary password, which is sent by email.

Sessions. Each sign-in generates a random 32-byte token that is stored on the server for 30 days and invalidated when you sign out.

Attempt control. Registration and sign-in are limited to 20 attempts per hour per IP address.

Transport. The site is served over HTTPS.

Limits. Attachments are limited to 10 MB and request fields to 1,000 characters.

What we do not do. We do not encrypt request data with our own key before handing it to the providers in section 4: it travels encrypted in transit over HTTPS, but each provider stores it on its own platform, under its own terms, which you can also review.

Encryption at rest from your browser: what we evaluated and why it is not active. The technical option exists and is viable: the attachment can be encrypted in your browser with AES-GCM at 256 bits (WebCrypto API), deriving the key with PBKDF2 from a password we would ask you for, and the encrypted file can then be sent. The real cost is that password: it would have to be delivered through a channel other than the file (a call or a separate message), whoever loses it could no longer open the attachment because the encryption cannot be undone with a link from the site, and the file is precisely the working material, so both the team and the professional handling the request need to be able to open it. That is why we do not activate it today: attachments travel encrypted in transit over HTTPS from your browser to the providers in section 4 and are deleted together with the request. What would remain to be defined if it were activated later: the algorithm (AES-GCM at 256 bits with PBKDF2 and at least 210,000 iterations), the channel used to deliver the password, and the form text explaining which attachments could be encrypted and which could not.

11. Changes to this notice

This notice was last updated on October 19, 2026. The main changes in this version: the controller's details were filled in (status as a natural person, city of Saltillo, Coahuila, Mexico, and the two details only the holder can provide: street address with postal code and RFC); the 5% charge on the profit after taxes that Comatus charges professionals was documented, with the price for the student set by the professional and with no surcharge for the user; it was made clear that the reply to data subject rights is delivered by email and which authority you can lodge an inconformity with; and what is kept even if you ask for cancellation, and for how long, was detailed.

Version history of this notice

— Version 1.2 — October 19, 2026 (current). The changes in this version are the ones summarized in the paragraph above.

— Version 1.1 — October 19, 2026 (previous). The consent was separated on the forms, with one mandatory checkbox to handle your request and another optional one, unticked by default, for AI training; the training consent is now recorded separately, with date and time, and requests that do not accept it are no longer copied to the learning file; the "last activity" criterion was written down and the purge at 12 months was automated, with a log of every deletion; the procedure for verifying the guardian's authorization and the field where it is recorded were documented; the evaluation of client-side encryption at rest and the reason it is not active were documented; and the model components that run outside our own infrastructure were published.

— Version 1.0 — October 19, 2026 (superseded; published on the same day, before version 1.1). It corrected the previous claim that we did not share data with third parties and named the providers that do process it; separated the two purposes and their consents; documented the full ARCO rights, with procedure and deadlines; set retention deadlines per data type; and documented the handling of minors, local storage and password security. Its full text is kept here: privacidad-2026-10-19.html.

— Version 0.1 — October 10, 2026 (superseded). The notice was a single paragraph on the homepage: it used one consent checkbox covering both contact and AI training, stated that we did not share data with third parties outside Comatus, and set no deadlines and no ARCO procedure. Its full text is kept in the project archive (the avisos folder); it is not published because it named the legacy messaging channel, which this site does not name.

Changes that materially affect the use of your data —particularly those relating to AI training— are announced on the homepage at least 15 days in advance and, if you have a registered account, by email to the address on file.

12. Contact

For any question about this notice, to exercise your rights or to request deletion of your data, write to saul_lopez@uadec.edu.mx from the email address or phone number you registered with or used in your request. The terms and conditions complete this notice and form part of your relationship with the site.

Texto completo. Este es un resumen. Los términos y condiciones completos, con los 18 apartados (servicio, cuentas, solicitudes, pagos, propiedad intelectual, contenido generado con IA, responsabilidad, ley aplicable y más), están en terminos.html.

Servicio. Comatus conecta personas con profesionales para mentorías, servicios a la medida, prácticas, certificaciones y vacantes. Comatus es una plataforma independiente: no expide títulos oficiales ni créditos escolares, y los nombres de las instituciones se citan solo para identificar módulos y comunidades.

Acuerdos. Los precios, entregables y fechas se acuerdan entre las partes antes de empezar. Las propuestas de precio son debatibles. Comatus no procesa pagos: el pago se acuerda directamente entre el estudiante y el profesional. Para acuerdos desde el 5 de noviembre de 2026, el profesional paga a Comatus el 5% de su ganancia después de impuestos; el estudiante no paga nada extra (términos, sección 7.6).

Cuentas. Eres responsable de la contraseña de tu cuenta. Si eres menor de edad, necesitas el consentimiento de tu madre, padre o tutor.

Datos. El tratamiento de tus datos se describe en el aviso de privacidad. Usamos dos consentimientos separados: uno para atender tu solicitud y otro, opcional y apagado por defecto, para mejorar los modelos de inteligencia artificial.

Bolsa de trabajo y fuentes. Las ofertas del panel lateral se obtienen automáticamente de fuentes públicas de empleo remoto y de avisos de la comunidad, y se muestran de forma resumida, sin enlazar a la publicación original. Fuentes: Jobicy, Remotive, Arbeitnow y Remote OK. Los derechos de cada oferta pertenecen a quien la publica; Comatus no garantiza su vigencia ni intermedia la contratación salvo que se indique lo contrario.

Contacto. saul_lopez@uadec.edu.mx.

Full text. This is a summary. The complete terms and conditions, with all 18 sections (service, accounts, requests, payments, intellectual property, AI-generated content, liability, governing law and more), are in terminos.html.

Service. Comatus connects people with professionals for mentorships, custom services, internships, certifications and vacancies. Comatus is an independent platform: it does not issue official degrees or academic credits, and institution names are cited only to identify modules and communities.

Agreements. Prices, deliverables and dates are agreed between the parties before starting. Price proposals are open to negotiation. Comatus does not process payments: payment is agreed directly between the student and the professional. For agreements from November 5, 2026, the professional pays Comatus 5% of their profit after taxes; the student pays nothing extra (terms, section 7.6).

Accounts. You are responsible for your account password. If you are a minor, you need the consent of your mother, father or legal guardian.

Data. The processing of your data is described in the privacy notice. We use two separate consents: one to handle your request and another, optional and off by default, to improve the artificial intelligence models.

Job board and sources. The offers in the side panel are obtained automatically from public remote job sources and from community postings, and are shown in summary form, without linking to the original post. Sources: Jobicy, Remotive, Arbeitnow and Remote OK. The rights to each offer belong to whoever published it; Comatus does not guarantee its validity nor broker hiring unless otherwise indicated.

Contact. saul_lopez@uadec.edu.mx.