[CSalcedoDataBI]

Refs #768 (does not submit anything).

Measured with the plugin-directory-submit checker, before → after:

• blocking: 0 → 0
• held for review: 1 → 1. The credential-from-environment hold is now disclosed in the README and in PRIVACY.md; a reviewer reads it.
• warnings: 19 → 14. What remains:
  • the icon (owner's decision; taken once at the first portal save);
  • author email (owner's decision; it is public);
  • 12 skills whose description does not start with 'Use when'. 9 of them are \disable-model-invocation\ engines that never reach the model's context.

Changes:

• \PRIVACY.md\ for the plugin.
• \documentationUrl, \supportUrl\ and \privacyPolicyUrl\ set in plugin.json.
• One-line description, identical in plugin.json and the marketplace entry.
• README note on where the token is read from.

\claude plugin validate --strict\ passes, and the listing URLs answer 200 (PRIVACY.md will after the merge).

🤖 Generated with Claude Code

[claude]

Sin hallazgos bloqueantes: PR de solo documentación y metadatos (PRIVACY.md, URLs en plugin.json, descripción corta, nota de credenciales). No hay secrets expuestos ni cambios de código.

Nota menor (no bloqueante): el README y PRIVACY.md ahora dicen que /skills bootstrap y /tools obtienen "un commit fijado (pinned)" en vez de git clone --depth 1. Conviene confirmar que el script realmente fija el commit, para que la política de privacidad no afirme algo inexacto.

[claude]

Review (solo docs/metadata, sin cambios de código)

Sin bloqueantes. El PRIVACY.md coincide con el código que verifiqué: hook PreCompact → compact-markers.jsonl, y el filtro TOKEN|KEY|SECRET|PASSWORD en BoardWork.Launch.ps1. Sin secretos expuestos.

Menores:

• PRIVACY.md y README dicen que /skills bootstrap y /tools traen "one pinned commit". Install-SkillFromRepo.ps1 solo fija el commit si recibe -Ref. Sin -Ref hace git clone --depth 1 del tip de la rama y avisa que está "unpinned". Si el catálogo siempre pasa -Ref, está bien. Si no, matiza el texto: "pinned cuando el catálogo define un SHA".
• marketplace.json: el reformateo de owner a varias líneas es ruido sin efecto. Es inofensivo.
• PRIVACY.md tiene una fecha fija (2026-10-03) y un email personal. Confirma que es el contacto público deseado.
• privacyPolicyUrl apunta a blob/main, así que depende de que el merge llegue a main. Verifica que la URL resuelva tras el merge.

[claude]

Review (solo docs/metadata, sin cambios de código)

Sin bugs ni problemas de seguridad: no hay secrets expuestos, el JSON es válido y el contenido de PRIVACY.md es coherente con los scripts.

Un hallazgo menor, de exactitud documental:

• README.md y PRIVACY.md dicen que /skills bootstrap y /tools obtienen "one pinned commit". En scripts/Install-SkillFromRepo.ps1:55-58, sin -Ref se hace git clone --depth 1 al tip de la rama, sin pin (el script lo avisa como "unpinned"). Como es una política de privacidad pública, conviene que sea exacta: o se garantiza que el catálogo siempre pasa -Ref, o se matiza el texto («pinned cuando el catálogo define un commit»).

Nota opcional: marketplace.json solo se reformateó (owner en varias líneas), ruido sin efecto.

[claude]

Review (PR solo de docs/metadata: plugin.json, marketplace.json, PRIVACY.md, README, icon)

Sin bugs ni secrets expuestos. Un único punto menor:

• Precisión de PRIVACY.md/README: dicen que /skills bootstrap y /tools "fetch one pinned commit". Pero Install-SkillFromRepo.ps1:55-56 hace git clone --depth 1 del tip de la rama y avisa "unpinned" cuando no se pasa -Ref. El camino del catálogo sí pasa ref, pero una política de privacidad debería decir "pinned cuando el catálogo define ref" o garantizar que siempre lo haga.

Nit: el reformateo de owner en marketplace.json es ruido de diff (inocuo).