Política de privacidad

Esta Política de Privacidad explica qué datos personales recopila Budgero, cómo se utilizan y comparten, y qué derechos tienes bajo las leyes de privacidad aplicables —principalmente el Reglamento General de Protección de Datos de la UE/Reino Unido (RGPD / UK GDPR) y la California Consumer Privacy Act / California Privacy Rights Act (CCPA / CPRA).

Está redactada en lenguaje claro. En las secciones con relevancia legal —como las bases legítimas o tus derechos— se conservan los términos legales para que puedas compararlos con la normativa. Si algo no está claro, envía un correo a privacy@budgero.app.

1. Quiénes somos

A efectos del RGPD, Budgero es el «responsable del tratamiento» de los datos personales tratados a través del servicio.

Contacto para privacidad: privacy@budgero.app
Contacto general: hello@budgero.app

En la escala actual de Budgero (base de usuarios pequeña, sin datos de categorías especiales, sin supervisión a gran escala), se aplica la exención del art. 27 del RGPD a la obligación de designar un representante en la UE —el tratamiento es ocasional, no a gran escala y no de alto riesgo. Si el proyecto supera ese umbral, se nombrará a un representante en la UE y se actualizará esta política. Lo mismo se aplica a un representante en el Reino Unido conforme al art. 27 del UK GDPR.

2. Versión resumida

• Tus datos financieros están cifrados de extremo a extremo. Las transacciones, los presupuestos, los saldos, las categorías y las notas se cifran en tu dispositivo con una clave derivada de tu contraseña. Nadie —ni Budgero, ni sus proveedores, ni un atacante, ni un gobierno— puede leerlos. Esta es la parte de Budgero llamada zero-knowledge.
• El resto son datos normales de SaaS. El funcionamiento del servicio sigue requiriendo un correo electrónico y una contraseña (gestionados por un proveedor de autenticación), datos de facturación (gestionados por un proveedor de pagos), analítica de producto (gestionada por un proveedor europeo de analítica) y registros de correo electrónico (gestionados por un proveedor de correo electrónico). Para los espacios de trabajo compartidos, el nombre visible que asignas a un espacio de trabajo y las direcciones de correo electrónico de las personas que invitas también se almacenan en texto plano para que la colaboración funcione — consulta §3.2 para la excepción precisa. La lista completa está en §6 a continuación.
• Los datos personales nunca se venden. Budgero no comparte datos con anunciantes de ninguna manera que el RGPD o la CCPA definan como «venta» o «compartición», y no usa etiquetas ni rastreadores publicitarios.
• Tienes todos los derechos según el RGPD / UK GDPR / CCPA, incluido el derecho a acceder, corregir, eliminar y exportar tus datos, y a presentar una reclamación ante tu autoridad local de protección de datos. Consulta §10.
• Sin cookies de seguimiento ni publicidad. Budgero no instala cookies de analítica ni de publicidad y no usa rastreadores publicitarios, así que no hay banner de cookies. La analítica de producto de Budgero Cloud funciona sin cookies, es seudónima, nunca incluye tus datos financieros y se puede desactivar en Ajustes → Seguridad y privacidad. Budgero autoalojado no envía ninguna telemetría. Consulta §3.5 y §8.

3. Qué datos personales se recopilan

3.1 Datos de la cuenta

• Correo electrónico
• Contraseña — nunca se almacena en texto plano; el proveedor de autenticación (Clerk) aplica hash y salt
• Preferencias y ajustes de la cuenta
• Identificador único de cuenta (ID de usuario de Clerk)

3.2 Datos cifrados del almacén (zero-knowledge — ilegible para Budgero)

• Transacciones, presupuestos, saldos, categorías, notas, datos de gasto
• Cifrado en tu dispositivo con AES-256 usando una clave derivada de tu contraseña
• Solo el texto cifrado resultante se almacena en el servidor

Lo que zero-knowledge no cubre. Para que los espacios de trabajo compartidos y la sincronización en tiempo real funcionen, Budgero almacena una pequeña cantidad de metadatos de colaboración en el servidor en texto plano: el nombre visible que le das a un espacio de trabajo, las direcciones de correo electrónico de las personas que has invitado, los roles de membresía y los números de versión de sincronización. Las cargas útiles de las notificaciones push están cifradas; solo los identificadores de cuenta y de espacio de trabajo necesarios para enrutarlas se almacenan en texto plano. Estos metadatos nunca incluyen ninguno de los contenidos financieros enumerados anteriormente — tus transacciones, saldos y categorías siguen siendo ilegibles para Budgero.

3.3 Datos de facturación y suscripción

• Plan, precio, moneda, estado de suscripción, fecha de renovación, país (para impuestos)
• ID del pedido, últimos cuatro dígitos del método de pago (cuando se nos proporcionan)
• Los datos completos del instrumento de pago (número de tarjeta, etc.) los recopila y conserva el proveedor de pagos (LemonSqueezy), no por Budgero

3.4 Metadatos de correos de servicio

• Eventos de envío/apertura/rebote para correos transaccionales (bienvenida, seguimiento de feedback, restablecimiento de contraseña, recibos de facturación)

3.5 Analítica de producto (seudónima, sin cookies)

Budgero Cloud registra cómo se usa el producto para poder mejorarlo y corregir fallos: qué funciones se usan, dónde se atasca la gente y qué falla. Está activada por defecto, sobre la base del interés legítimo (§4), y puedes desactivarla en cualquier momento (ver abajo). Budgero autoalojado no envía analítica ni telemetría de ningún tipo.

Qué se registra:

• Las páginas y pantallas que abres, sin los identificadores de la dirección
• Configuración: qué pasos de bienvenida ves y completas, y qué camino elegiste (empezar de cero, importar desde YNAB o unirte a un presupuesto compartido)
• Importaciones: el tipo de importación (por ejemplo YNAB, CSV o PDF), si salió bien, falló o se canceló, y su tamaño y duración aproximados
• Sincronización bancaria: la conexión de un proveedor de sincronización bancaria y cada sincronización, con el resultado y un número aproximado de transacciones nuevas
• Uso de funciones: crear, editar o eliminar metas, reglas y transacciones recurrentes; registrar una transacción y cómo se introdujo; y usar informes, escenarios, presupuestos compartidos, multidivisa, conciliación, divisiones, exportaciones y copias de seguridad. Solo se registra el tipo de elemento (por ejemplo el tipo de meta o cada cuánto se repite una transacción recurrente), nunca su contenido
• Asistente de IA: que se abrió y que se envió un mensaje, con el resultado — nunca tu pregunta ni la respuesta
• Los ajustes que cambias, de una lista fija (por ejemplo tema, idioma o densidad de filas), y la opción que elegiste
• Hitos de cuenta y suscripción: registrarte, empezar una prueba, abrir el pago, contratar, renovar o cancelar una suscripción con su plan (mensual o anual), el precio y la moneda de una compra, el motivo que eliges de una lista al cancelar, crear o eliminar un espacio de trabajo, invitaciones y cambios de miembros (con un número aproximado de miembros), y añadir o cerrar una cuenta (su tipo y si usa la moneda de tu presupuesto)
• Sincronización entre tus dispositivos: si se aplicó un cambio enviado desde otro dispositivo, con el resultado y su antigüedad
• Fiabilidad: errores, problemas de sincronización y avisos de integridad de datos, registrados como el tipo de error, un código de una lista fija, la pantalla donde ocurrió y ubicaciones en el código (archivo y línea) — más la secuencia de pantallas y eventos internos previos (solo nombres, sin valores), el estado de la aplicación en ese momento como valores fijos (por ejemplo, si la sincronización estaba conectada, el tipo de almacenamiento y el uso aproximado del almacenamiento) y un identificador aleatorio de esa visita que vincula el informe con el registro del servidor de esas mismas solicitudes — nunca el texto del mensaje de error
• Contexto enviado con cada evento: versión de la aplicación, si usas la aplicación web o la instalada, idioma de la interfaz y modo de presupuesto; además del navegador, sistema operativo, tamaño de pantalla y referente que indica tu navegador

• Cada detalle asociado a un evento es un valor de una lista fija o un rango aproximado (por ejemplo «10–100 filas» o «1–5 minutos»). Nunca se incluye nada de lo que escribes.
• Cuando inicias sesión, los eventos se vinculan a un identificador seudónimo — tu ID de usuario de Clerk — para que la misma cuenta pueda reconocerse entre sesiones y dispositivos. Antes de iniciar sesión se usa un identificador aleatorio que solo existe en memoria durante esa visita. Tu nombre y tu correo electrónico no se envían al proveedor de analítica.
• Algunos eventos los envía el servidor de Budgero en lugar de tu navegador — por ejemplo el registro, los cambios de suscripción, los cambios de espacios de trabajo e invitaciones, los tokens de sincronización push y el resultado de las solicitudes que el servidor gestiona para la sincronización bancaria o el asistente de IA. Usan el mismo identificador y siguen las mismas reglas.
• Dirección IP: se utiliza en el momento de la solicitud para geolocalización aproximada y prevención de abusos, y luego se descarta en el servidor. No se conserva junto con los eventos de analítica.
• Sin cookies: la biblioteca de analítica guarda sus identificadores solo en memoria y no escribe nada en cookies, localStorage ni sessionStorage de tu dispositivo.

Nunca se recopila: nombres de transacciones, cuentas, categorías o beneficiarios, importes, saldos, fechas, notas, el texto de las conversaciones con la IA ni nada más que escribas en tu presupuesto, el texto de los mensajes de error, grabaciones de sesión, captura automática de clics (autocapture), mapas de calor ni encuestas.

Desactivarla: Ajustes → Seguridad y privacidad en la aplicación. La elección se guarda en tu cuenta, se aplica en todos tus dispositivos y también detiene los eventos del servidor. Budgero funciona exactamente igual con la analítica desactivada.

3.6 Analítica del sitio web (budgero.app, sin cookies)

En el sitio web de Budgero se cuentan las visitas a páginas y los clics en botones como «Prueba gratis» para entender cómo llega la gente al producto. Se usan dos herramientas, y ninguna guarda nada en tu dispositivo:

• Umami — alojado por Budgero, así que ningún tercero recibe los datos, y nunca se vincula con tu cuenta de Budgero. No instala cookies ni guarda nada en tu dispositivo. Tu dirección IP solo se usa en el momento de la solicitud para obtener una ubicación aproximada (país, región y ciudad) y no se guarda. Las visitas se agrupan con un hash con clave de tu dirección IP y tu navegador que cambia al inicio de cada mes natural, así que Umami no puede reconocerte de un mes a otro. Registra la página, el referente, el navegador, el sistema operativo, el tipo de dispositivo, el tamaño de pantalla y el idioma, y Budgero solo lo usa como estadísticas agregadas de visitas. Umami también cuenta los pasos del registro en la aplicación.
• PostHog — también sin cookies en el sitio web, así que no se guarda nada en tu dispositivo. PostHog obtiene un identificador de visitante en sus propios servidores a partir de un hash de tu dirección IP, tu navegador y el nombre de host del sitio, combinado con una sal que cambia cada día y después se elimina. Las visitas del mismo día pueden contarse juntas, pero no se te puede reconocer de un día para otro, y las visitas al sitio nunca se vinculan con tu cuenta de Budgero. Tu dirección IP no se usa para la ubicación ni se guarda con estos eventos. PostHog no se carga en el sitio web cuando tu navegador envía una señal de Global Privacy Control o Do Not Track.

3.7 Comprobación de actualizaciones de servidores autoalojados

Los servidores de Budgero autoalojados preguntan a budgero.app, como máximo cada 12 horas, si existe una versión más reciente, y solo envían su versión, su número de compilación y la palabra «selfhost». Guardamos recuentos diarios por versión. Para estimar cuántas instalaciones están activas, también contamos los remitentes distintos por semana: la dirección IP de la petición se convierte en un hash con una clave aleatoria que solo existe durante la semana en curso; al terminar la semana solo se conserva el total semanal y la clave y los hashes se eliminan. Las direcciones IP no se almacenan. Quien administra el servidor puede desactivar la comprobación con UPDATE_CHECK_DISABLED=true.

3.8 Registros del servidor / de seguridad

• Registros de solicitudes del proveedor de alojamiento — dirección IP, marca de tiempo, ruta de solicitud, estado de respuesta, user agent — utilizados para la operación del servicio, la seguridad y la prevención de abusos

No se recopila: credenciales de cuentas financieras (Budgero nunca recibe tus credenciales bancarias; las claves de acceso opcionales de la sincronización bancaria se guardan cifradas dentro de tu presupuesto), datos de ubicación más allá del país derivado de la IP, contactos, fotos, micrófono, o cualquiera de las categorías especiales de datos personales enumeradas en el RGPD art. 9.

4. Para qué se utiliza y con qué base jurídica

Para los usuarios de la UE/Reino Unido, Budgero identifica una base jurídica para cada finalidad de tratamiento bajo el RGPD art. 6:

Cuando Budgero se basa en el interés legítimo, se ha valorado el equilibrio entre dicho interés y tus derechos. Si quieres hablar sobre el razonamiento de cualquier caso concreto, escribe a privacy@budgero.app.

5. Cuánto tiempo se conserva

Cuando eliminas tu cuenta, los datos anteriores se eliminan o se anonimizan según los plazos indicados, excepto cuando Budgero esté legalmente obligado a conservarlos (p. ej., registros fiscales).

6. Con quién se comparte (Subprocesadores)

Los datos personales nunca se venden ni se alquilan. Se comparten datos personales limitados con los proveedores de servicios que se enumeran a continuación, que actúan según las instrucciones de Budgero bajo contratos por escrito (Acuerdos de tratamiento de datos cuando el proveedor los ofrece). Los términos contractuales estándar de cada proveedor se revisan antes de añadirlos.

Budgero también puede divulgar datos personales a:

• Asesores profesionales (abogados, contables) sujetos a deberes de confidencialidad, cuando sea necesario;
• Fuerzas y cuerpos de seguridad o reguladores cuando lo exija un proceso legal válido; en ese caso, si es lícito, se te notificará.

7. Transferencias internacionales

Algunos de los proveedores del §6 procesan datos personales fuera del Espacio Económico Europeo, principalmente en Estados Unidos.

Para las transferencias a proveedores fuera del EEE (p. ej., LemonSqueezy, región EE. UU. de Resend), Budgero se basa en las del proveedor de la Comisión Europea Cláusulas Contractuales Tipo (CCT, versión 2021) y los anexos equivalentes del Reino Unido cuando corresponda. Los datos de la caja fuerte permanecen cifrados de extremo a extremo en todos los proveedores y nadie más que tú puede leerlos.

8. Cookies y seguimiento

Budgero no usa cookies de analítica, de publicidad ni otras cookies no esenciales, ni scripts publicitarios de terceros. La analítica no guarda nada en tu dispositivo, así que no hay banner de cookies: solo se usa el almacenamiento estrictamente necesario para el servicio, que según las normas de ePrivacy no requiere consentimiento. Lo que se guarda:

• Estrictamente necesarias — tu sesión (creada por el proveedor de autenticación, Clerk), tus datos de presupuesto cifrados guardados en tu dispositivo para el uso sin conexión y la sincronización, y preferencias como el idioma. Siempre activo; no se puede desactivar, porque el servicio no funciona sin ello.
• Analítica — nada. La analítica de producto de la aplicación (§3.5) y la analítica del sitio web (§3.6) no guardan nada en tu dispositivo. Para detener la analítica de producto, usa Ajustes → Seguridad y privacidad en la aplicación.

9. Cómo se protegen los datos

• Cifrado de extremo a extremo para los datos de la caja fuerte — AES-256 con una clave derivada de tu contraseña en tu dispositivo. La clave nunca la ve Budgero, y los datos en texto plano de la caja fuerte tampoco los ve Budgero.
• TLS 1.2+ para todos los datos en tránsito.
• Cifrado en reposo en las capas de base de datos y almacenamiento.
• Controles de acceso de operador único. Solo el operador tiene acceso administrativo; dicho acceso se utiliza únicamente para prestar el servicio.
• Diligencia debida del proveedor al elegir cada proveedor en §6.
• Respuesta a brechas — si se produce una brecha de datos personales que pueda suponer un riesgo para tus derechos, se notificará a la autoridad supervisora competente en un plazo de 72 horas desde que se tenga conocimiento (RGPD Art. 33), y se informará a los usuarios afectados sin demora indebida cuando el riesgo sea alto (Art. 34).

Aviso importante: zero-knowledge significa que no se puede recuperar tu caja fuerte si olvidas tu contraseña. Guárdala en un lugar seguro — un gestor de contraseñas es la respuesta habitual.

10. Tus derechos

Dondequiera que vivas, puedes:

• Acceder a los datos personales que Budgero tiene sobre ti — solicitar una copia
• Corregir datos personales inexactos (rectificación)
• Eliminar tu cuenta y los datos personales asociados («derecho de supresión») — sujeto a las excepciones de conservación legal
• Exportar tus datos en un formato portátil y legible por máquina (portabilidad de los datos)
• Restringir el tratamiento mientras se resuelve una disputa
• Oponerse al tratamiento basado en interés legítimo, incluido el análisis — para la analítica de producto puedes hacerlo tú mismo en cualquier momento en Ajustes → Seguridad y privacidad
• Retirar el consentimiento en cualquier momento para todo lo que se trate sobre la base del consentimiento — la retirada no afecta a la licitud del tratamiento anterior a la retirada
• No estar sujeto a decisiones automatizadas que produzcan efectos jurídicos o similares significativos; Budgero no realiza este tipo de decisiones automatizadas

Para ejercer cualquiera de estos derechos, escribe a privacy@budgero.app . Las solicitudes se responderán lo antes posible y, como máximo, en 30 días según lo exigido por el RGPD (ampliable hasta 60 días para solicitudes complejas, con previo aviso).

También puedes presentar una reclamación ante una autoridad de control:

• Residentes de la UE/EEE: ante la autoridad de protección de datos de tu lugar de residencia habitual, lugar de trabajo o lugar de la presunta infracción. El CEPD publica una lista en https://edpb.europa.eu.
• Residentes del Reino Unido: la Information Commissioner's Office en https://ico.org.uk.

11. Residentes de California (aviso CCPA / CPRA)

Si eres residente de California, esta sección te proporciona las divulgaciones adicionales requeridas por la California Consumer Privacy Act, en su versión modificada.

Categorías de información personal recopilada, asignadas a las categorías del CCPA: identificadores (correo electrónico, ID de cuenta, IP), información comercial (plan de suscripción), actividad de internet/red (eventos de analítica, registros del servidor), inferencias (ninguna). Estos datos se recopilan para los fines comerciales descritos en §4.

Fuentes: directamente de ti, de tu dispositivo y de proveedores de servicios.

Divulgación con fines comerciales: solo a los proveedores de servicios del §6.

Venta o compartir información personal: La información personal no se vende ni se comparte tal como se definen estos términos en la CCPA. Budgero no realiza publicidad conductual entre contextos y no usa etiquetas ni rastreadores publicitarios. Los datos de analítica solo se usan para mejorar Budgero, a través de su proveedor de servicios PostHog.

Como no se vende ni comparte nada, no se proporciona ningún enlace de «No vender ni compartir mi información personal». Aun así, puedes ejercer los derechos de acceso, rectificación, supresión y limitación del uso de información personal sensible contactando a privacy@budgero.app.

La información personal sensible no se utiliza ni se divulga para fines distintos de los identificados en CPRA §7027(m).

No se te discriminará por ejercer tus derechos.

12. Privacidad de menores

Budgero no está dirigido a personas menores de 16 años, o a la edad de consentimiento digital local cuando esta sea superior, y no puede ser utilizado por ellas. No se recopilan conscientemente datos personales de menores. Si crees que un menor ha proporcionado datos personales, envía un correo a privacy@budgero.app y se eliminarán.

13. Cambios en esta política

Esta política puede actualizarse a medida que cambie el servicio o la legislación. La fecha de «Última actualización» en la parte superior de esta página reflejará la última revisión. Para cambios significativos que afecten al uso de datos personales, se te notificará por correo electrónico antes de que el cambio entre en vigor.

14. Contacto

• Consultas de privacidad y solicitudes de derechos: privacy@budgero.app
• Soporte general: hello@budgero.app