Política de privacidad

Centmond es una aplicación de finanzas personales que funciona en tu navegador web. La construimos sobre un principio sencillo: tu dinero es tuyo, tus datos son tuyos y el asistente opcional que te ayuda a entenderlos está ahí para que lo enciendas o lo dejes en paz. Esta política indica, para cada tratamiento, qué se trata, con qué fin, con qué base jurídica, quién lo recibe y cuánto tiempo se conserva. Las aplicaciones nativas para iPhone y Mac están en desarrollo; esta política se actualizará antes de que se publiquen.

La versión corta

• El asistente es opcional. Cuando lo usas, solo se envían a nuestro proveedor de inferencia los datos que tu pregunta necesita: nunca tu cuenta entera. Lee tus datos y puede preparar cambios, pero no aplica ninguno sin tu confirmación.
• Tus datos financieros se cifran en tránsito y en reposo y se alojan en infraestructura ubicada en la UE. El acceso está restringido por usuario mediante seguridad a nivel de fila en la base de datos, y los identificadores bancarios se cifran además a nivel de campo.
• No vendemos datos, no usamos redes publicitarias ni rastreadores entre sitios. Sí usamos una herramienta de analítica sin cookies, y solo se carga si la permites.
• Las conexiones bancarias son opcionales. Cuando las usas, un tercero regulado (Enable Banking, registrado en Finlandia) se encarga del acceso al banco y custodia tu consentimiento. Nunca vemos tus credenciales de banca en línea.

Responsable del tratamiento

El responsable del tratamiento de tus datos personales conforme al Reglamento General de Protección de Datos (RGPD) es:

Seyedmani Hosseinighahroodi
Centmond (empresario individual, Einzelunternehmen)
Alemania
Correo electrónico: mani.scs.gh@gmail.com

La dirección postal completa que exige el § 5 DDG está en el aviso legal. No hemos designado un delegado de protección de datos: una empresa de una sola persona por debajo de los umbrales del art. 37 RGPD y del § 38 BDSG no está obligada a ello, y la dirección anterior te pone en contacto directo con el responsable.

Qué tratamos, y por qué

Cada ficha de abajo es un tratamiento. Lo que no figura aquí no lo hacemos, y si eso cambia, esta página cambia con ello.

Qué no recogemos

• Conversaciones del asistente para revenderlas o elaborar perfiles. Cada consulta que el asistente ejecuta por ti está restringida a tus propios registros por la seguridad a nivel de fila de la base de datos. Cuando preguntas algo, solo se envían a nuestro proveedor de inferencia los datos necesarios (nunca tu cuenta entera) y no los vendemos ni los usamos para perfilarte. Los procesos en segundo plano que se ejecutan sin ti (la sincronización bancaria nocturna, el envío del resumen) usan un rol de servicio en lugar de tu sesión y están acotados en el código a la única cuenta sobre la que trabajan.
• Las fotos de recibos, salvo que nos pidas guardar una. Cuando escaneas un recibo, en el navegador o en la app de iPhone, la foto se lee por completo en tu propio dispositivo. Nunca se envía a un servicio de reconocimiento de texto, a un modelo de IA ni a ninguna otra empresa: el lector se ejecuta dentro de tu navegador, y por eso esa pantalla tarda un momento en arrancar la primera vez. Por defecto, de tu dispositivo solo salen los pocos datos que confirmas en pantalla (el comercio, la fecha, el importe) y las líneas individuales se leen en tu dispositivo y deliberadamente no se guardan en ningún sitio. Con esos datos sale una cosa más: una huella de la foto (un hash SHA-256, una cadena fija de letras y números a partir de la cual la imagen no puede reconstruirse), que guardamos junto al movimiento mientras este exista, para reconocer la misma foto y no crear una segunda copia de la misma compra.
• La excepción, y la decides tú. La pantalla de confirmación ofrece «Guardar la foto junto a esta transacción». Está desactivada hasta que tú la actives, y es lo único en Centmond que pone la imagen de un recibo en un servidor. Si la marcas, se guarda una copia en un área privada de nuestro almacenamiento que solo tu cuenta puede leer, asociada a ese único movimiento. La copia se recodifica antes de enviarse, lo que elimina los metadatos EXIF que un teléfono escribe en una foto, incluidas las coordenadas GPS del lugar donde se tomó. Puedes eliminarla del movimiento cuando quieras, y se va con el movimiento y con tu cuenta.
• Perfiles de dispositivo o de comportamiento. No tomamos una huella de tu dispositivo, no construimos un perfil de comportamiento ni te seguimos por otros sitios. La comprobación antibots de los formularios de cuenta lee una dirección IP y un agente de usuario para distinguir a una persona de un script, y no sirve para nada más.
• Tus credenciales bancarias. Cuando usas la conexión bancaria, te autenticas directamente en tu banco a través del flujo de consentimiento de Enable Banking. Tu usuario, tu PIN y tus códigos de doble factor nunca tocan los servidores de Centmond.

Conexiones bancarias

Conectar una cuenta bancaria en Centmond es opcional. Si decides hacerlo, usamos Enable Banking Oy, un proveedor finlandés de servicios de información sobre cuentas (AISP) autorizado y supervisado por la Autoridad de Supervisión Financiera de Finlandia (FIN-FSA), como pasarela regulada de banca abierta.

Al pulsar Conectar banco se te redirige, vía Enable Banking, al flujo de autenticación de tu propio banco. Tus credenciales bancarias y cualquier verificación en dos pasos permanecen íntegramente en ese flujo. Enable Banking custodia el consentimiento resultante al amparo de su licencia AISP y es responsable independiente en esa parte; Centmond nunca ve ni almacena tus credenciales de banca en línea.

Puedes desconectar un banco cuando quieras desde Cuentas → Conexiones bancarias → Eliminar; eso revoca la sesión de Enable Banking y detiene nuevas descargas. Los movimientos ya importados siguen en tu panel salvo que los borres. La política de privacidad de Enable Banking se aplica junto con la nuestra y está disponible en enablebanking.com/privacy-policy.

Datos de cotización para inversiones

Si registras una posición en la sección Inversiones, Centmond consulta a proveedores públicos de datos de mercado para mantener actualizado su precio. A cada proveedor le enviamos solo el símbolo público del activo (por ejemplo AAPL, BTC): nunca tu identidad, tus posiciones ni ningún dato a nivel de cuenta, así que por este motivo no salen datos personales de la UE.

• Finnhub para cotizaciones de acciones y ETF, logotipos de empresas y búsqueda de símbolos.
• CoinGecko para precios de criptoactivos e iconos de monedas. Sin clave de API, sin cuenta, simple consulta HTTPS por símbolo.
• Alpha Vantage como respaldo para los símbolos de acciones y ETF que Finnhub no cubre.
• Frankfurter para tipos de cambio de referencia diarios, de modo que los saldos en varias divisas puedan mostrarse en una sola.

Quién recibe tus datos

La lista completa, con el papel de cada proveedor, los datos que recibe, dónde los almacena y el mecanismo de transferencia que lo ampara, está en la página subencargados. No todos son encargados que actúan siguiendo nuestras instrucciones: Google, Apple y Enable Banking deciden sus propias finalidades sobre parte de lo que reciben y son responsables independientes en esa parte, lo que significa que rigen sus propias políticas y no podemos darles instrucciones en tu nombre.

No usamos redes publicitarias de terceros, ni otras plataformas de analítica más allá de la mencionada, ni rastreadores entre sitios, y no vendemos datos personales a nadie.

Transferencias internacionales

Nuestra infraestructura principal (Supabase, Sentry, Enable Banking) está alojada en la UE, y los datos que hay allí se quedan allí. Cuatro destinatarios están fuera del EEE: Vercel, Cloudflare, Resend y Groq para el asistente, además de Apple y Google bajo sus propias condiciones.

Para Vercel, Cloudflare y Resend la transferencia está cubierta por el Marco de Privacidad de Datos UE-EE. UU., respaldado por cláusulas contractuales tipo; para Groq, por cláusulas contractuales tipo. El mecanismo se indica proveedor a proveedor en la página subencargados en lugar de describirse en términos generales, y puedes pedir una copia de las garantías en que nos apoyamos escribiendo a la dirección que figura al final de esta página.

Cookies y el sitio web

El sitio web de Centmond no instala cookies publicitarias ni ejecuta rastreadores de terceros. Las cookies del sitio de presentación son estrictamente necesarias para su funcionamiento básico. El panel con sesión iniciada instala una cookie de autenticación para mantenerte dentro. Estas están exentas de consentimiento conforme al § 25.2 n.º 2 TDDDG (sucesor del TTDSG, renombrado en mayo de 2024) y al art. 5.3 de la Directiva sobre privacidad electrónica.

Por encima del mínimo legal, mostramos un aviso de cookies en tu primera visita. Puedes aceptar todas las categorías, rechazar todo lo opcional o abrir la vista de personalización para activar categorías concretas, donde toda categoría opcional está desactivada hasta que tú la actives. Tu elección, la versión del aviso con la que la diste y el momento en que la diste se guardan localmente en tu navegador; puedes cambiarla cuando quieras desde Preferencias de cookies en el pie de página, y si cambia lo que abarca una categoría, volveremos a preguntar.

La única categoría opcional que carga algo actualmente es Analítica, que activa Vercel Web Analytics y Vercel Speed Insights. Ambas funcionan sin cookies y no siguen a nadie entre sitios. Al margen del consentimiento, cada petición al sitio llega a la red edge de Vercel y aparece en sus registros de servidor con una dirección IP: eso es inevitable en cualquier sitio alojado, queda cubierto por la ficha de registros de seguridad de arriba y no es lo que controla la categoría de analítica.

Decisiones automatizadas

No tomamos decisiones sobre ti basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos o te afecten significativamente de modo similar, en el sentido del art. 22 RGPD. Centmond sí analiza tus datos: sugiere una categoría para un movimiento, detecta una suscripción, proyecta un saldo, y el asistente responde preguntas al respecto. Pero son sugerencias dentro de tu propia cuenta. Nada de esto decide sobre tu acceso a un servicio, sobre tu solvencia ni sobre ningún derecho, y cada cambio que el asistente prepara espera a que lo confirmes.

Conservación de los datos

La conservación se indica arriba por tratamiento y no como una sola cifra, porque de verdad varía: un registro de seguridad dura días, un movimiento tanto como tú lo mantengas. Como regla general conservamos tus datos mientras tu cuenta esté activa.

Cuando eliminas tu cuenta, los datos activos se retiran de nuestro backend en un plazo de 30 días. Las copias de seguridad cifradas que todavía los contienen caducan según el calendario de copias y nunca se restauran para recuperar datos borrados. Cuando la ley nos obliga a conservar algo más tiempo, limitamos su tratamiento en lugar de borrarlo y solo lo usamos para ese fin legal.

Tus derechos

Desde la aplicación puedes, cuando quieras y sin pedírnoslo:

• Exportar tus datos (JSON, CSV, PDF), que es también la forma en que se atiende el derecho a la portabilidad.
• Eliminar tu cuenta, lo que retira tus datos de nuestro backend en un plazo de 30 días.
• Desactivar el asistente, lo que retira el consentimiento en el que se basa e impide que ningún dato llegue al proveedor de inferencia.
• Desconectar cualquier banco desde la página Cuentas, lo que revoca de inmediato la sesión de Enable Banking.

El RGPD te reconoce además los derechos de acceso (art. 15), rectificación (art. 16), supresión (art. 17), limitación del tratamiento (art. 18) y portabilidad (art. 20), así como el derecho de oposición (art. 21) a los tratamientos que basamos en un interés legítimo: los registros de seguridad y la supervisión de errores de arriba. Cuando un tratamiento se basa en el consentimiento, puedes retirarlo en cualquier momento, sin que ello afecte a la licitud de lo anterior. Para ejercerlos escribe a mani.scs.gh@gmail.com; respondemos en el plazo de un mes.

También tienes derecho a presentar una reclamación ante una autoridad de control. La competente respecto de nosotros es la Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, Alemania. Puedes acudir en su lugar a la autoridad de tu lugar de residencia o de trabajo: en España, la AEPD.

Menores

Centmond no se ofrece a menores de 18 años, y las Condiciones exigen tener 18 años para abrir una cuenta. No recogemos a sabiendas datos de personas por debajo de esa edad; si crees que un menor nos ha facilitado datos personales, escríbenos y los eliminaremos y cerraremos la cuenta.

Cambios en esta política

Si hacemos cambios sustanciales, actualizaremos la fecha de última actualización en la parte superior de esta página y, cuando proceda, te avisaremos en la aplicación o por correo. Cuando un cambio requiera tu consentimiento, lo pediremos en lugar de darlo por supuesto. No ampliaremos en silencio el uso de tus datos.

Contacto

Para cualquier duda, solicitud o reclamación sobre privacidad, escribe a mani.scs.gh@gmail.com.