Tu plata es tuya.

• No vendemos ni compartimos tus datos con nadie para publicidad.
• Tus gastos solo los ven los miembros de tu hogar.
• Podés bajar o borrar todo lo que cargaste cuando quieras (Configuración → Privacidad).
• Si no querés que la inteligencia artificial lea tus tickets o notas de voz, la podés apagar.
• Las fotos de tickets se borran solas a los 30 días — solo nos quedamos con los datos del gasto.

Para que la mangoneta funcione, guardamos:

• Cuenta: tu nombre, correo, contraseña (siempre cifrada — nunca la vemos en texto plano) y, si las conectás, tu cuenta de Telegram o WhatsApp.
• Hogar: nombre, código de invitación, miembros, moneda local.
• Movimientos: gastos cargados, categorías, presupuestos, cuotas, metas, inversiones, sueldos.
• Fotos de tickets: guardadas hasta 30 días para que las puedas revisar; después se borran solas y solo queda el monto y datos del gasto.
• Bot de Telegram: si conectás un bot tuyo, su clave queda cifrada en nuestra base.
• Cuentas conectadas: si conectás Mercado Pago (o el export a Google Sheets), guardamos la llave de acceso (cifrada) y los movimientos importados — nunca los datos de tu tarjeta.
• Import por reenvío de mails: tu dirección de ingesta, las casillas que confirmaste como tuyas, los datos del gasto que sacamos de cada aviso y un renglón por mail recibido con qué pasó. El cuerpo del mail no se guarda.

Solo para mostrarte tus números, dividir gastos con tu pareja o tu hogar, y mandarte los avisos que vos prendiste. Nada más. No entrenamos ningún modelo con tus datos, no armamos perfiles para publicidad, no los vendemos.

La seguridad de tus datos no es solo una promesa — es código y configuración. Esto es lo que hay:

• HTTPS en todo: el tráfico entre tu navegador / teléfono y nuestros servidores viaja cifrado. No pasa nada en texto plano por el cable.
• Base de datos cifrada en reposo: Neon (nuestro proveedor de Postgres) usa AES-256 sobre AWS. Si alguien se robara el disco físico, no leería nada.
• Contraseñas hasheadas con bcrypt: guardamos la huella, no la contraseña. Nadie en nuestro equipo puede ver tu clave — ni siquiera leyendo la base.
• Doble factor (2FA) opcional: activá TOTP en Configuración → Verificación en dos pasos. Aunque alguien tenga tu contraseña, sin el código de tu autenticadora no entra.
• Cookies httpOnly: tu sesión vive en una cookie que el JavaScript del navegador no puede leer — bloquea el robo de sesión por XSS.
• Logs sin datos personales: filtramos nombres, emails, montos y mensajes antes de mandar errores a Sentry.

Usamos algunos servicios externos para que la app funcione. Cada uno ve solo lo mínimo necesario y ninguno puede usar tus datos para otra cosa.

• Inteligencia artificial: Anthropic (Claude — parser de texto y lector de tickets) y Groq (transcripción de voz). Procesan en el momento; no entrenan modelos con tu información.
• Mensajería: Telegram y WhatsApp llevan tus mensajes hasta el bot.
• Servidores y base de datos: Vercel (frontend), Fly.io (backend), Neon (base de datos cifrada), Supabase (fotos), Upstash (estado temporal del bot).
• Errores: Sentry recibe los errores técnicos (sin datos personales) para que podamos arreglarlos.
• Métricas de producto: PostHog recibe eventos de uso (qué funciones se usan, con un identificador interno) — nunca montos, descripciones ni contenido financiero. Es para mejorar la app, no para publicidad.
• Pagos: Mercado Pago — los datos de tu tarjeta nunca pasan por nosotros.

Si preferís no usar inteligencia artificial, la podés apagar en Configuración → Privacidad — IA.

Si querés, tus consumos se pueden cargar solos de dos maneras: reenviándonos los avisos que ya te manda tu banco, o conectando tu cuenta de Mercado Pago. Las dos son opcionales y las cortás cuando quieras desde Configuración → Cuentas conectadas. Ya no pedimos acceso a tu correo: la vieja conexión con Gmail está retirada y los permisos que estaban dados los dimos de baja.

• Reenvío de mails — cómo funciona: te damos una dirección propia e impredecible (algo tipo u-a1b2c3d4e5f6@mangoneta.app) y vos reenviás ahí los avisos de tu banco, a mano o con una regla de tu proveedor de correo. No tenemos ningún acceso a tu casilla: solo vemos lo que nos mandás. Podés rotar tu dirección cuando quieras — la anterior deja de recibir en el acto.
• Primero confirmás vos: el primer mail que llega desde una casilla nueva no se procesa. Te preguntamos si esa casilla es tuya y recién cuando lo confirmás empezamos a leer lo que reenvía. Tampoco procesamos avisos que no vengan de un banco conocido.
• Qué guardamos de cada aviso: monto, comercio y fecha (más el identificador técnico del mensaje, para no importarlo dos veces). El cuerpo del mail no se guarda: se lee en memoria y se descarta en el momento.
• Registro de lo que llegó: por cada mail recibido guardamos un renglón con la fecha, la casilla que lo mandó, el remitente original del banco y qué pasó con él (importado, duplicado, descartado, no supimos leerlo). Si no supimos leerlo guardamos también el asunto — es lo que nos deja escribir el lector que falta. Ese registro lo ves vos en Configuración.
• Una sola excepción con el cuerpo de un mail: cuando armás la regla de reenvío, Google nos manda a nosotros un mail con el código de confirmación. Si no logramos leer ese código automáticamente, guardamos el texto de ese mail — el de Google, no uno tuyo — por un máximo de 24 horas y solo para mostrártelo a vos, para que lo copies y termines de configurar el reenvío. Después se borra.
• Mercado Pago: leemos los movimientos de tu propia cuenta para proponerlos como gastos o cobros. El permiso es de lectura: no podemos mover plata ni ver los datos de tu tarjeta. Si te pagan por Mercado Pago, guardamos el nombre de quien te pagó como parte del cobro (igual que un recibo) — ese dato es visible para los miembros del hogar donde caen tus cobros.
• Llaves cifradas: el permiso de Mercado Pago queda cifrado en nuestra base y se elimina cuando desconectás la cuenta o borrás tu cuenta de la mangoneta; además lo podés quitar desde tu propia cuenta (Seguridad → Aplicaciones conectadas). El reenvío de mails no usa ninguna llave: no hay token ni permiso de por medio, así que no hay nada que revocar.
• Vos tenés la última palabra: todo lo que entra por mail reenviado espera tu aprobación, siempre (en Mercado Pago depende de si activaste la revisión de imports) — y si no lo tocás en 7 días, se acepta solo para que no pierdas datos por ignorar la cola (te avisamos antes de que pase).
• Transparencia verificable: en Configuración ves qué cuenta está conectada, qué hizo el último escaneo, y podés desconectar y borrar lo importado en un paso. Más detalle en la página de seguridad.

Uso de las APIs de Google. Hoy usamos las APIs de Google para dos cosas, las dos opcionales y ninguna relacionada con tu correo: entrar con tu cuenta de Google (recibimos tu nombre y tu dirección de correo, para identificarte y crear tu cuenta) y, si lo activás, el export a Google Sheets (pedimos permiso sobre Sheets para crear y actualizar la planilla con tus gastos que te generamos). No pedimos acceso a Gmail ni a tu Drive, y no leemos tu correo. El uso que hace la mangoneta de la información recibida de las APIs de Google — y su transferencia a cualquier otra aplicación — se ajusta a la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de Uso Limitado (Limited Use): esos datos se usan solo para esas funciones, no se venden, no se usan para publicidad y no entrenan ningún modelo de inteligencia artificial.

La Mangoneta’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

En cualquier momento podés:

• Bajar tus datos: exportar todo lo que tenemos sobre vos en un archivo (Configuración → Privacidad → Exportar mis datos).
• Modificar lo que cargaste: editar tus gastos, sueldo, perfil y datos del hogar desde la app.
• Borrar tu cuenta: eliminar todos tus datos, incluidas las fotos de tickets. Te pedimos que confirmes por correo y unos minutos después está todo borrado (Configuración → Privacidad → Eliminar cuenta).
• Apagar lo que no quieras: la inteligencia artificial, las notificaciones, el perfil público — todo se apaga desde Configuración.
• Cerrar todas las sesiones: si pensás que alguien entró a tu cuenta, un botón en Configuración cierra todas las sesiones activas al instante.
• Cancelar Pro cuando quieras, sin perder los datos que cargaste.
• Escribirnos: hola@mangoneta.app y te respondemos en lo que tarde un mate.

• Fotos de tickets: 30 días desde que las subiste. Después se borran solas. El gasto cargado queda.
• Estado temporal del bot: unos pocos minutos.
• Mails que nos reenviás: el cuerpo no se guarda — se lee y se descarta. Queda el gasto que salió de ahí y el renglón del registro (fecha, casilla, qué pasó) mientras tengas la cuenta abierta.
• Mail de confirmación de reenvío de Google: como mucho 24 horas, y solo cuando no pudimos leer el código automáticamente.
• Cuenta y movimientos: mientras tengas la cuenta abierta. Cuando la borrás, eliminamos todo en minutos.
• Copias de respaldo: guardamos copias por el plazo limitado que ofrece nuestro proveedor de base de datos. Después tu información también se va de ahí.
• Registros de errores: los borramos según el plazo del servicio que usamos, y nunca incluyen tu información personal.

No. No usamos servicios para medir lo que hacés en otras páginas, ni vendemos tu actividad a nadie. En tu navegador solo guardamos lo justo para mantener tu sesión abierta y recordar algunas preferencias mínimas (como qué pestaña tenías abierta o si ya viste la pantalla de bienvenida). Dentro de la app medimos qué funciones se usan (con PostHog, ver arriba) para decidir qué mejorar — sin contenido financiero y sin seguirte fuera de la mangoneta.

La mangoneta es para mayores de 18. Si te enterás de que un menor abrió una cuenta, avisanos y la cerramos.

Si cambiamos algo importante (por ejemplo, sumamos un servicio externo nuevo o cambiamos cuánto tiempo guardamos algo), te avisamos por correo o desde la app antes de que empiece a aplicar.