Leemos poco, guardamos menos, y lo podés verificar.

La forma recomendada de importar tus gastos es la más simple y la más privada: te damos una dirección propia y vos reenviás los avisos de tu banco. Nunca vemos tu casilla, ni tus mails personales, ni nada que no nos hayas mandado a propósito.

• Tu dirección es única e impredecible, y la rotás cuando quieras con un tap.
• Solo leemos reenvíos que vengan de tu propia casilla, y la primera vez te pedimos que la confirmes.
• Verificamos la firma criptográfica (DKIM) del reenvío: si no valida, se descarta.
• Solo procesamos avisos de bancos conocidos; cualquier otro mail se descarta sin leer.
• Todo pasa por tu revisión antes de entrar a tus números — por este canal no hay nada que entre directo (si dejás la cola sin tocar 7 días, se acepta sola; te avisamos antes de que pase).
• De cada aviso guardamos monto, comercio y fecha. El cuerpo del correo no se guarda.

• Sobre tu correo: ninguno. La vieja conexión por OAuth con Gmail está retirada: pedir acceso a una casilla entera nos pareció demasiado para lo que hace falta. Ya no la ofrecemos, y los permisos que estaban dados los dimos de baja nosotros. El reenvío la reemplaza y no necesita ningún permiso sobre tu casilla.
• Mercado Pago — lectura de movimientos: vemos los pagos de tu propia cuenta para proponerlos como gastos o cobros. No podemos mover plata ni ver los datos de tu tarjeta.
• Google, solo si lo usás: si entrás con tu cuenta de Google, recibimos tu nombre y tu correo para identificarte — nada más. Si activás el export a Google Sheets, pedimos permiso sobre Sheets para crear y actualizar la planilla que te generamos; no pedimos acceso a tu Drive.

Monto, comercio y fecha. Eso es todo. El cuerpo del mail se procesa en memoria y se descarta en el momento — no existe ninguna tabla donde caiga el texto de un aviso tuyo, ni guardamos el payload completo del pago.

Sí queda un renglón por cada mail que nos llega, para que puedas ver qué pasó: de qué casilla vino y cuál fue el resultado (lo importamos, lo descartamos, no supimos leerlo). Cuando no supimos leerlo guardamos también el asunto — es lo que nos deja escribir el lector que falta. El detalle completo, en la política de privacidad.

• Los tokens OAuth se guardan cifrados (Fernet — AES + HMAC) en una base de datos que además está cifrada en reposo.
• El servidor se niega a arrancar en producción si la clave de cifrado no está configurada — no existe el modo “me olvidé de cifrar”.
• Al desconectar Mercado Pago, borramos nuestra copia de las llaves al instante. MP no expone un endpoint para revocar desde afuera, así que el permiso lo terminás de quitar vos desde tu cuenta — y el de Google, desde la tuya (abajo te decimos dónde).
• La ingesta por reenvío no tiene llaves: no hay token que robar ni permiso que revocar. Si querés cortar, rotás tu dirección o dejás de reenviar.

• Con la revisión de imports activada, cada movimiento espera tu aprobación (editable, con categoría y hogar) antes de contar en tus números. Si lo ignorás 7 días, se acepta solo — te avisamos antes.
• Cada gasto importado lleva una etiqueta de origen (Mercado Pago / mail) — siempre sabés qué vino de dónde.
• En Configuración ves qué cuenta está conectada ("Conectado como…") y qué hizo el último escaneo: cuántos movimientos miramos, cuántos cargamos, cuántos ya estaban.
• Conectar, desconectar o cambiar el destino de una conexión te genera un aviso al instante — si no fuiste vos, te enterás ya.

• Google: en myaccount.google.com/connections ves todo lo que le diste a la mangoneta, con el scope exacto, y lo revocás cuando quieras desde ahí mismo. Ahí se comprueba lo de arriba: no vas a ver ningún permiso sobre tu correo. Como mucho vas a ver el ingreso con Google y, si lo activaste, el de Google Sheets.
• Mercado Pago: en tu cuenta, sección Seguridad → Aplicaciones conectadas, ves y quitás el permiso.
• Nosotros: el detalle completo de qué guardamos y por cuánto tiempo está en la política de privacidad.

No vendemos tus datos. No los usamos para publicidad. No entrenamos modelos de inteligencia artificial con tu información. Ninguna persona lee tus correos ni tus movimientos — y el modelo de negocio de la mangoneta es simple: la app es gratis y Pro se paga. Vos sos el cliente, no el producto.