Política de Privacidad

1. Responsable del tratamiento

Responsables: Mauro Hernández-Franch Jiménez y Álvaro Gómez Suárez. Contacto: support@vantagly.com. País: España. Al tratarse de un proyecto en fase inicial, los responsables actúan como personas físicas.

2. Qué datos recogemos

Recogemos solo los datos necesarios para que la aplicación funcione:

• Datos de cuenta: email y contraseña cifrada; o tu correo y tu nombre de Google, si eliges iniciar sesión con Google (ver punto 16).
• Los datos financieros que tú introduces: gastos, ingresos, ahorros, inversiones, cuentas, proyectos y eventos de calendario.
• Los datos que vienen de tu banco, únicamente si conectas una cuenta: el nombre de la entidad, un nombre de cuenta, los cuatro últimos dígitos del IBAN, el saldo y los movimientos (fecha, importe, divisa, concepto y la referencia que les da tu banco). Detalle completo en el punto 8.
• Datos de la suscripción, si te suscribes: un identificador de cliente de la pasarela de pago, en qué tienda o pasarela pagaste, el estado de tu suscripción y hasta cuándo está pagada. Los datos de tu tarjeta no pasan por Vantagly en ningún momento (punto 9).
• Datos de la aplicación para móvil, si la usas: el modelo del dispositivo, una huella cifrada de la sesión y, si aceptas los avisos, la dirección de avisos de tu teléfono. Detalle en el punto 18.
• Tus preferencias de configuración y los archivos que decidas subir (documentos, imágenes).
• El contenido de los mensajes que envíes desde Soporte, tanto por correo como en el formulario de valoración.
• Tu código público y tus amistades, si usas la función de amigos: con quién estás conectado y qué eliges enseñar en tu perfil. Detalle completo en el punto 17.

El servidor genera además registros técnicos (logs) con datos como la dirección IP, la fecha y la página solicitada, necesarios para detectar errores y ataques. No recogemos datos de navegación con fines publicitarios ni usamos cookies de rastreo (punto 13).

3. Con qué finalidad y base legal

• Prestarte el servicio, mantener tu cuenta y permitir el inicio de sesión — base legal: ejecución del contrato (el servicio que has solicitado).
• Traer los movimientos y el saldo de tu banco, si conectas una cuenta — base legal: tu consentimiento explícito, que das en la web de tu propio banco y que puedes retirar en cualquier momento (punto 8).
• Cobrar la suscripción y llevar la facturación, si te suscribes — base legal: ejecución del contrato, y obligación legal en lo relativo a las facturas (punto 9).
• Enviarte alertas por correo, solo si lo activas en Ajustes — base legal: consentimiento, que puedes retirar desde el mismo interruptor.
• Enviarte avisos push al móvil, solo si aceptas el permiso del sistema — base legal: consentimiento, que retiras desde los ajustes de tu teléfono.
• Seguridad y prevención del fraude: los registros técnicos y la limitación de intentos de acceso — base legal: interés legítimo.

También registramos qué pantallas de la aplicación visitas y cuándo, con el único fin de saber qué partes se usan y cuáles no, y mejorar la aplicación en consecuencia (base legal: interés legítimo). Este registro se hace en nuestro propio servidor: no intervienen terceros ni herramientas de analítica externas, y no se guarda nada adicional en tu dispositivo.

De ese registro guardamos únicamente la sección visitada y el momento. No guardamos identificadores de tus datos: la dirección de un proyecto concreto se agrupa como /projects/:id, sin el identificador real. Estos registros se borran automáticamente a los 90 días.

Puedes oponerte a este tratamiento escribiéndonos; en ese caso dejaremos de registrar tu actividad. Ver el apartado 11.

4. Dónde se guardan tus datos

Tus datos se almacenan en servidores de Supabase, proveedor que actúa como encargado del tratamiento, ubicados en Frankfurt (Alemania) — es decir, dentro de la Unión Europea, bajo el régimen de protección de datos del RGPD. La aplicación se ejecuta en un servidor de OVH en Francia.

5. Cuánto tiempo los conservamos

Conservamos tus datos mientras mantengas tu cuenta activa. Si borras tus datos o eliminas tu cuenta desde Ajustes, se eliminan de nuestros sistemas activos de forma inmediata, salvo copias técnicas de seguridad temporales que se purgan en el ciclo normal de backups.

• Registros de qué pantallas visitas: 90 días, y se eliminan solos.
• Permiso de acceso a tu banco: se borra en cuanto caduca o lo revocas. Los movimientos que ya se hayan apuntado en tu cuenta se quedan, porque son tuyos y forman parte de tu historial — puedes borrarlos como cualquier otro gasto.
• Facturas y datos de la suscripción: la normativa mercantil y fiscal española obliga a conservar la documentación de facturación (seis años según el Código de Comercio, y cuatro a efectos de prescripción tributaria). Esos registros sobreviven al borrado de la cuenta porque no podemos eliminarlos legalmente; se conservan bloqueados y solo a disposición de la Administración.
• Registros técnicos del servidor: se rotan de forma automática y no se conservan más allá de lo necesario para detectar incidencias.

6. Con quién los compartimos

No vendemos ni cedemos tus datos a terceros con fines comerciales ni publicitarios. Compartimos datos únicamente con los proveedores estrictamente necesarios para el funcionamiento del servicio, y solo el dato que cada función requiere:

• Supabase (alojamiento de la base de datos, Frankfurt/UE) — todos tus datos, como encargado del tratamiento.
• OVH (servidor donde se ejecuta la aplicación, Francia/UE) — los datos pasan por ese servidor al usar la app, y quedan en sus registros técnicos.
• Enable Banking Oy (Finlandia/UE), proveedor de servicios de información sobre cuentas autorizado y supervisado, únicamente si conectas tu banco — es quien habla con tu entidad y nos entrega los movimientos. Ver el punto 8.
• Stripe (Stripe Payments Europe, Ltd., Irlanda/UE), únicamente si te suscribes — recibe tu correo, tus datos de facturación y los datos de tu tarjeta, que introduces directamente en su entorno. Ver el punto 9.
• Apple (App Store) y Google (Google Play), únicamente si pagas la suscripción desde la aplicación para móvil — cobran ellos, con la cuenta y el medio de pago que tengas en su tienda. Ver el punto 9.
• RevenueCat, Inc. (Estados Unidos), únicamente si pagas desde la aplicación para móvil — recibe de la tienda el justificante de la compra y un identificador interno de tu cuenta de Vantagly (no tu correo ni tu nombre), y nos confirma el estado de la suscripción.
• Expo (650 Industries, Inc., Estados Unidos), únicamente si aceptas los avisos push en la aplicación — recibe la dirección de avisos de tu teléfono y el texto del aviso, que nunca incluye importes. Ver el punto 18.
• Resend (envío de correos) — tu dirección de correo y el contenido del mensaje, en los correos de verificación de cuenta, recuperación de contraseña, recordatorios de calendario y los mensajes que nos envíes desde Soporte.
• Google — tu email y nombre, únicamente si eliges iniciar sesión con Google. Detalle en el punto 16.
• Discord — el contenido de la valoración que escribas voluntariamente en Soporte, si la usas; y los avisos automáticos de errores técnicos, que pueden incluir la página en la que ocurrió el fallo y tu identificador interno de usuario.
• Marketstack — proveedor de precios de mercado; recibe únicamente el ticker del activo que consultas, nunca datos personales tuyos.

Al margen de esos proveedores, las personas responsables identificadas en el punto 1 tienen acceso administrativo al servidor y a la base de datos, porque son quienes desarrollan y mantienen la aplicación. Eso significa que el contenido de tu cuenta les es técnicamente accesible. Solo lo consultan cuando es estrictamente necesario (atender una incidencia que nos comuniques, corregir un fallo, seguridad u obligación legal), nunca de forma rutinaria ni con fines comerciales. Lo detallamos en los Términos.

7. Transferencias internacionales

Google, Apple, RevenueCat, Expo, Discord y Resend son empresas con sede en Estados Unidos, por lo que los datos que reciben (ver punto 6) pueden ser tratados fuera del Espacio Económico Europeo. Stripe contrata desde Irlanda pero forma parte de un grupo con matriz en Estados Unidos, por lo que algunos tratamientos pueden implicar transferencia. Estas transferencias se realizan bajo las garantías legales exigidas por el RGPD, en particular al amparo del marco de adecuación EU-U.S. Data Privacy Framework, al que dichas compañías están adheridas, o mediante cláusulas contractuales tipo cuando resulte aplicable.

Supabase y Enable Banking tratan los datos dentro de la Unión Europea, de modo que ni tus datos financieros almacenados ni los que vienen de tu banco salen del EEE por esta vía.

8. La conexión con tu banco

Vantagly funciona entera sin conectar ningún banco: puedes registrarlo todo a mano. Conectarlo es opcional y decides tú. Si lo haces, esto es exactamente lo que ocurre.

• Nunca vemos las claves de tu banco. Te identificas en la web o la app de tu propia entidad, igual que cuando entras a consultar tu cuenta. Tus credenciales no pasan por Vantagly ni se guardan en ningún sitio nuestro.
• Solo lectura. El permiso que concedes es de información sobre cuentas (AIS). Vantagly no puede mover dinero, ni ordenar pagos, ni modificar nada en tu banco. Técnicamente no tenemos esa capacidad.
• A través de un proveedor autorizado. La comunicación con tu entidad la realiza Enable Banking Oy, entidad registrada y supervisada para prestar servicios de información sobre cuentas conforme a la directiva europea de servicios de pago (PSD2). Actúa como encargado del tratamiento.
• Qué guardamos nosotros: el nombre de la entidad, un nombre de cuenta, los cuatro últimos dígitos del IBAN (nunca el IBAN completo), el saldo, y los movimientos con su fecha, importe, divisa, concepto y la referencia que les asigna tu banco. Con esos movimientos la aplicación crea gastos e ingresos en tu cuenta, que puedes editar o borrar como cualquier otro.
• El permiso caduca solo. La normativa obliga a renovarlo periódicamente (habitualmente entre 90 y 180 días). Cuando caduca dejamos de traer nada y te avisamos.
• Puedes revocarlo cuando quieras, desde Ajustes → Conectar tu banco. Al hacerlo le pedimos a tu entidad que anule el acceso y borramos el permiso de nuestra base de datos. Si no podemos confirmar la anulación con tu banco, la aplicación te lo dice y te indica que la quites también desde tu propia entidad, que es el corte definitivo.
• Cifrado en reposo. Las referencias de sesión y de cuenta que nos entrega el proveedor se guardan cifradas en la base de datos, con una clave que no está en la base de datos.

La información que muestra la aplicación es orientativa. Tu banco es siempre la fuente de verdad sobre tu dinero: un movimiento pendiente puede cambiar de importe al cerrarse, y así se te indica en la ficha del gasto.

9. Los pagos y la suscripción

• Vantagly no ve, no recibe y no guarda los datos de tu tarjeta. El pago se realiza íntegramente en el entorno de Stripe, que es una entidad de pago autorizada y cumple el estándar PCI DSS. Nosotros no llegamos a tener acceso al número de tarjeta en ningún momento.
• Qué guardamos nosotros: un identificador de cliente de Stripe, el estado de tu suscripción (activa, impagada o cancelada) y la fecha hasta la que está pagada. Nada más.
• Qué recibe Stripe: tu correo electrónico, los datos de facturación que introduzcas y los datos de la tarjeta, que le entregas directamente a él. Stripe trata esos datos también como responsable, para sus propias obligaciones legales de prevención del blanqueo y del fraude; puedes consultar su política en stripe.com/es/privacy.
• Si pagas desde la aplicación para móvil, el cobro lo hace la tienda (App Store de Apple o Google Play), con su propio medio de pago y sus propias condiciones, y la tienda emite el justificante. Vantagly no ve tu tarjeta ni tu cuenta de la tienda: recibe, a través de RevenueCat, solo el estado de la suscripción y su fecha de fin. La suscripción se cancela desde la propia tienda.
• Facturas. La normativa nos obliga a emitir y conservar la documentación de facturación. Ver los plazos en el punto 5.

10. Decisiones automatizadas y perfiles

No tomamos decisiones automatizadas que produzcan efectos jurídicos sobre ti ni que te afecten significativamente de modo similar, en el sentido del artículo 22 del RGPD. No elaboramos perfiles con fines publicitarios, no evaluamos tu solvencia, y no cedemos tus datos a nadie que lo haga.

La aplicación sí clasifica automáticamente en categorías los gastos que llegan de tu banco (por ejemplo, un movimiento que dice «MERCADONA» se propone como «Comida»). Es una regla sencilla de palabras clave, sirve únicamente para ahorrarte trabajo, puedes cambiar cualquier categoría, y lo que no se reconoce va a «Otros» y se te avisa para que lo ordenes tú.

Tampoco usamos tus datos para entrenar modelos de inteligencia artificial.

11. Tus derechos

Tienes derecho a acceder, rectificar, suprimir, oponerte y limitar el tratamiento, así como a la portabilidad de tus datos y a retirar en cualquier momento los consentimientos que hayas dado (sin que ello afecte a la licitud del tratamiento anterior). La aplicación te permite exportar tus datos y borrarlos desde Ajustes en cualquier momento, y revocar el acceso a tu banco desde la pantalla de conexión.

Para cualquier otra solicitud, escribe a support@vantagly.com; te responderemos en el plazo máximo de un mes. También puedes reclamar ante la Agencia Española de Protección de Datos (AEPD, www.aepd.es).

12. Seguridad

Aplicamos medidas razonables para proteger tus datos: cifrado de contraseñas, conexión cifrada mediante HTTPS, limitación de intentos de acceso y cifrado en reposo de las credenciales de acceso a tu banco, entre otras. Ningún sistema es completamente infalible; usa una contraseña robusta y no compartas tus credenciales. En caso de una brecha de seguridad que afecte a tus datos personales, te lo notificaremos sin dilación indebida conforme exige la normativa, junto con las medidas adoptadas.

13. Cookies

Usamos únicamente una cookie técnica de sesión, estrictamente necesaria para mantenerte identificado mientras usas la aplicación. No usamos cookies de analítica ni de publicidad, por lo que esta cookie está exenta de requerir tu consentimiento previo conforme a la normativa de cookies. Si en el futuro incorporamos cookies no esenciales, actualizaremos esta política y solicitaremos tu consentimiento explícito antes de activarlas.

14. Menores de edad

La aplicación no está dirigida a menores de 14 años, edad mínima establecida por la normativa española (LOPDGDD) para prestar consentimiento propio al tratamiento de datos personales. Si eres menor de 14 años, no debes registrarte. Si tienes entre 14 y 17 años, puedes registrarte conforme a la ley, aunque recomendamos hacerlo con conocimiento de tus padres o tutores dado el carácter financiero de la aplicación. La conexión bancaria y la suscripción de pago requieren ser mayor de edad y titular de la cuenta y del medio de pago.

15. Cambios en esta política

Podemos actualizar esta política. Actualizaremos la fecha del encabezado y, si los cambios son relevantes —por ejemplo, un proveedor nuevo o una finalidad nueva—, te lo notificaremos dentro de la aplicación antes de que entren en vigor.

16. Datos de tu cuenta de Google y uso limitado

Este apartado explica en detalle qué ocurre con la información que nos llega de Google cuando entras con el botón «Continuar con Google». Si te registras con email y contraseña, nada de esto te aplica: Vantagly no se comunica con Google en ningún momento.

• Qué pedimos. Únicamente los permisos openid, email y profile, que son los mínimos para poder identificarte. No pedimos ni recibimos acceso a Gmail, Drive, Contactos, Calendario, Fotos ni a ningún otro servicio de Google, ni a nada que hagas fuera de Vantagly.
• Qué guardamos. Solo dos datos: tu dirección de correo y tu nombre. Google nos envía además otros datos básicos de perfil, como la foto: no los guardamos, se descartan al terminar el inicio de sesión. Tampoco conservamos ningún identificador interno de tu cuenta de Google, ni tu contraseña de Google, a la que nunca tenemos acceso.
• Para qué los usamos. El correo, para crear tu cuenta y reconocerte cuando vuelves a entrar. El nombre, para saludarte dentro de la app (puedes cambiarlo en Ajustes). Para nada más: no los usamos con fines publicitarios, ni para elaborar perfiles, ni para entrenar modelos de inteligencia artificial.
• Dónde se guardan y cuánto. En la misma base de datos que el resto de tu cuenta (Supabase, Frankfurt/UE — punto 4), mientras mantengas la cuenta abierta. Si la eliminas desde Ajustes, desaparecen con ella (punto 5).
• Con quién se comparten. Con nadie. No vendemos, cedemos ni transferimos esta información a terceros, ni a anunciantes, ni a intermediarios de datos, ni para evaluar tu solvencia. El acceso administrativo del equipo, y sus límites, es el descrito en el punto 6.
• En la aplicación para móvil ocurre lo mismo: Google le da al teléfono un justificante firmado, nuestro servidor le pregunta a Google si es válido y está emitido para Vantagly, y de él toma solo tu correo y tu nombre. El justificante no se guarda.
• Cómo revocarlo. Puedes retirarle el permiso a Vantagly cuando quieras desde la configuración de tu cuenta de Google, y borrar tu cuenta y todos tus datos desde Ajustes.

Uso limitado: el uso y la transferencia por parte de Vantagly de la información recibida de las API de Google se ajustarán a la Política de Datos de Usuario de los Servicios de API de Google, incluidos sus requisitos de Uso Limitado.

Vantagly's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

17. Tu perfil y tus amigos

Vantagly te da un código público de cinco caracteres para que otra persona pueda encontrarte sin que le des tu correo.

• Quién puede verte. Cualquier usuario que haya iniciado sesión y conozca tu código. No hay listados, ni buscador por nombre, ni forma de descubrir perfiles al azar: hay que saber tu código, y ese código solo lo das tú.
• Qué se ve: tu nombre, tu foto, tu código, tu nivel, tu título, tus insignias, tu racha, tus logros y las inversiones que hayas elegido destacar —de estas solo el porcentaje de rentabilidad, nunca el importe—.
• Qué NO se ve, en ningún caso: tu correo electrónico, tu patrimonio, cualquier cantidad de dinero, tu tasa de ahorro ni ninguna otra estadística sobre tus finanzas, tus gastos e ingresos, tus cuentas bancarias, tu cartera completa y tus preferencias.
• Qué controlas tú. El contenido: tu nombre y tu foto los eliges y los puedes cambiar o quitar cuando quieras desde tu perfil, y las insignias e inversiones destacadas las eliges una a una. Si no quieres que nadie te encuentre, no repartas tu código. Y si quieres dejar de aparecer del todo, puedes borrar tu cuenta desde Ajustes (apartado 11), lo que elimina también tu perfil y tus amistades.
• Amistades. Añadir a alguien envía una solicitud que la otra persona tiene que aceptar; hasta entonces no ocurre nada. Cualquiera de los dos puede deshacerla en cualquier momento, y al hacerlo el registro se borra —no guardamos un histórico de a quién has rechazado o con quién has dejado de ser amigo—.
• No hay mensajes ni texto libre. No se puede escribir una descripción de perfil, ni adjuntar un mensaje a una solicitud, ni enviar mensajes privados. Es una decisión deliberada de diseño: sin texto libre no hay acoso ni contenido inapropiado que moderar.

Base legal: la ejecución del contrato (art. 6.1.b RGPD). El perfil y las amistades son parte de la funcionalidad del servicio que contratas al registrarte, igual que el registro de gastos o el panel. Por eso el perfil es visible para quien tenga tu código, sin interruptor que lo apague: lo que decides tú es qué pones en él y a quién le das el código. Ten en cuenta que de tu perfil no sale ninguna cifra de dinero ni ninguna estadística sobre tus finanzas.

Aplicamos además límites al número de perfiles que se pueden consultar por hora, para impedir que nadie recopile información de los usuarios de forma automatizada.

18. La aplicación para móvil

Si usas Vantagly desde la aplicación para iPhone o Android, además de lo anterior ocurre lo siguiente:

• La sesión del teléfono. Al entrar, el servidor le da al teléfono una llave de sesión que se guarda en el almacén seguro del sistema (Llavero en iPhone, Keystore en Android). En nuestra base de datos guardamos solo una huella cifrada de esa llave, nunca la llave, junto con el modelo del dispositivo y la fecha del último uso. Al cerrar sesión, o al borrar tu cuenta, la llave deja de valer.
• Face ID, Touch ID o la huella. Si activas el bloqueo, la comprobación la hace tu teléfono. Vantagly no recibe ni guarda ningún dato biométrico: el sistema solo le dice a la aplicación si ha ido bien o no.
• La copia sin conexión. Para que la aplicación se abra sin cobertura, guarda en tu teléfono una copia de las últimas pantallas que has visto. Se queda en el almacenamiento privado de la aplicación y se borra al cerrar sesión o desinstalarla.
• Avisos push, solo si aceptas el permiso del sistema. Guardamos la dirección que el sistema operativo asigna a tu teléfono para los avisos, vinculada a esa sesión: si cierras la sesión, dejan de llegar. Los avisos se entregan a través de Expo (Estados Unidos), que recibe esa dirección y el texto del aviso. Los avisos nunca incluyen importes, porque se ven en la pantalla de bloqueo. Puedes quitarlos cuando quieras desde los ajustes de tu teléfono.
• Fotos y documentos. La aplicación solo accede a la cámara, a tus fotos o a tus archivos cuando tú eliges subir algo, y solo a lo que eliges.
• Sin rastreo. La aplicación no incluye herramientas de publicidad ni de analítica de terceros, y no te sigue entre aplicaciones.

19. Contacto

Para cualquier duda sobre esta política, escribe a: support@vantagly.com