Política de privacidad
En resumen: Nos conectamos a tu banco en modo solo lectura para mostrarte tus propios datos. Nunca almacenamos tus credenciales bancarias. No vendemos tus datos a nadie. Puedes eliminar tu cuenta y todos los datos asociados en cualquier momento.
1. Quiénes somos
Savvy («nosotros», «nuestro») es una aplicación de gestión financiera desarrollada y operada por Savvy. Nuestra dirección de contacto es vikkie@savvyagent.app.
A efectos de protección de datos, Savvy es el responsable del tratamiento de los datos personales descritos en esta política.
2. Datos que recopilamos
2.1 Datos de la cuenta
Cuando creas una cuenta de Savvy, recopilamos:
- Dirección de correo electrónico
- Nombre completo (opcional)
- Contraseña (almacenada como hash bcrypt — no podemos leerla)
- Fecha de creación de la cuenta
- Idioma preferido
2.2 Datos bancarios y de transacciones
Cuando conectas una cuenta bancaria mediante banca abierta (proporcionada por Qwist o proveedores similares regulados por PSD2), recibimos y almacenamos:
- Nombre, tipo e IBAN de la cuenta (enmascarado)
- Historial del saldo de la cuenta
- Historial de transacciones, incluyendo importe, nombre del comercio, fecha y categoría
- Nombre del titular de la cuenta según lo devuelto por tu banco
No almacenamos tu nombre de usuario bancario, contraseña, PIN ni ninguna credencial usada para acceder a tu banco. El acceso se establece mediante tokens OAuth emitidos por terceros regulados por PSD2 y puede revocarse en cualquier momento.
2.3 Datos de uso de la app
- Funciones usadas y pantallas visualizadas (anonimizado)
- Registros de errores
- Marcas de tiempo de sesión
- Versión del sistema operativo del dispositivo y versión de la app
2.4 Datos de comunicaciones
- Mensajes enviados a nuestro equipo de soporte
- Dirección de correo electrónico usada para unirse a la lista de espera
- Comentarios enviados voluntariamente dentro de la app
3. Cómo usamos tus datos
| Finalidad | Datos utilizados |
|---|---|
| Prestar el servicio Savvy (categorización, Payday Plan, información con IA, Savings Pots) | Datos de transacciones, datos de cuenta |
| Potenciar las respuestas de la IA de Ask Savvy | Historial de transacciones, patrones de gasto — procesados vía AWS Bedrock (solo regiones UE) para inferencia en tiempo real, sin almacenar |
| Generar los informes mensuales | Datos de transacciones, datos de cuenta |
| Enviarte notificaciones del servicio (nómina detectada, anomalía detectada) | Dirección de correo electrónico, datos de cuenta |
| Mejorar el producto (análisis de uso de funciones) | Datos de uso anonimizados |
| Responder a solicitudes de soporte | Dirección de correo electrónico, descripción del problema |
| Cumplir con obligaciones legales | Datos de cuenta |
4. Base legal del tratamiento
Conforme al RGPD, nos basamos en las siguientes bases legales:
- Ejecución del contrato (art. 6(1)(b)): Tratamiento necesario para prestarte el servicio Savvy al que te suscribiste.
- Consentimiento (art. 6(1)(a)): Cuando has dado tu consentimiento explícito — como al conectar una cuenta bancaria o activar análisis opcionales.
- Interés legítimo (art. 6(1)(f)): Prevención del fraude, seguridad del servicio y mejora del producto, siempre que tus intereses no prevalezcan.
- Obligación legal (art. 6(1)(c)): Cuando debemos cumplir con un requisito legal.
5. Datos bancarios y de banca abierta
Savvy utiliza proveedores de banca abierta regulados por PSD2 (actualmente Qwist) para conectarse a tu banco. Estos proveedores están autorizados por las autoridades financieras competentes y operan bajo estrictas normas de protección de datos.
Conectar una cuenta bancaria otorga a Savvy acceso de solo lectura (AIS) — podemos ver tus datos de cuenta y transacciones, pero esta conexión por sí sola no puede mover dinero, iniciar pagos ni modificar tu cuenta de ninguna manera.
Por separado, si eliges activar la automatización de Payday Plan o aprobar una transferencia sugerida por Savvy, se te pedirá que otorgues un consentimiento de iniciación de pago (PIS) adicional y explícito. Solo con este consentimiento independiente en vigor puede Savvy iniciar una transferencia bancaria — y cada transferencia individual sigue requiriendo que te autentiques directamente con tu propio banco (autenticación reforzada) antes de ejecutarse. Savvy nunca tiene acceso permanente para mover dinero sin que tu banco confirme cada transferencia contigo.
Puedes revocar la conexión bancaria de solo lectura o el consentimiento de iniciación de pago en cualquier momento desde la app Savvy. Revocar el acceso pone fin de inmediato a nuestra capacidad de obtener nuevos datos o iniciar pagos. Los datos de transacciones previamente obtenidos se conservan a menos que elimines tu cuenta.
6. Compartición de datos y terceros
Nunca vendemos tus datos a terceros. Solo compartimos datos con las siguientes categorías de encargados del tratamiento, bajo acuerdos de tratamiento de datos:
- Supabase (infraestructura y base de datos) — residencia de datos en la UE
- Qwist (acceso a datos de banca abierta e iniciación de pagos) — entidad regulada de la UE
- AWS Bedrock (ejecuta el modelo Claude de Anthropic para Ask Savvy, solo regiones UE) — Anthropic no recibe ni accede directamente a estos datos; se usa únicamente para inferencia en tiempo real, nunca se almacena ni se usa para entrenar ningún modelo
- Apple (distribución en la App Store, notificaciones push)
- Google Analytics / Microsoft Clarity (análisis anonimizado del sitio web — sin datos financieros)
Podemos compartir datos si así lo exige una orden judicial u otra obligación legal. Te informaremos cuando la ley lo permita.
7. Almacenamiento de datos y seguridad
Todos los datos se almacenan en infraestructura de Supabase alojada en la UE (Fráncfort). Aplicamos:
- Cifrado AES-256 en reposo para todos los datos de usuario
- TLS 1.3 en tránsito para toda la comunicación de API y app
- Seguridad a nivel de fila (RLS) que garantiza que los usuarios solo puedan acceder a sus propios datos
- Contraseñas con hash bcrypt (nunca almacenadas en texto plano)
- Nunca se almacenan credenciales bancarias
Conservamos tus datos mientras tu cuenta esté activa, más 30 días tras la eliminación, para permitir la recuperación de errores. Después de 30 días, todos los datos se eliminan permanentemente de nuestros sistemas.
8. Tus derechos según el RGPD
Tienes los siguientes derechos respecto a tus datos personales:
- Acceso: Solicitar una copia de todos los datos que tenemos sobre ti.
- Rectificación: Corregir datos inexactos o incompletos.
- Supresión: Eliminar tu cuenta y todos los datos asociados. Disponible directamente en la app, en Ajustes.
- Limitación: Solicitar que limitemos el tratamiento de tus datos en determinadas circunstancias.
- Portabilidad: Recibir tus datos en un formato legible por máquina.
- Oposición: Oponerte al tratamiento basado en interés legítimo.
- Retirada del consentimiento: Retirar cualquier consentimiento dado en cualquier momento, sin afectar el tratamiento previo.
Para ejercer cualquiera de estos derechos, escribe a vikkie@savvyagent.app. Respondemos en un plazo de 30 días.
9. Cookies
La app móvil de Savvy no usa cookies. Nuestro sitio web (savvyagent.app) usa:
- Cookies esenciales: Necesarias para el funcionamiento del sitio (estado de sesión, preferencia de tema). No requieren consentimiento.
- Cookies analíticas: Google Analytics y Microsoft Clarity, usadas para entender el tráfico agregado y cómo los visitantes usan el sitio. No se cargan hasta que las aceptas explícitamente en el banner de cookies mostrado en tu primera visita. Puedes cambiar tu elección en cualquier momento mediante el enlace «Preferencias de cookies» en el pie de página del sitio, lo que retira u otorga el consentimiento de inmediato.
10. Menores
Savvy no está dirigido a nadie menor de 18 años. No recopilamos conscientemente datos personales de menores. Si crees que un menor ha creado una cuenta, contáctanos de inmediato en vikkie@savvyagent.app.
11. Cambios a esta política
Podemos actualizar esta política a medida que nuestro producto evoluciona o cambia la normativa. Los cambios materiales se notificarán por correo electrónico a los usuarios registrados con al menos 14 días de antelación a su entrada en vigor. La fecha de «última actualización» en la parte superior siempre refleja la versión vigente.
12. Contacto y reclamaciones
Para cualquier pregunta o solicitud sobre privacidad: vikkie@savvyagent.app
Tienes derecho a presentar una reclamación ante tu autoridad nacional de protección de datos. En Alemania, esta es la Bundesbeauftragte für den Datenschutz (BfDI).