Caja es una aplicación para registrar y entender tus finanzas personales. Para funcionar necesita guardar información sensible sobre tu plata, así que queremos contarte con claridad qué datos tratamos, para qué, dónde están y qué podés hacer con ellos. Esta política se rige por la Ley 25.326 de Protección de los Datos Personales, su Decreto Reglamentario 1558/2001 y las normas de la Agencia de Acceso a la Información Pública (AAIP).
1. Quién es responsable de tus datos
El responsable de la base de datos es Nahuel Santillán, con domicilio en [completar domicilio], República Argentina, CUIT [completar]. Para cualquier consulta sobre tus datos escribinos a nsantillandev@gmail.com.
La base de datos está [en trámite de inscripción / inscripta con el número completar] en el Registro Nacional de Bases de Datos de la AAIP.
2. Qué datos recolectamos
Los que nos das vos
- Cuenta: tu mail y, si lo cargás, tu nombre.
- Datos financieros: cuentas y billeteras con sus saldos, tarjetas de crédito (nombre, red, banco, últimos 4 dígitos, días de cierre y vencimiento, límite), movimientos (monto, fecha, comercio, categoría, notas, etiquetas, cuotas), presupuestos, objetivos, gastos recurrentes, recordatorios y gastos compartidos en grupos (incluidos los nombres y alias o CVU de las personas que agregues).
- Adjuntos: fotos de tickets y comprobantes que subas.
- Mails reenviados: si reenviás a Caja mails de tu banco o de comercios, guardamos el remitente, el asunto y el texto para cargar el movimiento.
- Preferencias: tema, dólar de referencia, modo privado y avisos.
Nunca te pedimos la clave del home banking, el número completo de tus tarjetas ni su código de seguridad. Si los ves escritos en una nota o un adjunto, es porque los cargaste vos: te recomendamos no hacerlo.
Los que llegan cuando conectás otros servicios
- Mercado Pago: con tu autorización (OAuth, solo lectura) obtenemos tu identificador de usuario, tus movimientos (pagos, cobros, transferencias, con monto, fecha, descripción y contraparte cuando Mercado Pago la informa) y tu saldo. Guardamos cifrados los tokens de acceso. No podemos mover tu plata ni hacer pagos.
- Telegram: tu identificador de chat y los mensajes, audios y fotos que le mandes al bot de Caja.
- WhatsApp: tu número de teléfono y los mensajes, audios y fotos que le mandes al número de Caja, a través de la plataforma de WhatsApp Business de Meta.
Los que se generan al usar Caja
- Sesiones: fecha de inicio y el “user agent” del navegador (para mostrarte desde qué dispositivos entraste).
- Passkeys (Face ID, huella): solo la clave pública y un identificador. Tus datos biométricos nunca salen de tu dispositivo.
- Notificaciones push: la dirección técnica que da tu navegador para enviarte avisos.
- Registros técnicos: errores y eventos del servidor para mantener el servicio funcionando.
Las cotizaciones del dólar y la inflación provienen de fuentes públicas (dolarapi.com, argentinadatos.com, INDEC) y no contienen datos personales.
3. Para qué usamos tus datos
- Darte el servicio: mostrar tus saldos, resúmenes, gráficos, presupuestos y reportes.
- Cargar movimientos de forma automática desde Mercado Pago, Telegram, WhatsApp o mails reenviados.
- Sugerirte categorías y detectar suscripciones, duplicados y gastos fuera de lo común.
- Enviarte los avisos que elegiste (vencimientos, presupuestos, alertas de dólar) por push, mail, Telegram o WhatsApp.
- Permitirte compartir un espacio con las personas que invites.
- Mantener la seguridad de tu cuenta y prevenir abusos.
- Responder tus consultas y cumplir obligaciones legales.
La base legal es tu consentimiento, que nos das al crear la cuenta y al conectar cada integración, y la ejecución del servicio que pediste. No usamos tus datos para publicidad ni armamos perfiles para terceros.
4. Inteligencia artificial
Para entender mensajes (“gasté 12 mil en el súper”), transcribir audios, leer tickets y sugerir categorías usamos modelos que corren en Cloudflare Workers AI. El texto, el audio o la imagen se envían a esos modelos solo para procesar ese pedido. Según las condiciones de Cloudflare, el contenido que procesa Workers AI no se usa para entrenar sus modelos. Nosotros tampoco entrenamos modelos con tus datos.
La inteligencia artificial puede equivocarse: por eso los movimientos dudosos quedan “por revisar” y siempre podés corregirlos.
5. Con quién compartimos tus datos
No vendemos ni alquilamos tus datos. Solo los comparten con nosotros los proveedores que necesitamos para operar, que actúan por nuestra cuenta y bajo contratos que los obligan a protegerlos:
| Proveedor | Para qué | Dónde |
|---|---|---|
| Cloudflare, Inc. | Hosting de la aplicación (Workers), archivos adjuntos (R2), conexión a la base (Hyperdrive) e inteligencia artificial (Workers AI) | Red global; sede en EE.UU. |
| Neon, Inc. | Base de datos PostgreSQL con tu información | EE.UU. |
| Resend | Envío de mails (códigos de ingreso y avisos) | EE.UU. |
| Mercado Pago (Mercado Libre S.R.L.) | Solo si lo conectás: lectura de tus movimientos | Argentina |
| Telegram | Solo si lo conectás: mensajería con el bot | Según sus términos |
| Meta Platforms (WhatsApp) | Solo si lo conectás: mensajería con el número de Caja | Según sus términos |
Si compartís un espacio, las personas que invitaste ven y pueden editar los datos de ese espacio; tu espacio personal sigue siendo privado. También podemos revelar datos si lo exige una orden judicial o una autoridad competente.
6. Dónde se guardan: transferencia internacional
Tus datos se guardan en servidores de Neon en Estados Unidos y pasan por la infraestructura de Cloudflare, que puede procesarlos en distintos países. Estados Unidos no está considerado por la AAIP como un país con nivel de protección adecuado, por lo que esta transferencia se apoya en tu consentimiento expreso (art. 12 de la Ley 25.326) y en los compromisos contractuales de protección de datos de estos proveedores, en línea con los modelos aprobados por la Disposición AAIP 60/2016.
7. Cookies y almacenamiento local
- Cookie de sesión (
caja_session): es esencial, te mantiene adentro durante 60 días, no es accesible por JavaScript y solo viaja por conexiones seguras. - Cookie de invitación (
caja_invite): solo si abrís un link de invitación sin haber entrado, por 7 días, para sumarte al espacio después de registrarte. - Almacenamiento local del navegador: guardamos el identificador de tus passkeys en ese dispositivo y datos para funcionar sin conexión.
No usamos cookies de publicidad ni herramientas de analítica de terceros.
8. Seguridad
- Toda la comunicación viaja cifrada (HTTPS/TLS).
- No usamos contraseñas: entrás con un código de un solo uso por mail o con una passkey.
- Guardamos solo un hash de los tokens de sesión y cifrados los tokens de Mercado Pago.
- Cada espacio está aislado: las consultas filtran siempre por el espacio al que pertenecés.
Ningún sistema es infalible. Si detectamos un incidente que afecte tus datos, te vamos a avisar sin demoras indebidas y a informar a la AAIP cuando corresponda.
9. Cuánto tiempo los guardamos
Guardamos tus datos mientras tengas la cuenta. Podés borrar tu cuenta en Ajustes → Exportar y borrar: se eliminan de inmediato tu usuario, tus sesiones, passkeys, integraciones y los espacios donde sos la única persona, con todos sus movimientos. De los espacios compartidos con otras personas solo salís; lo que cargaste ahí queda para ellas. Las copias de seguridad de la base se eliminan automáticamente en un plazo máximo de [completar] días.
Antes de borrar podés exportar tus movimientos en CSV y el espacio completo en JSON.
10. Tus derechos
Como titular de los datos tenés derecho a:
- Acceso: saber qué datos tuyos tenemos. Te respondemos dentro de los 10 días corridos.
- Rectificación y actualización: corregir datos inexactos. La mayoría los podés editar vos desde la app; si no, te respondemos dentro de los 5 días hábiles.
- Supresión: pedir que borremos tus datos (o hacerlo vos borrando la cuenta), dentro de los 5 días hábiles.
- Oposición y revocación del consentimiento: desconectar integraciones o dejar de usar el servicio cuando quieras.
Para ejercerlos escribinos a nsantillandev@gmail.com desde el mail de tu cuenta.
El titular de los datos personales tiene la facultad de ejercer el derecho de acceso a los mismos en forma gratuita a intervalos no inferiores a seis meses, salvo que se acredite un interés legítimo al efecto conforme lo establecido en el artículo 14, inciso 3 de la Ley N° 25.326.
La AGENCIA DE ACCESO A LA INFORMACIÓN PÚBLICA, en su carácter de Órgano de Control de la Ley N° 25.326, tiene la atribución de atender las denuncias y reclamos que interpongan quienes resulten afectados en sus derechos por incumplimiento de las normas vigentes en materia de protección de datos personales.
Podés contactar a la AAIP en argentina.gob.ar/aaip.
11. Menores de edad
Caja está pensada para personas mayores de 18 años. No recolectamos a sabiendas datos de menores; si creés que un menor nos dio sus datos, escribinos y los borramos.
12. Cambios en esta política
Si cambiamos algo importante te avisamos por mail o dentro de la app al menos 15 días antes de que rija. La fecha de la última actualización está arriba de todo.
13. Contacto
Nahuel Santillán · nsantillandev@gmail.com