Política de Privacidad

Resumen ejecutivo

Quiénes somos y responsable del tratamiento

El responsable del tratamiento de los datos a los que se refiere esta Política es:

Moises Núñez
República Dominicana
Contacto: support@finyvo.com

Esta Política aplica a:

• La aplicación Finyvo distribuida por el App Store de Apple.
• El sitio web finyvo.com y sus subdominios.
• El backend api.finyvo.com operado por Finyvo.

Datos que se almacenan únicamente en tu dispositivo

Cuando usas Finyvo, los siguientes datos se guardan en el almacenamiento local de tu dispositivo iOS mediante SwiftData (un framework de almacenamiento local de Apple, similar a SQLite). No se sincronizan con iCloud (la app deshabilita explícitamente CloudKit) ni con ningún servidor de Finyvo:

Protección en reposo: los archivos se almacenan dentro del contenedor de aplicación con la protección de datos predeterminada de iOS (clase NSFileProtectionCompleteUntilFirstUserAuthentication). Si tu iPhone tiene código de acceso configurado, los archivos están cifrados en reposo hasta el primer desbloqueo después del encendido.

Importante:

• No usamos iCloud / CloudKit para sincronizar datos. La configuración del contenedor de SwiftData es cloudKitDatabase: .none, lo cual desactiva explícitamente cualquier sincronización con iCloud.
• No realizamos respaldos en servidores propios. Los respaldos automáticos del esquema viven dentro del sandbox de la Aplicación en tu dispositivo.
• Si pierdes el dispositivo sin haber hecho respaldo del sistema operativo (iCloud Backup o copia por Finder/iTunes), perderás los datos.

Datos que envías al backend api.finyvo.com

Para que ciertas funciones funcionen, la Aplicación se comunica con nuestro backend alojado en Cloudflare Workers bajo el dominio api.finyvo.com. Este backend actúa como proxy seguro hacia proveedores externos, evitando que las claves de API de dichos proveedores estén embebidas en la Aplicación.

Las solicitudes al backend incluyen los siguientes elementos comunes:

• Token de acceso (Bearer Token): identificador técnico que autoriza a la Aplicación a usar el backend. Este token es compartido entre todas las instancias de la Aplicación, no es específico de cada usuario. No identifica a un usuario individual.
• Dirección IP: Cloudflare ve tu IP, como cualquier servicio web que visites. La IP se utiliza únicamente para aplicar límites de tasa anti-abuso (rate limiting); no se almacena de forma persistente vinculada a tu actividad. En eventos puntuales de rate limiting puede aparecer en registros operacionales por hasta 30 días.
• User-Agent: cadena tipo Finyvo/1.0.0, identificando la versión de la app.

Tasas de cambio (/fx/*)

Cuando la Aplicación necesita actualizar tasas o convertir montos, llama a endpoints como /fx/latest, /fx/convert, /fx/timeframe y /fx/symbols. Lo que enviamos:

• Códigos de moneda (ISO 4217, p.ej. USD, EUR, DOP).
• Fechas (formato YYYY-MM-DD) cuando la solicitud es histórica.
• Para /fx/convert: un monto numérico genérico sin contexto (no se asocia a ninguna transacción, wallet o usuario).

Lo que NO enviamos: tu identidad, tus wallets, tu historial de transacciones, saldos o totales personales.

Las tasas se obtienen, mediante nuestro backend, del proveedor exchangerate.host, y se cachean en Cloudflare KV por 24 horas. Una copia histórica de las tasas se almacena en una base de datos D1 (también de Cloudflare) para servir consultas históricas eficientemente. Estos datos son tasas de mercado de dominio público, no contienen datos de usuario.

Búsqueda de logos de marca (/brand/search/:query)

Cuando creas una suscripción y escribes un nombre (e.g., “Netflix”), la Aplicación primero busca en su catálogo local de 93 marcas. Si no encuentra coincidencia, consulta /brand/search/:query. Lo que enviamos:

• El texto que escribiste (por ejemplo netflix, chatgpt).

Lo que NO enviamos: el monto de tu suscripción, la wallet o categoría asociada, tu identidad.

Nuestro backend reenvía la consulta a Brandfetch, recibe el logo (URL CDN firmada) y nos lo devuelve. La consulta se cachea por 1 hora en Cloudflare KV.

Funciones de inteligencia artificial (/ai/*)

Las funciones de IA son opcionales y se invocan únicamente cuando tú las actives (al guardar una transacción, al ejecutar una búsqueda compleja, al solicitar la detección de duplicados, etc.). La Aplicación trabaja en su totalidad sin estas funciones; quedan limitadas en cantidad para usuarios Free (50 solicitudes por mes).

Existen siete endpoints distintos. Para todos ellos, lo que se envía a nuestro backend (y desde allí, al proveedor LLM) es:

Lo que NO se envía al backend ni al proveedor LLM, en ningún caso:

• Tu nombre, correo electrónico, teléfono o Apple ID.
• IDs internos de tu base de datos (UUID de wallets, categorías, etc.).
• Saldos de wallets.
• Historial de transacciones más allá del subconjunto que requiera la función específica.

Proveedor LLM: OpenAI (modelo gpt-5-nano a través de su Responses API). En versiones futuras podríamos incorporar Google Gemini (gemini-2.5-flash) para funciones de generación narrativa.

Almacenamiento: las solicitudes y respuestas de IA no se almacenan. En la base de datos D1 se registra únicamente, para cada solicitud, un hash de 16 caracteres del nombre del token (no de tu identidad), el endpoint llamado, modelo, proveedor, cuenta de tokens, costo estimado, latencia y éxito/error. El contenido de la solicitud no se guarda.

Política de retención en el proveedor LLM:

• OpenAI retiene datos de la API por hasta 30 días para detección de abuso, según sus políticas. No usa estos datos para entrenar sus modelos.

Cómo desactivar las funciones de IA: las funciones de IA son opcionales y no se invocan automáticamente sin una acción explícita tuya. Si prefieres no enviar texto al backend en absoluto, simplemente no uses estas funciones. La Aplicación funciona completamente sin ellas.

Endpoint de salud (/health)

Endpoint público (sin autenticación) usado para monitoreo automatizado. Devuelve un estado ok, una marca de tiempo y un identificador de solicitud. No envía ni recibe datos de usuario.

Cómo procesa y registra el backend

Nuestro backend en Cloudflare Workers genera registros operacionales estructurados (logs) que permiten diagnosticar problemas, prevenir abuso y medir rendimiento. Los logs incluyen:

Retención de logs: Cloudflare retiene los registros estándar de Workers por hasta 30 días. Los logs no se exportan automáticamente a ningún servicio externo de Finyvo.

Datos personales en logs: la única información personal que puede aparecer en logs es la dirección IP (en eventos de rate limit) y, ocasionalmente, una consulta de marca (en eventos de error de Brandfetch). Las IPs no se vinculan a una identidad y se eliminan junto con el log al expirar el período de retención.

Compras y suscripciones (StoreKit + RevenueCat)

Para gestionar la suscripción Finyvo Plus, la Aplicación integra el SDK de RevenueCat, una plataforma de terceros que valida los recibos de compra del App Store y mantiene el estado de tu entitlement.

Datos compartidos con RevenueCat:

• Identificador anónimo asignado por el SDK de RevenueCat (no es tu Apple ID).
• Identificador del producto comprado (finyvo_plus_monthly o finyvo_plus_yearly).
• Recibo cifrado de Apple para validar la compra.
• Estado de la suscripción (activa, en gracia, expirada).

Datos que NO se comparten con RevenueCat:

• Tu Apple ID.
• Tu nombre, correo o teléfono.
• Tu información financiera dentro de Finyvo.

Pagos: todos los pagos se procesan por Apple App Store. Finyvo nunca tiene contacto con tu información de tarjeta o método de pago. Aplican los Términos y la Política de Privacidad de Apple Media Services: https://www.apple.com/legal/internet-services/itunes/.

Política de privacidad de RevenueCat: https://www.revenuecat.com/privacy.

Permisos del sistema operativo

Finyvo solicita los siguientes permisos al sistema iOS:

Finyvo NO solicita ni accede a: cámara, fotos, ubicación, contactos, calendario, salud (HealthKit), Apple Pay, micrófono, voz, datos de movimiento, Bluetooth, biblioteca de música ni ningún otro permiso sensible.

Analítica y diagnóstico

Eventos analíticos internos

La Aplicación genera eventos anónimos que se escriben en el subsistema de registro de Apple (os.Logger, subsistema com.finyvo.app). Estos eventos son visibles únicamente a través de la consola del dispositivo si está conectado a una Mac con Xcode o a través de la consola de TestFlight.

Lo que NO se incluye en estos eventos: montos, nombres de comercios, notas o descripciones, identificadores que permitan vincular el evento a una persona.

Los eventos no se envían a Finyvo ni a terceros. Permanecen en el dispositivo y son útiles solo durante diagnóstico técnico autorizado por el usuario.

Diagnóstico de fallos (Crash Reports)

La Aplicación utiliza MetricKit de Apple para recibir diagnósticos automáticos de fallos. Estos diagnósticos son recopilados, procesados y anonimizados por Apple, no por Finyvo. No contienen datos financieros del usuario.

SDKs de terceros para analítica

Finyvo no integra ningún SDK de analítica de terceros en su versión 1.0. Específicamente, no usamos: Mixpanel, Amplitude, Firebase Analytics, Heap, Segment, Sentry, Datadog, TelemetryDeck, Adjust, AppsFlyer ni similares.

Almacenamiento y seguridad técnica

En tu dispositivo

• SwiftData / SQLite: archivos protegidos por el sistema de protección de datos de iOS.
• UserDefaults: preferencias no sensibles (idioma, tema, moneda preferida, día fiscal, etc.).
• Llavero (Keychain): el token de acceso al backend api.finyvo.com se almacena con política de acceso kSecAttrAccessibleWhenUnlockedThisDeviceOnly. No se sincroniza con iCloud Keychain y se elimina si reinicias el dispositivo.

En tránsito

Toda comunicación entre la Aplicación, nuestro backend y los proveedores externos viaja cifrada mediante HTTPS / TLS 1.2+. Nuestro backend exige TLS y aplica las cabeceras de seguridad estándar (HSTS, CSP estricto, X-Frame-Options: DENY, etc.).

En el backend

• Cloudflare D1 (SQLite distribuido): tasas FX históricas y registros de IA. Cifrado en reposo por defecto.
• Cloudflare KV (key-value): cachés de tasas, símbolos, búsquedas de marca, logos de marca, contadores de rate limit. TTL automático.
• Cloudflare Workers: ejecución del backend en la red de borde global de Cloudflare. Sin almacenamiento persistente fuera de D1 y KV.

Servicios de terceros — Tabla resumen

Transferencias internacionales de datos

Nuestro backend opera sobre la red global de Cloudflare (más de 200 centros de datos en todo el mundo). Cloudflare enruta cada solicitud al borde más cercano. Esto significa que tus solicitudes pueden ser procesadas, según tu ubicación, en infraestructura ubicada en países distintos al de tu residencia.

Los proveedores LLM (OpenAI y, futuro, Google) procesan los datos principalmente en Estados Unidos.

Para usuarios del Espacio Económico Europeo (EEE), Reino Unido y otras jurisdicciones con normas de transferencia de datos:

• Las transferencias se amparan en las Cláusulas Contractuales Tipo (Standard Contractual Clauses, SCCs) publicadas por la Comisión Europea, o en los marcos de adecuación correspondientes, según el contrato vigente con cada proveedor.
• Los proveedores listados publican sus respectivas SCCs y/o DPAs accesibles en sus sitios.

Si tienes una preocupación específica sobre transferencias internacionales, contáctanos en support@finyvo.com.

Retención y eliminación

Cómo eliminar tus datos:

• Eliminación selectiva: archiva o borra cada transacción, wallet, categoría, meta o suscripción dentro de la Aplicación.
• Eliminación completa: desinstala la Aplicación. Esto elimina todos los datos locales, los respaldos del esquema y el token de acceso almacenado en el Llavero.
• Eliminación de cuenta de suscripción: gestiona y cancela tu suscripción Finyvo Plus desde Ajustes → [Tu nombre] → Suscripciones.
• Solicitudes específicas: si necesitas confirmar o solicitar la eliminación de datos puntuales en nuestro backend (por ejemplo, registros operacionales que pudieran contener tu IP), escríbenos a support@finyvo.com y procesaremos la solicitud dentro de 30 días naturales.

Tus derechos

Dependiendo de tu país de residencia, tienes uno o varios de los siguientes derechos sobre tus datos personales:

• Acceso: solicitar información sobre los datos que tratamos relativos a ti.
• Rectificación: corregir datos inexactos o desactualizados. Para datos en tu dispositivo, edítalos directamente en la Aplicación.
• Eliminación / supresión (“derecho al olvido”): eliminar los datos que conservemos sobre ti.
• Limitación del tratamiento: pedir que limitemos el uso de tus datos.
• Oposición al tratamiento basado en interés legítimo.
• Portabilidad: recibir tus datos en un formato estructurado, de uso común y de lectura mecánica.
• Retirar el consentimiento cuando el tratamiento se base en él.
• No ser objeto de decisiones automatizadas con efectos significativos sobre ti. Finyvo no toma decisiones automatizadas significativas sobre ti; las sugerencias de IA son recomendaciones que requieren tu confirmación.
• Presentar reclamación ante la autoridad de control de tu país.

Para ejercer estos derechos, escríbenos a support@finyvo.com. Responderemos dentro de un plazo de 30 días naturales, prorrogable hasta 60 días en casos complejos, según lo permitan las leyes aplicables.

Marco legal aplicable y bases legales

República Dominicana

El tratamiento de datos personales por parte de Finyvo se realiza conforme a la Ley No. 172-13 sobre Protección de Datos de Carácter Personal, vigente desde el 13 de diciembre de 2013.

Unión Europea / Espacio Económico Europeo / Reino Unido

Para usuarios residentes en el EEE o el Reino Unido, aplican el Reglamento (UE) 2016/679 (RGPD) y el UK GDPR. Las bases legales para los distintos tratamientos son:

Estados Unidos — California (CCPA / CPRA)

Para residentes de California, conforme a la California Consumer Privacy Act (CCPA) modificada por la California Privacy Rights Act (CPRA), tienes derecho a saber qué categorías de información personal recopilamos, acceder, corregir o eliminar tu información personal, limitar el uso de información sensible, no ser objeto de discriminación por ejercer tus derechos, y optar por no participar en la “venta” o “compartición” de información personal.

Finyvo no vende ni comparte información personal en el sentido definido por CCPA/CPRA. No comercializamos datos con anunciantes ni redes publicitarias.

Brasil — LGPD

Para residentes en Brasil, la Lei Geral de Proteção de Dados (Lei 13.709/2018) aplica. Tus derechos son sustancialmente equivalentes a los listados arriba. El contacto para asuntos de privacidad relacionados con LGPD es el mismo correo de privacidad: support@finyvo.com.

Otros países de Latinoamérica

Los siguientes marcos pueden aplicar si eres residente:

• México: Ley Federal de Protección de Datos Personales en Posesión de los Particulares.
• Argentina: Ley 25.326 de Protección de los Datos Personales.
• Colombia: Ley Estatutaria 1581 de 2012.
• Chile: Ley 19.628 (con reforma 2024 sobre protección de datos personales).
• Perú: Ley 29.733 de Protección de Datos Personales.

Finyvo se compromete a respetar los derechos sustantivos que cada marco otorga a sus residentes y a responder a solicitudes en los plazos aplicables.

Autoridades de control y cómo reclamar

Si consideras que tus derechos no han sido atendidos adecuadamente, puedes acudir a la autoridad de control competente:

Antes de acudir a la autoridad, te invitamos a contactarnos primero en support@finyvo.com para intentar resolver tu reclamo directamente.

Privacidad de menores de edad

Finyvo está calificada 4+ en App Store, pero no está diseñada ni dirigida a menores de 13 años. No recopilamos a sabiendas información personal de menores de 13 años (o de la edad mínima aplicable en tu país, que puede ser superior conforme a normas locales como el RGPD-K).

Si eres padre, madre o tutor y descubres que un menor de 13 años ha utilizado la Aplicación, escríbenos a support@finyvo.com. Adoptaremos las medidas necesarias para atender la situación y, si procede, eliminar la información correspondiente.

Etiqueta de privacidad del App Store

Conforme a la declaración de privacidad requerida por Apple (App Store Privacy Nutrition Label) y el manifiesto de privacidad (PrivacyInfo.xcprivacy) embebido en la Aplicación, Finyvo declara:

Cambios a esta Política

Esta Política puede actualizarse periódicamente para reflejar cambios en la Aplicación, en la legislación aplicable o en nuestras prácticas. Cuando se produzcan cambios sustanciales:

• Publicaremos la versión actualizada en el sitio web y dentro de la Aplicación.
• Actualizaremos la fecha de “Última actualización” al inicio del documento.
• Cuando los cambios afecten los derechos sustantivos del usuario, lo notificaremos dentro de la Aplicación.

El uso continuado de la Aplicación después de la fecha de entrada en vigor de los cambios implica la aceptación de la nueva Política.

Política de Cookies y Rastreo (sitio web)

Esta sección aplica únicamente al sitio web finyvo.com y sus subdominios. No aplica a la Aplicación iOS, la cual no usa cookies.

El sitio web de Finyvo está diseñado para no recopilar información personal mediante cookies de marketing ni píxeles de seguimiento de terceros.

Tecnologías utilizadas

Lo que el sitio web NO usa:

• Google Analytics
• Meta Pixel / Facebook Pixel
• TikTok Pixel
• LinkedIn Insight Tag
• Hotjar / Crazy Egg / Microsoft Clarity
• Cookies de marketing, retargeting o publicidad de terceros

Si en el futuro decidiéramos integrar analítica del sitio (por ejemplo, TelemetryDeck o Plausible, ambos respetuosos de la privacidad), actualizaremos esta sección antes de habilitarlos y mostraremos un banner de consentimiento donde sea legalmente requerido.

Puedes borrar el almacenamiento local del sitio en cualquier momento desde la configuración de privacidad de tu navegador.

Contacto sobre privacidad

Para cualquier consulta, solicitud de derechos o reclamación relacionada con privacidad:

support@finyvo.com

Responderemos dentro de los plazos legales aplicables (normalmente 30 días naturales).