1. Datos que recopilamos

Datos de cuenta:

• Nombre y dirección de correo electrónico (proporcionados al registrarte).
• Contraseña cifrada con Bcrypt (nunca almacenamos tu contraseña en texto plano). Si te registras con Google, no almacenamos contraseña.
• Identificador de cuenta Google (Google ID) y foto de perfil, cuando el acceso se realiza mediante Google OAuth.
• Estado del plan (gratuito o Premium), fechas de suscripción y prueba.
• Fecha, hora y versión de aceptación de los términos legales.

Datos financieros:

• Bolsillos virtuales: nombre y balance.
• Movimientos: tipo (ingreso/gasto), monto, descripción y fecha del movimiento.
• Identificadores externos de transacciones (cuando se importan desde CSV bancario o imagen) para evitar duplicados. El archivo CSV y la imagen no se almacenan; se procesan en memoria y se descartan tras la importación.

Datos de contacto opcionales:

• Número de teléfono de WhatsApp (solo si el usuario lo vincula voluntariamente desde su perfil para recibir recordatorios de pagos y/o registrar gastos por WhatsApp — función Premium). Este número se almacena en formato internacional (ej: 573001234567) y puede desvincularse en cualquier momento desde el perfil.
• Preferencia de notificaciones por WhatsApp (activada/desactivada por el usuario).
• Cuando el usuario usa la función de registro de gastos por WhatsApp (próximamente, solo Premium), el contenido del mensaje enviado se procesa para extraer monto, descripción y tipo de movimiento. El texto del mensaje no se almacena en Bolsio; solo se guarda la transacción resultante.

Datos de recordatorios:

• Nombre del gasto recurrente, monto, día de vencimiento, días de aviso configurados y estado activo/pausado.
• Historial de notificaciones enviadas (fecha, días de antelación) para evitar duplicados.

Datos de reseñas (opcionales):

• Valoración numérica y comentario de texto libre que el usuario envía voluntariamente sobre el servicio. Si la reseña es aprobada por el Operador, puede aparecer en la página principal de Bolsio mostrando únicamente el nombre parcial (primer nombre + inicial del apellido, ej: "Camilo M."). Nunca se muestra el nombre completo ni información financiera del usuario.

Datos de pago:

• Identificador único de transacción generado por Wompi (Bancolombia) al completar el pago del plan Premium. Este identificador se almacena únicamente para confirmar la activación y evitar duplicados. Bolsio no almacena datos de tarjeta, número de cuenta, CVV ni ninguna credencial bancaria; toda la información sensible de pago es procesada directamente por Wompi.

Datos técnicos:

• Dirección IP y agente de usuario (navegador/dispositivo), necesarios para la sesión y seguridad.
• Cookies de sesión requeridas para el funcionamiento de la app.
• Cookies de Google AdSense (solo en cuentas gratuitas, con tu consentimiento) para mostrar publicidad relevante.
• Cookies de Google Analytics para medir el uso agregado del servicio (con tu consentimiento).

2. Cómo usamos tus datos

• Operar el servicio: mostrar tu dashboard, calcular balances, generar insights y reportes financieros.
• Autenticación: verificar tu identidad mediante correo/contraseña o Google OAuth.
• Comunicaciones transaccionales: enviar correos de verificación de cuenta y recuperación de contraseña a través de Resend, Inc.
• Gestionar tu cuenta: control de plan Premium, auditoría de accesos.
• Procesar pagos: cuando adquieres el plan Premium, Wompi procesa el pago y notifica a Bolsio el resultado mediante un webhook seguro. Solo almacenamos el identificador de transacción para activar el plan y evitar duplicados. Ningún dato bancario pasa por nuestros servidores.
• Recordatorios de pagos: enviar notificaciones por correo electrónico (y por WhatsApp si el usuario lo habilitó) cuando se acerca la fecha de vencimiento de un gasto recurrente configurado. Solo se envían notificaciones a usuarios que hayan creado recordatorios activos.
• Registro de gastos por WhatsApp (próximamente, solo Premium): cuando el usuario envía un mensaje al número de WhatsApp de Bolsio, el contenido se procesa con IA para crear la transacción correspondiente en su cuenta. El texto del mensaje no se almacena.
• Reseñas: si envías una opinión voluntaria, puede ser publicada en la página principal de Bolsio previa revisión y aprobación por parte del Operador. Siempre se muestra tu nombre (el registrado en la cuenta). Puedes actualizar o solicitar la eliminación de tu reseña en cualquier momento.
• Asistente de IA (plan gratuito — limitado; plan Premium — ilimitado): fragmentos de tus datos financieros se usan como contexto para generar respuestas mediante Groq, Inc. Los usuarios del plan gratuito tienen un límite de 3 mensajes de prueba. No almacenamos el historial de conversaciones en Bolsio.
• Importación bancaria por imagen IA (solo Premium): cuando subes una captura de extracto bancario, la imagen se redimensiona en nuestros servidores y se envía a Groq, Inc. para su análisis mediante visión artificial. La imagen no se almacena en Bolsio; se descarta inmediatamente tras extraer los datos. Solo se guardan las transacciones resultantes.
• Publicidad: Google AdSense puede usar cookies propias para mostrar anuncios personalizados a usuarios del plan gratuito, sujeto a tu consentimiento.
• Analítica: Google Analytics recopila datos de uso agregados para mejorar el servicio, sujeto a tu consentimiento.
• Seguridad: detectar y prevenir accesos no autorizados o usos fraudulentos.

No vendemos, arrendamos ni comercializamos tus datos financieros ni personales a terceros.

3. Almacenamiento e infraestructura

Los datos se almacenan en servidores gestionados por el Operador. La aplicación se despliega en infraestructura de Railway Corp. (servidores ubicados en la región US East — Virginia, Estados Unidos). Railway actúa como encargado del tratamiento y cumple con estándares de seguridad reconocidos internacionalmente. Esta transferencia internacional de datos se realiza bajo las salvaguardas apropiadas conforme al artículo 26 de la Ley 1581 de 2012.

La base de datos PostgreSQL está alojada en la misma infraestructura de Railway y no es accesible públicamente; solo se comunica con la aplicación a través de la red privada interna.

Nota: si el Operador cambia de proveedor de infraestructura, esta sección será actualizada antes del cambio.

4. Cookies

Bolsio usa los siguientes tipos de cookies:

• Cookies esenciales: necesarias para el inicio de sesión y funcionamiento de la app. No pueden desactivarse.
• Cookies de publicidad (AdSense): usadas por Google para mostrar anuncios relevantes en cuentas gratuitas. Solo se activan con tu consentimiento expreso en el banner de cookies.
• Cookies de analítica (Google Analytics): recopilan datos anónimos de uso. Solo se activan con tu consentimiento expreso en el banner de cookies.

Puedes gestionar tus preferencias de cookies desde el banner que aparece al ingresar a la app, o desde la configuración de tu navegador. Las cookies no esenciales no se activan antes de que otorgues tu consentimiento.

5. Terceros y transferencia de datos

• Google LLC (OAuth / autenticación): cuando inicias sesión con Google, Google recibe una solicitud de autenticación y nos retorna tu correo electrónico, nombre e identificador de cuenta. No compartimos tu información financiera con Google en este flujo. Política de privacidad: policies.google.com/privacy.
• Resend, Inc. (correos transaccionales): tu dirección de correo electrónico es compartida con Resend exclusivamente para el envío de correos de verificación y recuperación de contraseña. Política de privacidad: resend.com/legal/privacy-policy.
• Groq, Inc. (asistente de IA e importación por imagen — solo Premium): las consultas al asistente financiero y el análisis de imágenes de extractos bancarios se procesan por Groq mediante sus modelos de lenguaje e inteligencia artificial visual. Los datos enviados son fragmentos de tu información financiera (asistente) o la imagen redimensionada del extracto (importación). Groq no retiene los datos más allá del tiempo necesario para generar la respuesta, conforme a su política. Para conocer las prácticas de retención de Groq, consulta: groq.com/privacy-policy.
• Meta Platforms, Inc. (WhatsApp Business API — solo usuarios Premium que vinculen su número): cuando el usuario activa los avisos por WhatsApp, su número de teléfono y el contenido del recordatorio se envían a la API de WhatsApp Business de Meta para entregar el mensaje. Meta actúa como encargado del tratamiento de ese mensaje. Bolsio no almacena los mensajes enviados, solo el registro de fecha y tipo de notificación para evitar duplicados. El usuario puede desvincular su número en cualquier momento desde su perfil, lo que detiene inmediatamente el envío de mensajes por WhatsApp. Política de privacidad de Meta: whatsapp.com/legal/privacy-policy.
• Google AdSense / Google Analytics: servicio de publicidad y analítica de Google LLC. Solo se activan con tu consentimiento. Política de privacidad: policies.google.com/privacy.
• Wompi — Bancolombia S.A. (pasarela de pagos): procesa los pagos del plan Premium. Wompi recibe directamente los datos de pago del usuario (tarjeta, PSE, Nequi, etc.) en su plataforma segura. Bolsio solo recibe la confirmación de la transacción (aprobada / rechazada) y el identificador único de la misma. Wompi cumple con los estándares PCI-DSS. Política de privacidad: wompi.com.
• Railway Corp. (infraestructura): proveedor de servidores donde se alojan la aplicación y la base de datos. Ver sección 3. railway.com/legal/privacy.

6. Seguridad

• Las contraseñas se almacenan cifradas con Bcrypt (factor de coste 12).
• Las sesiones están protegidas con tokens CSRF.
• El acceso a datos financieros está restringido al usuario propietario y administradores autorizados para soporte técnico.
• Los pagos son procesados íntegramente por Wompi (PCI-DSS). Bolsio solo almacena el identificador de transacción; ningún dato de tarjeta o cuenta bancaria pasa por nuestros servidores.
• Los archivos CSV e imágenes de extractos bancarios no se almacenan; se procesan en memoria y se descartan inmediatamente tras la importación.
• La comunicación entre tu dispositivo y Bolsio está protegida con HTTPS/TLS.
• La base de datos solo es accesible a través de la red privada interna de Railway, sin exposición pública.

Ningún sistema es 100% seguro. Si detectas una vulnerabilidad, repórtala a soporte.bolsio@gmail.com.

7. Retención de datos

Conservamos tus datos mientras tu cuenta esté activa. Al eliminar tu cuenta, se eliminan los datos personales y financieros asociados dentro de los 30 días calendario siguientes a la solicitud. Los registros de transacciones relacionados con pagos Premium pueden conservarse hasta 90 días adicionales por obligaciones de auditoría y antifraude, tras los cuales se eliminan definitivamente.

8. Tus derechos (Ley 1581 de 2012)

Como titular de datos personales tienes derecho a:

• Conocer (acceso): solicitar copia de los datos que tenemos sobre ti.
• Actualizar y rectificar: corregir datos inexactos desde tu perfil o contactando soporte.
• Suprimir: eliminar tu cuenta y datos desde el perfil de la app.
• Portabilidad: exportar tus movimientos en formato Excel desde la app (función Premium).
• Revocar consentimiento: rechazar cookies no esenciales desde el banner de cookies en cualquier momento.
• Presentar quejas: si consideras que tus derechos han sido vulnerados, puedes presentar una queja ante la Superintendencia de Industria y Comercio (SIC), autoridad de protección de datos en Colombia: www.sic.gov.co.

Para ejercer estos derechos, escríbenos a soporte.bolsio@gmail.com. Respondemos en un plazo máximo de 10 días hábiles, conforme al artículo 14 de la Ley 1581.

9. Menores de edad

Bolsio no está dirigido a menores de 18 años. Si tienes conocimiento de que un menor ha creado una cuenta, contáctanos a soporte.bolsio@gmail.com para eliminarla.

10. Cambios en esta política

Podemos actualizar esta política periódicamente. Los cambios significativos se notificarán dentro de la aplicación con al menos 15 días de anticipación. El uso continuado del servicio tras los cambios implica su aceptación.

11. Contacto y responsable del tratamiento

Responsable: Camilo Andres Maldonado Moreno
Correo: soporte.bolsio@gmail.com
Autoridad de control: Superintendencia de Industria y Comercio (SIC) — www.sic.gov.co