Política de Privacidad

1. Introducción

Bienvenido a Ciento. Ciento Labs Inc. (la "Empresa", "nosotros", "nuestro") respeta tu privacidad y se compromete a protegerla mediante el cumplimiento de esta política. Ciento Labs Inc., con sede en Vancouver, Columbia Británica (Canadá), es el responsable del tratamiento descrito en este documento.

Esta política describe los tipos de información que podemos recoger de ti, o que tú puedes facilitarnos, cuando utilizas la aplicación móvil de Ciento (disponible en iOS y Android), nuestro sitio web y nuestras interfaces conversacionales de WhatsApp o Telegram (conjuntamente, el "Servicio").

2. Información que recogemos sobre ti

Recogemos varios tipos de información sobre los usuarios del Servicio.

A. Información que nos facilitas

• Datos de cuenta: nombre, correo electrónico, número de teléfono (en concreto tu usuario de WhatsApp o Telegram) y contraseña.
• Datos financieros voluntarios: no accedemos a las cuentas de tu entidad financiera, ni las rastreamos ni nos conectamos a ellas. Solo tratamos los datos financieros (gastos, límites de presupuesto o saldos) que introduces manualmente en el Servicio o nos envías por chat.
• Datos conversacionales y de IA: cuando interactúas con Ciento por WhatsApp o Telegram, recogemos el contenido de tus mensajes, indicaciones y archivos de audio para generar las respuestas de la IA.

B. Información recogida automáticamente (aplicación y dispositivo)

• Datos de uso: datos de tráfico, registros y datos de comunicación (por ejemplo, tiempo de uso de la aplicación).
• Información del dispositivo: podemos recoger información sobre tu dispositivo móvil y tu conexión a internet, incluido el identificador único del dispositivo (UUID), la dirección IP, el sistema operativo y el tipo de navegador.
• Notificaciones push: si nos das permiso, podemos enviarte notificaciones push sobre alertas de presupuesto o novedades de tu cuenta. Puedes gestionar estos permisos en los ajustes de tu dispositivo.
• Firebase App Instance ID: identificador seudónimo generado por el SDK de Firebase para asociar eventos de analítica a una instalación concreta. Se restablece al desinstalar la aplicación o al retirar el consentimiento de analítica.
• UUID de instalación de Crashlytics: identificador seudónimo utilizado para asociar informes de fallos a una instalación concreta. No contiene tu nombre ni tu correo electrónico.
• Eventos de analítica (opcional, previo consentimiento): si autorizas la analítica, registramos interacciones como pantallas vistas, uso de funciones (por ejemplo, crear una transacción, completar el alta o ver la pantalla de pago), duración de la sesión y versión de la aplicación. Los eventos no contienen descripciones de tus transacciones, importes ni ningún texto libre.
• Informes de fallos (opcional, previo consentimiento): si autorizas los informes de fallos, registramos el modelo del dispositivo, la versión del sistema operativo, la versión de la aplicación, las trazas de error y los últimos 64 KB aproximadamente de registros internos en el momento del fallo. Estos registros no contienen tus datos financieros.
• Estado de la suscripción: a través de RevenueCat recibimos tu nivel de suscripción, el estado (prueba, activa o cancelada), la fecha de renovación y el identificador de producto adquirido en App Store o Google Play. NO recibimos tu número de tarjeta ni los datos completos de pago: quedan en poder de Apple y Google.
• Fotos de tickets y extractos importados: cuando subes la foto de un ticket o importas un extracto bancario, el archivo se almacena en Supabase y, cuando procede, se procesa con Google Gemini para extraer los datos de la transacción.
• Grabaciones de voz: cuando envías un mensaje de voz por el chat de la aplicación, el archivo de audio se almacena en Supabase y se procesa con Google Gemini para su transcripción.

NO recogemos el IDFA de Apple (identificador para anunciantes) ni el identificador publicitario de Android (AD_ID). La aplicación se compila sin esos identificadores a nivel de SDK, de modo que no podemos realizar, ni realizamos, seguimiento publicitario entre aplicaciones. Por eso no mostramos el aviso de "Transparencia de seguimiento de apps" de Apple.

C. Analítica y medición del sitio web

Colaboramos con Microsoft Clarity para conocer cómo utilizas nuestro sitio web mediante métricas de comportamiento, mapas de calor y repetición de sesión, con el fin de mejorar nuestros productos y servicios. Los datos de uso se capturan mediante cookies propias y de terceros y otras tecnologías de seguimiento, y sirven para medir la popularidad de nuestros contenidos, optimizar el sitio y prevenir fraude y problemas de seguridad. Puedes consultar cómo trata Microsoft tus datos en la Declaración de privacidad de Microsoft.

Nuestro sitio web también carga el píxel de Meta, que mide si una visita procede de nuestros anuncios y cuántos visitantes acaban descargando la aplicación, y Google Tag Manager, que carga esas etiquetas de medición. Todo ello se detalla cookie a cookie en nuestra Política de Cookies. En el EEE, incluida España, estas tecnologías funcionan sobre la base de tu consentimiento, que puedes retirar en cualquier momento con los controles descritos en esa política.

D. Información procedente de terceros

• Meta (WhatsApp) y Telegram: recibimos tu número de teléfono y el nombre de perfil asociado a tu cuenta de WhatsApp o Telegram cuando inicias una conversación con el Servicio.

3. Tus opciones de privacidad y consentimiento

Aplicamos un enfoque de privacidad por defecto. La primera vez que abres la aplicación móvil de Ciento te mostramos un diálogo de consentimiento preguntándote si deseas activar:

• Analítica de uso (Firebase Analytics): eventos de uso anónimos que nos ayudan a entender cómo se utiliza la aplicación.
• Informes de fallos (Firebase Crashlytics): informes anónimos que nos ayudan a corregir errores más rápido.

Ambas categorías están desactivadas por defecto hasta que elijas activamente. Puedes cambiar tu elección cuando quieras en Ajustes → Privacidad dentro de la aplicación. Al desactivar cualquiera de ellas, dejamos de recoger nuevos datos de esa categoría e indicamos a Firebase que elimine los identificadores seudónimos asociados a tu instalación.

Los datos esenciales, es decir, los necesarios para autenticarte, sincronizar tu información y gestionar tu suscripción, se recogen siempre porque sin ellos el Servicio no puede funcionar.

Para los usuarios del Espacio Económico Europeo, incluida España, así como del Reino Unido, Suiza y Quebec, el diálogo de consentimiento no puede descartarse hasta que realices una elección activa, y las categorías de analítica e informes de fallos requieren tu consentimiento expreso (no marcamos estas casillas de antemano).

4. Cómo utilizamos tu información

Utilizamos la información que recogemos sobre ti o que nos facilitas:

• Para prestar el Servicio: procesar tus consultas en lenguaje natural por chat y devolverte información relevante a partir de los datos que has introducido (por ejemplo, "¿Cuánto he gastado este mes en la compra?").
• Para mejorar nuestros modelos de IA: podemos usar datos de interacción anonimizados y agregados para refinar nuestras instrucciones y mejorar la precisión de las respuestas. No utilizaremos tu información financiera identificable para entrenar modelos de IA de terceros sin tu consentimiento expreso.
• Para proteger tu cuenta: verificar tu identidad mediante el número de móvil vinculado y prevenir el fraude.
• Para enviarte avisos: notificaciones push o mensajes de chat sobre tus límites de presupuesto, cambios en la suscripción o alertas de seguridad.

5. Información sobre inteligencia artificial y chatbots (Meta y Google)

El Servicio utiliza inteligencia artificial (IA) para procesar tus mensajes. Al utilizarlo, reconoces lo siguiente:

• Tratamiento por IA: tus mensajes se procesan con Google Gemini (a través de Google LLC). Aunque por defecto Google no utiliza tus datos para entrenar sus modelos públicos, pueden conservarse temporalmente para el control de abusos.
• Aviso de exactitud: las respuestas generadas por IA sobre tus finanzas son estimaciones basadas en los datos que has facilitado. Pueden ser inexactas o contener "alucinaciones". Verifica siempre las cifras importantes con tus extractos bancarios reales.
• Interacción automatizada: entiendes que te comunicas con un agente de IA automatizado, no con una persona.
• Sin decisiones automatizadas con efectos jurídicos: no utilizamos IA para adoptar decisiones que produzcan efectos jurídicos sobre ti o te afecten significativamente de modo similar, en el sentido del artículo 22 del RGPD. El asistente no te deniega el servicio, no fija tu precio ni evalúa tu solvencia.

6. Datos prohibidos (seguridad y cumplimiento)

Para garantizar la seguridad de tus datos y el cumplimiento de las políticas empresariales de Meta:

• Sin credenciales financieras sensibles: te comprometes a NO introducir ni enviar números completos de tarjeta, contraseñas de cuentas bancarias, PIN o códigos CVV por WhatsApp, Telegram o la aplicación.
• Sin datos personales sensibles: no envíes datos de salud, números de identificación oficial (DNI, NIE, NIF, SIN, SSN) u otras categorías especiales de datos a través del chat.

7. Conservación de los datos

Conservamos tus datos hasta que decidas eliminarlos.

• Conservación controlada por ti (cuenta y datos financieros): conservamos tus datos personales, financieros y el historial de chat mientras tu cuenta esté activa, para que puedas seguir la evolución de tus finanzas.
• Datos de analítica: los eventos seudónimos de Firebase Analytics se conservan 2 meses y después Firebase los elimina automáticamente. Puedes acortar ese plazo retirando el consentimiento de analítica en la aplicación, lo que provoca la eliminación inmediata de los datos de tu instalación.
• Informes de fallos: Firebase Crashlytics conserva los registros de fallos 90 días y después los elimina automáticamente.
• Registros de suscripción: RevenueCat conserva los registros de transacciones mientras tu cuenta esté activa, más el periodo exigido por la conciliación de facturación de Apple y Google.
• Eliminación de la cuenta: si eliminas tu cuenta o solicitas la supresión de tus datos, los borraremos de nuestros servidores de producción activos (base de datos, caché, Firebase y RevenueCat) en un plazo de 30 días. Para eliminar tu cuenta desde la aplicación, ve a Ajustes → Perfil y sigue el proceso de eliminación. Si no puedes usar la aplicación, escribe a privacy@cientolabs.com.
• Excepción legal: no obstante lo anterior, podemos conservar determinados registros de transacciones hasta siete (7) años con el único fin de cumplir obligaciones legales y fiscales. Esos datos quedan archivados y aislados del uso activo.

8. Comunicación de tu información

No vendemos tu información personal a terceros. Solo la comunicamos a los proveedores de confianza necesarios para operar nuestra infraestructura.

Proveedores y transferencias internacionales de datos

Estamos establecidos en Columbia Británica (Canadá) y utilizamos proveedores situados en otras jurisdicciones. Al utilizar el Servicio, reconoces que tus datos pueden transferirse y tratarse en esos países.

Transferencias fuera del EEE. Cuando transferimos datos personales de usuarios del EEE fuera del EEE, nos amparamos en alguna de estas garantías del Capítulo V del RGPD: la decisión de adecuación de la Comisión Europea relativa a las organizaciones canadienses sujetas a PIPEDA, que cubre a Ciento Labs Inc.; el Marco de Privacidad de Datos UE-EE. UU., cuando el destinatario está certificado; o las Cláusulas Contractuales Tipo de la Comisión Europea junto con medidas complementarias cuando no resulte aplicable ninguna de las anteriores. Puedes solicitar copia de la garantía correspondiente escribiendo a privacy@cientolabs.com.

Nota: los datos enviados a Estados Unidos pueden estar sujetos a acceso por parte de las autoridades estadounidenses en virtud de la CLOUD Act.

9. Tus derechos (RGPD, España, RGPD del Reino Unido, Ley 25 de Quebec, PIPEDA y CCPA/CPRA)

Alineamos los derechos de nuestros usuarios con los estándares más exigentes, incluidos el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD), el RGPD del Reino Unido, la Ley 25 de Quebec, la PIPEDA canadiense y la ley de privacidad del consumidor de California (CCPA/CPRA).

Con independencia de dónde residas, tienes derecho a:

• Acceso: solicitar una copia de los datos personales que tenemos sobre ti.
• Rectificación: solicitar la corrección de datos inexactos.
• Supresión (derecho al olvido): solicitar que eliminemos tus datos.
• Portabilidad: solicitar una copia de tus datos en un formato estructurado y legible por máquina (JSON/CSV).

Aviso para residentes en España y el EEE (RGPD)

Si resides en España o en otro país del EEE, tienes derecho a:

• Acceder, rectificar, suprimir y portar tus datos, según lo descrito arriba.
• Limitar el tratamiento y oponerte a los tratamientos basados en nuestro interés legítimo.
• Retirar tu consentimiento en cualquier momento (en la aplicación: Ajustes → Privacidad; en el sitio web, mediante los controles de cookies), sin que ello afecte a la licitud del tratamiento previo a la retirada.
• No ser objeto de decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos sobre ti. Como se indica en el apartado 5, no adoptamos ese tipo de decisiones.
• Presentar una reclamación ante la autoridad de control. En España es la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, www.aepd.es. También puedes reclamar ante la autoridad de tu residencia habitual o lugar de trabajo.

Nuestras bases jurídicas para el tratamiento son:

• Ejecución del contrato (art. 6.1.b), para la cuenta, los datos financieros y la suscripción.
• Consentimiento (art. 6.1.a), para Firebase Analytics, Crashlytics y las tecnologías de analítica y medición publicitaria del sitio web descritas en el apartado 2C.
• Interés legítimo (art. 6.1.f), para la prevención del fraude y la seguridad del Servicio.
• Obligación legal (art. 6.1.c), para los registros fiscales y contables descritos en el apartado 7.

Para ejercer cualquiera de estos derechos, escribe a privacy@cientolabs.com. Respondemos en el plazo de un mes, prorrogable en dos meses adicionales en solicitudes complejas, conforme al artículo 12.3 del RGPD.

Aviso para residentes en California (CCPA)

• No vender mi información personal: Ciento Labs Inc. no vende tu información personal a cambio de contraprestación económica.
• Derecho a excluirte de la cesión: podemos utilizar herramientas de analítica de terceros. Tienes derecho a oponerte a la cesión de tus datos para publicidad conductual entre contextos. Puedes ejercerlo escribiéndonos.

Aviso para residentes en Quebec (Ley 25)

Si resides en Quebec, dispones de derechos adicionales conforme a la Ley sobre la protección de la información personal en el sector privado ("Ley 25"):

• Derecho a ser informado sobre decisiones automatizadas: utilizamos Google Gemini para generar respuestas y análisis. No producen decisiones jurídicamente relevantes sobre ti (no usamos IA para denegar servicios ni fijar precios). Puedes solicitar no recibir análisis generados por IA.
• Derecho a la portabilidad: puedes recibir tu información personal en un formato tecnológico estructurado y de uso común.
• Derecho a información sobre transferencias transfronterizas: como se detalla en el apartado 8, tus datos se tratan en Estados Unidos, Singapur, Chipre, Irlanda y Alemania. Hemos evaluado cada transferencia y nos basamos en los compromisos contractuales de privacidad del destinatario.

Responsables de la protección de la información personal:

Ignacio Zorrilla Barbera (CEO), Guillermo Zorrilla Barbera (COO) y Juan Mateo-Sagasta Escondrillas (CTO)

Cofundadores, Ciento Labs Inc.

Correo electrónico: privacy@cientolabs.com

10. Seguridad de los datos

La seguridad de tus datos es nuestra máxima prioridad. Utilizamos cifrado de extremo a extremo cuando es posible y cifrado en reposo para todos los registros de la base de datos.

• Seguridad de las plataformas: las interacciones por WhatsApp y Telegram están sujetas a los estándares de cifrado de esas plataformas.
• Seguridad en la introducción de datos: dado que introduces los datos manualmente, evita escribir credenciales sensibles (como contraseñas o números completos de tarjeta) en el chat.
• Notificación de brechas: si una violación de seguridad de los datos personales entraña un riesgo para tus derechos y libertades, lo notificaremos a la autoridad de control competente en un plazo de 72 horas desde que tengamos constancia, y te informaremos sin dilación indebida cuando el riesgo sea alto, conforme a los artículos 33 y 34 del RGPD.

11. Privacidad de los menores

El Servicio está dirigido a usuarios adultos. La edad mínima varía según la jurisdicción:

• España: la edad de consentimiento digital son 14 años según el artículo 7 de la Ley Orgánica 3/2018 (LOPDGDD), si bien el uso del Servicio queda contractualmente restringido a mayores de 18 años.
• Espacio Económico Europeo y Reino Unido: 16 años, o la edad inferior fijada por tu Estado miembro, nunca por debajo de 13. Para cualquier usuario por debajo de la edad de consentimiento digital aplicable, nos basamos en el consentimiento de sus progenitores o tutores.
• Canadá (Columbia Británica): 19 años.
• Estados Unidos: 13 años. No recogemos conscientemente información personal de menores de 13 años (COPPA).
• Otras jurisdicciones: la mayoría de edad de tu lugar de residencia.

Si detectamos que hemos recogido información personal de un menor sin verificación del consentimiento parental, la eliminaremos de inmediato. Para comunicarnos un caso así, escribe a privacy@cientolabs.com.

12. Legislación aplicable y jurisdicción

Esta política y el uso que hagas del Servicio se rigen e interpretan conforme a las leyes de la Provincia de Columbia Británica y las leyes federales de Canadá que resulten de aplicación. Cualquier controversia derivada de esta política se someterá a la jurisdicción exclusiva de los tribunales de Vancouver, Columbia Británica.

Excepción para residentes en el EEE. Esta cláusula no te priva de la protección de las disposiciones imperativas en materia de protección de datos y consumo de la ley de tu país de residencia, ni de tu derecho a acudir a los tribunales o a presentar una reclamación ante tu autoridad de control en el lugar donde resides.

13. Cambios en esta Política de Privacidad

Revisaremos esta política de privacidad anualmente para asegurar que cumple con la evolución normativa y tecnológica.

• Cambios ordinarios: te avisaremos con al menos 15 días de antelación de cualquier cambio sustancial, por correo electrónico o mediante notificación por chat.
• Actualizaciones urgentes: para cambios necesarios frente a vulnerabilidades de seguridad, abusos o exigencias legales inmediatas, el preaviso podrá ser de 1 día o el cambio podrá aplicarse de inmediato.
• Uso continuado: el uso continuado del Servicio tras dichos cambios implica la aceptación de la nueva política.

14. Contactos designados en materia de privacidad

• Responsables de la protección de la información personal (Ley 25 de Quebec): Ignacio Zorrilla Barbera (CEO), Guillermo Zorrilla Barbera (COO) y Juan Mateo-Sagasta Escondrillas (CTO), privacy@cientolabs.com
• Consultas generales de privacidad: privacy@cientolabs.com (o product@cientolabs.com)
• Eliminación de la cuenta: usa Ajustes → Perfil en la aplicación móvil de Ciento. Si no puedes usar la aplicación, escribe a privacy@cientolabs.com.
• Representante en la UE y el Reino Unido (art. 27 RGPD): no designado actualmente. Nombraremos un representante si nuestro tratamiento de datos de residentes en el EEE o el Reino Unido supera los umbrales del artículo 27.2. Hasta entonces, los usuarios del EEE y del Reino Unido pueden dirigirse directamente a privacy@cientolabs.com.

15. Información de contacto

Para preguntas o comentarios sobre esta política de privacidad y nuestras prácticas de privacidad:

Ciento Labs Inc.

Correo electrónico: product@cientolabs.com (general) | privacy@cientolabs.com (privacidad y ejercicio de derechos)

Sede: Vancouver, BC, Canadá