Política de Privacidad

Política de Privacidad

Compromiso fundamental: seguridad y no custodia

• Qiryah no guarda dinero: no es un banco, ni un bróker, ni un monedero digital, ni custodia fondos.
• Qiryah no hace transferencias: nada de Pix, TED, SEPA, Bizum, pago de recibos ni retiradas de efectivo.
• Qiryah no se conecta a bancos: nunca pedimos tu contraseña bancaria, token, tarjeta ni acceso mediante Open Finance.
• Todo lo que anotas en la app (ingresos, gastos, huchas) es un registro personal y educativo. Tu dinero se queda siempre en tu banco.

1. Visión general

Qiryah se toma en serio la protección de tus datos económicos y familiares. Esta política explica qué recogemos, por qué y cuáles son tus derechos. Cumple la LGPD (Lei nº 13.709/2018, Brasil), el GDPR (Reglamento UE 2016/679) y la LOPDGDD (Ley Orgánica 3/2018, España). El responsable del tratamiento es Qiryah; el contacto del Delegado de Protección de Datos (DPO) está en la sección final.

2. Datos que recogemos

• Cuenta: nombre, correo electrónico y contraseña (guardada solo como hash). Al entrar con Google o Apple, recibimos un identificador y el correo de esa cuenta.
• Perfil: idioma, moneda, país y las respuestas del onboarding (dónde vives, qué es lo que más pesa en tu bolsillo).
• Datos financieros que tú mismo introduces: apuntes de ingresos y gastos, huchas, límites por categoría. Nada procede de bancos.
• Progreso educativo: lecciones completadas, XP, monedas, misiones e insignias.
• Funciones de IA: los mensajes del chat y los textos o imágenes que envías a la asistente (por ejemplo, la foto de un justificante o el texto de tu currículum).
• Suscripción: el identificador de la compra emitido por la tienda (Google Play o App Store). No vemos ni guardamos datos de tarjeta.
• Datos técnicos: versión de la app e idioma del dispositivo. Los informes de fallos y las métricas de uso solo se envían con tu consentimiento.
• En el modo invitado (sin cuenta), los datos se quedan únicamente en tu dispositivo.

3. Base jurídica del tratamiento

• Ejecución de un contrato (LGPD art. 7, V / GDPR art. 6.1.b): calcular el presupuesto, guardar tus registros, sincronizar entre dispositivos y prestar el plan contratado.
• Consentimiento (LGPD art. 7, I / GDPR art. 6.1.a): personalización educativa mediante IA, informes de fallos y métricas de uso. Puedes activar y desactivar cada uno en la app, en cualquier momento.
• Obligación legal (LGPD art. 7, II / GDPR art. 6.1.c): registros fiscales y exigencias de las tiendas de aplicaciones.
• Interés legítimo (LGPD art. 7, IX / GDPR art. 6.1.f): seguridad de la cuenta, prevención del fraude y del abuso, límites de uso.
• Tus datos financieros nunca se venden, alquilan ni comparten con fines publicitarios.

4. Cuánto tiempo los conservamos

Tus datos se conservan mientras exista tu cuenta. Puedes eliminar la cuenta en cualquier momento desde la app (Más → Privacidad y datos → Eliminar cuenta): todo se borra de inmediato de nuestros servidores y solo queda un registro de la eliminación, sin datos personales. Los registros técnicos de acceso se conservan hasta 90 días por seguridad. Las copias de seguridad se sobrescriben en un plazo máximo de 30 días.

5. Inteligencia artificial responsable

La asistente Qiryah es un sistema de IA con finalidad estrictamente educativa (Reglamento UE 2024/1689, art. 50). No presta asesoramiento de inversión, no toma decisiones automatizadas de crédito y no te evalúa. Los mensajes e imágenes enviados a la IA se procesan mediante la API de Google Gemini como encargado del tratamiento, bajo un contrato que prohíbe usar ese contenido para entrenar modelos públicos. Puedes usar la app sin ninguna función de IA.

6. Dónde se almacenan los datos y transferencias internacionales

Los servidores de Qiryah están en un centro de datos de la Unión Europea. Las funciones de IA (Google) pueden procesar datos fuera de la UE, siempre amparadas por Cláusulas Contractuales Tipo (SCC) y por las garantías del GDPR. Las tiendas de aplicaciones (Google Play y App Store) gestionan el cobro conforme a sus propias políticas de privacidad.

7. Seguridad

Toda la comunicación utiliza TLS. Las contraseñas se guardan con argon2id; las sesiones usan tokens de corta duración con renovación rotativa. El acceso a los servidores está restringido y registrado. Ningún sistema es infalible: si se produce un incidente que afecte a tus datos, se te avisará a ti y a la autoridad competente conforme a la ley.

8. Niños y adolescentes

Qiryah está pensada para mayores de 18 años. No recogemos a sabiendas datos de menores; si ocurriera, los borraremos en cuanto tengamos conocimiento.

9. Cambios y contacto

Los cambios en esta política se avisan en la app y se publican en https://www.qiryah.com/privacy. Dudas o solicitudes: dpo@qiryah.com.

Encargados y Contratos de Tratamiento (DPA)

Cómo trabajamos con los proveedores

Mantenemos contratos de tratamiento de datos (DPA) con todos los proveedores tecnológicos que tocan datos personales, exigiendo confidencialidad, medidas de seguridad y una pronta respuesta ante incidentes. Ninguno de ellos puede usar tus datos para fines propios.

Infraestructura: servidores en la Unión Europea

• Función: encargado del tratamiento (data processor).
• Finalidad: alojar la API y la base de datos de Qiryah.
• Salvaguardas: cifrado en tránsito (TLS), acceso restringido por clave, copias de seguridad guardadas en la misma región.

Google LLC: API Gemini (inteligencia artificial)

• Función: encargado del tratamiento para las funciones de IA.
• Finalidad: procesar las preguntas, textos e imágenes que envías a la asistente.
• Garantías: contrato de uso de la API que prohíbe entrenar modelos con el contenido enviado; Cláusulas Contractuales Tipo para la transferencia internacional.

Google Play y Apple App Store (suscripciones)

• Función: responsables independientes del cobro.
• Finalidad: procesar la compra y la renovación de la suscripción; enviar a Qiryah únicamente el recibo para su validación.
• Qiryah no recibe datos de tarjeta.

Proveedor de correo electrónico transaccional

• Función: encargado del tratamiento.
• Finalidad: enviar correos de la cuenta (restablecimiento de contraseña, confirmación de eliminación).
• Datos: nombre, correo electrónico y el contenido del mensaje.

Informes de fallos y métricas de uso

• Solo funcionan con tu consentimiento, que puedes retirar en la app.
• Informes de fallos: información técnica del error, sin tus datos financieros.
• Métricas de uso: eventos agregados de navegación, guardados en los servidores de Qiryah en la UE.

Tus Derechos como Titular

Lo que garantiza la ley (LGPD art. 18 / GDPR arts. 15 a 22)

• Confirmación y acceso: saber si tratamos tus datos y obtener una copia.
• Rectificación: actualizar datos incompletos o desactualizados (en la app, en Más → Cuenta).
• Portabilidad: recibir tus datos en un formato abierto (JSON) para llevarlos a otro servicio.
• Supresión: borrar la cuenta y todo lo que contiene.
• Revocación del consentimiento: desactivar la IA personalizada, los informes de fallos y las métricas.
• Información: saber con quién compartimos datos (consulta la sección de encargados).
• Oposición y revisión: oponerte a tratamientos basados en el interés legítimo y pedir la revisión de decisiones automatizadas (Qiryah no toma decisiones de ese tipo).
• Reclamación: ante la ANPD (Brasil), la AEPD (España) o la autoridad de tu país.

Cómo ejercerlos

• En la app: Más → Privacidad y datos. Allí exportas tus datos en JSON, ajustas los consentimientos y eliminas la cuenta, sin tener que pedírselo a nadie.
• Por correo electrónico: dpo@qiryah.com. Respondemos en un plazo de 15 días (LGPD) o 1 mes (GDPR), prorrogables conforme a la ley cuando la solicitud sea compleja.

Preferencias y DPO

Delegado de Protección de Datos (DPO)

Para solicitudes formales, dudas regulatorias o ejercicio de derechos: dpo@qiryah.com.

Evaluación de Impacto (RIPD/DPIA) registrada: DPIA-QIRYAH-2026-V1.

Ubicación de los datos: Unión Europea.

Preferencias de consentimiento

• Personalización educativa mediante IA: permite que la asistente use tu contexto (presupuesto del mes, huchas, prioridades) para orientarte mejor. Desactivada, responde de forma genérica.
• Diagnósticos e informes de fallos: envío de errores técnicos para mejorar la estabilidad de la app.
• Métricas de uso agregadas: estadísticas de navegación para mejorar la usabilidad.

Todo esto está en Más → Privacidad y datos y puede cambiarse cuando quieras; lo esencial de la app no depende de ningún consentimiento.