Política de privacidad

1. Quién es el responsable del tratamiento

El responsable del tratamiento es Bunix S.A.S. (NIT 901958981-0), con domicilio en Calle 71 A # 39 - 21, Piso 2, Medellín, Antioquia, Colombia (en adelante, «Edrex», «nosotros»).

• Correo de privacidad: [email protected]
• Correo de soporte: [email protected]
• Sitio web: www.edrex.pro

Delegado de protección de datos: punto de contacto en materia de protección de datos: [email protected].

Si Edrex llegara a ofrecer el servicio a personas en la Unión Europea desde fuera de ella, designaremos un representante en la Unión conforme al artículo 27 del RGPD.

2. Resumen en lenguaje sencillo

• Qué guardamos: tu correo y nombre, y lo que tú registras: movimientos, metas, deudas, activos, agenda, listas, desafíos y tus conversaciones con el asistente.
• Para qué: para que la aplicación funcione y para que el asistente te responda con tus cifras. No hacemos publicidad ni vendemos tus datos, y no usamos herramientas de análisis ni de seguimiento.
• IA: solo si lo aceptas, enviamos tus mensajes y un resumen de cifras (sin tu nombre ni correo) a Google Cloud (Vertex AI, Unión Europea) para generar la respuesta.
• Tu banco (opcional): solo si tú decides conectarlo, un proveedor de banca abierta (Enable Banking, según la Directiva PSD2) lee con tu consentimiento los movimientos de tus cuentas, en modo lectura. Edrex nunca ve las claves de tu banco y no puede mover dinero. Puedes quitar la conexión cuando quieras (apartado 6 bis).
• Control: puedes descargar tus datos y eliminar tu cuenta desde la aplicación, y retirar tu consentimiento de IA cuando quieras.

3. Qué datos tratamos y de dónde vienen

No recogemos: documento de identidad, ubicación, contactos, fotos o archivos de tu dispositivo (salvo los que elijas subir para importar), ni identificadores publicitarios. Edrex solo se conecta con tu banco si tú lo decides (apartado 6 bis) y nunca recibe las claves de acceso a tu banco.

Los datos financieros no son «categorías especiales» de datos, pero sabemos que son sensibles y los tratamos con especial cuidado.

4. Para qué usamos tus datos y con qué base jurídica

Para el interés legítimo hemos hecho una ponderación: el tratamiento es el mínimo necesario, no usa el contenido de tus datos y tienes derecho a oponerte (apartado 10).

5. Inteligencia artificial: qué se envía y qué no

El asistente de Edrex y la importación de extractos usan modelos de Google Cloud (Vertex AI) alojados en la multirregión de la Unión Europea. Antes del primer envío te pedimos tu permiso, y el servidor lo exige: sin él, estas funciones no funcionan. El texto completo está en Consentimiento para el uso de IA.

• Se envía: tu mensaje, la conversación reciente y un resumen de cifras de tus finanzas (totales del mes, categorías, metas) sin tu nombre ni tu correo ni tus notas; o el archivo que subes para importar.
• No se envía: tu contraseña, tu correo, tu nombre, tu dirección IP como dato de la conversación ni el resto de tu cuenta.
• Estás hablando con un sistema de inteligencia artificial, no con una persona. Lo decimos de forma expresa para cumplir las obligaciones de transparencia del Reglamento (UE) 2024/1689 sobre inteligencia artificial (art. 50). El asistente no se dirige a evaluar tu solvencia ni a tomar decisiones sobre ti; no lo clasificamos como sistema de alto riesgo.
• Limitaciones: es un asistente de apoyo, no un profesional. No da asesoramiento financiero, fiscal, legal ni de inversión; puede equivocarse o inventar datos.
• Base jurídica del tratamiento con IA: tu consentimiento explícito (art. 6.1.a RGPD), que puedes retirar cuando quieras sin que afecte a lo ya hecho.
• Google actúa como encargado del tratamiento. No entrena sus modelos con estos datos y puede conservar las peticiones de forma temporal solo para detectar usos abusivos.
• Decisiones automatizadas: el asistente solo ofrece información y sugerencias; no toma decisiones con efectos jurídicos sobre ti. Cuando le pides preparar un movimiento, solo lo propone: no se guarda nada hasta que tú lo confirmas con un botón.
• Límites de uso: aplicamos un máximo diario de consultas por persona y un tope de gasto del servicio.
• La IA puede equivocarse. Revisa siempre lo importante; Edrex no es asesoría financiera (ver Términos).

6. Dictado por voz

Si usas el micrófono del chat, la conversión de voz a texto la hace el servicio de reconocimiento de voz de tu dispositivo o navegador (en el móvil, el del sistema operativo: Apple o Google; en la web, el de tu navegador: Google en Chrome, Microsoft en Edge, Apple en Safari). Según tu dispositivo y tus ajustes, el audio puede enviarse a los servidores de ese proveedor.

Edrex no recibe ni guarda el audio: solo recibe el texto que se obtiene y que tú ves antes de enviarlo. El dictado es manual: empieza cuando lo pulsas y termina cuando lo detienes. Puedes escribir en lugar de dictar. Para usarlo, la aplicación te pide permiso de micrófono y de reconocimiento de voz, que puedes retirar en los ajustes de tu dispositivo.

6 bis. Conexión con tu banco (opcional)

Si lo decides, puedes conectar tu banco para que tus movimientos aparezcan en Edrex sin escribirlos. Es una función opcional y puede no estar disponible todavía en todas las versiones o países. Se apoya en la banca abierta de la Directiva (UE) 2015/2366 (PSD2): un proveedor autorizado accede a la información de tus cuentas solo con tu consentimiento.

• Quién hace qué: la conexión la realiza Enable Banking, que es quien accede a tu banco y nos entrega la información; Edrex no accede a tu banco directamente. Para ese acceso, Enable Banking aplica además sus propias condiciones y su política de privacidad.
• Cómo autorizas: te llevamos a la página de tu banco, donde te identificas tú. Edrex nunca ve ni guarda tus claves, contraseñas o códigos del banco.
• Qué se lee: información de tus cuentas (nombre, moneda, últimos 4 dígitos) y sus movimientos. Solo lectura: Edrex no puede hacer pagos, transferencias ni mover dinero.
• Cuánto dura: el permiso caduca como máximo a los 90 días (tu banco puede fijar un plazo menor). Después dejamos de leer tu banco hasta que lo renueves.
• Sincronización automática: una vez conectado, Edrex trae tus movimientos nuevos por sí solo cada 6 horas (y cuando pulsas «Sincronizar ahora»), mientras el permiso siga vigente. Solo lee: no hace pagos.
• Categorías: Edrex pone una categoría a cada movimiento nuevo. Primero aplica tus reglas (por ejemplo, «si el concepto contiene “Mercadona” → Comida»). Solo si tú lo activas (Dinero disponible → «Categorizar con IA», apagado por defecto), lo que tus reglas no resuelvan se envía a Google Cloud (Vertex AI, UE): el comercio o concepto, el importe y la fecha del movimiento —nunca tu IBAN, tu nombre ni tu correo— solo para asignarle una categoría. Si lo apagas, solo se usan tus reglas. Base jurídica: tu consentimiento (art. 6.1.a RGPD).
• Cómo lo quitas: en Dinero disponible → «Quitar» (revocamos el acceso en Enable Banking), o desde la aplicación o web de tu banco. Los movimientos ya importados siguen siendo tuyos y puedes borrarlos desde Movimientos.
• Base jurídica: tu consentimiento explícito (art. 6.1.a RGPD). No usamos los datos de tu banco para publicidad ni los vendemos. Si usas el asistente con IA, los movimientos importados se resumen igual que el resto de tus datos (apartado 5).

6 ter. «Tus hábitos» (opcional)

«Tus hábitos» es una función opcional para ayudarte a crear el hábito de cuidar tu dinero: una racha semanal, pequeñas misiones (por ejemplo, revisar tus movimientos del día o apartar algo para una meta) y un nivel de progreso. Está desactivada hasta que tú la activas, y puedes pausarla, apagarla o borrar tu progreso cuando quieras (Configuración → Tus hábitos).

• Qué datos usa: los días en que hiciste alguna acción en la aplicación y de qué tipo fue (por ejemplo, «apuntar un movimiento» o «revisar el día»), sin importes ni contenido; las misiones que te propusimos y cuáles completaste; tus puntos, nivel y racha; el número de días por semana que elegiste, si está en pausa y la zona horaria de tu dispositivo (para saber qué día es para ti).
• De dónde salen: se generan solos a partir de lo que ya haces en Edrex. Los movimientos que trae tu banco por sí solo no cuentan.
• Para qué: solo para mostrarte tu propio progreso. No los usamos para la IA, publicidad, perfiles comerciales ni decisiones automatizadas, no te comparamos con otras personas y no hay premios ni sorteos.
• Base jurídica: la ejecución del contrato (art. 6.1.b RGPD): es una función del servicio que tú decides activar.
• Cuánto tiempo: el detalle de días y misiones se guarda 120 días; después solo quedan los contadores (puntos, racha y total de días). Todo se borra con «Borrar mi progreso» o al eliminar tu cuenta, y se incluye en «Descargar mis datos».

6 quater. «Notificaciones de Edrex» en el móvil (opcional)

Si las activas y das permiso en tu móvil, Edrex te envía como mucho 2 avisos a la semana para celebrar tus avances (por ejemplo, que estás cerca de cumplir una meta o que este mes gastas menos que el anterior). Puedes desactivarlas cuando quieras en Configuración → Preferencias → Notificaciones de Edrex o en los ajustes de tu móvil.

• Qué usamos para elegir el mensaje: el avance de tus metas y deudas, la comparación de tus gastos y ahorros con el mes anterior (en porcentaje), tu racha de «Tus hábitos» y si llevas días sin apuntar movimientos. El mensaje lo redactan reglas en nuestros servidores: no se envían tus datos a ninguna inteligencia artificial para esto.
• Qué sale en el aviso: un título y una frase de ánimo, a veces con el nombre que tú pusiste a una meta o una deuda y un porcentaje. Nunca importes. Ten en cuenta que, según los ajustes de tu móvil, los avisos pueden verse en la pantalla de bloqueo.
• Quién lo entrega: Google Firebase Cloud Messaging (y, en iPhone, el servicio de avisos de Apple). Reciben el identificador técnico de tu dispositivo y el texto del aviso (apartado 7).
• Qué guardamos: el identificador técnico de tus dispositivos (mientras tengas los avisos activados y la sesión abierta en ellos) y un historial de los avisos enviados durante 90 días, para no repetirlos ni enviar más de la cuenta.
• Base jurídica: tu consentimiento (art. 6.1.a RGPD), que das al activarlas y al permitir los avisos en tu móvil, y que puedes retirar en cualquier momento.

7. Con quién compartimos tus datos

No vendemos tus datos ni los cedemos para publicidad. Solo los comunicamos a proveedores que los tratan por nuestra cuenta (encargados del tratamiento), con un contrato (acuerdo de encargado del tratamiento, DPA, o mecanismo equivalente conforme al art. 28 RGPD) que les obliga a seguir nuestras instrucciones y a proteger la información, y a autoridades cuando una ley nos obligue.

Podemos incorporar o cambiar proveedores; si afecta a tus datos de forma relevante, actualizaremos esta página (apartado 15).

8. Transferencias internacionales

Tus datos de cuenta y financieros se alojan en la Unión Europea, y el procesamiento de IA se hace en la multirregión de la Unión Europea. Algunos proveedores (Cloudflare, Resend, y las propias empresas matrices de Supabase y Google) pertenecen a grupos con sede en Estados Unidos, por lo que podría haber acceso o transferencias fuera del Espacio Económico Europeo (por ejemplo, para soporte técnico o distribución de contenido).

Cuando ocurre, nos apoyamos en las garantías previstas en el RGPD: decisión de adecuación (Marco de Privacidad de Datos UE–EE. UU., cuando el proveedor esté adherido) o cláusulas contractuales tipo aprobadas por la Comisión Europea, junto con medidas complementarias. Puedes pedirnos una copia de esas garantías escribiendo a la dirección del apartado 1.

Además, Bunix S.A.S. está establecida en Colombia, país que no cuenta con decisión de adecuación de la Comisión Europea.

9. Cuánto tiempo conservamos tus datos

• Cuenta y datos financieros: mientras tengas la cuenta.
• Notificaciones de Edrex (si las activas): el identificador de tus dispositivos, mientras estén activadas y tengas la sesión abierta en ellos; el historial de avisos enviados, 90 días.
• «Tus hábitos» (si lo activas): el detalle de días y misiones, 120 días; los contadores, hasta que borres tu progreso o elimines la cuenta.
• Conexión bancaria: el permiso que das a tu banco dura como máximo 90 días (tu banco puede fijar menos); al caducar dejamos de leer tu banco y puedes renovarlo. Al quitar la conexión en la aplicación (o al eliminar tu cuenta) revocamos el acceso en Enable Banking. Los movimientos que ya se importaron son tuyos y se quedan en tu cuenta hasta que los borres o elimines la cuenta.
• Al eliminar tu cuenta (Configuración → Eliminar mi cuenta, o según esta página): borramos tu perfil, datos financieros, historial del chat, consentimientos y registro de uso de la IA. Es inmediato e irreversible: no hay periodo de recuperación.
• Copias de seguridad: pueden conservar datos de forma temporal tras el borrado, hasta que se sobrescriban (máximo 30 días). No se usan para ningún otro fin ni se restauran salvo una incidencia grave.
• Registros técnicos de los proveedores (acceso, errores): sin el contenido de tu información financiera, 30 días los registros generales y 90 días los de seguridad.
• Solicitudes de soporte y de derechos: el tiempo necesario para atenderlas y acreditar su cumplimiento, y durante los plazos de prescripción legal aplicables.
• Si no inicias sesión durante mucho tiempo:

10. Tus derechos y cómo ejercerlos

Tienes derecho a:

• Acceso: saber qué datos tratamos y obtener una copia.
• Rectificación: corregir datos inexactos.
• Supresión: que borremos tus datos.
• Limitación del tratamiento en los casos legales.
• Oposición a tratamientos basados en interés legítimo.
• Portabilidad: recibir tus datos en un formato estructurado y de uso común.
• Retirar tu consentimiento (por ejemplo, el de la IA) en cualquier momento, sin que afecte a lo anterior.
• Revocar el acceso a tu banco cuando quieras: en Dinero disponible (botón «Quitar») o en la aplicación o web de tu banco.
• No ser objeto de decisiones automatizadas con efectos jurídicos (no las tomamos).

Cómo: desde la aplicación puedes descargar tus datos (Configuración → Descargar mis datos), eliminar tu cuenta (Configuración → Eliminar mi cuenta), borrar tu historial del chat y editar o borrar cualquier dato que hayas registrado. Para lo demás, escribe a [email protected] desde el correo de tu cuenta. Responderemos en un mes como máximo (prorrogable dos meses más por complejidad, avisándote). Podemos pedirte que acredites tu identidad. Es gratuito, salvo solicitudes manifiestamente infundadas o excesivas.

Reclamaciones: si crees que no hemos tratado tus datos correctamente, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) (www.aepd.es, C/ Jorge Juan, 6, 28001 Madrid) o ante la autoridad de control de tu país de residencia. Te agradeceremos que nos des antes la oportunidad de ayudarte.

11. Cómo protegemos tus datos

• Cifrado en tránsito: toda la comunicación va por HTTPS/TLS.
• Cifrado en reposo: la base de datos y sus copias están cifradas por el proveedor.
• Aislamiento por persona: cada cuenta solo puede leer y modificar sus propios datos (seguridad a nivel de fila en la base de datos).
• Contraseñas: nunca se guardan en claro, solo su huella con un algoritmo de resumen seguro; nadie de Edrex puede verlas.
• Mínimo privilegio: las funciones de IA y de movimientos actúan con tu sesión, no con una llave de administrador. Solo el borrado de cuenta usa una llave de administrador, y únicamente para eliminar tu usuario.
• Cabeceras de seguridad en la web (política de contenido, HSTS) y sin herramientas de seguimiento de terceros.
• Límites y vigilancia de abuso: cupos por persona, tope de gasto y registro de uso sin contenido.
• Secretos (claves de servicio) guardados en el gestor de secretos del proveedor, nunca en la aplicación.
• Copias de seguridad y procedimiento de respuesta a incidentes: si hubiera una brecha con riesgo para tus derechos, la notificaremos a la autoridad de control en 72 horas y a ti sin dilación indebida cuando suponga un alto riesgo.

Ninguna medida elimina todo el riesgo. Tú también puedes ayudar: usa una contraseña larga y única, no la compartas y cierra sesión en dispositivos ajenos.

12. Menores de edad

Edrex no está dirigida a menores de 18 años y no recogemos conscientemente sus datos. Si eres madre, padre o tutor y crees que una persona menor ha creado una cuenta, escríbenos a [email protected] y la eliminaremos.

13. Cookies y almacenamiento local

Edrex no usa cookies publicitarias ni de análisis. Usa el almacenamiento local de tu dispositivo para mantener tu sesión y recordar tus preferencias, algo estrictamente necesario. Más información en la Política de cookies.

14. Si resides en Colombia

Si accedes a Edrex desde Colombia, además se aplica la Ley 1581 de 2012 y el Decreto 1377 de 2013 (compilado en el Decreto 1074 de 2015): eres titular de tus datos y tienes derecho a conocer, actualizar, rectificar y suprimir tu información, a revocar la autorización y a presentar quejas ante la Superintendencia de Industria y Comercio (SIC). Esta política es también nuestra política de tratamiento de datos personales.

15. Cambios en esta política

Podemos actualizar esta política (por ejemplo, si cambian los proveedores, las funciones o la ley). Pondremos arriba la fecha y la versión. Si el cambio es relevante, te avisaremos dentro de la aplicación antes de que se aplique y, cuando la ley lo exija, volveremos a pedir tu consentimiento. Las versiones anteriores están disponibles a petición.

16. Contacto

Para cualquier duda sobre privacidad: [email protected]. Para soporte general: [email protected] o la página de soporte.