Política de Privacidad

Última actualización: septiembre 21, 2026

1. Quién trata tus datos

XpendixCash (xpendixcash.online) es un servicio operado desde Lima, Perú. Somos responsables del tratamiento de los datos que registras en la web (incluida la app web en /app) y en la app Android "XpendixCash". Contacto para privacidad: contacto@xpendixcash.online.

2. Qué datos guardamos

Solo guardamos lo que necesitas para usar el servicio. En concreto:

• Cuenta: nombre, email, contraseña (almacenada solo como hash), plan contratado, moneda e idioma preferidos, fecha de alta y de último acceso.
• Movimientos: gastos e ingresos que registras (importe, fecha, categoría, descripción y origen: web, app o MCP).
• Notas: el contenido Markdown, título, carpeta, etiquetas, enlaces entre notas y las fechas de creación y edición.
• Recordatorios: título, fecha y hora, recurrencia, estado (pendiente, hecho, pospuesto) y canal de aviso.
• Tokens de API / MCP: un identificador del token, el nombre que le pusiste (por ejemplo "Claude Code"), la fecha de creación y de último uso, y un contador diario de llamadas. El token en claro se muestra una sola vez y no lo almacenamos; solo guardamos su hash.
• Suscripciones push: el endpoint y las claves que tu navegador o tu Android generan para recibir notificaciones. No incluyen tu ubicación ni tus contactos.
• Datos técnicos: dirección IP, tipo de navegador o dispositivo y registros de error, durante un tiempo limitado, para seguridad y para arreglar fallos.

No pedimos ni guardamos datos bancarios, números de tarjeta ni credenciales de otros servicios. No accedemos a tus cuentas bancarias.

3. Para qué los usamos

• Prestar el servicio: mostrar tus movimientos, notas, grafo y recordatorios en todos tus dispositivos.
• Enviarte los recordatorios que programaste por email y notificación push.
• Responder a las peticiones de tu IA cuando la conectas por MCP con tu token.
• Generar análisis y respuestas con IA si tienes el Plan IA (ver sección 5).
• Gestionar tu plan, la facturación y el soporte.
• Proteger el servicio: detectar abuso, limitar peticiones y prevenir accesos no autorizados.

No vendemos tus datos ni los usamos para publicidad. No entrenamos modelos de IA con tu contenido.

4. Tokens MCP y acceso de tu IA

Puedes crear tokens personales (prefijo xc_) para que clientes compatibles con MCP (Claude Code, Codex, ChatGPT, Claude.ai, Cursor y otros) lean y escriban tus notas, gastos y recordatorios. Ten en cuenta:

• Cada token identifica únicamente a tu usuario y solo da acceso a tus datos.
• Lo que tu IA lea a través del token pasa a los servidores del proveedor de esa IA (Anthropic, OpenAI u otro) bajo sus propias políticas. Tú decides qué herramienta conectas y qué le pides.
• Puedes revocar cualquier token desde Mi cuenta → Conectar IA. Cambiar tu contraseña revoca todos los tokens.
• Los registros creados por agentes se marcan con origen "mcp" para que sepas de dónde vinieron.

5. Con quién los compartimos

Solo con proveedores necesarios para operar el servicio, y únicamente los datos imprescindibles:

Proveedor	Para qué	Qué recibe
Hostinger	Alojamiento web, base de datos y envío de correos	Todos los datos del servicio se almacenan en sus servidores. Los emails transaccionales salen desde su plataforma.
Google Gemini	Análisis con IA (solo Plan IA)	Los movimientos o notas necesarios para responder a tu consulta, en el momento de la consulta. No se usan para entrenar modelos según las condiciones de la API.
Hotmart	Cobro de planes de pago	Tu email y el plan elegido. El pago se hace en Hotmart; no vemos tu tarjeta.
Yape	Cobro de planes en Perú	El comprobante que nos envías para activar el plan.
Servicios push (Google FCM / navegadores)	Entregar notificaciones	El título y texto del recordatorio y el identificador de tu dispositivo.

También podemos revelar datos si una ley u orden judicial válida nos lo exige.

6. Cuánto tiempo los conservamos

• Datos de cuenta y contenido (movimientos, notas, recordatorios): mientras tu cuenta exista.
• Tokens MCP: hasta que los revoques o elimines la cuenta.
• Suscripciones push: hasta que desactives las notificaciones en ese dispositivo o elimines la cuenta.
• Registros técnicos (IP, errores): hasta 90 días.
• Datos de facturación: el tiempo que exija la normativa tributaria aplicable.
• Copias de seguridad: se sobrescriben en un máximo de 30 días; una cuenta eliminada desaparece de ellas en ese plazo.

7. Cómo eliminar tu cuenta

1. Desde la web: entra a xpendixcash.online/delete-account, inicia sesión y confirma con tu contraseña.
2. Desde la app Android o la app web: Mi cuenta → Eliminar cuenta.
3. Por email: escribe a contacto@xpendixcash.online desde el email de tu cuenta con el asunto "Eliminar cuenta". Lo procesamos en un máximo de 7 días.

Qué se borra: tu perfil, movimientos, categorías, notas y enlaces, recordatorios, tokens MCP, suscripciones push y preferencias. El borrado es inmediato en la base de datos y desaparece de las copias de seguridad en un máximo de 30 días.

Qué puede conservarse: únicamente los registros de facturación que la ley nos obliga a guardar (si tuviste un plan de pago) y los correos que nos hayas enviado a soporte. Si quieres una copia de tus datos antes de borrar, exporta el ZIP desde Mi cuenta.

8. Tus derechos

Conforme a la Ley de Protección de Datos Personales del Perú (Ley 29733) y, para usuarios de la UE, el GDPR, puedes:

• Acceder a tus datos y obtener una copia (exportación ZIP desde Mi cuenta).
• Rectificarlos desde la app o pidiéndonoslo.
• Eliminarlos (sección 7).
• Oponerte a un tratamiento u obtener la portabilidad en formatos abiertos (Markdown, CSV, JSON).
• Reclamar ante la Autoridad Nacional de Protección de Datos Personales (Perú) o tu autoridad local.

Más detalle en GDPR y tus derechos.

9. Seguridad

Toda la comunicación va cifrada por HTTPS. Las contraseñas y los tokens se guardan como hash. Cada usuario solo puede acceder a sus propios registros, también a través de MCP. Aplicamos límites de peticiones y revisamos los registros de seguridad. Consulta la página de seguridad.

10. Cookies

Usamos solo cookies y almacenamiento local necesarios para mantener tu sesión y tus preferencias. No hay cookies de publicidad ni de seguimiento. Detalle en la política de cookies.

Menores

El servicio está dirigido a mayores de 18 años. Si detectamos una cuenta de un menor sin autorización de sus padres o tutores, la eliminaremos.

Cambios en esta política

Si cambiamos algo relevante te lo diremos por email y actualizaremos la fecha del encabezado.

11. Contacto

Para cualquier consulta sobre privacidad: contacto@xpendixcash.online o el formulario de contacto.