Política de privacidad

Alebri tiene tres modos, y tú eliges cuál usar. Cada uno guarda una cantidad distinta de información — de cero (modo Local) a lo mínimo necesario para automatizar (modo Gmail). Ninguno es obligatorio, y puedes combinarlos, cambiar de modo, o borrar todo cuando quieras.

Todo lo que registras en alebri.pe vive únicamente en el almacenamiento local de tu navegador (localStorage). No hay cuentas, no hay servidor guardando tus movimientos. Si borras los datos del navegador, se pierden — por eso existe el botón de exportar.

Si activas la IA opcional (captura por screenshot con visión, o el chat), el texto o la imagen se manda a la API de Anthropic (Claude) solo para ese análisis puntual y no se almacena en ningún servidor nuestro. El chat con IA solo recibe los totales agregados de tu mes, nunca la lista completa de tus movimientos.

El modo Local no pierde tus datos… salvo que pierdas o formatees el dispositivo. Para evitarlo puedes activar, si quieres, un respaldo que se guarda en tu propio Google Drive — no en un servidor nuestro.

Qué permiso pedimos: únicamente drive.appdata, un permiso que solo da acceso a una carpeta oculta y exclusiva de Alebri dentro de tu Drive. Con ese permiso Alebri no puede ver, listar ni tocar ningún otro archivo tuyo de Google Drive. Nunca pedimos tu contraseña (autorizas en la pantalla oficial de Google).

Qué se guarda y dónde: un solo archivo (alebri-backup.json) con tus gastos, reglas y presupuestos, dentro de esa carpeta oculta de tu Drive. Nosotros no almacenamos ni leemos ese respaldo — es tuyo y vive en tu cuenta de Google. Puedes borrarlo o revocar el permiso cuando quieras desde myaccount.google.com/permissions.

Cómo funciona el permiso (un requisito de seguridad de Google). Las políticas de Google exigen que las apps usen el flujo seguro de código de autorización, en el que el permiso se canjea en el servidor de la app con un secreto que nunca llega a tu navegador. Por eso, cuando conectas, nuestro servidor recibe esa autorización de un solo uso, cifra el permiso resultante con AES-256-GCM y se lo devuelve a tu navegador, que es quien lo guarda. Nosotros no lo almacenamos. Cuando el respaldo necesita escribir, tu navegador le manda ese permiso cifrado a nuestro servidor, que lo convierte en un acceso de una hora a tu carpeta de Alebri. El archivo del respaldo siempre viaja directo entre tu navegador y tu Drive: nunca pasa por nuestros servidores. Al desconectar, el permiso se borra de tu navegador y se revoca en Google.

Si le escribes al bot de Alebri, guardamos en una base de datos (Railway/Postgres): tu número de WhatsApp y los gastos que registras (monto, comercio, categoría, fecha). No leemos tus chats de WhatsApp más allá del mensaje que nos mandas para registrar un gasto, y no accedemos a tus contactos ni a otras conversaciones.

Si conectas la app web a tu WhatsApp, también guardamos la dirección web desde la que la abres y cuándo fue la última vez. Nos sirve para avisarte si sigues usando una dirección vieja de Alebri; no guardamos nada más de tu navegador ni de tu celular.

Comandos que controlan esto: exportar (te mandamos un CSV con todo lo guardado) y borrar todo (elimina permanentemente tu número, tus gastos y cualquier conexión de Gmail asociada, con doble confirmación).

La única excepción, y te la decimos de frente: si alguna vez pagaste el plan Pro, conservamos el registro contable de ese pago — solo el monto y la fecha — sin tu número ni ningún dato que te identifique. Es lo mínimo para que las cuentas del negocio cuadren, y una línea que dice «entraron S/ 10.94 el 8 de setiembre» ya no es información sobre ti. Tu número se borra igual; lo hace la propia base de datos, no un paso que se nos pueda olvidar.

Este modo es completamente opcional. Si escribes conectar gmail, te llevamos a la pantalla oficial de Google para que autorices el acceso — nosotros nunca vemos ni pedimos tu contraseña.

Qué leemos exactamente: nuestro servidor consulta tu Gmail con un filtro que solo incluye remitentes de bancos y billeteras peruanas (Yape, Plin, BCP, Interbank, BBVA, Scotiabank, etc.). Ese filtro es parte de la propia consulta a la API de Google — en la práctica, nunca listamos ni descargamos un correo que no venga de esos remitentes. Tus correos personales, de trabajo, o de cualquier otro remitente, jamás son tocados.

Qué guardamos: del correo bancario que sí procesamos, extraemos el gasto (monto, comercio, categoría, fecha) y lo guardamos junto con el identificador del correo (para no procesarlo dos veces). El cuerpo y el asunto del correo nunca se guardan — se leen en memoria, se usan para extraer el dato, y se descartan.

El token de acceso a tu Gmail se guarda cifrado (AES-256-GCM) en nuestra base de datos — no en texto plano. Puedes revocarlo en cualquier momento escribiendo desconectar gmail en WhatsApp, o directamente desde myaccount.google.com/permissions.

Al conectar tu Gmail puede aparecerte una pantalla de Google avisando que la app todavía no está verificada. Es cierto y no lo escondemos: la verificación de Google para este tipo de permiso es un proceso largo que aún no hemos completado. Puedes continuar desde Configuración avanzada, o simplemente no usar este modo — el bot y la app funcionan igual sin él.

El uso y la transferencia por parte de Alebri de la información recibida de las APIs de Google se ajusta a la Política de Datos de Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado.

En concreto, y respecto a los datos que obtenemos de tu Gmail, nos comprometemos a lo siguiente:

• Solo para la función que pediste. Los datos se usan únicamente para registrar tus gastos y mostrártelos a ti — la función visible por la que activaste este modo. Para nada más.
• No los vendemos ni los cedemos a nadie. El único tercero que llega a ver el contenido de un correo bancario es Anthropic (Claude), y solo cuando nuestro lector automático no logra entender el aviso por sí solo: en ese caso le mandamos el texto de ese correo para extraer el monto y el comercio, que es exactamente la función que activaste. No se usa para entrenar modelos ni se guarda en nuestros servidores. Fuera de eso, solo transferimos datos si es imprescindible por seguridad, por obligación legal, o en una fusión o adquisición previamente comunicada y con tu consentimiento.
• Ninguna persona lee tus correos. El procesamiento es automático. Un humano solo podría acceder si tú lo autorizas expresamente para resolver un problema concreto, si lo exige la ley, o sobre datos agregados y anonimizados.
• Nunca para publicidad, y nunca para entrenar modelos de IA. Los datos obtenidos de las APIs de Google Workspace no se usan para desarrollar, mejorar ni entrenar modelos de IA o de aprendizaje automático generalizados o no personalizados. Cuando nuestro lector no logra entender una notificación del banco, el texto de ESE correo va a Anthropic (Claude) solo para extraer esa transacción tuya, y según los términos de su API tampoco se usa para entrenar sus modelos.
• Nunca los vendemos. Ni a anunciantes, ni a bancos, ni a nadie.

Puedes revocar este acceso cuando quieras escribiendo desconectar gmail en WhatsApp, o desde myaccount.google.com/permissions. Al hacerlo eliminamos el token guardado; los gastos ya registrados siguen siendo tuyos y puedes borrarlos con borrar todo.

Estas son las protecciones que Alebri tiene hoy. No es una lista de intenciones: cada una está implementada.

• En tránsito. Todo el sitio va por HTTPS, con HSTS de un año (subdominios incluidos), Content-Security-Policy en modo bloqueo, X-Frame-Options en DENY y una Referrer-Policy estricta. La conexión entre el servidor y la base de datos va cifrada con TLS 1.3 (AES-256-GCM).
• En reposo. El token de acceso a tu Gmail se guarda cifrado con AES-256-GCM, con un vector de inicialización distinto cada vez. La clave vive en una variable de entorno del servidor, nunca en el código ni en el repositorio. Las copias de seguridad de la base también se guardan cifradas con AES-256-GCM, fuera del servidor. El permiso del respaldo en Drive se cifra igual y se queda solo en tu navegador.
• Menos datos, menos riesgo. El filtro de remitentes (bancos y billeteras) es parte de la consulta a la API de Gmail: un correo que no venga de esos remitentes no se descarga nunca. El cuerpo y el asunto no se guardan. Pedimos dos permisos y ninguno más: gmail.readonly y drive.appdata.
• Quién puede entrar a tus datos. Todo lo guardado está atado a tu número de WhatsApp. Conectar la web con el bot exige un código de 6 dígitos que el bot te manda a ti, vence a los 10 minutos y sirve una sola vez; a cambio se emite un token firmado (HMAC-SHA256) que puedes revocar cuando quieras, y esa revocación invalida también los tokens ya emitidos. Las credenciales de producción existen solo como variables de entorno de la plataforma; no hay cuentas compartidas.
• Mensajes verificados. Cada aviso que llega del webhook de WhatsApp se valida con la firma HMAC-SHA256 de Meta, comparada en tiempo constante, y se descarta si ese mensaje ya se procesó. Hay además un límite de mensajes por número.
• Cambios probados. Cada cambio del código corre una batería de pruebas automáticas contra una base de datos propia y desechable, nunca contra la de producción.
• Si encuentras una falla de seguridad, escríbele al bot de WhatsApp y la atendemos. Y puedes cortar todo acceso tú mismo cuando quieras con desconectar gmail, borrar todo o desde myaccount.google.com/permissions.

Guardamos tus datos mientras uses Alebri. No hay caducidad automática, porque el sentido de la app es justamente poder mirar meses anteriores. El control siempre es tuyo:

• desconectar gmail — revoca el permiso en Google y borra de inmediato, de nuestro lado, tanto el token como los identificadores de tus correos.
• borrar todo — elimina permanentemente tu número, todos tus gastos y todo registro asociado. Va en cascada: no queda nada tuyo suelto.
• exportar — te manda un CSV con todo lo que tenemos de ti, antes de que borres nada.
• En modo Local no hay nada que podamos borrar: limpiar los datos del navegador lo quita todo.

• Meta (WhatsApp Business API) — transporta los mensajes entre tú y el bot.
• Google (Gmail API) — solo si activas el modo automático.
• Google Drive (appdata) — solo si activas el respaldo; el archivo vive en tu propio Drive, no en nuestros servidores.
• Anthropic (Claude) — solo cuando la IA opcional está activada, para leer screenshots, responder preguntas de chat y, en el modo Gmail, entender los avisos del banco que nuestro lector automático no logra descifrar por sí solo.
• Railway (Postgres) — donde vive la base de datos del bot y del modo Gmail.

Si algo de esto no está claro, o quieres que borremos algo puntual, escríbele al bot de WhatsApp o contáctanos por los canales de la app.