Cuando la información entra en nuestro ecosistema

La información personal aparece en nuestros sistemas a través de distintos momentos de tu interacción con chariluna. Cada uno genera tipos específicos de datos.

Durante el registro y configuración inicial

Cuando creas una cuenta, necesitamos identificarte y establecer un canal de comunicación. Esto significa capturar tu nombre completo, dirección de correo electrónico y una contraseña que cifraremos antes de almacenar. Si eliges conectar servicios bancarios o plataformas de pago, recibiremos credenciales de acceso a través de protocolos seguros como OAuth 2.0, pero nunca almacenamos contraseñas de terceros.

Al usar las funciones de categorización

Aquí es donde ocurre el trabajo real. Analizamos descripciones de transacciones, importes, fechas, comercios y entidades emisoras. También registramos las categorías que asignas manualmente, tus preferencias de etiquetado y las reglas personalizadas que creas. Esta información operativa es la materia prima que permite que el sistema aprenda tus patrones de gasto.

Cuando nos contactas

Si envías consultas por correo o usas el sistema de soporte integrado, guardamos el contenido de esas comunicaciones junto con metadatos como la hora de envío y el historial de respuestas. Esto nos permite dar seguimiento coherente a problemas técnicos o dudas sobre funcionalidad.

Información técnica que emerge automáticamente

Cada vez que accedes a chariluna, tu dispositivo y navegador comparten datos técnicos: dirección IP, tipo de navegador, versión del sistema operativo, resolución de pantalla, zona horaria. Los servidores registran automáticamente cada petición HTTP: qué página solicitaste, cuándo lo hiciste, si hubo errores. Estos registros operativos son fundamentales para detectar problemas de rendimiento y amenazas de seguridad.

Cómo trabajamos internamente con esta información

El acceso interno está segmentado según roles y necesidad operativa real. No todos los empleados pueden ver todos los datos.

Todos los empleados con acceso a información personal han firmado acuerdos de confidencialidad y reciben formación anual sobre protección de datos y seguridad informática. Monitorizamos internamente los patrones de acceso para detectar comportamientos anómalos.

Procesamiento automatizado

Los algoritmos de categorización operan de forma automática sobre tus transacciones. Analizan texto descriptivo, comercio asociado e historial de clasificación previa para sugerir categorías. Puedes aceptar, modificar o rechazar estas sugerencias en cualquier momento, y esas decisiones mejoran la precisión futura del sistema para tu cuenta específica.

Cuando la información sale de nuestros sistemas

Hay momentos en los que información personal necesita moverse fuera de nuestros servidores. Esto ocurre bajo condiciones muy específicas.

Proveedores de infraestructura esencial

Utilizamos servicios de terceros para funciones técnicas que no desarrollamos internamente. Nuestro proveedor de hosting almacena físicamente los servidores donde reside la base de datos. El servicio de correo electrónico transaccional envía notificaciones de cuenta y alertas que configures. La plataforma de monitoreo de aplicaciones nos ayuda a detectar errores en tiempo real.

Cada uno de estos proveedores está contractualmente obligado a proteger la información que procesa en nuestro nombre. No pueden utilizarla para fines propios ni compartirla con otras entidades. Seleccionamos proveedores que operan dentro del Espacio Económico Europeo o que cumplen mecanismos de transferencia aprobados cuando están fuera de él.

Integraciones bancarias autorizadas

Si conectas cuentas bancarias mediante servicios de agregación financiera, establecemos canales cifrados con esos agregadores. Ellos actúan como intermediarios técnicos entre chariluna y tus instituciones financieras, facilitando la importación de transacciones bajo tu autorización explícita.

Situaciones de cumplimiento legal

Cuando recibimos citaciones válidas, órdenes judiciales o requerimientos de autoridades españolas o europeas competentes, debemos proporcionar la información solicitada. Evaluamos cada requerimiento para verificar su validez legal antes de responder. Si la ley lo permite, intentaremos notificarte previamente, pero hay casos donde las órdenes judiciales prohíben expresamente esa notificación.

Transferencias corporativas potenciales

Si chariluna fuera adquirida, se fusionara con otra entidad o vendiera activos sustanciales, la información de usuarios sería parte de los activos transferidos. En tal escenario, la entidad adquirente quedaría sujeta a los compromisos establecidos en esta declaración. Te notificaríamos mediante correo electrónico y aviso destacado en la plataforma antes de que la información estuviera sujeta a una política de privacidad diferente.

El control que mantienes sobre tu información

Tus datos te pertenecen. Has confiado temporalmente su custodia a chariluna para que podamos prestarte un servicio, pero mantienes derechos significativos.

Acceso y visualización

Puedes solicitar una copia completa de toda la información personal que mantenemos sobre ti. Te la proporcionaremos en formato estructurado legible por máquina (JSON) en un plazo máximo de 30 días. No cobramos por esta solicitud inicial en cada periodo de 12 meses. Solicitudes adicionales pueden tener un coste administrativo razonable.

Corrección de inexactitudes

Si detectas que alguna información en tu perfil es incorrecta o está desactualizada, puedes modificarla directamente desde la configuración de cuenta. Para cambios que requieran verificación adicional, contacta a soporte y procesaremos la actualización tras validar tu identidad.

Eliminación y derecho al olvido

Puedes solicitar la eliminación completa de tu cuenta y todos los datos asociados. Esto es irreversible. Procesamos estas solicitudes en un plazo de 7 días. Algunas informaciones pueden retenerse temporalmente en backups cifrados que se purgan automáticamente después de 90 días según políticas de retención técnica.

Existen excepciones legales donde debemos conservar cierta información: registros requeridos por normativas fiscales españolas durante periodos específicos, información vinculada a disputas legales activas, datos necesarios para investigaciones de seguridad en curso.

Limitación del procesamiento

Puedes solicitar que congelemos temporalmente el procesamiento de tu información mientras se resuelve una disputa sobre su exactitud o la legitimidad de su uso. Durante este periodo, mantendremos los datos pero no los procesaremos activamente excepto con tu consentimiento o para cumplir obligaciones legales.

Objeción a usos específicos

Si procesamos información basándonos en intereses legítimos, puedes objetar en cualquier momento. Evaluaremos tu objeción y cesaremos el procesamiento a menos que demostremos fundamentos legítimos imperiosos que prevalezcan sobre tus intereses, o que necesitemos los datos para establecer, ejercer o defender reclamaciones legales.

Portabilidad

Tienes derecho a recibir la información que nos proporcionaste en formato estructurado, y a transmitirla a otro servicio sin obstáculos de nuestra parte. Facilitamos la exportación de tus datos de transacciones y configuraciones en formatos estándar CSV y JSON.

Cuánto tiempo permanece la información en nuestros sistemas

No retenemos información indefinidamente. Aplicamos periodos de conservación diferenciados según el tipo de dato y su propósito operativo.

Los periodos comienzan desde la última actividad relevante. Una cuenta inactiva durante 24 meses consecutivos recibe avisos de cierre inminente. Si no hay respuesta en 60 días adicionales, procedemos al cierre y eliminación según los plazos indicados.

Los backups de seguridad contienen información histórica que persiste según ciclos técnicos: backups diarios se conservan 30 días, semanales 90 días, mensuales 1 año. Estos backups están cifrados y no son accesibles operativamente. Cuando se cumple el plazo de retención de datos específicos en sistemas activos, esos mismos datos se purgan automáticamente de backups en el siguiente ciclo de renovación.

Transferencias internacionales de información

chariluna opera principalmente con infraestructura ubicada dentro del Espacio Económico Europeo. Sin embargo, algunos servicios de terceros que utilizamos tienen presencia global.

Cuando información personal se transfiere fuera del EEE, aseguramos protecciones equivalentes mediante mecanismos reconocidos: cláusulas contractuales tipo aprobadas por la Comisión Europea, certificaciones de marcos de transferencia válidos, decisiones de adecuación de la Comisión Europea para países con niveles de protección equivalentes.

Específicamente, nuestro proveedor de hosting principal opera centros de datos en Ámsterdam y Fráncfort, ambos dentro del EEE. El servicio de correo electrónico transaccional opera desde servidores en Dublín con backups en Londres, este último sujeto a cláusulas contractuales tipo desde el Brexit. El sistema de monitoreo de aplicaciones tiene servidores en Estados Unidos bajo certificación adecuada.

Mantenemos un registro actualizado de todas las transferencias internacionales que puedes consultar contactando a nuestro delegado de protección de datos.

Privacidad de menores

chariluna no está diseñado para menores de 16 años. No recopilamos intencionalmente información personal de menores de esa edad. Si descubrimos que hemos recibido inadvertidamente datos de un menor, eliminaremos esa información tan pronto como sea razonablemente posible.

Si eres padre o tutor y crees que tu hijo nos ha proporcionado información personal sin tu consentimiento, contacta inmediatamente para que podamos tomar medidas apropiadas.

Modificaciones a esta declaración

Las prácticas de privacidad evolucionan con el tiempo. Cuando cambiamos funcionalidades, incorporamos nuevas tecnologías o respondemos a marcos legales emergentes, esta declaración requiere actualizaciones.

Los cambios menores de clarificación o correcciones técnicas se publican directamente con nueva fecha de vigencia. Para modificaciones sustanciales que afecten cómo procesamos información personal, proporcionaremos aviso destacado en la plataforma y por correo electrónico con al menos 30 días de anticipación antes de que los cambios entren en vigor.

Si una modificación requiere nueva base legal o amplía significativamente el alcance del procesamiento, solicitaremos tu consentimiento explícito antes de aplicar las nuevas prácticas a tu información existente.

Mantenemos un archivo histórico de versiones anteriores de esta declaración disponible bajo solicitud, permitiéndote revisar qué compromisos estaban vigentes en momentos específicos del pasado.