Política de privacidad

Última actualización: 23 de julio de 2026

Esta política explica qué datos personales tratamos en debIA y con qué finalidad, conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).

1. Responsable del tratamiento

Jon Gómez Olabarria. Contacto: hola@debia.app.

2. Datos que tratamos

• Datos de cuenta: nombre que eliges mostrar y dirección de correo electrónico.
• Contenido que tú generas: nombres de grupos, gastos, importes, fechas, repartos y liquidaciones que registras en tus grupos.
• Entradas de IA: fotos de tickets, capturas de pantalla de saldos de otras apps (al importarlos), mensajes de chat y grabaciones de voz que envías a las funciones de IA. Las imágenes y los audios se procesan en el momento y no se almacenan en nuestros servidores; lo que persiste es el resultado estructurado (productos, importes, saldos) y, en el caso del chat, el texto del mensaje en tu historial personal. Estas entradas pueden contener datos de otras personas —nombres e importes en una captura de saldos, nombres en un ticket o en un mensaje—; ver la sección 6. En el chat sustituimos los nombres de los miembros por alias temporales antes de enviar el texto al proveedor, de modo que no recibe la identidad real de tu grupo.
• Notificaciones push: si las activas, guardamos un identificador del dispositivo (token de Expo Push) asociado a tu cuenta, junto con la plataforma. Sirve exclusivamente para entregarte avisos de tus grupos y puedes desactivarlo por tipo desde Perfil.
• Foto de perfil: si subes una, se almacena en nuestro servicio de almacenamiento. Se sirve mediante una dirección pública: quien conozca esa dirección puede verla aunque no comparta ningún grupo contigo. No subas una imagen que no quieras que sea accesible de ese modo.
• Datos técnicos mínimos: identificador único de cuenta, registros de uso de IA para aplicar los límites del plan y métricas de uso propias (nombre del evento — p. ej. «gasto creado» —, identificador de cuenta, plataforma y versión de la app), almacenadas en nuestra propia base de datos, sin proveedores de analítica de terceros.
• Informes de errores: en las versiones de producción, la app envía automáticamente los errores técnicos a Sentry (mensaje y traza del error, modelo de dispositivo, sistema operativo y versión de la app) para poder corregirlos. No incluimos deliberadamente el contenido de tus gastos en estos informes.

3. Finalidades y base legal

• Prestación del servicio (gestión de cuenta, grupos, gastos y balances): ejecución del contrato (art. 6.1.b RGPD).
• Funciones de IA (escaneo de tickets, chat y voz): ejecución del contrato a petición tuya.
• Seguridad y limitación de abuso (rate limiting, cuotas, detección de errores): interés legítimo (art. 6.1.f).
• Comunicaciones del servicio (correos transaccionales: confirmación de correo, recuperación de contraseña): ejecución del contrato.
• Notificaciones push (avisos de gastos, altas de miembros, solicitudes de acceso y recordatorios de deuda): ejecución del contrato. Puedes desactivarlas por tipo desde Perfil.
• Inicio de sesión con Google o Apple, si eliges esa vía en lugar del correo: ejecución del contrato a petición tuya.

4. Encargados y subencargados del tratamiento

• Supabase (Supabase Inc.) — base de datos y autenticación. Infraestructura en AWS, región eu-west-1 (Irlanda, UE).
• OpenAI (OpenAI, L.L.C., EE. UU.) — modelos de IA invocados desde nuestras Edge Functions para procesar texto, imagen y audio. La transferencia internacional se ampara en las Cláusulas Contractuales Tipo de la Comisión Europea. Según el acuerdo con OpenAI para uso vía API, tus datos no se utilizan para entrenar sus modelos.
• Sentry (Functional Software, Inc.) — monitorización de errores de la aplicación. Los eventos se ingieren y almacenan en su región de la Unión Europea (Alemania).
• Google (Google Ireland Ltd. / Google LLC) — inicio de sesión con Google, si lo usas, y entrega de notificaciones en Android mediante Firebase Cloud Messaging. Además, esta web pública carga sus tipografías desde el servicio Google Fonts, lo que transmite tu dirección IP a Google al visitarla.
• Apple (Apple Inc.) — inicio de sesión con Apple, si lo usas, y entrega de notificaciones en iOS mediante APNs.
• Expo (650 Industries, Inc., EE. UU.) — servicio de entrega de notificaciones push. Recibe el identificador del dispositivo y el contenido del aviso.
• Resend (Resend, Inc., EE. UU.) — envío de los correos transaccionales de la cuenta (confirmación de la dirección y recuperación de contraseña), remitidos desde noreply@debia.app. Recibe tu dirección de correo y el contenido de esos mensajes.
• Vercel — alojamiento de esta web estática (debia.app).

Las transferencias a proveedores situados fuera del Espacio Económico Europeo —OpenAI, Expo, Resend y, en lo que corresponda, Google y Apple— se amparan en las Cláusulas Contractuales Tipo de la Comisión Europea.

5. Plazos de conservación

• Datos de cuenta y contenido: mientras tengas la cuenta activa.
• Tras eliminar tu cuenta: tu perfil se anonimiza y tus gastos, repartos y liquidaciones en grupos compartidos se conservan sin tu nombre ni tu correo, porque sin ellos los balances de las demás personas dejarían de cuadrar (ver /eliminar-cuenta). Se eliminan de inmediato tu historial de chat, tus borradores de IA, tu registro de uso de IA, tus solicitudes de acceso, tus métricas de uso y los grupos de los que eras la única persona propietaria.
• Actualmente, tras la baja pueden persistir el identificador de dispositivo para notificaciones, tu foto de perfil y algunos registros auxiliares (reclamaciones de participante y recordatorios de deuda). Ya no se utilizan para nada y estamos completando su borrado automático; mientras tanto, puedes pedir su eliminación inmediata escribiendo a hola@debia.app.
• Copias de seguridad: copia diaria con 7 días de retención.
• Registros de uso de IA, borradores de IA y métricas de uso: 12 meses (una tarea automática diaria elimina lo que supere ese plazo).

6. Datos de otras personas

debIA te permite añadir participantes que no usan la app y enviar capturas de otras aplicaciones donde aparecen nombres e importes de terceros. Al hacerlo eres tú quien aporta esos datos y quien debe asegurarse de que puede hacerlo. Nosotros los tratamos únicamente para prestar el servicio dentro de tu grupo, con las mismas garantías y plazos que el resto del contenido.

Cualquier persona que aparezca en un grupo sin tener cuenta puede escribirnos a hola@debia.app para ejercer sus derechos.

7. Destinatarios

No vendemos ni cedemos tus datos a terceros con fines comerciales. Solo los tratan los encargados de la sección 4 con instrucciones nuestras.

8. Tus derechos

Puedes ejercer en cualquier momento los derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y a no ser objeto de decisiones automatizadas con efectos jurídicos. Escribe a hola@debia.app; te responderemos en menos de un mes. También puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

Para el derecho de supresión (borrado de cuenta) la app dispone de un acceso directo: Perfil → Zona de peligro → Eliminar cuenta (ver /eliminar-cuenta).

9. Edad mínima

debIA solo está dirigido a personas mayores de 14 años. Si tienes menos de 14, no uses el servicio y pide a un adulto que contacte con nosotros para borrar cualquier dato que se hubiera registrado.

10. Decisiones automatizadas y transparencia sobre IA

debIA usa modelos de IA para sugerir borradores de gastos a partir de tus fotos, texto o voz. Estos resultados son siempre borradores que tú revisas y confirmas antes de que se registren como gastos reales. No tomamos decisiones automatizadas con efectos jurídicos sobre ti.

11. Seguridad

Aplicamos seguridad a nivel de fila (RLS) en la base de datos: solo puedes acceder a los grupos de los que eres miembro. Las contraseñas nunca se guardan tal cual: Supabase almacena únicamente un hash irreversible. Exigimos un mínimo de 8 caracteres y comprobamos contra bases de contraseñas filtradas para evitar las inseguras.

12. Cambios

Si modificamos esta política te avisaremos en la app o por correo. La versión actual y su fecha de actualización están siempre en esta URL.