Protección de datos
Política de privacidad
Gastómetro guarda información sobre en qué gastas tu dinero. Es información sensible por naturaleza, y esta política explica sin rodeos qué recogemos, para qué, con quién lo compartimos, cuánto tiempo lo conservamos y cómo puedes controlarlo.
01Responsable del tratamiento
- Responsable
- Johnson & Laimbeer S.L.
- CIF
- B86277399
- Domicilio
- Plaza Gabriel Miró 4, 28005 Madrid, España
- Contacto RGPD
- gdpr@johnsonlaimbeer.com
- Delegado de Protección de Datos
- [No designado / Designado: indicar datos de contacto]
Tratamos tus datos conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
02Qué datos tratamos
Todos los datos proceden de ti: los que introduces al registrarte, al usar la aplicación o al escanear un ticket. No compramos datos ni los obtenemos de fuentes de terceros.
Datos de cuenta y perfil
- Nombre de usuario y contraseña (almacenada como hash, nunca en claro).
- Nombre, correo electrónico, teléfono y fotografía de perfil, si decides completarlos.
- La etiqueta «persona conectada», si la usas para identificar con quién compartes gastos.
Datos económicos que registras
- Importe, fecha, categoría, comercio, descripción y marca de gasto compartido.
- Gastos recurrentes y sus fechas de inicio y fin.
- Imágenes o PDF de tickets que subes para su lectura automática.
Datos técnicos y de seguridad
- Registro de accesos: fecha y hora, dirección IP y navegador utilizado.
- Cookie de sesión firmada y preferencia de tema, descritas en la Política de cookies.
- Registros técnicos del servidor generados por el funcionamiento normal de la aplicación.
No recogemos tu geolocalización, no accedemos a tus cuentas bancarias y no utilizamos herramientas de analítica publicitaria ni redes sociales de terceros.
03Para qué y con qué base jurídica
| Finalidad | Datos | Base jurídica (art. 6 RGPD) |
|---|---|---|
| Crear y gestionar tu cuenta, autenticarte y prestarte el servicio | Cuenta, perfil, cookie de sesión | Ejecución del contrato — art. 6.1.b |
| Registrar, almacenar y mostrar tus gastos, categorías y recurrentes | Datos económicos | Ejecución del contrato — art. 6.1.b |
| Leer automáticamente los tickets que subes y sugerir categoría | Imágenes de tickets | Ejecución del contrato — art. 6.1.b (función solicitada por ti) |
| Generar resúmenes de texto sobre tu gasto mensual | Cifras agregadas ya calculadas | Ejecución del contrato — art. 6.1.b |
| Seguridad: registro de accesos, prevención de accesos no autorizados y abuso | IP, navegador, fecha de acceso | Interés legítimo — art. 6.1.f |
| Atender tus consultas y el ejercicio de tus derechos | Contacto y contenido de la solicitud | Obligación legal — art. 6.1.c / interés legítimo — art. 6.1.f |
| Enviarte comunicaciones sobre novedades del producto | Correo electrónico | Consentimiento — art. 6.1.a (revocable en cualquier momento) |
| Cumplir obligaciones contables y fiscales si contratas un plan de pago | Datos de facturación | Obligación legal — art. 6.1.c |
El interés legítimo invocado para la seguridad ha sido ponderado: sin registro de accesos no podríamos detectar un uso indebido de tu cuenta, y los datos tratados son los mínimos y se conservan de forma limitada.
04Datos sensibles en los tickets
Un ticket puede revelar información que el RGPD considera de categoría especial (art. 9): por ejemplo, la compra de un medicamento concreto puede revelar datos de salud.
Por eso:
- Te recomendamos no subir tickets de este tipo. Puedes registrar el gasto manualmente, indicando solo el importe y una categoría genérica.
- Si decides subirlos, entendemos que lo haces por tu propia iniciativa y con tu consentimiento explícito (art. 9.2.a), únicamente para que la aplicación lea el importe y la fecha.
- Puedes retirar ese consentimiento en cualquier momento eliminando el gasto y la imagen asociada, o escribiéndonos a gdpr@johnsonlaimbeer.com.
No utilizamos esa información para ninguna finalidad distinta de la extracción de los datos del gasto, ni la analizamos para inferir características personales.
05Tratamiento por inteligencia artificial
Cuando escaneas un ticket, la imagen se envía a un proveedor de modelos de inteligencia artificial que la analiza y devuelve fecha, importe, comercio y una categoría sugerida. Es la única forma de prestar esa funcionalidad y solo ocurre cuando tú subes un archivo.
Cuando pides un resumen mensual, se envía al servicio de redacción un texto con cifras ya agregadas (totales, medias, categorías principales), no el detalle de cada gasto.
Los proveedores actúan como encargados del tratamiento, con contrato conforme al art. 28 del RGPD, y no utilizan tus datos para entrenar modelos propios.
Los importes, medias, prorrateos y comparativas no los calcula la IA: se computan de forma determinista dentro de la aplicación. La IA solo lee la imagen o redacta el texto.
06Destinatarios y encargados
No vendemos ni cedemos tus datos a terceros con fines comerciales. Solo acceden a ellos los proveedores estrictamente necesarios para prestar el servicio:
| Proveedor | Servicio | Ubicación |
|---|---|---|
| Amazon Web Services | Alojamiento de la aplicación y copias de seguridad cifradas | Unión Europea [confirmar región] |
| Anthropic PBC | Lectura automática de tickets (modelo de visión) | Estados Unidos |
| Proveedor de correo electrónico | Envío de comunicaciones y avisos de servicio | [completar] |
| Proveedor de pagos | Gestión de suscripciones, si se activan planes de pago | [completar] |
Además, podremos comunicar datos a juzgados, fuerzas y cuerpos de seguridad o administraciones públicas cuando exista una obligación legal.
La lista actualizada de encargados está disponible solicitándola a gdpr@johnsonlaimbeer.com.
07Transferencias internacionales
El procesamiento de las imágenes de tickets implica una transferencia de datos a Estados Unidos. Esa transferencia se ampara en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión 2021/914) y, en su caso, en la Decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU., junto con las medidas complementarias que resulten aplicables.
Puedes solicitar copia de las garantías aplicadas escribiendo a gdpr@johnsonlaimbeer.com. Si no deseas que tus imágenes salgan del Espacio Económico Europeo, registra tus gastos manualmente y no utilices el escaneo de tickets.
08Plazos de conservación
| Dato | Conservación |
|---|---|
| Cuenta, perfil y datos de gasto | Mientras la cuenta esté activa. Tras la baja, se eliminan en un plazo máximo de 30 días. |
| Imágenes de tickets enviadas a la IA | Se procesan en el momento; el proveedor no las conserva más allá de lo necesario para responder a la petición. |
| Registro de accesos (IP, navegador) | Se conservan los últimos accesos con fines de seguridad, con un máximo de 12 meses. |
| Copias de seguridad | Retención aproximada de 30 días; los datos eliminados desaparecen de las copias al vencer ese ciclo. |
| Datos de facturación | 6 años (Código de Comercio) y los plazos fiscales aplicables. |
| Consultas y ejercicio de derechos | Hasta 3 años, como prueba de la atención prestada. |
Vencidos esos plazos, los datos se eliminan o se anonimizan de forma irreversible.
09Tus derechos
Puedes ejercer en cualquier momento los siguientes derechos:
- Acceso: saber qué datos tuyos tratamos y obtener una copia.
- Rectificación: corregir datos inexactos o incompletos.
- Supresión: eliminar tus datos cuando ya no sean necesarios o retires tu consentimiento.
- Oposición: oponerte a los tratamientos basados en interés legítimo.
- Limitación: pedir que suspendamos el tratamiento mientras se resuelve una reclamación.
- Portabilidad: recibir tus datos en un formato estructurado y de uso común, o pedir que se transmitan a otro responsable.
- Retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento previo.
Cómo ejercerlos
Escribe a gdpr@johnsonlaimbeer.com o por correo postal a Johnson & Laimbeer S.L., Plaza Gabriel Miró 4, 28005 Madrid, indicando el derecho que ejerces y adjuntando un documento que acredite tu identidad. Responderemos en el plazo máximo de un mes, ampliable a dos en casos complejos. El ejercicio es gratuito.
Reclamación ante la autoridad de control
Si consideras que no hemos atendido correctamente tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid — www.aepd.es). Agradecemos que nos escribas antes: intentaremos resolverlo directamente.
10Medidas de seguridad
Aplicamos medidas técnicas y organizativas apropiadas al riesgo, entre ellas:
- Cifrado del tráfico mediante HTTPS/TLS en todas las comunicaciones.
- Contraseñas almacenadas con función de derivación de clave (scrypt); nunca en texto plano.
- Sesiones mediante cookie firmada criptográficamente (HMAC-SHA256), con caducidad y verificación en cada petición.
- Acceso restringido a los servidores y control de credenciales de los servicios de terceros.
- Copias de seguridad periódicas y cifradas del contenido de la base de datos.
- Registro de accesos que te permite detectar entradas no reconocidas desde tu propia cuenta.
Si se produjera una brecha de seguridad con riesgo para tus derechos, te lo notificaremos y lo comunicaremos a la AEPD en el plazo de 72 horas previsto en el art. 33 del RGPD.
11Menores de edad
El servicio está dirigido exclusivamente a mayores de 18 años. No tratamos conscientemente datos de menores. Si detectamos una cuenta de un menor, la suspenderemos y eliminaremos sus datos. Si eres madre, padre o tutor y crees que un menor a tu cargo nos ha facilitado datos, escríbenos a gdpr@johnsonlaimbeer.com.
12Decisiones automatizadas y perfilado
No adoptamos decisiones automatizadas que produzcan efectos jurídicos sobre ti o te afecten significativamente de modo similar (art. 22 RGPD).
La categoría que sugiere la IA al leer un ticket es una propuesta editable que tú confirmas o cambias antes de guardar. No elaboramos perfiles de comportamiento ni utilizamos tus datos de gasto para segmentarte, puntuarte ni cederlos a anunciantes.
13Cambios en esta política
Podemos actualizar esta política para reflejar cambios legales, técnicos o del servicio. La versión vigente es siempre la publicada aquí, con su fecha de actualización. Si el cambio es sustancial —por ejemplo, una nueva finalidad o un nuevo encargado relevante— te avisaremos por correo electrónico o mediante un aviso en la aplicación antes de que entre en vigor.