Política de privacidad

Última actualización: 4 de octubre de 2026

Qué recopilamos

• Información de la cuenta: Dirección de correo electrónico y nombre para mostrar (para crear tu cuenta y personalizar tu experiencia).
• Entradas de diario: El texto que escribes, incluyendo cualquier metadato (fechas, etiquetas, tipo de entrada). Almacenado en nuestra base de datos PostgreSQL en un servidor que controlamos.
• Relaciones: Nombres que mencionas en las entradas usando @menciones. Son solo nombres: no recopilamos información de contacto sobre otras personas.
• Emociones y temas: Extraídos de tus entradas por nuestra IA. Incluye emociones (primarias y secundarias), intensidad (1–10), dirección emocional (positiva/negativa), temas de vida (por ejemplo, relaciones, carrera, salud), desencadenantes y un breve resumen. Almacenados como datos estructurados junto a cada entrada.
• Conversaciones de Explorar: Tus chats con la función Explorar con IA, incluyendo las preguntas que haces y las respuestas de la IA.
• Memoria del usuario: Mientras conversas con Explore, Pensio puede anotar algunas cosas que le cuentas — un nombre, una preferencia, un patrón, un hilo que dejaste abierto — para que las conversaciones siguientes tengan contexto sobre ti. Se guardan en tu cuenta. Puedes ver, corregir, apartar o eliminar permanentemente cualquiera de ellas en la página Memoria.
• Insights: Informes semanales y mensuales generados por IA sobre tus patrones emocionales, temas recurrentes y cambios a lo largo del tiempo. Son resúmenes derivados de tus entradas, almacenados en tu cuenta.
• Fotografías de páginas manuscritas: Si fotografías páginas de un diario de papel, guardamos las fotografías y enviamos cada una a un servicio de IA que lee la caligrafía y la convierte en texto; cualquier otra cosa visible en el encuadre va con ella. La fotografía queda adjunta a la entrada en que se convierte; nada se guarda en tu diario hasta que revisas la lectura y la agregas tú.
• Registros de inicio de sesión: Cada vez que inicias o cierras sesión — incluido un intento de inicio de sesión que falla — y cada vez que cambias tu contraseña, activas o desactivas la verificación en dos pasos, descargas tu diario, conectas o detienes una aplicación, cambias tu correo o pides eliminar tu cuenta, escribimos una línea en el registro de seguridad de tu cuenta: qué pasó, cuándo, la dirección IP desde la que llegó la solicitud, y cómo se identificó el navegador o la aplicación. El registro es tuyo antes que nuestro: puedes leerlo completo en Configuración → Seguridad, que es adonde irías para saber si un inicio de sesión fuiste tú.
• Dispositivos en los que tienes sesión abierta: Para cada dispositivo que mantiene una sesión en este momento guardamos la dirección IP desde la que se usó por última vez, cómo se identificó el navegador o la aplicación, y cuándo estuvo activo por última vez, para que la lista en Configuración pueda mostrarte qué tiene sesión abierta y dejarte cerrarla.
• Solicitudes a nuestra API: Además del sitio web, Pensio tiene una interfaz con la que hablan las aplicaciones: el plugin de Obsidian, las apps de celular, y cualquier asistente que hayas conectado. Cada solicitud que pasa por ahí escribe una línea en un registro: qué dirección dentro de Pensio se pidió — que puede nombrar la entrada que se está trayendo —, qué tipo de solicitud era, si funcionó, cuánto tardó, el identificador que la aplicación dio para el dispositivo en el que corre, y qué tipo de conexión hizo la solicitud — el plugin de Obsidian, un asistente o un token de API que creaste. No hay ninguna dirección IP en él ni nada de lo que escribiste. Lo guardamos 90 días, para poder ver el servicio funcionando y detectar el uso abusivo de una aplicación.
• Cómo nos encontraste: Cuando creas una cuenta anotamos nueve datos cortos sobre cómo llegaste, y no te preguntamos nada para obtenerlos. Primero, un código de país de dos letras — "PT", "BR", "MX" — que deduce Cloudflare, la red que está delante de Pensio, a partir de la conexión por la que llegó tu registro: nos llega ya reducido a esas dos letras, y no se guarda ninguna dirección como parte de este registro. Léelo de forma estricta, porque es una frase sobre este registro y no sobre Pensio en conjunto: crear una cuenta también inicia tu sesión, y al iniciar sesión escribimos la dirección desde la que llegó la solicitud en el registro de seguridad de tu cuenta y en la lista de dispositivos en los que tienes sesión abierta — ambos descritos más arriba, y ambos guardados mientras exista tu cuenta. Segundo, cómo llegaste a nuestra página de registro o de inicio de sesión: desde una búsqueda, desde un asistente de IA, desde una publicación en redes, desde un enlace en otro sitio, desde un enlace de campaña etiquetado, o entrando directo. Si te registras en nuestra app para iPhone, iPad y Mac o en nuestra app de Android, es en cambio lo que la App Store o Google Play le dijo a la app sobre cómo se instaló: por uno de nuestros anuncios o enlaces etiquetados, o no. Tercero, si llegaste a esa página desde otra página de Pensio, cuál de las nuestras era. Cuarto, quinto, sexto y séptimo, si llegaste a nosotros por un enlace que nosotros mismos etiquetamos, las cuatro palabras cortas que escribimos dentro de ese enlace: en qué plataforma estaba, como "reddit" o "google"; cómo se pagó, como "cpc"; a qué campaña publicitaria pertenecía, como "learn_2026_09_reddit"; y qué versión del anuncio era, como "a_tool", porque a menudo publicamos dos redacciones a la vez para ver cuál le resulta útil a la gente. Juntas dicen en qué anuncio hiciste clic. Si nuestra app para iPhone, iPad y Mac se instaló por uno de nuestros anuncios en la App Store, esas mismas cuatro guardan "apple_ads", si tocaste el anuncio o solo lo viste, y los números que Apple da a nuestra propia campaña y al grupo de anuncios en el que estaba; si nuestra app de Android se instaló desde Google Play por un enlace que etiquetamos, guardan las etiquetas de ese enlace. Son palabras sobre nosotros y no sobre ti, no significan nada para nadie fuera de Pensio, y solo se escriben cuando el enlace en el que hiciste clic, o la tienda, realmente las llevaba. Octavo, si te registraste en nuestro sitio web, en nuestra app para iPhone, iPad y Mac o en nuestra app de Android. Noveno, si fue en un celular, una tablet o una computadora. Deliberadamente no guardamos un quinto tipo de etiqueta que los enlaces publicitarios a veces llevan, la pensada para guardar las palabras que alguien escribió en un cuadro de búsqueda, porque esa es sobre ti y no sobre nosotros; por la misma razón no guardamos la palabra clave para la que se mostró un anuncio en la App Store. Tampoco guardamos el identificador de clic que una red de publicidad añade a sus propios enlaces, porque ese sí puede cruzarse con un perfil que la red tiene sobre ti, y el código de corta duración que Apple le da a nuestra app para iPhone, iPad y Mac para preguntar por su instalación va solo a Apple, nunca a nosotros. Eso es todo. No es tu dirección, ni tu ciudad, ni tus coordenadas, y nunca es la dirección de una página en el sitio de otra persona. También es, a propósito, mucho más grueso que el punto exacto que una cámara escribe dentro de una fotografía, que es justo lo que quitamos de cada foto mientras conservamos esto: un país puede decirnos que quizá valga la pena traducir a un idioma, mientras que una coordenada dice dónde estabas parado. Escribimos estos ocho datos una sola vez, el día en que te registras, y nunca los cambiamos: describen cómo llegaste, no dónde estás ahora. Existen para dos decisiones. Una es a qué idioma traducir Pensio a continuación: Pensio está en inglés, portugués de Brasil y español, y leemos estos datos solo como totales en una pantalla interna, para ver de dónde viene la demanda del siguiente. La otra es si un anuncio que pagamos trajo a alguien, que es la razón por la que el cuarto dato se añadió en septiembre de 2026, cuando empezamos a hacer pruebas pagadas pequeñas, los tres siguientes una semana después, y la respuesta de las tiendas de apps y el octavo dato ese mismo mes: sin el nombre del enlace, cada campaña nos parece igual a todas las demás, sin el resto de la etiqueta no podríamos saber qué redacción de un anuncio leyó alguien de verdad, y sin la respuesta de las tiendas de apps cada registro en nuestras apps parecía haber llegado directo a nosotros. Ninguna parte de Pensio consulta los tuyos por separado, nada de esto se usa para segmentarte ni para decidir nada sobre ti, y nada de esto te sigue a otro sitio. Los nueve están en la exportación de tus datos, y se eliminan junto con tu cuenta.

Qué no recopilamos

• No vendemos tus datos. Nunca.
• No mostramos anuncios.
• No compartimos el contenido de tu diario con terceros (excepto los proveedores de IA que se enumeran a continuación, y ellos no lo conservan).
• No te rastreamos por la web.
• No creamos perfiles publicitarios ni vendemos datos de comportamiento.

Podemos divulgar tus datos si la ley lo exige (por ejemplo, una orden judicial válida), pero solo lo haremos cuando estemos legalmente obligados y te notificaremos si está permitido.

Cómo usamos la IA

Pensio usa modelos de lenguaje grandes (LLM) para dos funciones:

1. Extracción de emociones: El texto de tu entrada se envía a un LLM para identificar emociones. Las emociones extraídas se almacenan; el LLM no conserva tu texto.
2. Chat de Explorar: Cuando haces una pregunta en Explorar, solo se envían al LLM como contexto las entradas de diario relevantes para tu pregunta, no todo tu diario. Enviamos lo mínimo necesario para generar una respuesta útil.
3. Memoria del usuario: Pensio guarda datos de tus conversaciones en Explore (como nombres y preferencias) para que las sesiones futuras tengan contexto. Se almacena en tu cuenta, en nuestro servidor, no en los servidores del proveedor de IA. Tú lo controlas por completo: ve, corrige, aparta o elimina cualquier memoria en la página Memoria.

Cómo se compara esto con usar chatbots de IA directamente: Cuando usas ChatGPT, Claude o Gemini a través de sus propias apps, tus conversaciones pueden usarse para mejorar sus modelos a menos que optes por no participar. Con Pensio, el contenido de tu diario nunca se usa para entrenamiento de IA, perfilado ni marketing, ni por nosotros ni por los proveedores de IA. Tu texto se procesa en memoria y se descarta de inmediato. Los únicos datos que persisten son los que Pensio almacena en tu cuenta, que son tuyos y puedes eliminar en cualquier momento.

Conexión de asistentes de IA externos (MCP)

Si tienes Pensio Pro, puedes conectar opcionalmente un asistente de IA externo — como Claude, ChatGPT, Claude Desktop o Cursor — a Pensio a través del Model Context Protocol (MCP). Esto está desactivado por defecto y solo ocurre si creas una conexión en Configuración → Apps conectadas.

• Solo lectura: Un asistente conectado puede leer y buscar en tu diario. No puede crear, editar ni eliminar entradas — esto se aplica en nuestros servidores, no solo por parte del asistente.
• A dónde van tus palabras: Cuando le preguntas a un asistente conectado sobre tu diario, las entradas relevantes se envían al propio modelo de IA de esa herramienta para formar la respuesta. Ese modelo opera bajo los términos y la política de privacidad del proveedor del asistente — no bajo la configuración de retención cero de OpenRouter de Pensio. No podemos controlar cómo una herramienta de IA de terceros que tú elijas maneja ese contenido, así que revisa los términos de privacidad de tu asistente antes de conectar.
• Una opción totalmente privada: Si alojas Pensio por tu cuenta y conectas un modelo de IA local (como Ollama), tus entradas nunca salen de tu propia máquina — cero salida a terceros.
• Tú mantienes el control: Cada conexión es un token revocable y específico de un dispositivo. Revócalo en cualquier momento desde Configuración → Apps conectadas y el asistente pierde el acceso de inmediato.

Preguntas Abiertas, y qué es lo que lee

Explore responde cuando le preguntas algo. Las Preguntas Abiertas funcionan al revés: miran tus entradas en busca de algo que valga la pena señalar, sin que se lo pidas. Eso ocurre cuando abres su página — el análisis se ejecuta mientras la página carga — y una vez al día en nuestro propio servidor, para poder dejarte un aviso en la app cuando la página tenga algo que no has visto. Está en pruebas con un número pequeño de cuentas, y esta sección describe exactamente qué implica.

• La comprobación diaria no lee más que la página. Hace la misma aritmética, sobre los mismos datos derivados, y no llama a ningún modelo de IA. No escribe nada sobre lo que encontró: el aviso en la app dice solo que hay algo en la página, nunca qué es, y nada de ello se te envía por correo.
• Lee datos derivados, y los nombres que les diste a las cosas. Usa lo que la aplicación ya extrajo de tus entradas — la emoción, los temas, las fechas y a quién mencionaste — además del título que le pusiste a una entrada, para que una tarjeta pueda decir de cuál se trata. El cuerpo de lo que escribiste no se lee.
• No se llama a ningún modelo de IA. El análisis es aritmética simple en nuestro propio servidor. Nada de tu diario se envía a ningún lado por eso.
• Lo que guardamos es deliberadamente poco. Cada vez que la página decide algo, y cada vez que presionas uno de sus botones, guardamos un registro corto de eso: cuál de nuestras propias plantillas de frase se usó, un par de conteos, y si lo silenciaste, marcaste un tema como resuelto o seguiste un enlace. Cuando un registro es sobre una persona o una entrada, guarda un sustituto revuelto de una sola vía — no se puede revertir al nombre ni a la entrada, y la misma entrada se revuelve distinto en cada cuenta. Lo que queda legible son números y nuestras propias etiquetas. Ese registro también es lo que evita que la página te ofrezca lo mismo dos veces.
• Esto somos nosotros construyendo la función. Miramos esos registros para averiguar si Pensio nota algo que valga la pena decir. Eso es investigación interna, y preferimos decirlo aquí en vez de describirlo de otra manera.
• Desactivado significa que no mira. Puedes desactivarlo en Ajustes → Lo que lee. Cuando está desactivado, tus entradas no se analizan en absoluto — nada de tu diario se examina ni se registra, en vez de examinarse y callarse. La comprobación diaria forma parte de eso: una cuenta con esto desactivado se omite antes de leer nada.

Qué no hace la IA

• Los proveedores de IA no te recuerdan: no hay un perfil persistente tuyo en los servidores de ningún proveedor de IA. La función de Memoria del usuario de Pensio almacena datos que compartes en las conversaciones, pero estos datos viven en tu cuenta bajo tu control, no en la infraestructura del proveedor de IA. Puedes eliminarlos cuando quieras.
• Tus datos nunca se mezclan con los de otros usuarios cuando la IA los procesa. Cada solicitud contiene solo tu contenido, aislado del de todos los demás usuarios.
• Nunca enviamos las palabras que escribiste a una herramienta de análisis, y nadie aquí lee tus entradas para hacer investigación.
• Los proveedores de IA no crean perfiles de comportamiento basados en tus entradas.
• Los modelos de IA no se personalizan ni se adaptan según tus datos. La solicitud de cada usuario se procesa con el mismo modelo de propósito general.

Proveedores de IA y tratamiento de datos

Todas las solicitudes de IA se enrutan a través de OpenRouter, una puerta de enlace de API. OpenRouter reenvía tu solicitud al modelo de IA y devuelve la respuesta. Hemos configurado OpenRouter con el indicador de retención cero de datos a través de su API: tu texto se procesa en memoria y no lo almacena, registra ni usa para entrenamiento OpenRouter ni los proveedores de modelos posteriores. Esto significa que tus datos existen solo durante la solicitud y los proveedores de IA no los escriben en disco. Las solicitudes no se registran, no se almacenan en caché ni se guardan en ninguna capa.

Los modelos de IA que usamos actualmente:

• Claude de Anthropic: modelo principal para el chat de Explorar y la extracción de emociones.
• Gemini de Google: usado como modelo alternativo para algunas funciones.

Tanto Anthropic como Google, cuando se acceden a través de la API de retención cero de OpenRouter, no almacenan ni entrenan con los datos enviados en estas solicitudes. Si cambiamos de proveedor de IA en el futuro, actualizaremos esta página y mantendremos la misma configuración de retención cero.

Grabaciones de voz

Si hablas una entrada en lugar de escribirla, la grabación se envía al mismo servicio de transcripción sin retención de datos para pasarla a texto, y allí se descarta en cuanto las palabras regresan. Las palabras escritas se guardan en tu diario como cualquier otra entrada.

Una grabación capta a quien sea audible, no solo a ti. Si hay otra persona en la habitación, su voz queda en la grabación y se envía a transcripción junto con la tuya, así que ten en cuenta a quienes te rodean antes de grabar.

Nunca se deduce nada a partir del sonido de tu voz. La grabación se convierte primero en texto, y a partir de ahí solo se lee el texto, igual que se lee una entrada que escribiste. Tu tono, tu ritmo y cómo sonabas no se miden, no se guardan como señal y no se usan para decidir nada.

Tú eliges: eliminarla en cuanto quede escrita, conservarla un tiempo o conservarla indefinidamente. Lo que dijiste se queda en tu diario en cualquier caso, en cualquier plan y mientras exista tu cuenta: la elección es solo sobre el audio.

Tu elección aplica a las grabaciones que hagas de ahora en adelante. Las grabaciones que ya hiciste conservan las condiciones bajo las que se hicieron. Puedes cambiar esto, o eliminar todas las grabaciones que todavía tengas, en Configuración, en Datos.

Se elimina la ubicación de todas las fotos.

Análisis

Usamos dos herramientas de análisis, separadas por finalidad:

• Google Analytics 4: solo en nuestras páginas públicas de marketing (landing page, blog). Rastrea las visitas a las páginas y las fuentes de tráfico. Las direcciones IP se anonimizan. No se usa en ninguna página autenticada. Se carga solo después de dar el consentimiento de cookies. Una excepción que preferimos nombrar antes que dejar implícita: cuando creas una cuenta desde una de esas páginas, nuestro servidor le informa a Google que hubo un registro, para que podamos saber qué páginas traen personas a Pensio. No lleva nombre, correo electrónico ni número de cuenta: solo el identificador anónimo que la cookie de análisis ya colocó en tu navegador y si te registraste con contraseña o con Google o Apple. Como necesita ese identificador, si rechazaste esa cookie, no se envía nada.
• PostHog: en la app (páginas autenticadas), con la única excepción descrita en el punto siguiente. Registra qué páginas abres y qué funciones usas, asociadas al ID de tu cuenta (un UUID, no tu nombre ni tu correo). También registramos cuándo se abre un correo que te enviamos o cuándo se hace clic en un enlace suyo, y a cuál de nuestras propias páginas llevó ese enlace: por su nombre interno, nunca por la dirección misma, de modo que los enlaces de acceso de un solo uso que llevan algunos de nuestros correos no forman parte de esto. Junto a esos eventos guarda un perfil breve de la cuenta, actualizado cada vez que inicias sesión: tu plan, cuántas entradas has escrito, si conectaste el plugin de Obsidian, si tienes una suscripción de pago, y si la cuenta está en nuestro sitio en funcionamiento o en uno de nuestros entornos de prueba. Las direcciones de las páginas se recortan antes de enviarse: la query string y todo lo que va después de un "#" se descartan, y cualquier identificador que esté en la propia dirección — el ID de una entrada, o el enlace de un solo uso de un correo que te enviamos — se reemplaza por un marcador. No se deduce ninguna ubicación de tu dirección IP, y no se guarda ninguna sobre ti; los servidores de PostHog sí ven la conexión que hace tu navegador, como la verían con cualquier script de analítica en cualquier lado. Tu navegador también informa su zona horaria, su idioma, el tamaño de la ventana, el navegador y el sistema operativo, como lo hace por defecto. Nada de lo que escribiste se envía. La autocaptura y la grabación de sesiones están desactivadas: solo rastreamos eventos específicos que hemos definido. Alojado en la UE.
• PostHog, solo en nuestra página de precios: cuando alguien que no tiene la sesión iniciada abre nuestra página de precios, nuestro servidor anota que hubo una visita y de dónde vino: el tipo de origen (un buscador, una red social, un asistente de IA, una de nuestras propias páginas), el dominio del sitio si llegaste desde otro sitio, cuál de nuestras páginas te envió si llegaste desde una de ellas, y cualquier etiqueta de campaña en el enlace en el que hiciste clic. Para esto no se ejecuta ningún script en tu navegador, no se guarda nada en tu dispositivo, no se crea ni se lee ninguna cookie, y tu dirección IP no se envía. Nada en esa nota te identifica, y nada la conecta con una cuenta que crees después: eso también significa que no podemos volver a encontrarla para borrarla más adelante, porque no hay nada en ella que buscar. Así contamos visitas, no visitantes: si abres la página dos veces, son dos notas sin relación entre sí.

Eliminar tu cuenta quita todo lo anterior de nuestra propia base de datos, y también le pedimos a PostHog que borre lo que él guarda: el perfil, las propiedades registradas en él y cada evento de uso almacenado con el ID de tu cuenta. Esa solicitud se envía en el momento en que tu cuenta se destruye — no cuando la pides, así que si cambias de opinión dentro de las 72 horas no se ha borrado nada en ningún lado. PostHog elimina el perfil enseguida y barre los registros de eventos en un lote posterior, así que durante un rato después esos eventos quedan en cola para su borrado en vez de haber desaparecido ya.

También registramos cómo llegan las personas a las páginas de registro y de inicio de sesión, para saber si nos encuentran por búsqueda, por un enlace o por recomendación. Cuando abres cualquiera de las dos, anotamos el sitio del que veniste (solo el dominio, como "google.com", nunca la dirección completa y nunca lo que buscaste) y las etiquetas de campaña del enlace. Si llegas por un enlace que nosotros mismos etiquetamos, normalmente un anuncio, tomamos esa nota en la página a la que te llevó el enlace, porque para cuando llegas a la página de registro las etiquetas ya no están y solo veríamos que veniste de Pensio. Si veniste de otra página de Pensio, anotamos cuál. Nuestras apps para iPhone, iPad, Mac y Android no tienen un sitio del que venir, así que la primera vez que abres una, le pregunta a la tienda desde la que se instaló, la App Store o Google Play, si uno de nuestros anuncios o enlaces etiquetados trajo la instalación, guarda esa respuesta corta en tu teléfono y nos la entrega en una cookie (mira Cookies, más abajo). Si no creas una cuenta, esa nota se queda en nuestro propio servidor durante tu visita y después se descarta, y la respuesta de la app, aunque viaja con las solicitudes que la app nos envía, solo se lee cuando se crea una cuenta, así que sin una cuenta nunca se guarda. Si la creas, se copia a tu cuenta — junto con el país descrito en "Qué recopilamos", más arriba — y se guarda mientras exista la cuenta: forma parte de los datos de la cuenta en tu exportación, y se elimina cuando eliminas tu cuenta. También se adjunta al evento de registro que enviamos a PostHog, la herramienta de análisis descrita más arriba: el canal, el sitio del que veniste, las etiquetas de campaña, cuál de nuestras propias páginas fue si fue una de ellas, y en nuestras apps qué tienda. No hay nada de lo que escribiste en él, y queda asociado al ID de tu cuenta como todos los demás eventos de ahí — lo que lo convierte en uno de los eventos que se quedan con PostHog después de que tu cuenta desaparece. No usamos identificadores de publicidad, no te seguimos por otros sitios y nunca construimos un perfil sobre ti.

Reportes de fallos y errores

Para mantener Pensio estable, recopilamos diagnósticos técnicos cuando algo sale mal — nunca el contenido de tu diario:

• Sentry — reportes de errores del lado del servidor para la aplicación web. No se adjunta ningún dato personal (el envío de PII está desactivado). Se procesan en la UE.
• Firebase Crashlytics — diagnósticos de fallos de la aplicación de Android (traza de pila, modelo del dispositivo, versión del sistema operativo y de la aplicación). No se envía contenido del diario ni email o nombre, y la recopilación del ID de publicidad está desactivada. La aplicación de iOS actualmente no incluye reportes de fallos.

Cookies

La app de Pensio usa solo cookies esenciales:

• Cookie de sesión — te mantiene conectado. Termina cuando cierras el navegador o después de 4 horas, o después de 14 días si marcaste Recordarme.
• Token CSRF: previene la falsificación de solicitudes entre sitios (una medida de seguridad).
• Cookie de sesión en una página de campaña — si llegas a una de nuestras páginas por un enlace que nosotros mismos etiquetamos, normalmente un anuncio, establecemos esa misma cookie de sesión ahí, para poder seguir recordando cómo llegaste si después te registras. Guarda una clave aleatoria y nada más: la nota en sí se queda en nuestro servidor, y se descarta junto con la sesión si no creas una cuenta. Abrir nuestra página de registro o de inicio de sesión establece la misma cookie, por la misma razón. Ninguna otra página nuestra la establece, así que leer Pensio sin una cuenta no establece ninguna.
• Cookie de instalación de la app, solo en nuestras apps para iPhone, iPad, Mac y Android — la primera vez que abres una de nuestras apps, le pregunta a la App Store o a Google Play cómo se instaló, y desde entonces establece una cookie dentro de la app que guarda la respuesta, para que podamos leerla si te registras. Guarda el nombre de la tienda y, solo si uno de nuestros anuncios o enlaces etiquetados trajo la instalación, las etiquetas de campaña descritas en "Qué recopilamos". Nunca guarda el código que Apple le da a la app para preguntar, la palabra clave para la que se mostró un anuncio, ni el identificador de clic que una red de publicidad añade a sus propios enlaces. Solo la leemos en la solicitud que crea tu cuenta, y el sitio web nunca la establece.

Las páginas de marketing pueden establecer una cookie de Google Analytics si aceptas las cookies de análisis a través del banner de consentimiento. No se usan cookies de rastreo dentro de la app. Las cookies esenciales no requieren consentimiento según las normas ePrivacy de la UE. Queremos nombrar dos excepciones en vez de archivarlas en silencio bajo esa frase: la cookie de campaña y la cookie de instalación de la app, de arriba, se establecen para nuestro beneficio, no para el tuyo. Las dos son propias, ninguna lleva un identificador que te siga a ninguna parte, y existen solo para que un registro pueda relacionarse con el enlace o la tienda que lo trajo, pero son medición, así que preferimos decirte que están ahí a dejar que se escondan detrás de la palabra esencial.

Seguridad

• Cifrado en tránsito: Todas las conexiones usan TLS (HTTPS). Aplicamos HSTS.
• Cifrado en reposo: El disco de nuestro servidor usa cifrado de disco completo LUKS.
• Contraseñas: Se almacenan con hash usando Argon2id, un algoritmo de alto uso de memoria resistente a ataques de fuerza bruta. Nunca guardamos contraseñas en texto plano.
• Autenticación de dos factores: Disponible mediante TOTP (app de autenticación). Recomendada para todas las cuentas.
• Llaves de acceso: Si agregas una llave de acceso, guardamos su llave pública y su identificador, el nombre del dispositivo en que se creó (tomado de cómo se describe tu navegador o app), si tu dispositivo la respalda, los tipos de conexión que puede usar, y cuándo se agregó y se usó por última vez. La llave privada nunca sale de tu dispositivo ni de tu gestor de contraseñas, y tu cara o tu huella las comprueba tu dispositivo y nunca nos llegan. Agregar o quitar una, y un intento rechazado de iniciar sesión con una, escriben cada uno una línea en tu registro de seguridad. Quitar una llave de acceso borra lo que guardamos de ella, igual que cerrar sesión en tus otros dispositivos, cambiar o restablecer tu contraseña y eliminar tu cuenta.
• Copias de seguridad: Copias de seguridad diarias y automatizadas de la base de datos, cifradas, conservadas durante 30 días.

Como cualquier servicio en línea, Pensio no es inmune a los riesgos de seguridad. Minimizamos el riesgo limitando la exposición de datos, cifrando todos los datos almacenados a nivel de disco y asegurándonos de que los proveedores de IA no retengan tu contenido. Revisamos regularmente nuestras prácticas de seguridad y las actualizamos según sea necesario.

Comunicaciones por correo electrónico

Enviamos los siguientes tipos de correo electrónico:

• Transaccionales: Restablecimientos de contraseña, verificación de correo, alertas de seguridad de la cuenta. Son necesarios para que el servicio funcione: no puedes darte de baja.
• Correos de producto: Insights semanales, hitos de rachas, recordatorios por inactividad. Puedes desactivar cualquiera de estos individualmente en Configuración → Notificaciones.
• Boletín: Novedades del producto y consejos de escritura. Requiere suscripción separada (doble confirmación). Cancela con un clic desde cualquier email del boletín.

Cada email de producto termina con un enlace a tu configuración de notificaciones, donde cada tipo se apaga por separado. Pensio envía como máximo tres emails de producto por semana, y la mayoría de las semanas ninguno. Usamos Brevo para enviar emails (ver Subprocesadores abajo).

Tus derechos

Tus datos son tuyos. Según el RGPD y sin importar dónde vivas, puedes:

• Acceso: Todos tus datos están visibles en la app, y la descarga de abajo es la copia legible por máquina de ellos. Si prefieres pedírnosla, escríbenos y te la enviamos.
• Exportación (portabilidad): Descarga todo desde Configuración → Exportar, en un solo ZIP: cada entrada y borrador como un archivo Markdown, las personas que has nombrado, tus insights semanales y mensuales, tus fotos y grabaciones de voz, y un archivo con los datos de tu cuenta — tu nombre, tu correo, la fecha en que te registraste, tu idioma, tus preferencias de visualización, tu plan y las decisiones que has tomado sobre tus propios datos. No contiene nada sobre la cuenta de Pensio de nadie más: las personas que has nombrado están ahí como las notas que escribiste sobre ellas, nunca como registros suyos.
• Rectificación: Edita tus entradas y la información de tu perfil en cualquier momento.
• Supresión: Elimina tu cuenta desde Configuración. La cuenta se elimina después de 72 horas, no en el momento en que lo pides, y hasta entonces puedes cancelar la eliminación. Después de eso, la eliminación es permanente e irreversible: elimina todos tus datos (entradas, relaciones, insights, conversaciones de Explorar, los datos de tu cuenta, y tu historial de inicios de sesión y de seguridad con las direcciones IP que contiene) y se completa en un plazo de 30 días. Como priorizamos la privacidad, no podemos recuperar datos eliminados: no hay copia de seguridad oculta ni almacenamiento en la sombra desde donde pudiéramos restaurarte. Lo que queda atrás es contabilidad, y nada de eso es algo que escribiste. Guardamos cuánto costó mantener Pensio funcionando para ti: una fecha, un precio, qué función lo pidió y qué modelo respondió, y una referencia a la entrada o conversación de la que se trataba, que para entonces apunta a algo que ya no está. Tu cuenta sale de ese registro, y el registro se queda, porque el dinero que realmente se gastó no puede dejar de haberse gastado, y un servicio que no puede decir lo que pagó no se puede llevar con honestidad. Guardamos el registro de solicitudes descrito cerca del comienzo de esta página: tu cuenta se desvincula de él y el identificador del dispositivo se borra en el momento en que la cuenta desaparece, así que lo que queda es una lista de horas, direcciones, códigos de respuesta y el tipo de conexión que hizo cada solicitud, y se borra sola en un plazo de 90 días. Y los eventos de uso que guarda nuestro proveedor de analítica también siguen existiendo después de la cuenta, lo que la sección Análisis de arriba describe en lugar de dejar que lo deduzcas.
• Restringir el procesamiento: Parte de lo que Pensio hace con tus entradas se puede desactivar en Configuración: Preguntas abiertas, donde esa función esté disponible para ti, y cualquier cosa que Explorar haya recordado, que puedes apartar o eliminar en la página Memoria. La extracción de emociones no es una de ellas: leer emociones y temas de una entrada es como la app te muestra tus propios patrones, así que corre sobre todo lo que publicas aquí. Eliminar una entrada elimina lo que se leyó de ella, porque las emociones y los temas se guardan en la entrada misma. Si quieres restringir el procesamiento más allá de lo que esos controles alcanzan, escríbenos a [email protected] y lo arreglamos contigo.
• Oposición: Puedes oponerte a cualquier procesamiento poniéndote en contacto con nosotros en [email protected].
• Control de la memoria: Ve, corrige, aparta o elimina permanentemente cualquier dato que la IA haya recordado sobre ti en la página Memoria. Una memoria apartada queda fuera de las conversaciones con la IA, pero se conserva en tu cuenta hasta que la elimines.

Retención de datos

• Mientras tu cuenta esté activa: Tus datos se almacenan mientras tengas una cuenta. No eliminamos entradas a menos que tú lo hagas.
• Una conversación de Explore que eliminas: Cada pregunta y cada respuesta de ella se eliminan, junto con su título y todo lo que Pensio aprendió de ella. Guardamos un registro breve sin ninguna de tus palabras — cuándo empezó la conversación, cuándo se usó por última vez y cuándo se eliminó, cuántas preguntas tuvo y cuánto costó — porque una conversación eliminada sigue contando en tu límite mensual. Ese registro se elimina junto con tu cuenta. Las copias en nuestros respaldos automáticos caducan en un máximo de 30 días.
• Tras eliminar la cuenta: Todos tus datos (entradas, emociones, relaciones, insights, conversaciones de Explorar) se eliminan permanentemente de nuestra base de datos en un plazo de 30 días. Las copias de seguridad automatizadas que contienen tus datos caducan en un plazo de 30 días después de eso.
• Proveedores de IA: No conservan tus datos en absoluto: el procesamiento es solo en memoria.
• Registros de inicio de sesión y la lista de dispositivos: Se guardan mientras exista tu cuenta. No los borramos por tiempo: un registro de seguridad que olvida no responde la pregunta para la que existe. La lista de dispositivos se ordena, no caduca — un dispositivo cuya sesión ya terminó desaparece la próxima vez que abres esa página o cierras sesión en los dispositivos, no en el momento en que termina la sesión, así que una fila puede durar más que la sesión que describe. Eliminar tu cuenta borra ambos, direcciones IP incluidas. Una línea sobrevive: una nota de que una cuenta fue eliminada y cuántas entradas tenía, sin nada al lado que diga de quién era.
• Fotos y grabaciones que eliminas: Se quitan de tu cuenta de inmediato y se guardan en un almacenamiento aislado hasta 30 días antes de borrarse definitivamente. Esto existe para que una falla de nuestro lado no destruya tus archivos sin posibilidad de recuperarlos: mientras tanto no son accesibles ni para ti ni para nadie más. Eliminar tu cuenta, o eliminar una grabación desde la configuración de voz, borra los archivos de inmediato, sin la ventana de 30 días.

Subprocesadores

Estos son los servicios de terceros que pueden procesar tus datos como parte de la prestación de Pensio:

Lista de subprocesadores de terceros

Servicio	Finalidad	Acceso a los datos
OpenRouter	Puerta de enlace de API de IA	Texto de las entradas, grabaciones de voz en camino a la transcripción y fotografías de páginas manuscritas en camino a la lectura (todo solo en memoria, retención cero)
Anthropic (Claude)	Proveedor de modelos de IA	Texto de la entrada (solo en memoria, a través de la API de retención cero de OpenRouter)
Google (Gemini)	Proveedor de modelos de IA	Texto de las entradas, grabaciones de voz enviadas para transcripción y fotografías de páginas manuscritas enviadas para lectura (todo solo en memoria, mediante la API de retención cero de OpenRouter; el proveedor no guarda nada)
Hostinger	Alojamiento del servidor	Todos los datos (almacenados en disco cifrado)
Backblaze	Copias de seguridad externas de la base de datos	Una copia diaria de toda nuestra base de datos, que contiene tu cuenta y todo lo que has escrito en Pensio. Cada copia se cifra en nuestro propio servidor antes de enviarse, con una clave que Backblaze nunca recibe, así que Backblaze la almacena sin poder leerla. Cada copia se conserva durante 30 días y después se elimina.
Cloudflare	CDN, protección contra DDoS y almacenamiento de archivos (R2)	Fotos, grabaciones de voz y fotografías de páginas manuscritas que agregas, almacenadas en reposo en Cloudflare R2 (jurisdicción de la UE, cifrado AES-256). El resto del tráfico solo pasa y no se almacena. También deduce de qué país viene una conexión y nos entrega eso como un código de dos letras, que registramos una sola vez cuando se crea una cuenta. Lo elegimos en lugar de agregar otra empresa a esta lista justamente porque Cloudflare ya está delante de cada solicitud.
PostHog	Análisis de producto	Eventos de uso asociados al ID de tu cuenta — qué páginas abres y qué funciones usas, con las query strings y los identificadores quitados de las direcciones — más un perfil breve de la cuenta: tu plan, cuántas entradas tienes, si el plugin está conectado, si hay una suscripción de pago. Sin contenido del diario, sin nombre ni correo, sin ubicación. Aparte de eso, cuando alguien que no tiene la sesión iniciada abre nuestra página de precios, el servicio recibe una nota de que hubo una visita y de qué tipo de origen vino. Esa nota no está asociada a nada ni pertenece a nadie, así que no se puede rastrear hasta una persona ni borrar a solicitud.
Brevo	Entrega de correo electrónico	Tu dirección de correo electrónico, tu nombre, el idioma en el que usas Pensio, la fecha en que te registraste y tu plan, que se envían cuando creas tu cuenta; y, actualizados a medida que escribes, cuántas entradas has escrito, la fecha de la más reciente y tu racha actual. Si cambias tu dirección de correo electrónico, también la cambiamos en Brevo. Cuando se elimina tu cuenta de Pensio, eliminamos este registro en Brevo.
Stripe	Pagos de suscripciones compradas en el sitio web	Si inicias una suscripción en el sitio web: tu dirección de correo electrónico, tu nombre (o tu nombre de usuario, si no has indicado un nombre), el ID de tu cuenta de Pensio y el idioma en el que usas Pensio, que se envían cuando comienzas el pago, lo completes o no, junto con el plan que elijas. Si después cambias de idioma, se lo avisamos a Stripe, para que sus recibos y correos de pago te lleguen en ese idioma. Si alguien te invitó a Pensio, también se envía el ID de la cuenta de esa persona, para poder aplicarle su crédito por referido. Escribes los datos de tu tarjeta en la propia página de pago de Stripe; nunca llegan a Pensio. Cuando se elimina tu cuenta de Pensio, cancelamos la suscripción y eliminamos este registro en Stripe. Las facturas y los pagos ya hechos se quedan en Stripe, porque la ley fiscal exige conservarlos.
RevenueCat	Suscripciones compradas en las apps para iPhone, iPad, Mac y Android	El ID de tu cuenta de Pensio — un identificador aleatorio, no tu nombre ni tu dirección de correo electrónico — desde la primera vez que abres la página de suscripción en la app de iOS o Android, compres algo o no. Si te suscribes en la app, también guarda el registro que el App Store o Google Play tiene de esa suscripción, como qué plan es y cuándo empezó, se renovó o terminó. Pagas directamente a Apple o a Google; tus datos de pago nunca llegan a Pensio. Cuando se elimina tu cuenta de Pensio, también eliminamos este registro en RevenueCat. Eso no cancela una suscripción comprada en la app: quien te la cobra es Apple o Google, y solo tú puedes cancelarla con ellos.
Sentry	Rastreo de errores	Informes técnicos de errores (pueden incluir metadatos de solicitud anonimizados, nunca contenido del diario). El envío de PII está desactivado.
Google (Firebase Crashlytics)	Reportes de fallos (aplicación de Android)	Diagnósticos de fallos de la aplicación de Android — traza de pila, modelo del dispositivo, versión del sistema operativo y de la aplicación. Sin contenido del diario, sin email ni nombre. La recopilación del ID de publicidad está desactivada.
Google Analytics 4	Análisis de marketing	Visitas a páginas anonimizadas solo en páginas de marketing (no dentro de la app) y una confirmación de registro enviada desde nuestro servidor, que lleva solo el identificador anónimo de análisis que ya está en tu navegador y si te registraste con contraseña o con Google o Apple. Se carga solo tras el consentimiento de cookies; si lo rechazaste, no se envía nada.

Ubicación de los datos

Tus datos se almacenan en un servidor dedicado en Europa (UE), proporcionado por Hostinger. Las fotos, grabaciones de voz y fotografías de páginas manuscritas que agregas se almacenan en Cloudflare R2 bajo la jurisdicción de la UE. Cloudflare también se encarga del CDN y la protección contra DDoS para el resto del tráfico, que pasa por su red sin almacenarse. Los datos de analítica de PostHog se procesan en la UE. Brevo es un proveedor de correo con sede en la UE. Los reportes de errores (Sentry) se procesan en la UE. Los diagnósticos de fallas de la app de Android los procesa Google (Firebase Crashlytics), que puede almacenarlos fuera de la UE bajo Cláusulas Contractuales Tipo. Stripe, que gestiona los pagos en el sitio web, y RevenueCat, que gestiona las suscripciones compradas en las apps, pueden procesar fuera de la UE los datos de facturación descritos más arriba. Las copias de seguridad externas de la base de datos que guarda Backblaze se cifran en nuestro servidor antes de salir de él, y Backblaze no tiene ninguna clave que pueda leerlas. Ningún dato personal se transfiere fuera de la UE/EEE, salvo a través de proveedores con salvaguardas adecuadas (Cláusulas Contractuales Tipo o decisiones de adecuación de la UE).

Privacidad de los menores

Pensio no está destinado a personas menores de 16 años. No recopilamos deliberadamente datos personales de menores. Si nos enteramos de que un usuario menor de 16 años ha creado una cuenta, eliminaremos su cuenta y todos los datos asociados de inmediato. Si crees que un menor de 16 años está usando Pensio, ponte en contacto con nosotros en [email protected].

Notificación de violación de datos

En el improbable caso de una violación de datos que afecte a tus datos personales, te notificaremos por correo electrónico dentro de las 72 horas siguientes a que tengamos conocimiento de ella, según lo exige el RGPD. También notificaremos a la autoridad supervisora correspondiente. La notificación describirá la naturaleza de la violación, los datos afectados y las medidas que estamos tomando para abordarla.

Base legal para el procesamiento

Según el RGPD, procesamos tus datos con base en:

• Contrato: Procesar las entradas de tu diario, generar insights y prestar el servicio para el que te registraste.
• Interés legítimo: Rastreo de errores, seguridad del servicio y análisis de producto — incluidos los ocho datos sobre cómo llegaste, descritos en "Qué recopilamos". Esos se guardan en tu cuenta, y no de forma anónima, así que lo decimos aquí en vez de archivarlos bajo una palabra que no encajaría: los leemos solo como totales, para decidir a qué idioma traducir Pensio a continuación y si un anuncio que pagamos trajo a alguien. Puedes oponerte en cualquier momento a lo que hagamos sobre esta base — mira Tus derechos, más arriba.
• Consentimiento: Correos de marketing, boletín y cookies de análisis en las páginas de marketing.

Puedes retirar tu consentimiento en cualquier momento sin que ello afecte a la licitud del procesamiento previo a la retirada.

Cambios en esta política

Si hacemos cambios significativos, te notificaremos por correo electrónico o con una notificación en la app antes de que los cambios entren en vigor. Las actualizaciones menores de redacción no activarán un aviso. Las versiones anteriores de esta política están disponibles a solicitud.

Contacto y reclamaciones

¿Tienes preguntas sobre tu privacidad? Escríbenos a [email protected].

Si crees que estamos procesando tus datos de forma ilícita, tienes derecho a presentar una reclamación ante una autoridad supervisora de protección de datos en tu país de residencia.