Privacidad y datos

Qué datos tratamos

Recopilamos solo lo necesario para que Chapa funcione. No te pedimos tu nombre ni tu fecha de nacimiento para registrarte.

• Tu correo electrónico, guardado cifrado y como hash, separado de tu perfil.
• Tus transacciones de Yape y Plin, y las alertas de tu banco si activas el reenvío o la conexión con Gmail.
• Datos técnicos mínimos de seguridad (por ejemplo, para detectar accesos indebidos a tu cuenta).

Registro por correo del banco

Solo recibimos los correos que tú reenvías a tu dirección de Chapa.

• Verificamos que el remitente sea tu banco; si no, lo descartamos.
• Extraemos la transacción (monto, comercio, fecha) del contenido del correo.
• Descartamos el contenido del correo: nunca lo guardamos.

Conexión directa con Gmail (beta)

Si activas la conexión directa con Gmail — función en beta cerrada, limitada a un grupo reducido de usuarios — autorizas a Chapa a acceder a tu bandeja mediante OAuth para detectar automáticamente los correos de tu banco, sin que tengas que reenviarlos. Solo leemos los correos que identificamos como alertas bancarias: no accedemos, leemos ni guardamos correos personales ni de otro tipo. Puedes desconectar el acceso cuando quieras desde Ajustes.

Qué NO hacemos

Estos son límites que no cruzamos:

• No accedemos a tu bandeja de entrada por reenvío: solo recibimos lo que tú nos reenvías.
• No leemos ni guardamos correos personales, ni procesamos imágenes o adjuntos.
• No entramos a tu banca ni ejecutamos acciones en tu cuenta bancaria.
• No vendemos tu información a nadie.
• Si activas la conexión con Gmail (beta cerrada), sí accedemos a tu bandeja mediante autorización OAuth, únicamente para detectar alertas bancarias — puedes revocarla cuando quieras.

Inteligencia artificial

Para leer la alerta usamos Google Gemini en una modalidad que no usa tu contenido para entrenar. Chapa tampoco entrena modelos con tus datos.

Con quién compartimos

Solo con proveedores que nos ayudan a operar el servicio, como encargados de tratamiento y bajo acuerdos de confidencialidad:

• Cloudflare: recibe el correo que reenvías y nos lo entrega de forma segura.
• Google (Gemini): procesa el contenido del correo para extraer la transacción; si conectas Gmail, también gestiona la autorización OAuth.
• Resend: envía los correos operativos de la plataforma.
• Nuestro proveedor de servidor: aloja la aplicación y la base de datos.

Datos fuera de Perú

Algunos proveedores procesan datos fuera del Perú. Esta transferencia se hace con tu consentimiento y bajo acuerdos de tratamiento de datos con cada uno.

Seguridad

Protegemos tus datos con varias capas de seguridad:

• Cifrado en tránsito (TLS) en todas las conexiones.
• Cifrado a nivel de columna para los datos sensibles en la base de datos.
• Tu dirección de reenvío se guarda hasheada, no en texto plano.
• Validamos la firma y autenticidad (DKIM) de los correos antes de procesarlos.

Retención y eliminación de datos

Conservamos tu información mientras tu cuenta esté activa. Puedes solicitar la eliminación de tu cuenta y de tus datos personales en cualquier momento desde la app o escribiéndonos; procesamos esa solicitud tan pronto como sea posible.

Tus derechos (ARCO)

Tienes derecho a acceder, rectificar, eliminar tus datos y revocar tu consentimiento en cualquier momento:

• Desde la app puedes desconectar el correo o la conexión con Gmail (borra tu dirección/autorización y la ingesta).
• Desde la app puedes eliminar tu cuenta por completo.
• Puedes reclamar ante la Autoridad Nacional de Protección de Datos Personales (ANPD) del MINJUS.

Contacto

Todavía no publicamos un canal oficial de contacto para temas de privacidad. Mientras tanto, puedes escribirnos desde la propia app.