Política de privacidad — Xtra-dev (Wyxloop Corp)

Esta es una traducción de cortesía. Si hay alguna diferencia entre esta versión y la versión en inglés, prevalece la versión en inglés.

1. Quiénes somos

Xtra-dev es la marca de Wyxloop Corp (“Xtra-dev”, “nosotros”), una empresa pequeña dirigida por su fundador. Construimos y operamos sitios web, sistemas para clientes, automatizaciones y servicios de TI para nuestros clientes, y publicamos nuestros propios productos, entre ellos MyXCapital, una app de finanzas personales. Para todo lo descrito en esta política, Wyxloop Corp es el responsable del tratamiento de los datos. Puedes escribirnos a contact@xtra-dev.com.

2. Qué cubre esta política

Esta única política cubre todas las formas en que puedes interactuar con Xtra-dev:

• El sitio web público (xtra-dev.com): las páginas, los formularios de contacto y cotización, la reserva de consulta gratis y el configurador de PC a la medida.
• Sistemas para clientes y la plataforma de administración: los portales que operamos para nuestros clientes y las herramientas que usa nuestro equipo para entregar el trabajo.
• Facturas y pagos: las facturas que enviamos, las páginas de pago detrás de ellas y los flujos de pago que ofrecen nuestros productos.
• MyXCapital: la app web en xtra-dev.com/capital y la app móvil MyXCapital, que es la misma app dentro de un contenedor nativo. La sección 7 está dedicada a ella.
• Sorteos, boletines y contenido en redes sociales que publicamos.

Cuando un cliente nos pide construir u operar un sistema para él, el cliente es el responsable de los datos de sus usuarios y nosotros actuamos según sus instrucciones bajo un acuerdo de tratamiento de datos; esta política describe nuestro propio tratamiento.

3. Datos que recopilamos

• Solicitudes de contacto y cotización: nombre, correo de trabajo, empresa, teléfono (opcional), lo que necesitas, rango de presupuesto y cualquier cosa que nos escribas.
• Cuentas (solo usuarios invitados): correo, nombre completo, rol, hash de la contraseña, configuración de verificación en dos pasos y códigos de recuperación (con hash), dispositivos de confianza, sesiones y un registro de eventos de seguridad (inicios de sesión, eventos de verificación en dos pasos, acciones administrativas).
• Registros de facturación: las facturas que emitimos, a quién se enviaron, cuándo se vieron y pagaron, y la referencia de pago que nos da Stripe. Nunca vemos ni guardamos números de tarjeta completos.
• Datos operativos: dirección IP, versión del navegador o de la app, marcas de tiempo de las solicitudes y reportes de error necesarios para operar y proteger el servicio.
• Cookies: un token de sesión, un token CSRF, una preferencia de tema y un registro de consentimiento — todas estrictamente necesarias. Sin cookies de publicidad ni de rastreo.
• Datos de MyXCapital: descritos en la sección 7.

No compramos datos, no mostramos publicidad de terceros y nunca vendemos ni rentamos datos a nadie.

4. Cómo usamos los datos

• Para responder tu solicitud y preparar un alcance, una cotización o una propuesta.
• Para operar la cuenta o el espacio de trabajo al que te invitaron: inicio de sesión, verificación en dos pasos, facturación y soporte.
• Para emitir facturas, recibir pagos y llevar la contabilidad.
• Para mantener el servicio seguro: límites de uso, detección de abuso, gestión de sesiones, respuesta a incidentes.
• Para ofrecer las funciones de nuestros productos exactamente como se describen en el producto (para MyXCapital, sección 7).
• Para cumplir obligaciones legales, fiscales y contables.

5. Bases legales

Cuando aplica el RGPD o una ley similar, nos basamos en: (a) la ejecución de un contrato, incluidos los términos que aceptas al usar uno de nuestros productos; (b) nuestro interés legítimo en operar, mejorar y proteger el servicio; (c) tu consentimiento, que puedes retirar en cualquier momento, para todo lo opcional, como las notificaciones push o un banco conectado; y (d) las obligaciones legales de registros fiscales y contables.

6. Con quién compartimos datos

Solo con los proveedores que necesitamos para prestar el servicio, cada uno sujeto a sus términos y a un acuerdo de tratamiento de datos, y limitado a lo que su función requiere:

• Stripe — pagos y transferencias (los datos de tarjeta van directo a Stripe; nosotros guardamos solo referencias de pago).
• Plaid y SimpleFIN — conexiones bancarias de solo lectura para MyXCapital (sección 7).
• Anthropic — el modelo de IA detrás del asistente de MyXCapital (sección 7).
• Google Firebase Cloud Messaging — entrega de notificaciones push a la app de Android; el servicio Apple Push Notification para iOS cuando se publique.
• Microsoft 365 — nuestro correo; Contabo — alojamiento de servidores; almacenamiento de objetos compatible con S3 — respaldos cifrados.

También podemos revelar datos cuando la ley lo exige o para proteger nuestros derechos, a nuestros usuarios o al público. Si Wyxloop Corp llegara a ser adquirida, esta política seguiría aplicando a los datos y te avisaríamos antes de que algo cambie.

7. MyXCapital

MyXCapital es la app de finanzas personales de Xtra-dev: tus cuentas, transacciones, facturas, deudas, metas de ahorro, cobros y propiedades en un solo lugar privado. Es la misma app en la web (xtra-dev.com/capital) y en la app móvil MyXCapital, que la carga dentro de un contenedor nativo. Todo lo que hay en ella es privado para la persona dueña del espacio de trabajo y para las personas que ella invite.

7.1 Conexiones bancarias (solo lectura)

Puedes conectar una cuenta de banco, tarjeta o cooperativa de crédito a través de Plaid o de SimpleFIN. Autorizas la conexión directamente con el agregador; nosotros nunca recibimos ni guardamos tus credenciales de banca en línea. De la conexión recibimos datos de cuenta de solo lectura (institución, nombre y tipo de cuenta, número de cuenta enmascarado, saldos y, en tarjetas, el saldo del estado de cuenta, el pago mínimo y la fecha de vencimiento) y el historial de transacciones (fecha, monto, comercio o descripción, estado pendiente). El manejo de tus datos por parte de Plaid se describe en la Política de privacidad para usuarios finales de Plaid. Puedes desconectar un banco en cualquier momento desde MyXCapital; esto elimina la conexión en el agregador y detiene la sincronización.

7.2 Qué hacemos con tus datos financieros

Solo lo que la app te muestra: saldos y patrimonio neto, gastos categorizados y presupuestos, facturas y suscripciones, planes de pago de deudas, alertas, metas de ahorro y reportes. Los datos financieros nunca se venden, nunca se comparten con fines de marketing, nunca se usan para publicidad y nunca se usan para decisiones de crédito. No los usamos para entrenar modelos de IA.

7.3 Cobros y pagos

Si facturas a tus propios clientes desde MyXCapital, los datos de tu negocio, los nombres y correos de tus clientes y el contenido de la factura se procesan para generar, enviar y cobrar la factura. Los pagos corren a través de Stripe en tu propia cuenta de Stripe conectada; quienes te pagan entregan sus datos de tarjeta o banco a Stripe, no a nosotros. Los cargos de la plataforma se muestran antes de que los aceptes.

7.4 Asistente con IA

El asistente responde preguntas sobre tus finanzas. Cuando preguntas algo, la pregunta y un resumen compacto de los datos relevantes (nombres y saldos de cuentas, totales por categoría, próximas facturas, alertas, las transacciones necesarias para la pregunta) se envían a la API de Anthropic, que los procesa para producir la respuesta y no los usa para entrenar sus modelos. El asistente solo puede leer tus datos y proponer cambios; nada se modifica sin tu confirmación en la app. El asistente se puede desactivar en Ajustes.

7.5 Alertas y notificaciones push

MyXCapital calcula las alertas (pagos por vencer, cargos por sobregiro, una tarjeta cerca de su límite, intereses cobrados) a partir de los datos que ya están en tu espacio de trabajo. Las alertas pueden llegarte en un correo diario y, en la app móvil, como notificaciones push. Para entregar los push guardamos un token de dispositivo emitido por Google Firebase (Android) o Apple (iOS) junto con tu usuario, la plataforma y la versión de la app. Un push lleva solo el título y el texto de la alerta y la página que abre, nunca números de cuenta ni detalles de transacciones. Desactiva los push en Ajustes → Notificaciones o en los ajustes de tu teléfono; el token se elimina cuando lo haces, y automáticamente cuando el proveedor lo reporta como vencido.

7.6 La app móvil

La app MyXCapital pide permiso de notificaciones para que las alertas te lleguen. Si activas “Pedir huella o rostro para abrir”, la verificación ocurre completamente en tu teléfono a través de su propio sistema biométrico; nosotros nunca recibimos datos biométricos. La app abre los enlaces externos en tu navegador y no accede a tus contactos, fotos, ubicación ni micrófono. Las suscripciones se compran en xtra-dev.com, no dentro de la app.

7.7 Compartir un espacio de trabajo

El propietario de un espacio de trabajo puede invitar a otras personas. Todas las personas invitadas ven los mismos datos financieros, así que invita solo a personas de confianza; el propietario puede retirar el acceso en cualquier momento desde la página de Usuarios.

7.8 Desconectar y eliminar

Puedes eliminar cuentas y sus transacciones, desconectar bancos, quitar usuarios invitados y eliminar facturas por tu cuenta. Para eliminar todo tu espacio de trabajo o tu cuenta, escribe a contact@xtra-dev.com; completamos la eliminación en un plazo de 30 días, salvo los registros de facturación que la ley nos obliga a conservar.

8. Cuánto tiempo conservamos los datos

Nuestras reglas de conservación están publicadas en la Política de retención y eliminación de datos (en inglés). En resumen:

• Solicitudes de contacto y cotización: hasta 24 meses después de la última interacción.
• Cuentas y espacios de trabajo: mientras están activos; hasta 90 días después de la desactivación, y luego se eliminan.
• Registros de eventos de seguridad: 180 días. Los registros de la aplicación nunca contienen datos financieros.
• Datos de cuentas financieras (MyXCapital): mientras la conexión bancaria está activa y hasta que los elimines; las solicitudes de eliminación se atienden en 30 días. Historial de alertas y tokens push: unos 13 meses, o hasta que desactives la función.
• Facturas, pagos y registros fiscales: lo que exija la ley fiscal (normalmente de 5 a 7 años).
• Los respaldos cifrados rotan con un calendario fijo; los datos eliminados desaparecen de ellos conforme rotan.

9. Seguridad

Cómo protegemos los datos se describe en nuestra Política de seguridad de la información (en inglés): HTTPS en todo, verificación en dos pasos para cada administrador y cada usuario de MyXCapital, cifrado en reposo de los tokens de agregadores y números de cuenta (AES-256-GCM), contraseñas con hash bcrypt, un espacio de trabajo privado por persona que el servidor aplica en cada solicitud, una política estricta de seguridad de contenido, límites de uso, acceso auditado y respaldos cifrados diarios. Si un incidente afecta tus datos, te lo notificamos a ti y a las autoridades correspondientes sin demoras indebidas, y nunca después de 72 horas de confirmarlo donde la ley fija ese plazo.

10. Tus derechos

Según donde vivas, puedes tener derecho a acceder, corregir, eliminar, portar o restringir el tratamiento de tus datos personales, a oponerte a él y a retirar tu consentimiento. Escribe a contact@xtra-dev.com; respondemos en 30 días y podemos pedirte primero que confirmes tu identidad. También puedes presentar una queja ante la autoridad de protección de datos de tu localidad.

Los residentes de California (CCPA/CPRA) tienen además el derecho a saber, eliminar y corregir, y a excluirse de la venta o el intercambio de información personal. No vendemos información personal ni la compartimos para publicidad conductual entre contextos, así que no hay nada de lo que excluirse; nunca discriminamos a nadie por ejercer un derecho.

11. Cookies y almacenamiento similar

Usamos solo cookies estrictamente necesarias (sesión, protección CSRF, tema, registro de consentimiento). La app MyXCapital también guarda, solo en tu dispositivo, tu tema, si descartaste la sugerencia de instalación, si el bloqueo biométrico y las notificaciones push están activos, y el token push que registró. No hay rastreadores de analítica ni publicidad; si algún día agregamos analítica opcional, será con consentimiento previo.

12. Transferencias internacionales

Tenemos base en Estados Unidos y nuestros proveedores pueden procesar datos ahí o en otros lugares. Cuando los datos salen de tu país nos apoyamos en las Cláusulas Contractuales Tipo del proveedor o en una salvaguarda equivalente.

13. Menores

Nuestros servicios son para negocios y para adultos que administran sus finanzas. No recopilamos a sabiendas datos de menores de 16 años; si crees que un menor nos dio datos, escríbenos y los eliminaremos.

14. Cambios a esta política

Los cambios importantes se publican en esta página con un nuevo número de versión y fecha de vigencia; a las personas con cuenta también se les avisa por correo o dentro del producto. El historial de versiones se conserva más abajo.

15. Contacto

Wyxloop Corp (Xtra-dev) · contact@xtra-dev.com · Reportes de seguridad: security@xtra-dev.com.

Historial de revisiones

Documentos relacionados

• Política de seguridad de la información (en inglés)
• Política de control de acceso (en inglés)
• Política de retención y eliminación de datos (en inglés)
• Términos del servicio