Lo que podemos ver, y lo que no.
Todo lo que escribes aquí se cifra en tu dispositivo antes de enviarse, y la llave no la tenemos nosotros. Esta página es la lista completa de lo que eso nos deja ver; cómo funciona el sellado, y dónde se detiene se explica aparte.
Escrita en lenguaje llano a propósito, y vigente a 28 de octubre de 2026. Dentro de poco un abogado ajustará la redacción; las promesas no se debilitarán.
El único sitio por donde tus palabras viajan legibles.
Para generar una respuesta, tu mensaje y la conversación reciente se envían sin cifrar a Anthropic, el proveedor de la inteligencia artificial: un modelo no puede leer bytes sellados. Nosotros no almacenamos, registramos ni guardamos nada de eso, y bajo nuestro acuerdo de retención cero de datos Anthropic no lo conserva una vez terminada la petición y no entrena con ello.
Te lo contamos en lugar de dar a entender que no pasa. Cualquier servicio con un chat de inteligencia artificial tiene este mismo paso; la diferencia está en si lo dicen, y en qué ocurre con tus palabras del otro lado. Aquí: no se guarda nada.
Si usas notas de voz.
Con la app en inglés, en el chat puedes mantener pulsado el micrófono y hablar en vez de escribir. Tu teléfono convierte lo que has dicho en texto por sí mismo, con un modelo de voz que descarga de nosotros una vez y guarda en el dispositivo. La grabación nunca sale del teléfono y no se guarda en ningún sitio, ni en nuestros servidores ni en el teléfono: existe en memoria hasta que el texto está listo y después se borra.
Solo se envía el texto, exactamente como si lo hubieras escrito: cerrado como todo lo demás que escribes, y leído por Anthropic en el único paso de arriba. El micrófono solo se pide la primera vez que lo pulsas, solo dentro de la app y nunca en estas páginas públicas. Puedes quitar el modelo de voz de un dispositivo en Ajustes, en Almacenamiento en este dispositivo.
Todo lo que guardamos.
Esta es la lista entera, no una selección.
La dirección de correo con la que entras
Es cómo entras y cómo te escribimos por cosas de tu cuenta. Es el único dato personal legible que guardamos a propósito.
Huellas ilegibles del correo y de la dirección IP
Hashes de una sola dirección, con clave, que sirven para frenar el abuso del acceso y de los límites de seguridad. No se pueden revertir al original.
Tus conversaciones, tu memoria, tus planes de práctica, tu registro de bienestar y tus respuestas al cuestionario, como bytes sellados
Se cifran en tu dispositivo antes de salir. No tenemos la llave, así que no podemos leerlos: ni para dar soporte, ni para entrenar, ni bajo presión.
El progreso en las lecciones y las opciones que marcas
Qué lecciones terminaste y qué opción fija elegiste. Nunca texto libre.
Qué partes de la tarjeta de bienestar activaste
Si la tarjeta registra moverte, desconectar, comidas regulares o nada de eso, para que el panel sepa qué mostrar antes de que se abra nada sellado. Qué días marcaste está en el registro sellado de arriba, y no podemos leerlo.
En qué idioma escribirte
Uno de los idiomas en los que se publica la app, para que el correo te llegue en el que lees. La app lo toma de tu dispositivo y nunca nos lo pregunta. No dice nada de ti más allá de en qué idioma lees.
Tu zona horaria
La que tiene tu dispositivo cuando te unes, o la que elijas en Ajustes, como America/Mexico_City. Así el coach sabe qué hora es para ti y las horas en que vuelven a abrirse tus límites se muestran en tu hora. Dice más o menos en qué parte del mundo estás, y nada más sobre ti.
El estado de tu suscripción
Si estás en prueba, suscrito o caducado, sincronizado con Stripe. Los números de tarjeta no nos tocan nunca; van directos a Stripe.
Marcas de tiempo, recuentos y costes acumulados
Cuándo entras, cuántos mensajes mandas y a qué hora. También guardamos un total mensual de lo que nos cuesta generar tus respuestas. Eso es una longitud y un precio, nunca lo que escribiste. Facturación y prevención de abuso, nada más, aunque lo decimos claro: los patrones de horarios son en sí mismos una señal, y esta es la más fuerte que podemos ver.
Lo que no está en la lista, porque no existe: rastreadores publicitarios de terceros, analítica sobre lo que escribes, perfiles de tus síntomas y venta de datos. No hay nada que vender: no podemos leer lo único que valdría algo.
Cookies: entrar activa las cookies imprescindibles que te mantienen dentro. Llegar desde un enlace activa una más, una sola palabra para decir de dónde viniste (un anuncio de búsqueda, Instagram, ningún sitio en concreto), elegida de una lista corta y fija, sin ningún identificador dentro, y que desaparece a los 30 días. La guardamos solo como un recuento diario de cuánta gente trajo cada fuente, para saber cuál merece el dinero; nunca se une a una cuenta. Llegar por el enlace de invitación de alguien activa una más, el código de ese enlace, que se lee una vez al crear la cuenta y después solo como hash: nunca guardamos un registro legible de quién invitó a quién. Elegir un idioma activa una más, que guarda un idioma y nada más, para que el correo te llegue en el que lees. Las dos herramientas de analítica que se nombran más abajo ponen sus propias cookies de origen en las páginas públicas. Copiamos el identificador de navegador de Google Analytics en una cookie nuestra, y el identificador de sesión de la visita en otra, mb_sid, ambas compartidas para que el pago en la app pueda leerlas. Cada una guarda ese identificador y nada más, y no las guardamos en nuestra base de datos.
Llegar por un anuncio de Google activa una más, y esta conviene explicarla entera. Guarda el identificador de clic que el propio Google puso en el enlace: nada que nos hayamos inventado sobre ti, y nada que funcione en ningún otro sitio. Lo usamos para decirle a Google que un anuncio llevó a alguna parte: que se confirmó una dirección, que se creó una cuenta, que empezó una prueba o que se hizo un pago. Cuatro hechos, cada uno con una hora, cada uno atado a ese clic y a ningún nombre, dirección ni respuesta. Nunca le enviamos a Google tu dirección de correo ni nada que hayas escrito o pulsado aquí, y cada uno de esos informes lleva la instrucción explícita de no usarlo para personalizarte publicidad. Se borra a los 90 días, y si nunca llegaste por un anuncio no se activa siquiera. Así es como averiguamos qué anuncios merecen el dinero; si pudiéramos hacerlo sin un identificador por clic, lo haríamos.
Si te vinculas con un profesional.
Si tu profesional usa Maybe Therapist, puede darte un código que vincula tu cuenta con su consulta. Vincularte es decisión tuya, y antes de que se comparta nada eliges qué ve: tus escaleras, tu registro de impulsos, con qué frecuencia usas la app y si abriste Pedir ayuda ahora. Puedes cambiarlo o desvincularte cuando quieras.
Tus chats nunca se comparten enteros. Un chat solo le llega como una copia que tú decides enviar, y uno que marques como privado nunca le llega. La práctica que te ponga, y lo que escribas de vuelta, le llega solo cuando pulsas enviar. Con qué frecuencia usas la app son recuentos y días, nunca lo que escribiste, y compartir que abriste Pedir ayuda ahora le dice solo que lo hiciste y cuándo.
Todo lo que compartes se cifra en tu dispositivo con una llave que tiene tu equipo de atención, y nosotros nunca la tenemos. Lo guardamos y lo hacemos llegar, y no podemos leerlo. Lo mismo vale para la práctica que te pone y las notas que lleva.
Lo que vemos de un vínculo.
Para que el vínculo funcione, unos pocos datos sobre él son legibles para nosotros: con qué consulta estás vinculado y qué personas de su equipo forman tu equipo de atención; qué tipos de registro elegiste compartir, nunca lo que contienen; cuándo cambia un registro compartido; que existe una tarea y quién la puso, nunca lo que dice ni si la hiciste; cuándo abrió tu página por última vez un profesional; quién paga tu suscripción; qué partes de la app ha desactivado una consulta que la paga; y un total mensual de lo que nos costó la práctica que te puso tu profesional.
El nombre de una consulta suele decir qué trata, así que estar vinculado a una ya es un dato sobre tu salud. Lo decimos claramente porque es el único dato de salud que añade la parte de consultas, y lo guardamos solo porque el acceso y la facturación no funcionan sin él.
Si lo pides, te escribimos cuando tu equipo de atención te envía algo. El correo dice solo eso, nunca qué, y nunca nombra a tu profesional. Si una consulta cubre tu suscripción, Stripe le cobra a la consulta en lugar de a ti.
Lo que hace la consulta con ello.
Cuando tu equipo de atención ha abierto algo que compartiste, pasa a formar parte de su registro de tu atención, y la consulta responde de ello según sus propias obligaciones de privacidad, que en Australia son los Principios Australianos de Privacidad. Puede exportar lo que ve a sus propios registros. Tu profesional debería darte la política de privacidad de su consulta; pídesela si no lo ha hecho.
Si te desvinculas, no le llega nada nuevo, y lo que ya ha visto se queda en la consulta, como se quedaría una nota en su propio expediente. Forma parte de tu historial clínico, que una consulta suele tener que guardar durante años, así que se queda aunque elimines tu cuenta de Maybe: lo que compartiste hasta entonces, las tareas que te puso y sus notas sobre ti, sellado como antes y legible solo para tu equipo de atención. Quien gestiona la consulta puede ver que estás vinculado y quién paga, nunca lo que compartes.
Hay un paso que no va sellado, y es el mismo de arriba. Si tu profesional te pone una práctica de chat, el acompañante lee esa conversación para responder y, cuando decides enviarla, para escribir el resumen que ve tu profesional. Eso va a Anthropic con la misma retención cero de datos, y la IA no lee nada más de lo que compartes.
Si trabajas en una consulta.
De los profesionales y el personal que usan Maybe Therapist guardamos el correo con el que entras; el nombre de la consulta; tu función en ella; el nombre que eliges mostrar a tus pacientes y compañeros; tu foto, si añades una, que tus pacientes ven junto a lo que les pones; cuándo abriste por última vez la página de cada paciente; y la invitación que permitió a tu consulta entrar, que se borra al usarse o a los 60 días. Cada cosa está ahí porque el portal no funciona sin ella.
Las notas que llevas y la práctica que pones se sellan en tu dispositivo como todo lo que escribe un paciente, y no podemos leerlas. Si le pides al acompañante que redacte una exposición guiada a partir de tus indicaciones, esas indicaciones van a Anthropic con la misma retención cero de datos. La facturación de una consulta va por Stripe: los datos de la tarjeta van a Stripe y nunca a nosotros, y guardamos cuántos profesionales y plazas de pacientes pagas. Las condiciones para consultas, en inglés, están en/therapists/terms.
Quién lo procesa.
Siete empresas tocan alguna parte de la lista de arriba, cada una para un solo trabajo. Ni socios publicitarios ni intermediarios de datos.
Anthropic
Ejecuta el modelo de inteligencia artificial. El único sitio por donde tus palabras viajan sin cifrar, como se explica arriba. Retención cero de datos: las entradas y las salidas no se conservan después de la petición y no se usan para entrenar.
Stripe
Pagos. Los datos de tu tarjeta van a Stripe, nunca a nosotros. Al registrarte se crea un cliente de Stripe con tu dirección de correo, para que la facturación funcione en cuanto la quieras, llegues a pagarnos algo o no.
Resend
Envía los enlaces de acceso, los correos de facturación y, si lo pides, un aviso de que tu equipo de atención te ha enviado algo. Ve tu dirección de correo.
Vercel
Aloja el sitio web y guarda sus registros de servidor, que es donde se vigilan los errores. El camino de la inteligencia artificial está hecho para no registrar nada, así que lo que escribes no les llega.
MongoDB Atlas
Almacena los datos de la lista de arriba, bytes sellados incluidos.
Microsoft Clarity
Analítica de interacción y repetición de sesiones en las páginas públicas: cómo se mueve la gente por ellas. Está apagado en el chequeo gratuito y en cualquier página que abras desde un enlace que te mandamos por correo, así que nadie reproduce tus respuestas, y no funciona dentro de la app, ni cerca de nada de lo que escribes.
Google Analytics
Recuento de visitas, fuentes de tráfico y qué botón se pulsó, en las páginas públicas. También les decimos cuándo empieza una prueba y cuándo llega un pago, con el importe y la moneda del pago, atados al identificador de navegador que su etiqueta ya puso, para que la visita y la prueba sean la misma llegada. Ese identificador se copia en una cookie que nuestro pago puede leer, y se guarda en la sesión de pago de Stripe hasta el cobro, para poder informar un cargo una semana después. El identificador de sesión de la visita se copia en una cookie llamada mb_sid y se envía con una prueba o un pago de esa misma visita; un cargo una semana después no lo incluye. No enviamos tu dirección de correo, nada de lo que escribes, ni que terminaste el chequeo gratuito. Las señales de publicidad y la personalización de anuncios siguen apagadas, el token de un enlace que te mandamos por correo se quita antes de contar la página, y la etiqueta no funciona dentro de la app.
Google Ads
Si llegaste por uno de nuestros anuncios, le decimos a Google cuándo ese clic llevó a una dirección confirmada, a una cuenta, a una prueba o a un pago, y así sabemos qué anuncios merecen el dinero. Lo que se envía es el identificador de clic del propio Google y una hora, nunca tu dirección de correo, nunca nada que hayas escrito o respondido, y cada informe dice de forma explícita que no debe usarse para personalizarte publicidad. En ninguna página de aquí se ejecuta una etiqueta de Google Ads.
La mayoría de estas empresas están en Estados Unidos, así que los datos que maneja cada una cruzan fronteras: tu dirección de correo hacia Stripe y Resend, los registros de servidor hacia Vercel, y la única llamada al modelo sin cifrar hacia Anthropic. Tus conversaciones selladas también cruzan fronteras, y allí siguen siendo tan ilegibles como aquí: la llave no viaja en ningún momento.
Quien da soporte ve metadatos, nunca palabras.
Un administrador puede buscar una cuenta por correo y ver los mismos metadatos de la lista de arriba, estado, horas de acceso, situación de la suscripción, para ayudar con la facturación o con el acceso. Cada acción de administración queda registrada con quién la hizo y cuándo. Un administrador no puede leer una conversación, por la misma razón que no puede nadie más: la llave no está aquí.
Borrar, y que te olviden.
Restablecer tu bóveda destruye al instante todos los registros sellados y conserva tu cuenta. Perder todos los métodos de desbloqueo que registraste significa que tus conversaciones ya se han ido para siempre: no podemos recuperarlas, y eso es el diseño, no un fallo del diseño.
Para borrar tu cuenta entera, escribe a hello@usemaybe.app desde el correo con el que entras y queda hecho, incluida la propia dirección de correo.
Si estabas vinculado a una consulta, borrar tu cuenta le deja su copia de lo que compartiste y sus notas, como parte de tu historial clínico (más arriba). Todo lo demás tuyo se borra.
Tus derechos, y la ley que rige esto.
Este servicio se opera desde Australia y trata la información personal conforme a los Australian Privacy Principles (los principios de privacidad australianos), incluido su esquema de notificación obligatoria de brechas de datos, el Notifiable Data Breaches scheme. Es para personas adultas: 18 años o más, o más jóvenes con el conocimiento y el acuerdo de un padre, madre o tutor, como pide el registro.
Leas esto donde lo leas, tu cuenta y el texto cifrado de lo que escribes se guardan en Australia y en Estados Unidos, así que usar la app implica que esos datos cruzan una frontera. Si estás en la Unión Europea o en el Reino Unido, los derechos que te da el GDPR (el RGPD), ver qué guardamos, corregirlo, llevártelo, hacer que se borre, son derechos a los que vamos a responder, y el correo de abajo es la forma de ejercerlos. Lo que hace fácil responder a esas peticiones con honestidad es que casi no existe nada legible que entregar: el contenido de los mensajes, los títulos de las conversaciones y la memoria central están sellados en tu dispositivo, y la lista de más arriba es todo lo que podemos ver de verdad.
Si esta política cambia de una manera que importe, recibes un correo antes de que el cambio se aplique, la misma promesa que hacen las condiciones de uso, porque una política de privacidad editada en silencio no vale la página en la que está.
Preguntas, quejas o una solicitud para ver qué guardamos sobre ti: hello@usemaybe.app. Si nuestra respuesta no lo resuelve, puedes acudir a la autoridad de protección de datos del país donde vives. En España es la Agencia Española de Protección de Datos, en aepd.es; en el resto de la Unión Europea, la autoridad de tu país; y en el Reino Unido, la Information Commissioner’s Office, en ico.org.uk. La Office of the Australian Information Commissioner (la autoridad australiana de privacidad) también recibe quejas, en oaic.gov.au. Las condiciones de uso están en /terms.