Lo que podemos ver, y lo que no.

El único sitio por donde tus palabras viajan legibles.

Todo lo que guardamos.

Esta es la lista entera, no una selección.

• La dirección de correo con la que entras

  Es cómo entras y cómo te escribimos por cosas de tu cuenta. Es el único dato personal legible que guardamos a propósito.

• Huellas ilegibles del correo y de la dirección IP

  Hashes de una sola dirección, con clave, que sirven para frenar el abuso del acceso y de los límites de seguridad. No se pueden revertir al original.

• Tus conversaciones, tu memoria, tus planes de práctica y tus respuestas al cuestionario, como bytes sellados

  Se cifran en tu dispositivo antes de salir. No tenemos la llave, así que no podemos leerlos: ni para dar soporte, ni para entrenar, ni bajo presión.

• El progreso en las lecciones y las opciones que marcas

  Qué lecciones terminaste y qué opción fija elegiste. Nunca texto libre.

• En qué idioma escribirte

  Uno de los idiomas en los que se publica la app, para que el correo te llegue en el que lees. La app lo toma de tu dispositivo y nunca nos lo pregunta. No dice nada de ti más allá de en qué idioma lees.

• El estado de tu suscripción

  Si estás en prueba, suscrito o caducado, sincronizado con Stripe. Los números de tarjeta no nos tocan nunca; van directos a Stripe.

• Marcas de tiempo, recuentos y costes acumulados

  Cuándo entras, cuántos mensajes mandas y a qué hora. También guardamos un total mensual de lo que nos cuesta generar tus respuestas. Eso es una longitud y un precio, nunca lo que escribiste. Facturación y prevención de abuso, nada más, aunque lo decimos claro: los patrones de horarios son en sí mismos una señal, y esta es la más fuerte que podemos ver.

Lo que no está en la lista, porque no existe: rastreadores publicitarios de terceros, analítica sobre lo que escribes, perfiles de tus síntomas y venta de datos. No hay nada que vender: no podemos leer lo único que valdría algo.

Cookies: entrar activa las cookies imprescindibles que te mantienen dentro. Llegar desde un enlace activa una más, una sola palabra para decir de dónde viniste (un anuncio de búsqueda, Instagram, ningún sitio en concreto), elegida de una lista corta y fija, sin ningún identificador dentro, y que desaparece a los 30 días. La guardamos solo como un recuento diario de cuánta gente trajo cada fuente, para saber cuál merece el dinero; nunca se une a una cuenta. Llegar por el enlace de invitación de alguien activa una más, el código de ese enlace, que se lee una vez al crear la cuenta y después solo como hash: nunca guardamos un registro legible de quién invitó a quién. Elegir un idioma activa una más, que guarda un idioma y nada más, para que el correo te llegue en el que lees. Las dos herramientas de analítica que se nombran más abajo ponen sus propias cookies de origen en las páginas públicas.

Llegar por un anuncio de Google activa una más, y esta conviene explicarla entera. Guarda el identificador de clic que el propio Google puso en el enlace: nada que nos hayamos inventado sobre ti, y nada que funcione en ningún otro sitio. Lo usamos para decirle a Google que un anuncio llevó a alguna parte: que se confirmó una dirección, que se creó una cuenta, que empezó una prueba o que se hizo un pago. Cuatro hechos, cada uno con una hora, cada uno atado a ese clic y a ningún nombre, dirección ni respuesta. Nunca le enviamos a Google tu dirección de correo ni nada que hayas escrito o pulsado aquí, y cada uno de esos informes lleva la instrucción explícita de no usarlo para personalizarte publicidad. Se borra a los 90 días, y si nunca llegaste por un anuncio no se activa siquiera. Así es como averiguamos qué anuncios merecen el dinero; si pudiéramos hacerlo sin un identificador por clic, lo haríamos.

Quién lo procesa.

Siete empresas tocan alguna parte de la lista de arriba, cada una para un solo trabajo. Ni socios publicitarios ni intermediarios de datos.

• Anthropic

  Ejecuta el modelo de inteligencia artificial. El único sitio por donde tus palabras viajan sin cifrar, como se explica arriba. Retención cero de datos: las entradas y las salidas no se conservan después de la petición y no se usan para entrenar.

• Stripe

  Pagos. Los datos de tu tarjeta van a Stripe, nunca a nosotros. Al registrarte se crea un cliente de Stripe con tu dirección de correo, para que la facturación funcione en cuanto la quieras, llegues a pagarnos algo o no.

• Resend

  Envía los enlaces de acceso y los correos de facturación. Ve tu dirección de correo.

• Vercel

  Aloja el sitio web y guarda sus registros de servidor, que es donde se vigilan los errores. El camino de la inteligencia artificial está hecho para no registrar nada, así que lo que escribes no les llega.

• MongoDB Atlas

  Almacena los datos de la lista de arriba, bytes sellados incluidos.

• Microsoft Clarity

  Analítica de interacción y repetición de sesiones en las páginas públicas: cómo se mueve la gente por ellas. Está apagado en el chequeo gratuito y en cualquier página que abras desde un enlace que te mandamos por correo, así que nadie reproduce tus respuestas, y no funciona dentro de la app, ni cerca de nada de lo que escribes.

• Google Analytics

  Recuento de visitas, fuentes de tráfico y qué botón se pulsó, en las páginas públicas: cuánta gente llega, desde dónde y si siguió adelante. Las señales de publicidad y la personalización de anuncios están apagadas, el token de un enlace que te mandamos por correo se quita antes de contar la página, y terminar el chequeo gratuito no se les envía nunca. No funciona dentro de la app, y no está cerca de nada de lo que escribes.

• Google Ads

  Si llegaste por uno de nuestros anuncios, le decimos a Google cuándo ese clic llevó a una dirección confirmada, a una cuenta, a una prueba o a un pago, y así sabemos qué anuncios merecen el dinero. Lo que se envía es el identificador de clic del propio Google y una hora, nunca tu dirección de correo, nunca nada que hayas escrito o respondido, y cada informe dice de forma explícita que no debe usarse para personalizarte publicidad. En ninguna página de aquí se ejecuta una etiqueta de Google Ads.

La mayoría de estas empresas están en Estados Unidos, así que los datos que maneja cada una cruzan fronteras: tu dirección de correo hacia Stripe y Resend, los registros de servidor hacia Vercel, y la única llamada al modelo sin cifrar hacia Anthropic. Tus conversaciones selladas también cruzan fronteras, y allí siguen siendo tan ilegibles como aquí: la llave no viaja en ningún momento.

Quien da soporte ve metadatos, nunca palabras.

Un administrador puede buscar una cuenta por correo y ver los mismos metadatos de la lista de arriba, estado, horas de acceso, situación de la suscripción, para ayudar con la facturación o con el acceso. Cada acción de administración queda registrada con quién la hizo y cuándo. Un administrador no puede leer una conversación, por la misma razón que no puede nadie más: la llave no está aquí.

Borrar, y que te olviden.