Cómo protegemos vuestros datos

Couple’s Weekly Check-in guarda algunas de las informaciones más personales que dos personas pueden confiar a un software: aprecios, fricciones, lo que cada uno está cargando. La privacidad no es un eslogan de marketing para nosotros, es una restricción de diseño. Esta página explica con claridad lo que hacemos para que podáis verificar nuestras afirmaciones.

Cifrado en reposo

Cada respuesta de check-in, cada resumen sereno, cada acuerdo semanal, cada rechazo de acuerdo y cada memoria compartida se cifra con AES-256-GCM (un algoritmo de cifrado autenticado) antes de llegar a la base de datos. La clave de cifrado vive en la aplicación y nunca se escribe en la base. Incluso un volcado completo de la base solo entregaría texto cifrado.

Cifrado en tránsito

Todo el tráfico viaja por HTTPS. Enviamos una cabecera Strict-Transport-Security que obliga a vuestro navegador a usar HTTPS durante dos años, subdominios incluidos.

Autenticación de dos factores en cada inicio de sesión

Cada inicio de sesión con correo electrónico y contraseña requiere un segundo factor. No es posible iniciar sesión solo con la contraseña. Por defecto os enviamos un código de 6 dígitos a vuestra dirección cada vez, para que el segundo factor funcione para todo el mundo sin configuración, sin una app adicional y sin códigos de recuperación que extraviar. Si preferís inicios de sesión más rápidos, podéis configurar una aplicación de autenticación (TOTP) en los Ajustes, e incluso entonces podéis recurrir siempre al código por correo si no tenéis el teléfono a mano.

Borrado automático que vosotros controláis

En Ajustes podéis activar el borrado automático y elegir un período entre 14 y 730 días (dos años). Una vez activado, una tarea diaria elimina permanentemente cualquier check-in más antiguo que la ventana elegida, incluyendo respuestas, acuerdos e historial de rechazos. El borrado automático está desactivado por defecto. Activarlo o cambiar el valor requiere el acuerdo de ambos miembros de la pareja.

Borrado bajo demanda

También podéis borrar un check-in concreto, salir de la pareja o eliminar vuestra cuenta cuando queráis. Las eliminaciones son inmediatas y en cascada. Nada queda en un limbo de borrado suave.

Exportación de datos (artículo 20 del RGPD)

Ajustes → «Descargar mis datos» exporta vuestro historial completo como un fichero JSON descifrado para conservar, archivar o mover a otro sitio. Nunca cobramos por esto y nunca lo limitamos.

Sin analíticas de comportamiento, sin entrenamiento de IA

No usamos Google Analytics, ni PostHog, ni Sentry, ni Segment, ni ningún otro rastreador de comportamiento. No ponemos cookies publicitarias. El contenido de vuestros check-ins nunca se usa para entrenar ningún modelo de IA, ni el nuestro ni el de nadie más.

La única excepción es la medición de registros de Google Ads: a quienes llegan desde un anuncio de Google pagado se les pregunta por su consentimiento en un banner. Solo si lo aceptan, leemos el identificador de clic de la URL y enviamos una señal de conversión servidor-a-servidor a Google. Sin cookies, sin etiqueta del lado del cliente, sin seguimiento entre sitios. Puede retirar el consentimiento en cualquier momento mediante «Preferencias de privacidad» en el pie de página. Más detalles en la política de privacidad.

Subencargados

Los siguientes terceros reciben datos limitados para que el producto funcione:

• Railway aloja la aplicación y la base PostgreSQL. Los campos sensibles se cifran antes de escribirse, de modo que Railway solo ve texto cifrado en esas columnas.
• OpenAI recibe las respuestas descifradas en el momento en que se genera vuestro resumen semanal o vuestro acuerdo. Las condiciones de la API de OpenAI prohíben usar las entradas para entrenar sus modelos.
• Resend envía los correos transaccionales (códigos de inicio de sesión, recordatorios, confirmaciones de borrado, avisos a la pareja). Recibe vuestra dirección, vuestro nombre y el contenido del correo, y nunca recibe el contenido de los check-ins.
• Google Ireland Limited (Google Ads) solo se activa para visitantes que llegan desde un anuncio de Google pagado y aceptan el banner de consentimiento. Recibe bien el identificador de clic (gclid, gbraid o wbraid) bien un hash SHA-256 de vuestra dirección de correo verificada, más el nombre de la conversión y una marca temporal, enviados servidor-a-servidor al verificar el correo o crear un espacio de check-in. Nunca recibe el contenido de los check-ins, vuestra dirección de correo en claro ni datos de navegación.

Cuando activemos las suscripciones de pago, se añadirá un proveedor de pagos y se nombrará aquí y en la política de privacidad.

Protecciones a nivel del navegador

Cada respuesta establece una Content-Security-Policy, X-Frame-Options: DENY (para que la app no pueda incrustarse en otro sitio con fines de phishing), X-Content-Type-Options, Referrer-Policy y una Permissions-Policy que niega cámara, micrófono y geolocalización.

Registros de errores sin datos personales

Los registros de errores del servidor nunca serializan el contenido de los check-ins, acuerdos, riesgos privados u otros campos sensibles. Solo registramos el nombre del error, un mensaje corto y una pequeña lista blanca de identificadores (por ej. el ID de la pareja) para poder depurar sin filtrar contenido.

Reportar una vulnerabilidad

Si encontráis un problema de seguridad, escribid a weeklycheckinapp@gmail.com en lugar de abrir un issue público. Confirmamos los reportes en dos días laborables.