chelito.app

Política de privacidad

Última actualización: 5 de noviembre de 2026 · English version

1. Quiénes somos

Chelito (https://chelito.app) es una aplicación web para llevar el presupuesto personal o del hogar: gastos, ingresos, cuentas, deudas, ahorro y reparto de gastos entre personas. Esta política explica qué datos recogemos, para qué los usamos, con quién los compartimos, cuánto tiempo los guardamos y cómo puedes borrarlos. Responsable: el equipo de Chelito, contacto privacidad@chelito.app.

2. Datos que recogemos

a) Datos de tu cuenta

  • Nombre, correo electrónico y contraseña (guardada solo como hash, nunca en texto plano) si te registras con correo.
  • Si entras con Google: recibimos de Google tu nombre, tu correo, si el correo está verificado y tu foto de perfil (alcances openid, email y profile). Los usamos solo para crear tu cuenta, iniciar sesión y mostrar tu nombre en la app.
  • Datos de sesión: fecha, dirección IP y tipo de navegador de cada sesión abierta, para mantenerte conectado y por seguridad.

b) Datos que tú registras

Gastos, ingresos, presupuestos, categorías, cuentas y sus saldos, transferencias, deudas, metas de ahorro, seguros, las personas de tu hogar y los archivos de Excel que importes. Estos datos solo los ven las personas que pertenecen a tu hogar.

c) Suscripción y pagos

Los pagos los procesa Stripe. Chelito no recibe ni guarda los datos de tu tarjeta: solo guardamos el estado de la suscripción de tu hogar (activa, cancelada, fecha de renovación), los identificadores de cliente y de suscripción en Stripe y quién la paga. Stripe trata tus datos de pago según su propia política de privacidad.

d) Notificaciones

Si activas las notificaciones push, guardamos la dirección de suscripción que entrega tu navegador y tus preferencias de avisos.

e) Dictado con IA (opcional)

Si usas «Dictar con IA» al registrar un gasto, enviamos a nuestro proveedor de inteligencia artificial (actualmente DeepSeek) el texto que dictaste o escribiste, junto con los nombres de tus categorías, cuentas, tarjetas, préstamos y personas del hogar, solo para convertirlo en un gasto que tú revisas antes de guardar. No guardamos el texto dictado ni lo escribimos en los registros, y nunca enviamos datos de Gmail al proveedor de IA (ver la sección 3). Si no usas el dictado, no se envía nada. El reconocimiento de voz lo hace tu navegador o tu teléfono, no Chelito.

f) Asistente con IA (opcional)

Si le haces preguntas al Asistente, enviamos a nuestro proveedor de inteligencia artificial tu pregunta, un resumen de tus finanzas y los resultados de las consultas que necesite (por ejemplo, tus gastos de un mes), solo para responderte. Tus conversaciones se guardan cifradas (AES-256 con una clave propia de cada persona, que no está en la base de datos), solo las ves tú y se borran solas a los 90 días sin actividad. Puedes borrarlas antes, una por una o todas, desde el Asistente. Los gastos, ingresos y pagos que confirmaste desde un correo del banco quedan fuera de todo lo que lee el Asistente, también de los totales y saldos: nunca enviamos datos de Gmail, ni originales ni derivados, al proveedor de IA (ver la sección 3).

g) Datos de Gmail (opcional)

Ver la sección 3.

3. Uso de los datos de Gmail

Conectar Gmail es opcional y separado del inicio de sesión. Si lo conectas, la app pide el alcance de solo lectura https://www.googleapis.com/auth/gmail.readonly y lo usa únicamente para esta función, visible para ti en la pantalla «Detectadas»: proponerte automáticamente los consumos y transferencias que te notifica tu banco, para que no tengas que escribirlos a mano.

  • Solo se procesan los correos de estos remitentes de bancos: Popular (notificaciones@popularenlinea.com); BHD (alertas@bhd.com.do); Banreservas (notificaciones@banreservas.com, notificacionestubancoapp@banreservas.com); Qik (notificaciones@qik.do); APAP (no-reply@apap.com.do); Santa Cruz (notificaciones@bsc.com.do); Scotiabank (alertas@scotiabank.com).
  • De esos correos guardamos el remitente, el asunto, la fecha y el cuerpo, y extraemos el monto, la moneda, el comercio o destinatario, la fecha y los últimos 4 dígitos de la tarjeta o cuenta.
  • De cualquier otro correo solo se consulta el remitente para descartarlo: no se lee su contenido ni se guarda nada.
  • Guardamos tu dirección de Gmail y los tokens de acceso de Google, cifrados con AES-256-GCM.

Lo que no hacemos con los datos de Gmail:

  • No enviamos, borramos ni modificamos correos.
  • No los vendemos ni los compartimos o transferimos a terceros, salvo a los proveedores de infraestructura de la sección 5 para operar la función, cuando la ley lo exija o para proteger la seguridad del servicio.
  • No los usamos para publicidad, perfiles de marketing ni para evaluar créditos.
  • No los enviamos a ningún servicio de inteligencia artificial, ni los datos originales ni los derivados (como los gastos que confirmas desde un correo, o totales y saldos que los incluyan). Leemos los correos con lectores propios para cada banco, sin IA. Las funciones con IA (dictado, Asistente y plan de deudas) excluyen por código todo lo que vino de Gmail.
  • No los usamos para crear, entrenar ni mejorar modelos de inteligencia artificial, ni propios ni de terceros.
  • Ninguna persona lee tus correos. El proceso es automático; solo se accedería a ellos con tu permiso expreso (por ejemplo, para resolver un error que reportes), si la ley lo exige o por seguridad.

Las transacciones detectadas y los correos guardados son privados de tu usuario: ni las otras personas de tu hogar los ven. Solo pasan a ser del hogar las que tú confirmas como gasto o ingreso.

El uso y la transferencia de la información recibida de las APIs de Google cumplen la Google API Services User Data Policy, incluidos los requisitos de Uso Limitado (Limited Use).

The use of raw or derived user data received from Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements.

4. Para qué usamos los datos

  • Dar el servicio: guardar tus registros, calcular presupuestos, saldos y repartos, y mostrarlos a tu hogar.
  • Enviarte los avisos que activaste (push o correo): presupuesto, pagos de deudas, seguros y el resumen del mes.
  • Seguridad: evitar accesos no autorizados y abusos.

No vendemos datos personales ni mostramos publicidad.

5. Con quién compartimos datos

Solo con proveedores que necesitamos para que la app funcione, que procesan los datos por cuenta nuestra:

  • Vercel: alojamiento de la aplicación.
  • Turso: base de datos donde se guardan los datos.
  • Resend: envío de correos (invitaciones y resumen mensual).
  • Stripe: cobro de la suscripción. Recibe tu correo y los datos que ingreses al pagar.
  • DeepSeek (u otro proveedor de IA que lo reemplace, que indicaremos aquí): interpreta el texto de los gastos que dictas, si usas esa función. Sus servidores pueden estar fuera de la República Dominicana.
  • Google: inicio de sesión con Google y lectura de Gmail, si los usas.
  • El servicio de notificaciones de tu navegador (Google, Apple o Mozilla), para entregar los avisos push.

También podríamos divulgar datos si una autoridad competente lo exige conforme a la ley.

6. Cuánto tiempo los guardamos

  • Tus registros y tu cuenta: mientras tengas la cuenta. Si pides borrarla, se eliminan en un máximo de 30 días.
  • Datos de Gmail: mientras Gmail esté conectado. Al desconectarlo se borran de inmediato los correos guardados y los tokens.
  • Sesiones: hasta que cierres sesión o venzan.

7. Seguridad

  • Toda la comunicación usa HTTPS.
  • Los tokens de Google se guardan cifrados (AES-256-GCM) y las contraseñas como hash.
  • El contenido de los correos no se escribe en los registros del servidor.
  • Cada hogar solo puede ver sus propios datos.

8. Tus derechos y cómo borrar tus datos

  • Desconectar Gmail: en Ajustes → Importar consumos desde Gmail → Desconectar. Se revoca el acceso en Google y se borran los correos guardados. También puedes quitar el acceso desde tu cuenta de Google.
  • Exportar tus datos: en Ajustes → Exportar a Excel.
  • Corregir o borrar registros: desde la app, en cualquier momento.
  • Borrar tu cuenta completa: escríbenos a privacidad@chelito.app desde el correo de tu cuenta y la borramos con todos sus datos.

Tratamos los datos conforme a la Ley 172-13 de la República Dominicana sobre protección de datos personales.

9. Menores de edad

Chelito no está dirigida a menores de 18 años y no recogemos a sabiendas datos de menores.

10. Cambios a esta política

Si la cambiamos, actualizamos la fecha de arriba y, si el cambio es importante, te avisamos en la app o por correo.

11. Contacto

Para cualquier pregunta sobre privacidad o para ejercer tus derechos: privacidad@chelito.app.

Consulta también las Condiciones del servicio.

Privacy Policy (English)

Last updated: November 5, 2026. In case of discrepancy, both versions have the same meaning.

Who we are

Chelito (https://chelito.app) is a web app to manage a personal or household budget. Contact: privacidad@chelito.app.

Data we collect

  • Account data: name, email and a hashed password. With Sign in with Google we receive your name, email address, email verification status and profile picture (scopes openid, email, profile), used only to create your account, sign you in and display your name.
  • Session data: date, IP address and browser type, for keeping you signed in and for security.
  • Data you enter: expenses, income, budgets, accounts, transfers, debts, savings goals, insurance and household members. Only members of your household can see it.
  • Push notification subscription and notification preferences, if you enable them.
  • Subscription: payments are processed by Stripe. We never receive card details; we only store your household’s subscription status, renewal date, Stripe customer and subscription IDs and who pays.
  • AI assistant (optional): your question, a summary of your finances and the results of the read-only lookups it needs are sent to our AI provider solely to answer you. Conversations are stored encrypted (AES-256 with a per-user key that is not stored in the database), are visible only to you, and are deleted automatically after 90 days of inactivity; you can delete them sooner. Expenses, income and payments you confirmed from a bank email are excluded from everything the assistant reads, including totals and balances: raw or derived Gmail data is never sent to the AI provider.
  • AI dictation (optional): if you use “Dictar con IA”, the text you dictate or type, plus the names of your categories, accounts, cards, loans and household members, is sent to our AI provider (currently DeepSeek) solely to turn it into an expense you review before saving. The dictated text is not stored or logged. Gmail data is never sent to the AI provider. Speech recognition is done by your browser or device.

Gmail data (optional)

Connecting Gmail is optional. If you connect it, the app requests the read-only scope https://www.googleapis.com/auth/gmail.readonly and uses it solely to provide one user-facing feature: automatically suggesting the card purchases and transfers your bank notifies you about by email, shown in the “Detectadas” screen for you to confirm.

  • Only messages from these bank senders are processed: Popular (notificaciones@popularenlinea.com); BHD (alertas@bhd.com.do); Banreservas (notificaciones@banreservas.com, notificacionestubancoapp@banreservas.com); Qik (notificaciones@qik.do); APAP (no-reply@apap.com.do); Santa Cruz (notificaciones@bsc.com.do); Scotiabank (alertas@scotiabank.com).
  • From those messages we store the sender, subject, date and body, and extract amount, currency, merchant or counterparty, date and the last 4 digits of the card or account.
  • For any other message only the sender is checked in order to skip it; its content is not read or stored.
  • We store your Gmail address and Google OAuth tokens encrypted with AES-256-GCM.
  • We never send, delete or modify emails.
  • We do not sell Gmail data or transfer it to third parties, except to the infrastructure providers listed below as needed to provide the feature, to comply with applicable law, or for security purposes.
  • We do not use Gmail data for advertising, user profiling or credit decisions.
  • We never transfer Gmail data, raw or derived, to any AI/ML service, and never use it to create, train or improve any AI/ML model. Bank emails are parsed by our own deterministic, bank-specific parsers, without AI. Our optional AI features (dictation, assistant and debt plan) exclude, in code, every record created from a Gmail message, including its share of any total or balance.
  • No human reads your emails, unless you give explicit consent for specific messages (e.g. to troubleshoot an issue you report), it is necessary for security purposes, or it is required by law.
  • Detected transactions and stored emails are private to your user; other household members cannot see them until you confirm them.

Chelito’s use and transfer of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

The use of raw or derived user data received from Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements.

How we use data

To provide the service, to send the notifications you enabled, and for security. We do not sell personal data and show no ads.

Sharing

Only with service providers that process data on our behalf: Vercel (hosting), Turso (database), Resend (email delivery), Stripe (payments), Google (sign-in and Gmail, if used), our AI provider for dictation (currently DeepSeek, servers may be outside the Dominican Republic, only if you use dictation) and your browser’s push service. We may disclose data if required by law.

Retention and deletion

  • Account and records: kept while your account exists; deleted within 30 days after you request deletion.
  • Gmail data: kept while Gmail is connected. Disconnecting (Settings → Gmail → Disconnect) revokes access and immediately deletes stored emails and tokens. You can also revoke access at myaccount.google.com/permissions.
  • To delete your whole account, email privacidad@chelito.app from your account’s address.

Security

HTTPS everywhere, encrypted Google tokens, hashed passwords, no email content in server logs, and strict per-household data isolation.

Children

Chelito is not directed to children under 18.

Changes and contact

We will update the date above when this policy changes. Questions: privacidad@chelito.app.