Política de privacidad

Esta política cubre la aplicación Pendi para Android. Está escrita para coincidir con lo que la app realmente hace: cada afirmación de abajo se basa en el comportamiento que la app tiene instalada.

Versión 2. Fecha de vigencia: 9 de octubre de 2026. Última actualización: 9 de octubre de 2026. Responsable del tratamiento: Elkin Eduardo Cardoso Leyton, desarrollador independiente, Colombia. Domicilio: Carrera 4c Bis #39-24, Ibagué, Tolima, 730006, Colombia. Teléfono: +573134681880. Contacto: [email protected].

Quién responde por tus datos

Pendi lo desarrolla y lo publica Elkin Eduardo Cardoso Leyton, una persona natural que trabaja como desarrollador independiente en Ibagué, Colombia. No hay una empresa detrás. Él es el responsable del tratamiento de los datos que describe esta política, el mismo para quien use Pendi desde cualquier país, y no tiene oficinas en otros países. Su domicilio es Carrera 4c Bis #39-24, Ibagué, Tolima, 730006, Colombia, y su teléfono es +573134681880. El canal para cualquier pregunta o solicitud sobre tus datos es el correo [email protected], el mismo que aparece en Soporte y en Eliminar tu cuenta.

Pendi se publica desde Colombia, así que sobre tus datos personales aplican la Ley 1581 de 2012 y el Decreto 1377 de 2013. Si vives en Brasil, también aplica la ley de protección de datos de Brasil, y la sección «Si vives en Brasil», más abajo, dice lo que añade.

Para qué usamos tus datos y con qué base

Cada uso tiene su razón. Los que dependen de tu consentimiento los enciendes tú y los apagas cuando quieras; los demás son los que hacen falta para darte lo que pediste.

• Que la app funcione en tu teléfono. Lo que guardas se queda en tu teléfono y no nos llega.
• Detectar tus gastos en las notificaciones. Incluye datos de dinero de tus bancos y billeteras. Base: tu consentimiento expreso, al aceptar los términos de uso y al conceder el acceso a notificaciones. Lo apagas en Ajustes.
• El asistente de IA. Base: tu consentimiento expreso en la pantalla Ayuda con IA, que incluye que los fragmentos se procesen fuera de tu país. Lo retiras en Ajustes > IA.
• El directorio de comercios. Base: lo que una empresa imprime en su recibo describe a la empresa, no a una persona. El directorio admite un comercio solo cuando el recibo imprime una forma de sociedad y un NIT de empresa colombiano que se comprueba, así que cada comercio que admite es, en su recibo, una empresa en Colombia, cuya ley de protección de datos cubre la información de personas naturales. La app está hecha para no enviar nunca el comercio de una persona; si una lectura errada del papel aun así lo hace pasar por empresa, al corregir el comercio en la app, Pendi borra de su directorio a toda la empresa, por su NIT, y la deja fuera 90 días (mira Datos de los comercios en tus recibos). El directorio guarda los datos que la empresa imprime y nada sobre sus dueños o su personal; si el nombre propio o el teléfono de una persona aparece impreso como el de la empresa, esa persona puede pedirnos que lo quitemos escribiendo al correo de contacto que aparece al inicio de esta política, sin cuenta de Pendi, y una empresa que quitamos por una solicitud escrita, sea de esa persona o de la propia empresa, queda fuera del directorio para siempre. La marca semanal de quien aporta, que evita que tu reporte se cuente dos veces en una semana, está para mantener el directorio libre de abusos, y se apoya en tu autorización al aceptar los términos de uso, que nombran el reporte al directorio con el que viaja.
• Espacios compartidos y copia del espacio Personal. Base: lo pides al crear un espacio o unirte a uno, o al encender la copia, y lo aceptas en el aviso que la app te muestra antes. Se detiene al salir del espacio o al apagar la copia.
• Tu cuenta, la sesión anónima, las cuotas de IA y el registro para notificaciones. Base: hacen falta para darte las funciones que usas.
• La prueba gratis y tus compras. Base: el contrato que aceptas con los términos de uso y al comprar.
• Los reportes de fallos. Base: mantener la app funcionando para todos, y tu autorización al aceptar los términos de uso, que los mencionan. No tienen un interruptor propio (mira Tus derechos sobre tus datos).
• Comentarios, dictados y formatos que compartes. Base: tu consentimiento, cada vez que escribes un comentario, enciendes el envío de dictados o confirmas compartir un formato.
• Vistas previas de enlaces. Base: lo pides al guardar el enlace.

Ninguno de estos usos es para publicidad, y no vendemos ni alquilamos datos.

Datos guardados en tu dispositivo

Tareas, listas, presupuestos, cuentas, movimientos, categorías, personas, recordatorios y ajustes se guardan localmente en el almacenamiento privado de la app. Las copias de seguridad las inicias tú, van cifradas y se guardan donde tú elijas. Desinstalar la app borra sus datos locales.

Detección de transacciones (acceso a notificaciones)

Si activas la detección, la app lee las notificaciones del sistema de las fuentes que estén activas, para reconocer avisos de pago y convertirlos en movimientos que tú confirmas. Cuáles arrancan activas depende de cómo la app identifica a cada una, y de si alguna vez has elegido fuentes tú mismo. En un teléfono donde no lo has hecho, la app que tu teléfono usa para los SMS y las apps de mensajería y de correo que nombra la lista de la app arrancan activas; en un teléfono donde sí lo has hecho, ese mismo cambio se te ofrece en un toque en lugar de hacerse por ti. Esas son CANALES: llevan el mensaje de otro y no tienen pase libre, así que una notificación suya solo se procesa cuando trae al tiempo un monto y una palabra de dinero, y un mensaje corriente se descarta sin quedar guardado. Las apps de banco y de billetera que la app encuentre instaladas desde una tienda reconocida también arrancan activas, sujetas a esa misma regla del dinero, hasta que con un toque abras esa fila al resto de sus avisos, incluidos los que no traen cifra. Cualquier otra app que la lista nombre, encontrada instalada desde una tienda reconocida, también arranca activa bajo la regla del dinero. Una app identificada solo por lo que sabe hacer y no por su nombre, y cualquier app instalada por fuera de una tienda reconocida, quedan listadas y apagadas hasta que tú las enciendas, igual que el resto de la lista. Una app de banco o de billetera que la lista nombre y que enciendas tú se lee parezca o no dinero, porque eso fue lo que pediste al encenderla. Toda fuente se puede apagar, una por una o todas de una vez. La lectura y la interpretación ocurren en tu dispositivo, y el texto completo de la notificación nunca sale del teléfono.

Esto es lo que sí puede salir. Cuando aceptas el asistente durante la configuración inicial, y mientras siga encendido, la app envía sola, sin que tengas que tocar nada, un fragmento reducido de la notificación para preguntar por la categoría del gasto, apenas la captura llega a la bandeja. Antes de que ese fragmento salga, en el propio teléfono se eliminan los correos electrónicos, las terminaciones de cuenta o de tarjeta enmascaradas y cualquier secuencia de cuatro dígitos o más, así que los números de cuenta y de tarjeta no salen. Lo que viaja es ese texto ya limpio: completo si tiene hasta 280 caracteres, y si es más largo, solo el pedazo alrededor del comercio; y en la pregunta por la categoría el monto va enmascarado a su forma ($###.###) en lugar de enviarse, porque esa respuesta nunca necesitó la cifra real. Tus nombres de categoría viajan con él como la lista de opciones entre las que elegir, ordenados desde el que más usas, y ese orden es en sí mismo información sobre en qué gastas. Puedes desactivar cualquier fuente, o toda la detección, en cualquier momento.

Cuenta opcional y espacios compartidos

La app puede operar una sesión anónima ligera (sin correo, sin contraseña) para habilitar su nivel de IA gestionada y el contenido compartido. Si compartes un espacio con tu familia, el contenido de ese espacio compartido (sus tareas, listas, presupuestos y movimientos) se sincroniza a través de Google Firebase (Firestore) para que los miembros vean los mismos datos. Tu espacio Personal no se sube a menos que actives Ajustes > Cuenta > Copia de seguridad del espacio Personal. Cuando lo activas, su contenido se sube a Firestore bajo tu propia cuenta, donde solo esa cuenta puede leerlo, y ahí se queda hasta que elimines la cuenta. La infraestructura de Google procesa estos datos como nuestro proveedor; no los vendemos ni los usamos para publicidad.

Funciones de IA

Existen dos niveles. Se usan para sugerir la categoría de un gasto, interpretar lo que dictas por voz y ayudarte a crear una regla.

Pendi IA (gestionada). Los fragmentos reducidos que se describen arriba viajan a un servicio propio alojado en Cloudflare Workers, que los pasa al modelo de lenguaje que los procesa. Las solicitudes tienen una cuota diaria, no las usamos para entrenar modelos y no llevan números de cuenta ni de tarjeta.

Con tu propia clave (Gemini). Si conectas una clave tuya de la API de Gemini, el fragmento va directo desde tu dispositivo a Google, bajo el acuerdo que tú tienes con Google por esa clave. Nosotros no recibimos ese fragmento, nunca vemos tu clave en nuestros servicios, y la clave se guarda cifrada en el dispositivo, protegida por el almacén de claves de Android. Ten en cuenta que las condiciones de Google para la API de Gemini dicen que, con una clave sin facturación, Google puede usar lo que envías para mejorar sus productos y que personas de su equipo pueden leerlo, y piden no enviar por esa vía datos personales. Si eso te importa, usa una clave con facturación activa, revisando antes las condiciones de Google, o el nivel gestionado.

Quién procesa los fragmentos del nivel gestionado

Este es el procesador al que el nivel gestionado enruta, con la empresa y la jurisdicción desde la que opera. Puede procesar tus fragmentos fuera de Colombia.

• Cloudflare, Inc. (Estados Unidos): opera Workers AI, el modelo que atiende las solicitudes del nivel gestionado.

Qué procesador atiende las solicitudes se decide en el servidor y puede cambiar sin publicar una versión nueva de la app, y por eso esta lista, y no las pantallas de la app, es donde se mantiene al día; si un cambio altera lo que dice esta política, lo anunciamos antes en el registro de cambios de la app.

Quién más recibe datos, a qué países viajan y con qué garantía

Además de los procesadores del asistente, estos terceros reciben datos cuando usas la función que los necesita, cada uno con la jurisdicción desde la que opera.

• Google LLC, Firebase (Estados Unidos y otros países donde Google tiene centros de datos): tu sesión y tu cuenta, que Google procesa solo en Estados Unidos; el contenido de los espacios compartidos y de la copia de seguridad del espacio Personal; los reportes de fallos; y el registro de tu teléfono para recibir notificaciones. Los datos de Firestore se guardan en el centro de Estados Unidos (la multirregión nam5 de Google). Actúa como nuestro proveedor.
• Cloudflare, Inc. (Estados Unidos): además de atender al asistente, aloja nuestro propio servicio, que guarda tus comentarios, los textos de dictado que decidas compartir, los reportes de formato (la plantilla de un aviso ya sin sus datos variables, la app de la que vino y tu identificador de cuenta), el registro de tu teléfono para notificaciones, el estado de tu compra, la fecha en que empezó tu prueba gratis, el directorio de comercios (los datos que las empresas imprimen en sus recibos, sin nada de las compras de nadie, y, de una empresa que se saca de él, solo su NIT, sin nombre ni teléfono, guardado 90 días tras una corrección desde la app y sin fecha de fin tras una solicitud escrita) y la marca semanal de quien aporta. Actúa como nuestro proveedor.
• Google, Google Play: cuando compras, Google Play cobra como agente nuestro y nuestro servicio le pregunta si la compra es válida. Los datos del pago los trata Google Play bajo sus propias condiciones; nosotros no los vemos.
• Google, Gemini, solo si usas tu propia clave: el fragmento va desde tu teléfono a Google bajo el contrato que tú aceptaste al crear la clave. Esas condiciones dicen que en el uso sin costo Google puede usar lo que envías para mejorar sus productos y que personas pueden revisarlo.
• El proveedor de voz de tu teléfono: cuando tu teléfono no tiene el paquete sin conexión, el audio va a ese proveedor, como explica «Dictado por voz». Nosotros no lo recibimos.
• Los sitios de tus enlaces: cuando guardas un enlace de YouTube o de TikTok en una lista de enlaces, o te llega uno al sincronizar, tu teléfono sigue sus redirecciones si es un enlace corto y consulta el servicio de vista previa de esa plataforma y su miniatura, para mostrarte el título y la imagen. Esos sitios, y el servidor de cualquier enlace que guardes, con sus redirecciones, ven la dirección del enlace y la dirección IP de tu teléfono. Nosotros no recibimos nada de esto.
• Wikimedia Foundation, Inc. (Estados Unidos): cuando abres en este sitio la página de una efeméride que muestra una imagen de Wikimedia Commons, tu navegador descarga esa imagen directamente de los servidores de Wikimedia, sin pasar por nosotros. Esos servidores ven la dirección IP de tu dispositivo, el tipo de dispositivo y su sistema operativo, el tipo y la versión de tu navegador, su preferencia de idioma, la imagen pedida y la hora de la solicitud, como con cualquier imagen que carga un navegador. La app no carga estas imágenes: abre estas páginas en tu navegador. Esos datos los trata Wikimedia bajo su propia política de privacidad. Nosotros no recibimos nada de esa solicitud.

Google, con Firebase, y Cloudflare los tratan como encargados: solo por nuestra cuenta y según nuestras instrucciones, bajo sus condiciones de tratamiento de datos. Google Play trata tu pago bajo sus propias condiciones, como la tienda donde compras. Estados Unidos puede proteger tus datos de forma distinta a como lo hace la ley de tu país; por eso los fragmentos salen minimizados, y por eso la app te pide autorización antes de enviarlos fuera del país y te avisa antes de subir un espacio o tu copia a la nube.

Lo que cada ley pide para que tus datos salgan del país, y cómo lo cumplimos: en Colombia, Argentina, Costa Rica, Ecuador, Nicaragua, Panamá, República Dominicana y Uruguay, tu autorización expresa, en la pantalla Ayuda con IA y en el aviso de los espacios compartidos y de la copia; en México, Google y Cloudflare son encargados y no hay transferencia; en Perú, y en Paraguay desde que su ley entre en vigor, lo que hace falta para darte el servicio que pediste, o tu autorización expresa.

En El Salvador, la ley pide que el país que recibe tus datos los proteja al menos como ella. Tus datos van a Google y Cloudflare, empresas de Estados Unidos, que los tratan como encargados bajo sus condiciones de tratamiento de datos.

Qué se envía en cada una de las tres solicitudes

El asistente hace tres clases de solicitud, y lo que sale del teléfono es distinto en cada una. Los datos personales y sensibles nunca salen del teléfono: lo que viaja va minimizado y enmascarado. Los nombres de tu familia se reemplazan por marcadores opacos antes de armar cualquier solicitud, y se eliminan los correos electrónicos, las terminaciones de tarjeta y cualquier secuencia de cuatro dígitos o más.

• La pregunta por la categoría, a partir de una notificación capturada: el mensaje ya limpio, completo si es corto (hasta 280 caracteres) o el pedazo alrededor del comercio si es más largo, con el monto enmascarado a su forma, más tus nombres de categoría como lista de opciones, ordenados desde el que más usas.
• Un dictado difícil: la frase que dictaste, con los nombres cambiados por esos marcadores y los identificadores eliminados, más tus nombres de categoría.
• Crear una regla: la plantilla del mensaje sin sus partes variables, nunca la notificación en bruto, más tus nombres de categoría.

El resumen semanal no es una de ellas: se calcula en tu teléfono y no le pide nada a la IA, así que nada sale del teléfono para él.

Cuándo empieza y cómo detenerlo

Una instalación nueva arranca en Pendi IA en lugar de arrancar sin asistente, así que el nivel gestionado es el que queda seleccionado, y la app te pide autorizar el envío durante la configuración inicial, en una pantalla que te muestra qué se enviaría y te dice que puede procesarse fuera de Colombia. El asistente queda activo cuando lo aceptas ahí. Si lo rechazas, o sales de la configuración sin aceptarlo, no sale nada: la solicitud se detiene en el teléfono, no se crea ninguna sesión y la app sigue funcionando con sus propias reglas. Si vienes actualizando desde una versión anterior de la app no vuelves a pasar por esa pantalla, y la respuesta que le hayas dado a una versión anterior de este aviso no se traslada a una versión cambiada: cuenta como si no hubieras respondido, el asistente se queda callado y la pregunta te la volvemos a hacer, sea la próxima vez que una función la necesite, sea desde la fila Ajustes > IA que abras tú. Cuando lo aceptas, la app inicia una sesión anónima en Firebase (sin correo, sin contraseña) para poder atribuir las solicitudes a una cuota. Puedes retirar esa autorización, o apagar el asistente, en Ajustes > IA; con el asistente apagado la detección sigue funcionando con las reglas locales de la app, el resto de la app es totalmente funcional, y lo demás que describe esta política (sincronización, copia de seguridad, registro para notificaciones) no se ve afectado porque nunca fue parte del asistente.

Dictado por voz

El dictado corre en tu dispositivo. Del audio se encarga el reconocedor de voz del propio Android, y la app nunca lo graba en un archivo, nunca lo guarda y nunca lo sube. Pendi pide primero el paquete sin conexión, y cuando tu teléfono no tiene uno para ese idioma el mismo reconocedor responde por la red, igual que hace el micrófono de tu teclado: el audio va al proveedor de voz de tu teléfono, bajo los términos de ese proveedor, y nunca a nosotros. Pendi no recibe ese audio ni tiene un acuerdo con ese proveedor: lo trata el proveedor, según el acuerdo que tienes con él en tu teléfono. En Ajustes > Voz puedes pedirle a Pendi que arranque con el reconocedor en línea y se salte el intento sin conexión.

En Ajustes > Voz hay un interruptor, “Mejorar Pendi con mis dictados”, y está apagado mientras no lo enciendas tú. Con él encendido pasan dos cosas a la vez. Tus dictados se guardan en el teléfono junto con lo que la app entendió de ellos, que es lo que permite reproducir y corregir una mala interpretación. Y el TEXTO que produjo el reconocedor, junto con el idioma en que lo dijiste, entra en cola y se nos envía para poder mejorar el analizador con frases reales en lugar de ejemplos inventados. No viaja nada más: ni el audio, ni lo que la app extrajo de la frase, ni dónde quedó guardada. El envío espera a que haya red, así que estar sin conexión lo demora y nunca lo pierde, y se atribuye a tu cuenta igual que el canal de comentarios.

Apagar el interruptor detiene el envío, borra los dictados guardados en el teléfono y descarta lo que estuviera esperando salir. No borra lo que ya llegó; para eso escribe a la dirección de contacto de arriba. El ajuste se deja deliberadamente fuera de las copias de seguridad, así que restaurar una copia en un teléfono nuevo nunca te deja el envío encendido.

Contactos

Solo si usas la función de importar contactos, y solo en el momento en que eliges un contacto, la app lee de esa entrada el nombre, el número de teléfono y la foto para crear una persona en tu espacio. La foto necesita el permiso de Contactos y la app te lo pide ahí mismo; el nombre y el teléfono se importan sin ningún permiso. No hay acceso a contactos en segundo plano ni lectura masiva de tu agenda. Si más adelante guardas a esa persona dentro de un espacio compartido, su nombre, su teléfono y el correo que hayas escrito se sincronizan a Firestore con el resto del espacio, y la foto se queda en tu dispositivo.

Vistas previas de enlaces

Cuando guardas un enlace en una lista de enlaces, la app intenta mostrarte su vista previa, y para eso tu teléfono puede conectarse directamente, sin pasar por nosotros, con el servidor del enlace y con cada servidor al que ese enlace redirige. Si el enlace es de YouTube o de TikTok, además le pide a esa plataforma el título y la miniatura (www.youtube.com/oembed y www.tiktok.com/oembed) y descarga la miniatura del servidor que la plataforma indique. Esos servidores ven la dirección del enlace y la dirección IP de tu teléfono, como cuando abres un enlace en el navegador, y la tratan bajo sus propias políticas. Nosotros no recibimos nada de esto.

Formatos de notificación que compartes

Después de que creas una regla para un aviso que la app no reconocía, la app puede ofrecerte compartir ese formato para que Pendi lo aprenda. Es opcional, nunca está encendido por defecto, y antes de enviarlo te muestra exactamente lo que sale: la plantilla del mensaje, con montos, nombres, dígitos y fechas cambiados por marcadores, la app de la que vino y la forma de tu regla. Se guarda en nuestro servicio junto con el identificador de tu cuenta, para contar cuántas personas distintas compartieron el mismo formato. Si eliminas tu cuenta, ese identificador se cambia por uno al azar que no lleva a ti, y la plantilla se queda, porque ya no dice nada de ti.

Datos de los comercios en tus recibos

Cuando lees un recibo que imprime una forma de sociedad (como S.A.S. o LTDA) y un NIT de empresa que se comprueba con su dígito de verificación, Pendi envía a su propio servicio los datos públicos que esa empresa imprime en él (nombre, razón social, NIT, dirección, ciudad y teléfono) para armar un directorio de comercios compartido; si falta una de las dos cosas, nada del comercio sale del teléfono. No envía nada de lo que compraste, ningún monto y ninguna foto. La app está hecha para no enviar nunca el comercio de una persona; si una lectura errada del papel aun así lo hace pasar por empresa, al corregir el comercio en la app, Pendi lo borra de su directorio, y ningún comercio del directorio se comparte con nadie mientras lo haya reportado una sola instalación de la app. El reporte viaja con tu sesión, como toda solicitud de ayuda con IA: el servicio la usa para comprobar la solicitud y anota que llegó un reporte tuyo, sin el comercio. El directorio de comercios guarda el comercio sin tu cuenta y, para que tu reporte no se cuente dos veces en una semana, una marca de una sola vía que cambia cada semana, con cada comercio y con cada lugar; la semana se cuenta en hora universal y el reporte dice la semana de su marca; el servicio guarda el reporte solo cuando esa es la semana en curso o la anterior, y esa marca se borra cuando termina la semana: normalmente dentro de los ocho días siguientes, a más tardar unos días después si falla la tarea diaria, y la copia de respaldo de la base de datos la guarda hasta 30 días más; el registro del comercio se queda. Los datos de la empresa se quedan si eliminas tu cuenta, tus datos o la app.

El registro del comercio se queda en el directorio hasta que una corrección desde la app lo borre. La marca semanal de quien aporta se borra después de su semana.

Reporte de fallos

Las versiones de producción envían reportes de fallos anónimos (trazas de error, modelo del dispositivo, versión del sistema) a través de Firebase Crashlytics para poder corregir defectos. Los reportes de fallos no contienen contenido financiero ni el texto de tus notificaciones. Google documenta que conserva las trazas de fallos de Crashlytics y los identificadores asociados durante 90 días, y que después inicia su eliminación de los sistemas activos y de las copias de respaldo. Puedes leerlo en Privacidad y seguridad en Firebase.

La biblioteca de Firebase Analytics viaja dentro de la app porque es la pieza que acompaña a Crashlytics, pero su recolección está apagada en el manifiesto de la app, los permisos de identificador de publicidad que aportaría se eliminan del build y la app no registra ningún evento de analítica. Es decir: no se recopilan métricas de uso ni un identificador de instalación. Crashlytics es un producto aparte y sí funciona: los reportes de fallos que describe el párrafo anterior se envían.

Lo que nunca hacemos

• Sin anuncios.
• Sin venta de datos personales.
• Sin usar el contenido de tus notificaciones para publicidad.
• Sin identificadores de publicidad.
• Sin analítica de uso.
• Sin leer tus SMS.
• Sin acceder a ninguna notificación antes de que concedas el acceso a notificaciones, ni a las de una fuente que hayas apagado.
• Sin recopilar tu ubicación precisa.
• Sin subir el texto en bruto de tus notificaciones.
• Sin subir tu voz a nosotros, con cualquier ajuste (mira “Dictado por voz”, arriba, para lo que hace el proveedor de voz de tu teléfono cuando no tiene paquete sin conexión).

Eliminación de datos

Datos locales: usa Ajustes > Cuenta > Borrar los datos de este dispositivo, que borra de una vez todo lo que la app guarda en ese teléfono y cierra la sesión primero para que nada se vuelva a descargar, o desinstala la app, que hace lo mismo. También puedes seguir borrando por partes: el texto capturado en Ajustes > Detección de movimientos, los datos de ejemplo y el contenido del Baúl. Datos de un espacio compartido: un espacio que es tuyo se borra con todo lo que tiene cuando lo eliminas en la app o eliminas tu cuenta; lo que agregaste a un espacio de otra persona se queda allí (mira Cuánto tiempo guardamos tus datos). Apagar la copia de seguridad del espacio Personal deja de subir cosas nuevas, pero no borra lo que ya está subido; eso lo borra eliminar la cuenta. Datos de la sesión anónima y contadores de cuota de IA: solicita la eliminación por correo e incluye el identificador de tu espacio, que encuentras en Ajustes. Respondemos las solicitudes de eliminación en la dirección de contacto de arriba. Los pasos completos para eliminar tu cuenta están en Eliminar tu cuenta.

Cuánto tiempo guardamos tus datos

• En tu teléfono: hasta que lo borres, uses Borrar los datos de este dispositivo o desinstales la app.
• Contenido de un espacio compartido: hasta que el espacio se elimine. Un espacio que es tuyo se borra con todo lo que tiene cuando lo eliminas o eliminas tu cuenta. Lo que agregaste a un espacio de otra persona se queda en ese espacio: si sales, deja de estar en tu teléfono y las vistas previas de los archivos de tus notas salen del espacio; si eliminas tu cuenta, se queda allí sin tu nombre ni tu correo.
• Copia del espacio Personal: hasta que elimines la cuenta. Apagar la copia deja de subir cosas nuevas, pero no borra lo que ya subió.
• Tu cuenta o sesión anónima: hasta que elimines la cuenta en la app; si nos lo pides por correo, la eliminamos en máximo 30 días.
• Comentarios que nos escribes: hasta que elimines la cuenta, que los borra, o nos pidas borrarlos.
• Dictados que nos envías con “Mejorar Pendi con mis dictados”: hasta que elimines la cuenta, que los borra, o nos pidas borrarlos.
• Formatos que compartes: sin plazo; cuando eliminas la cuenta, tu identificador se cambia por uno al azar que no lleva a ti.
• Datos de los comercios en tus recibos: el registro del comercio se queda en el directorio hasta que una corrección desde la app lo borre, y la copia de respaldo de la base de datos guarda un registro borrado hasta 30 días más; cuando se saca una empresa, el servicio guarda solo su NIT, sin nombre ni teléfono, 90 días tras una corrección desde la app y sin fecha de fin tras una solicitud escrita; la marca semanal de quien aporta se borra después de su semana, normalmente dentro de los ocho días siguientes, y la copia de respaldo de la base de datos la guarda hasta 30 días más.
• Contadores de cuota de IA: se borran solos a las 48 horas.
• Fecha de inicio de la prueba gratis, guardada contra un resumen de una sola vía del identificador del teléfono: sin plazo, porque su único uso es que la prueba no vuelva a empezar al reinstalar.
• Reportes de fallos: Google documenta que los conserva 90 días.
• Fragmentos enviados al asistente: no los guardamos. Nuestro servicio los pasa al motor de IA y solo anota el registro técnico de la línea siguiente.
• Registro técnico de cada solicitud (tu identificador, la hora, la función usada, el resultado, cuántos tokens se usaron, tu plan, el motor usado y tamaños; nunca el contenido): nuestro servicio no lo guarda ni lo almacena en ningún sitio: el almacenamiento de registros está apagado en Cloudflare para nuestro servicio, así que el registro existe solo mientras se responde la solicitud.
• Registro para notificaciones: hasta 60 días después de la última vez que tu teléfono lo renovó.
• Estado de tus compras (el plan, hasta cuándo rige y cuándo lo verificamos): sin plazo; una compra nueva lo reemplaza. Eliminar la cuenta no lo borra, pero queda atado a un identificador con el que ya nadie puede entrar.

Tus derechos sobre tus datos

Estos derechos los tienes desde cualquier país en el que uses Pendi, y los atiende la misma persona por el mismo canal. Si vives en Latinoamérica, los plazos de la ley y la autoridad ante la que reclamas son los de tu país, en su sección más abajo; desde cualquier otro país, son los de Colombia. Puedes:

• Conocer y acceder gratis a los datos tuyos que tratamos, saber para qué los usamos y a quién se los hemos entregado.
• Pedir prueba de tu autorización: te enviamos el texto de cada versión con su fecha. La app solo te deja pasar de la pantalla de términos cuando ya aceptaste la versión vigente, así que usas Pendi bajo la versión que rige desde la fecha que te enviamos.
• Actualizar y rectificar los que estén desactualizados, incompletos o equivocados.
• Suprimir tus datos, con los pasos y los límites que describen Eliminación de datos y Cuánto tiempo guardamos tus datos. Eliminar tu cuenta borra los espacios que son tuyos; lo que agregaste a un espacio de otra persona se queda allí, sin tu nombre ni tu correo.
• Revocar tu autorización u oponerte a un uso. El asistente de IA, la detección, la copia del espacio Personal y el envío de dictados se apagan en Ajustes. Los reportes de fallos no tienen hoy un interruptor propio: la única forma de detenerlos es desinstalar la app.
• Llevarte tus datos: tus movimientos salen en un archivo CSV desde Exportar movimientos, y todo lo de la app en una copia de seguridad cifrada que guardas tú. Lo que guardamos en nuestros servicios te lo enviamos en un archivo JSON si nos lo pides.
• No quedar sujeto a decisiones automáticas: ninguna sugerencia de la app se aplica sola; siempre la confirmas tú.
• Reclamar ante la autoridad de protección de datos de tu país cuando esta política la nombra abajo, y si no, ante la de Colombia, la Superintendencia de Industria y Comercio.

El canal para todo esto es uno solo: escribe a [email protected] desde el correo con el que usas Pendi, o incluye el identificador de tu espacio, que encuentras en Ajustes. Por ahí van las consultas, los reclamos y las solicitudes de eliminación. Ejercer un derecho no te cuesta nada.

Plazo. Respondemos cualquier solicitud en máximo cinco días hábiles desde que la recibimos. Si un reclamo necesita más tiempo para quedar resuelto, dentro de esos cinco días te decimos por qué y en qué fecha, y esa fecha nunca pasa del máximo que fija la ley de tu país.

Si vives en Colombia

Aplican la Ley 1581 de 2012 y el Decreto 1377 de 2013. Nuestro plazo de cinco días hábiles es más corto que el de la ley, y estos son los máximos de la ley: una consulta se responde en máximo diez días hábiles, y si no alcanzamos te decimos por qué y en qué fecha, y la atendemos en máximo cinco días hábiles más. Un reclamo se atiende en máximo quince días hábiles, y si no alcanzamos te decimos por qué y en qué fecha, y lo atendemos en máximo ocho días hábiles más. Si crees que no atendimos bien tu solicitud, puedes presentar una queja ante la Superintendencia de Industria y Comercio, que es la autoridad de protección de datos personales en Colombia. Las bases de datos que describe esta política están vigentes mientras Pendi se ofrezca, y cada dato se guarda el tiempo que dice Cuánto tiempo guardamos tus datos.

Si vives en otro país de Latinoamérica

Te damos lo que pide la ley de protección de datos de tu país como si Pendi estuviera allí. Esta lista dice cuál es y ante quién puedes reclamar; donde tu ley te dé algo más que esta política, se aplica tu ley.

• Argentina: Ley 25.326. Puedes reclamar ante el órgano de control que esa ley establece. Máximos de la ley: diez días corridos para darte acceso y cinco días hábiles para rectificar o suprimir.
• Chile: Ley 19.628 y, desde el 1 de diciembre de 2026, la Ley 21.719, que también protege a quien usa desde Chile un servicio ofrecido desde el exterior; con ella tienes además derecho a la portabilidad, y el máximo para responderte es de treinta días corridos.
• Costa Rica: Ley 8968. Puedes reclamar ante la Prodhab. Máximo de la ley para el acceso: cinco días hábiles.
• Ecuador: Ley Orgánica de Protección de Datos Personales, que te protege aunque Pendi no esté en Ecuador, con derecho a la portabilidad. Puedes reclamar ante la Autoridad de Protección de Datos Personales. Máximo de la ley para el acceso: quince días.
• El Salvador: Ley para la Protección de Datos Personales de 2024. Puedes reclamar ante la Agencia de Ciberseguridad del Estado. Esa ley también reconoce el olvido y la limitación del tratamiento; los pides por el mismo canal. Máximo de la ley: veinte días hábiles para responderte, prorrogables por otros veinte con causa justificada.
• México: Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Ejerces tus derechos de acceso, rectificación, cancelación y oposición por el canal de arriba, y puedes reclamar ante la Secretaría Anticorrupción y Buen Gobierno. Máximos de la ley: veinte días para responderte y quince más para hacer efectiva la respuesta.
• Nicaragua: Ley 787. Puedes reclamar ante la Dirección de Protección de Datos Personales.
• Panamá: Ley 81 de 2019 y su reglamento, el Decreto Ejecutivo 285 de 2021. Puedes reclamar ante la Autoridad Nacional de Transparencia y Acceso a la Información. Máximos de la ley: diez días hábiles para darte acceso y cinco días hábiles para corregir tus datos.
• Paraguay: Ley 7593 de 2025, desde su entrada en vigor el 27 de noviembre de 2027. Desde entonces puedes reclamar ante la Agencia Nacional de Protección de Datos Personales.
• Perú: Ley 29733. Puedes reclamar ante la Autoridad Nacional de Protección de Datos Personales.
• República Dominicana: Ley 172-13. Si no atendemos tu solicitud, puedes presentar ante los tribunales la acción de hábeas data que esa ley prevé. Máximos de la ley: cinco días hábiles para darte acceso y diez días hábiles para rectificar o suprimir.
• Uruguay: Ley 18.331, que según la Ley 19.670 también rige para un servicio ofrecido desde el exterior a quienes viven en Uruguay. Puedes reclamar ante la Unidad Reguladora y de Control de Datos Personales. Máximo de la ley para el acceso: cinco días hábiles.
• Bolivia, Guatemala, Honduras y Venezuela: te ofrecemos todo lo de esta política, y puedes acudir a las autoridades de tu país.

Si vives en Brasil

Esta sección vale para quien usa Pendi desde Brasil y se suma a todo lo anterior, sin quitarle nada. Como Pendi se ofrece a personas en Brasil, sobre tus datos aplican también la Lei Geral de Proteção de Dados Pessoais (Lei 13.709 de 2018, LGPD) y el Marco Civil da Internet (Lei 12.965 de 2014). El controlador es Elkin Eduardo Cardoso Leyton, el mismo de arriba, con domicilio en Carrera 4c Bis #39-24, Ibagué, Tolima, 730006, Colombia.

Canal de comunicación

Como agente de tratamiento de pequeño porte, el controlador no está obligado a indicar un encarregado pelo tratamento de dados pessoais (Resolução CD/ANPD 2 de 2022, arts. 2, I, y 11). El canal de comunicación con él es [email protected] (art. 11, § 1): por ahí recibe tus solicitudes y tus quejas, y las comunicaciones de la Agência Nacional de Proteção de Dados (ANPD).

Para qué y con qué base legal

• Tu cuenta, sincronizar un espacio compartido, la copia de seguridad del espacio Personal, el registro para notificaciones y verificar tus compras: porque son necesarios para darte el servicio que pediste (art. 7, V).
• El asistente de IA y compartir tus dictados: con tu consentimiento, que revocas cuando quieras en Ajustes > IA y en Ajustes > Voz (art. 7, I).
• Los reportes de fallos: si la app falla, envía un reporte técnico del fallo al servicio de reportes de fallos de Google para poder corregirlo, porque mantener la app funcionando es parte del servicio que pediste (art. 7, V). No tienen un interruptor propio.
• La fecha de inicio de la prueba gratis, los reportes de formato y tus comentarios: por nuestro interés legítimo en que la prueba no se reinicie al reinstalar, en mejorar para todos las reglas que reconocen los avisos y en responderte (art. 7, IX). Puedes oponerte escribiéndonos.
• El directorio de comercios y la marca semanal de quien aporta: el directorio guarda los datos que las empresas imprimen en sus recibos, y si un papel aun así deja pasar los datos de un empresario individual (empresário individual o MEI), esos son datos personales, para los que el directorio se apoya en que su titular los hizo manifiestamente públicos (art. 7, § 4) y en nuestro interés legítimo en un directorio de comercios compartido (art. 7, IX), y al corregir el comercio en la app, Pendi los borra de su directorio con toda la empresa, por su número tributario, y los deja fuera 90 días, mientras que una empresa que quitamos por una solicitud escrita queda fuera para siempre. La marca semanal de quien aporta: por nuestro interés legítimo en que el directorio no se use para abusos (art. 7, IX). Puedes oponerte escribiéndonos.
• Responder tus solicitudes: para cumplir la ley (art. 7, II).

Tus derechos

Puedes pedirnos: confirmar si tratamos datos tuyos; acceder a ellos; corregir los incompletos, inexactos o desactualizados; anonimizar, bloquear o eliminar los que sobren o no se traten conforme a la ley; la portabilidad a otro proveedor; eliminar los que tratamos con tu consentimiento; saber con quién los compartimos, que es la lista de «Quién procesa los fragmentos del nivel gestionado» y «Quién más recibe datos, a qué países viajan y con qué garantía»; saber que puedes no dar tu consentimiento y qué pasa si no lo das, que es nada: Pendi funciona completo sin el asistente y sin compartir tus dictados; y revocar tu consentimiento. Todo es gratis y va por el mismo correo.

La confirmación o el acceso en formato simplificado te los damos de inmediato; la declaración completa, con el origen de los datos, los criterios y la finalidad, en máximo 15 días desde tu solicitud. Si lo que tratamos se basa en tu consentimiento o en el servicio que pediste, puedes pedir una copia electrónica completa. En la app ya puedes exportar tus movimientos a un archivo CSV, guardar una copia de seguridad cifrada donde quieras y eliminar tu cuenta; lo que está en nuestros servidores te lo enviamos por correo en un archivo de formato abierto.

Si crees que no atendimos bien tu solicitud, puedes presentar una petición ante la ANPD, en gov.br/anpd, o ante los organismos de defensa del consumidor.

Datos que salen de Brasil

• Lo que viaja para darte el servicio que pediste (tu cuenta, los espacios compartidos, la copia de seguridad, las notificaciones y las compras) va a Google y a Cloudflare, en Estados Unidos, porque es necesario para cumplir ese servicio (art. 33, IX, con el art. 7, V).
• Los fragmentos del asistente van a Cloudflare, en Estados Unidos. Salen con el consentimiento que das para ese envío en una elección aparte, que antes te dice que se procesan fuera del país (art. 33, VIII).
• Los reportes de fallos van a Google, en Estados Unidos, cuando la app falla, porque mantenerla funcionando es parte del servicio que pediste (art. 33, IX, con el art. 7, V).

Niños y adolescentes

Pendi está pensada para adultos y no para que niños o adolescentes la usen por su cuenta. Si agregas a un niño o a un adolescente a un espacio, hazlo como su madre, su padre o su responsable legal, y solo con lo que el espacio necesita, como su nombre. Ese dato se trata en su mejor interés y para lo que el espacio hace por tu familia, nada más.

Menores

La app es una herramienta de organización familiar pensada para adultos y no está dirigida a menores de 13 años. Si eres menor de edad, úsala con la autorización de tu madre, tu padre o tu representante legal, que es quien la da por ti. Cuando un adulto agrega a un menor como persona de su espacio, lo hace como su representante: ese nombre y ese teléfono se usan solo para que la familia se organice, la foto se queda en el teléfono, y el adulto puede borrarlos cuando quiera.

Cambios

Cada cambio de esta política, grande o pequeño, queda con su versión y su fecha al comienzo de la página, y te lo anunciamos en el registro de cambios de la app antes de que entre en vigor. Si un cambio toca lo que autorizaste, como lo que sale del teléfono, a quién o a qué país, la app te vuelve a pedir la autorización antes de aplicarlo.

¿Dudas sobre tu privacidad? Escríbenos a [email protected], visita Soporte o Eliminar cuenta.