Política de privacidad

Esta política cubre la aplicación Pendi para Android. Está escrita para coincidir con lo que la app realmente hace: cada afirmación de abajo se basa en el comportamiento que la app tiene instalada.

Fecha de vigencia: 28 de agosto de 2026. Última actualización: 28 de agosto de 2026. Responsable del tratamiento: Elkin Cardoso Leyton, desarrollador independiente, Colombia. Contacto: [email protected].

Quién responde por tus datos

Pendi lo desarrolla y lo publica Elkin Cardoso Leyton, una persona natural que trabaja como desarrollador independiente en Colombia. No hay una empresa detrás. Él es el responsable del tratamiento de los datos que describe esta política, y el canal de contacto es el correo [email protected], el mismo que aparece en Soporte y en Eliminar tu cuenta.

Datos guardados en tu dispositivo

Tareas, listas, presupuestos, cuentas, movimientos, categorías, personas, recordatorios y ajustes se guardan localmente en el almacenamiento privado de la app. Las copias de seguridad las inicias tú, van cifradas y se guardan donde tú elijas. Desinstalar la app borra sus datos locales.

Detección de transacciones (acceso a notificaciones)

Si activas la detección, la app lee las notificaciones del sistema de las fuentes que estén activas, para reconocer avisos de pago y convertirlos en movimientos que tú confirmas. Cuáles arrancan activas depende de cómo la app identifica a cada una, y de si alguna vez has elegido fuentes tú mismo. En un teléfono donde no lo has hecho, la app que tu teléfono usa para los SMS y las apps de mensajería y de correo que nombra la lista de la app arrancan activas; en un teléfono donde sí lo has hecho, ese mismo cambio se te ofrece en un toque en lugar de hacerse por ti. Esas son CANALES: llevan el mensaje de otro y no tienen pase libre, así que una notificación suya solo se procesa cuando trae al tiempo un monto y una palabra de dinero, y un mensaje corriente se descarta sin quedar guardado. Las apps de banco y de billetera que la app encuentre instaladas desde una tienda reconocida también arrancan activas, sujetas a esa misma regla del dinero, hasta que con un toque abras esa fila al resto de sus avisos, incluidos los que no traen cifra. Cualquier otra app que la lista nombre, encontrada instalada desde una tienda reconocida, también arranca activa bajo la regla del dinero. Una app identificada solo por lo que sabe hacer y no por su nombre, y cualquier app instalada por fuera de una tienda reconocida, quedan listadas y apagadas hasta que tú las enciendas, igual que el resto de la lista. Una app de banco o de billetera que la lista nombre y que enciendas tú se lee parezca o no dinero, porque eso fue lo que pediste al encenderla. Toda fuente se puede apagar, una por una o todas de una vez. La lectura y la interpretación ocurren en tu dispositivo, y el texto completo de la notificación nunca sale del teléfono.

Esto es lo que sí puede salir. Cuando aceptas el asistente durante la configuración inicial, y mientras siga encendido, la app envía sola, sin que tengas que tocar nada, un fragmento reducido de la notificación para preguntar por la categoría del gasto, apenas la captura llega a la bandeja. Antes de que ese fragmento salga, en el propio teléfono se eliminan los correos electrónicos, las terminaciones de cuenta o de tarjeta enmascaradas y cualquier secuencia de cuatro dígitos o más, así que los números de cuenta y de tarjeta no salen. Lo que viaja es el nombre del comercio y el monto, y en la pregunta por la categoría el monto va enmascarado a su forma ($###.###) en lugar de enviarse, porque esa respuesta nunca necesitó la cifra real. Tus nombres de categoría viajan con él como la lista de opciones entre las que elegir, ordenados desde el que más usas, y ese orden es en sí mismo información sobre en qué gastas. Puedes desactivar cualquier fuente, o toda la detección, en cualquier momento.

Cuenta opcional y espacios compartidos

La app puede operar una sesión anónima ligera (sin correo, sin contraseña) para habilitar su nivel de IA gestionada y el contenido compartido. Si compartes un espacio con tu familia, el contenido de ese espacio compartido (sus tareas, listas, presupuestos y movimientos) se sincroniza a través de Google Firebase (Firestore) para que los miembros vean los mismos datos. Tu espacio Personal no se sube a menos que actives Ajustes > Cuenta > Copia de seguridad del espacio Personal. Cuando lo activas, su contenido se sube a Firestore bajo tu propia cuenta, donde solo esa cuenta puede leerlo, y ahí se queda hasta que elimines la cuenta. La infraestructura de Google procesa estos datos como nuestro proveedor; no los vendemos ni los usamos para publicidad.

Funciones de IA

Existen dos niveles. Se usan para sugerir la categoría de un gasto, interpretar lo que dictas por voz, ayudarte a crear una regla y resumir tu semana.

Pendi IA (gestionada). Los fragmentos reducidos que se describen arriba viajan a un servicio propio alojado en Cloudflare Workers, que los pasa al modelo de lenguaje que los procesa. Las solicitudes tienen una cuota diaria, no las usamos para entrenar modelos y no llevan números de cuenta ni de tarjeta.

Con tu propia clave (Gemini). El fragmento va directo desde tu dispositivo a Google, bajo los términos de Google; nosotros nunca vemos tu clave en nuestros servicios y se guarda cifrada en el dispositivo, protegida por el almacén de claves de Android.

Quién procesa los fragmentos del nivel gestionado

Estos son los procesadores a los que el nivel gestionado puede enrutar, cada uno con la empresa y la jurisdicción desde la que opera. Cualquiera de ellos puede procesar tus fragmentos fuera de Colombia.

• Cloudflare, Inc. (Estados Unidos): opera Workers AI, el modelo que atiende el carril de la casa y toda solicitud que no haya tenido que cambiar de carril.
• DeepSeek (China): opera DeepSeek, el modelo que atiende a las cuentas de pago, de prueba y con acceso otorgado cuando el carril de la casa está agotado o no está disponible.

Cuál de ellos atiende una solicitud se decide en el servidor y puede cambiar sin publicar una versión nueva de la app, y por eso esta lista, y no las pantallas de la app, es donde se mantiene al día; si un cambio altera lo que dice esta política, lo anunciamos antes en el registro de cambios de la app. Las cuentas del carril gratuito nunca se enrutan más allá del carril de la casa, bajo ninguna condición: cuando a una cuenta gratuita se le acaba el cupo de la casa, el asistente deja de sugerir por el resto del día, y las reglas propias de la app y los comercios ya aprendidos siguen funcionando en el dispositivo. Ten en cuenta que aquí “gratuito” es el carril al que el servidor resuelve tu cuenta, y que una prueba, un acceso de fundador o un acceso por referido ponen la cuenta en el carril de pago sin que medie ningún pago. Nada de los fragmentos cambia por una ruta o por la otra, se aplica la misma minimización y no se incluyen números de cuenta ni de tarjeta.

Qué se envía en cada una de las cuatro solicitudes

El asistente hace cuatro clases de solicitud, y lo que sale del teléfono es distinto en cada una. Los datos personales y sensibles nunca salen del teléfono: lo que viaja va minimizado y enmascarado. Los nombres de tu familia se reemplazan por marcadores opacos antes de armar cualquier solicitud, y se eliminan los correos electrónicos, las terminaciones de tarjeta y cualquier secuencia de cuatro dígitos o más.

• La pregunta por la categoría, a partir de una notificación capturada: el fragmento del mensaje alrededor del comercio, con el monto enmascarado a su forma, más tus nombres de categoría como lista de opciones, ordenados desde el que más usas.
• Un dictado difícil: la frase que dictaste, con los nombres cambiados por esos marcadores y los identificadores eliminados, más tus nombres de categoría.
• Crear una regla: la plantilla del mensaje sin sus partes variables, nunca la notificación en bruto, más tus nombres de categoría.
• El resumen semanal: ninguna cifra de dinero. Si la semana cerró arriba o abajo, si hubo ingresos, el veredicto del presupuesto que calculamos en el dispositivo, cuántas tareas se terminaron y cuántas se aplazaron, y el nombre de la categoría en la que más gastaste.

Cuándo empieza y cómo detenerlo

Una instalación nueva arranca en Pendi IA en lugar de arrancar sin asistente, así que el nivel gestionado es el que queda seleccionado, y la app te pide autorizar el envío durante la configuración inicial, en una pantalla que te muestra qué se enviaría y te dice que puede procesarse fuera de Colombia. El asistente queda activo cuando lo aceptas ahí. Si lo rechazas, o sales de la configuración sin aceptarlo, no sale nada: la solicitud se detiene en el teléfono, no se crea ninguna sesión y la app sigue funcionando con sus propias reglas. Si vienes actualizando desde una versión anterior de la app no vuelves a pasar por esa pantalla, y la respuesta que le hayas dado a una versión anterior de este aviso no se traslada a una versión cambiada: cuenta como si no hubieras respondido, el asistente se queda callado y la pregunta te la volvemos a hacer, sea la próxima vez que una función la necesite, sea desde la fila Ajustes > IA que abras tú. Cuando lo aceptas, la app inicia una sesión anónima en Firebase (sin correo, sin contraseña) para poder atribuir las solicitudes a una cuota. Puedes retirar esa autorización, o apagar el asistente, en Ajustes > IA; con el asistente apagado la detección sigue funcionando con las reglas locales de la app, el resto de la app es totalmente funcional, y lo demás que describe esta política (sincronización, copia de seguridad, registro para notificaciones) no se ve afectado porque nunca fue parte del asistente.

Dictado por voz

El dictado corre en tu dispositivo. Del audio se encarga el reconocedor de voz del propio Android, y la app nunca lo graba en un archivo, nunca lo guarda y nunca lo sube. Pendi pide primero el paquete sin conexión, y cuando tu teléfono no tiene uno para ese idioma el mismo reconocedor responde por la red, igual que hace el micrófono de tu teclado: el audio va al proveedor de voz de tu teléfono, bajo los términos de ese proveedor, y nunca a nosotros. En Ajustes > Voz puedes pedirle a Pendi que arranque con el reconocedor en línea y se salte el intento sin conexión.

En Ajustes > Voz hay un interruptor, “Mejorar Pendi con mis dictados”, y está apagado mientras no lo enciendas tú. Con él encendido pasan dos cosas a la vez. Tus dictados se guardan en el teléfono junto con lo que la app entendió de ellos, que es lo que permite reproducir y corregir una mala interpretación. Y el TEXTO que produjo el reconocedor, junto con el idioma en que lo dijiste, entra en cola y se nos envía para poder mejorar el analizador con frases reales en lugar de ejemplos inventados. No viaja nada más: ni el audio, ni lo que la app extrajo de la frase, ni dónde quedó guardada. El envío espera a que haya red, así que estar sin conexión lo demora y nunca lo pierde, y se atribuye a tu cuenta igual que el canal de comentarios.

Apagar el interruptor detiene el envío, borra los dictados guardados en el teléfono y descarta lo que estuviera esperando salir. No borra lo que ya llegó; para eso escribe a la dirección de contacto de arriba. El ajuste se deja deliberadamente fuera de las copias de seguridad, así que restaurar una copia en un teléfono nuevo nunca te deja el envío encendido.

Contactos

Solo si usas la función de importar contactos, y solo en el momento en que eliges un contacto, la app lee de esa entrada el nombre, el número de teléfono y la foto para crear una persona en tu espacio. La foto necesita el permiso de Contactos y la app te lo pide ahí mismo; el nombre y el teléfono se importan sin ningún permiso. No hay acceso a contactos en segundo plano ni lectura masiva de tu agenda. Si más adelante guardas a esa persona dentro de un espacio compartido, su nombre, su teléfono y el correo que hayas escrito se sincronizan a Firestore con el resto del espacio, y la foto se queda en tu dispositivo.

Reporte de fallos

Las versiones de producción envían reportes de fallos anónimos (trazas de error, modelo del dispositivo, versión del sistema) a través de Firebase Crashlytics para poder corregir defectos. Los reportes de fallos no contienen contenido financiero ni el texto de tus notificaciones. Google documenta que conserva las trazas de fallos de Crashlytics y los identificadores asociados durante 90 días, y que después inicia su eliminación de los sistemas activos y de las copias de respaldo. Puedes leerlo en Privacidad y seguridad en Firebase.

La biblioteca de Firebase Analytics viaja dentro de la app porque es la pieza que acompaña a Crashlytics, pero su recolección está apagada en el manifiesto de la app, los permisos de identificador de publicidad que aportaría se eliminan del build y la app no registra ningún evento de analítica. Es decir: no se recopilan métricas de uso ni un identificador de instalación. Crashlytics es un producto aparte y sí funciona: los reportes de fallos que describe el párrafo anterior se envían.

Lo que nunca hacemos

• Sin anuncios.
• Sin venta de datos personales.
• Sin usar el contenido de tus notificaciones para publicidad.
• Sin identificadores de publicidad.
• Sin analítica de uso.
• Sin leer tus SMS.
• Sin acceder a ninguna notificación antes de que concedas el acceso a notificaciones, ni a las de una fuente que hayas apagado.
• Sin recopilar tu ubicación precisa.
• Sin subir el texto en bruto de tus notificaciones.
• Sin subir tu voz a nosotros, con cualquier ajuste (mira “Dictado por voz”, arriba, para lo que hace el proveedor de voz de tu teléfono cuando no tiene paquete sin conexión).

Eliminación de datos

Datos locales: usa Ajustes > Cuenta > Borrar los datos de este dispositivo, que borra de una vez todo lo que la app guarda en ese teléfono y cierra la sesión primero para que nada se vuelva a descargar, o desinstala la app, que hace lo mismo. También puedes seguir borrando por partes: el texto capturado en Ajustes > Detección de movimientos, los datos de ejemplo y el contenido del Baúl. Datos de un espacio compartido: sal del espacio o elimínalo en la app; la eliminación se propaga a la copia sincronizada. Apagar la copia de seguridad del espacio Personal deja de subir cosas nuevas, pero no borra lo que ya está subido; eso lo borra eliminar la cuenta. Datos de la sesión anónima y contadores de cuota de IA: solicita la eliminación por correo e incluye el identificador de tu espacio, que encuentras en Ajustes. Respondemos las solicitudes de eliminación en la dirección de contacto de arriba. Los pasos completos para eliminar tu cuenta están en Eliminar tu cuenta.

Tus derechos sobre tus datos

Pendi se publica desde Colombia, así que sobre tus datos personales aplican la Ley 1581 de 2012 y el Decreto 1377 de 2013. El responsable del tratamiento es Elkin Cardoso Leyton, desarrollador independiente en Ibagué, Colombia, el mismo que aparece en Quién responde por tus datos, al comienzo de esta política. Como titular de los datos puedes:

• Conocer qué datos tuyos tratamos y para qué.
• Actualizar los que hayan quedado desactualizados.
• Rectificar los que estén incompletos o equivocados.
• Suprimir tus datos, con los pasos y los límites que describe Eliminación de datos.
• Revocar la autorización que diste para tratarlos.

El canal para todo esto es uno solo: escribe a [email protected] desde el correo con el que usas Pendi, o incluye el identificador de tu espacio, que encuentras en Ajustes. Por ahí van las consultas, los reclamos y las solicitudes de eliminación.

Los plazos que fija la ley y que cumplimos: una consulta se responde en máximo diez días hábiles, y si no alcanzamos te decimos por qué y en qué fecha, y la atendemos en máximo cinco días hábiles más. Un reclamo se atiende en máximo quince días hábiles, y si no alcanzamos te decimos por qué y en qué fecha, y lo atendemos en máximo ocho días hábiles más.

Si crees que no atendimos bien tu solicitud, puedes presentar una queja ante la Superintendencia de Industria y Comercio, que es la autoridad de protección de datos personales en Colombia.

Menores

La app es una herramienta de organización familiar pensada para adultos y no está dirigida a menores de 13 años.

Cambios

Los cambios importantes en esta política se anunciarán en el registro de cambios de la app antes de que entren en vigor.

¿Dudas sobre tu privacidad? Escríbenos a [email protected], visita Soporte o Eliminar cuenta.