1. Qué hace Cabal
Cabal es un producto independiente que convierte correos bancarios compatibles, estados de cuenta y comprobantes que compartes con nosotros en movimientos revisables dentro de tu cuenta. Nunca te pedimos las credenciales de tu banco.
2. Identidad vs. acceso al correo
El inicio de sesión con Google o Microsoft, también conocido como SSO, identifica a la persona dentro de Cabal. Ese paso no significa automáticamente que Cabal pueda leer tu correo.
Si eliges dar permiso al correo, la lectura de la bandeja ocurre solo después de una autorización OAuth separada y explícita. Si eliges reenvío privado, Cabal procesa únicamente los mensajes que tú reenvías a tu dirección privada.
Los permisos (scopes) exactos que solicitamos son:
- Google (inicio de sesión y/o vincular Gmail): identidad básica (
openid,email,profile) másgmail.readonlypara leer tu bandeja. - Microsoft (inicio de sesión): identidad básica únicamente.
- Microsoft (vincular Outlook):
Mail.Readpara leer tu bandeja, además de identidad básica.
gmail.readonly y Mail.Read son permisos debuzón completo, no acotados solo a correos bancarios. Nuestra sincronización rutinaria consulta únicamente remitentes bancarios conocidos, pero el permiso en sí te da la garantía de que puedes revisar y revocar el acceso en cualquier momento desde tu cuenta de Google o Microsoft.
3. Cumplimiento con las políticas de datos de Google (Limited Use)
El uso y la transferencia por parte de Cabal de información recibida de las APIs de Google a cualquier otra aplicación cumplirá con laGoogle API Services User Data Policy, incluidos los requisitos de uso limitado (Limited Use).
En concreto: los datos de tu Gmail se usan únicamente para la funcionalidad que activaste (detectar transacciones bancarias y mostrártelas dentro de la app), no se usan para publicidad, no se venden, y ningún humano los lee salvo que tú mismo solicites soporte sobre un caso puntual o participes en el programa opcional de mejora de detección que describimos a continuación.
3.1 Programa opcional de mejora de detección (opt-in)
Cabal solo entiende los correos de los bancos cuyas plantillas ya conoce. Si activás esta opción (está desactivada por defecto), cuando llegue una notificación de un remitente bancario verificado que no logremos interpretar, guardamos una copia con los datos sensibles enmascarados (números de tarjeta, códigos de un solo uso, enlaces de acceso) para que el equipo cree el soporte de tu banco. Nunca alcanza correo personal ni tu bandeja completa: el filtro por remitente bancario se aplica antes de copiar nada.
Podés desactivarlo cuando quieras desde ajustes y al hacerlo se eliminan todas las copias asociadas a tu cuenta; en cualquier caso, las copias se borran a más tardar a los 180 días. Estas copias se usan exclusivamente para construir y probar la detección de correos bancarios — nunca para publicidad, venta de datos ni entrenamiento de modelos de terceros.
4. Datos que podemos tratar
- Datos de identidad mínimos para crear o mantener tu cuenta.
- Datos de waitlist y contacto cuando solicitas acceso a la beta.
- Metadatos de configuración para permiso al correo o reenvío privado.
- Correos compatibles y adjuntos estrictamente necesarios para extracción y revisión (asunto, remitente, destinatario y cuerpo del correo).
- Comprobantes o capturas de recibos que subes manualmente.
- Registros técnicos mínimos para seguridad, soporte y continuidad del servicio.
5. Procesamiento con inteligencia artificial
Cabal usa Google Gemini a través de Vertex AI en dos puntos del producto:
- Identificación de comercios: cuando no reconocemos un comercio, enviamos el texto del descriptor de la transacción (para transferencias entre personas, esto puede incluir un nombre) junto con montos y categorías a Gemini, que por defecto puede usar Google Search en vivo para ayudar a identificarlo.
- Lectura de comprobantes: cuando subes una foto o captura de un recibo, enviamos la imagen completa a Gemini para extraer monto, comercio, fecha y, si es visible, el nombre del titular o beneficiario de la cuenta.
Ningún dato enviado a estos flujos se usa para entrenar modelos de terceros fuera del contrato estándar de Vertex AI de Google Cloud.
6. Cifrado
Los tokens de acceso a tu cuenta de Gmail u Outlook se cifran con Google Cloud KMS antes de guardarse. El cuerpo de los correos, adjuntos y comprobantes se protegen con el cifrado en reposo estándar de nuestros proveedores de nube.
7. Compartición y seguridad
No vendemos tus datos personales. Compartimos información solo con proveedores necesarios para operar infraestructura, autenticación, inteligencia artificial, soporte y entrega del servicio (Google Cloud, Supabase, Google/Microsoft como proveedores de identidad y correo), bajo controles razonables de confidencialidad y seguridad.
8. Retención y eliminación
Conservamos los correos procesados y los datos derivados de ellos mientras tu cuenta esté activa o mientras sean necesarios para operar el servicio, cumplir obligaciones razonables y resolver incidentes. Los adjuntos y capturas de evidencia asociados a una transacción se conservan por 90 días desde su creación; los enlaces para verlos vencen a los 120 segundos de generarse. Las copias del programa opcional de mejora de detección (sección 3.1) se conservan como máximo 180 días, o hasta que desactives el programa, lo que ocurra primero. Si solicitas eliminación de cuenta, seguimos el proceso público descrito en la página de eliminación de cuenta.
9. Contacto
Si necesitas soporte o una consulta sobre privacidad, escríbenos a [email protected].