Política de privacidad

Monkey Money es un proyecto en formación impulsado por sus founders Diego Olivares (CEO) y Sergio Cubelli (CTO), quienes asumen solidariamente las obligaciones derivadas de esta Política mientras la sociedad no esté formalmente constituida. Al constituirse la sociedad, la titularidad y responsabilidad sobre el tratamiento de datos se transfieren íntegramente a la persona jurídica.

Encargado de Protección de Datos Personales (DPO): Sergio Cubelli. Canal de contacto: privacy@monkeymoney.cl.

Monkey Money ordena tus gastos, ingresos y deudas a partir de los correos que te mandan tus bancos y algunos comercios, y de los estados de cuenta y liquidaciones en PDF que llegan a tu Gmail. Para ello, la plataforma:

• se conecta a tu Gmail mediante OAuth de Google con el permiso gmail.readonly (solo lectura);
• lee el contenido únicamente de los correos de los remitentes listados en la sección 3, y para descubrir remitentes nuevos revisa solo el remitente y el asunto de los correos de empresas (sección 3);
• extrae montos, fechas, comercios, bancos, últimos 4 dígitos de tarjeta y tipo de movimiento;
• lee los estados de cuenta, cartolas y liquidaciones en PDF adjuntos a esos correos, o los que tú subas;
• arma tu mes: lo que gastaste, lo que entró, lo que debes, tus suscripciones y lo que cuesta tu mes;
• te pregunta lo que no puede saber solo (por ejemplo, si un cobro repetido es una suscripción) y te avisa de vencimientos y cobros rechazados.

La aplicación para Android usa la misma cuenta, los mismos servidores y esta misma Política. Al iniciar sesión con Google desde la app, el permiso de Gmail se concede y se guarda igual que en la web.

Monkey Money no es un banco, ni una entidad financiera, ni una aseguradora, ni un emisor de tarjetas. Lo que mostramos busca ayudarte a ordenar tu información y no constituye asesoría financiera personalizada, oferta vinculante de crédito ni evaluación de solvencia.

Leemos solo correos de empresas, nunca de personas, que te envían comprobantes, boletas, cobros, vencimientos, estados de cuenta o recibos. El contenido de un correo lo leemos solo si viene de uno de los remitentes de la lista de abajo. Al recibirlo volvemos a comprobar el remitente y descartamos los de direcciones de correo personal (Gmail, Hotmail, iCloud u otras).

Para descubrir remitentes que todavía no están en la lista (por ejemplo, la boleta de tu compañía de teléfono o el comprobante de una tienda donde pagas en cuotas), revisamos únicamente el remitente y el asunto de los correos de empresas que hablan de pagos, cobros o vencimientos. No abrimos su contenido ni sus adjuntos y no miramos correos de personas. De esos correos guardamos solo el remitente y el asunto con los números tapados (sin montos, fechas ni identificadores), para contar cuántos hay de cada formato y decidir qué remitente sumar a la lista; cuando aprendemos a leer un formato, ese registro se borra.

• Bancos, tarjetas y billeteras: Banco de Chile, BCI, BancoEstado (incluidos sus avisos de cobranza y el estado de cuenta de su tarjeta, que envía desde un proveedor), Santander, Itaú, Scotiabank, Banco Falabella y CMR, Tenpo, MACH, Mercado Pago y Tarjeta Lider BCI (incluida su financiera, que confirma los pagos hechos por Servipag).
• Pago de cuentas: Servipag (comprobantes de pago de cuentas y tarjetas).
• Seguros de un banco: Zurich Santander.
• Tienda de aplicaciones: Google Play, solo desde su dirección de recibos (googleplay-noreply@google.com) y nunca el resto de los correos de Google.
• Comercios y servicios que envían recibos o avisos de cobro: Falabella (tienda), Mercado Libre (compras y boletas), Uber, DiDi, Hostinger y Anthropic.
• Boletas electrónicas: Kame, la plataforma desde la que algunas empresas emiten sus boletas.
• Crédito y cobranza: La Araucana (caja de compensación: avisos de crédito aprobado) y Socofin (empresa de cobranza: avisos de cobranza).
• Empleador: liquidaciones de sueldo de Walmart Chile, y los avisos de pago de remuneraciones que envía BancoEstado.
• Inversión y previsión: Capital.com, Hapi y AFP UNO.

Si sumamos un remitente, actualizamos esta lista antes de leer sus correos.

Tus datos personales e identificables, incluido cualquier dato obtenido desde Google o Gmail, jamás serán:

• vendidos a terceros;
• entregados a brokers de datos o revendedores;
• usados para publicidad personalizada o retargeting;
• usados para determinar solvencia crediticia ni decisiones de préstamo;
• cedidos para fines distintos a los declarados en esta Política sin nuevo consentimiento.

Podemos elaborar estadísticas agregadas y anonimizadas (por ejemplo, cuántas personas usan cada banco) para mejorar el producto o comunicarlas públicamente. No comercializamos tus datos ni los agregados que derivan de tu Gmail: los datos obtenidos de Google se usan solo para las funciones del servicio, como exige la Google API Services User Data Policy.

• ✓Prestación del servicio: Crear y administrar tu cuenta, autenticarte y entregarte el panel.
• ✓Lectura de correos y documentos: Leer los correos de la sección 3 y sus PDF para registrar tus movimientos, deudas y sueldo.
• ✓Orden de tu mes: Categorizar movimientos, detectar suscripciones, calcular lo que cuesta tu mes y preguntarte lo que no sabemos.
• ✓Avisos: Avisarte en el panel, y por WhatsApp si lo activas, de vencimientos, cobros rechazados y pruebas gratis por terminar.
• ✓Seguridad y prevención de abuso: Proteger tu cuenta, detectar accesos no autorizados y prevenir fraude.
• ✓Soporte: Responder consultas y resolver incidencias.
• ✓Cumplimiento legal: Cumplir obligaciones legales y responder requerimientos de autoridad competente.
• ✓Mejora del producto: Mejorar la precisión con que leemos correos y documentos.

No usamos tus datos para fines distintos sin tu nuevo consentimiento.

Tratamos tus datos sobre una o más de las siguientes bases:

• Tu consentimiento expreso, otorgado al autorizar la vinculación con Gmail/Google, al darnos tu RUT, tu nombre o tu número de WhatsApp y al aceptar esta Política. Es la base principal, y la única para los datos sensibles de tu liquidación.
• Ejecución del servicio, cuando el tratamiento es estrictamente necesario para entregarte las funciones que solicitaste.
• Cumplimiento de obligaciones legales, conforme a la legislación chilena.
• Interés legítimo, de forma residual y proporcionada, para seguridad operacional y prevención de fraude.

Puedes revocar tu consentimiento en cualquier momento. La revocación implica la eliminación de tu cuenta y de los datos asociados, en los términos de la sección 14.

Monkey Money usa reglas automáticas, escritas por nosotros, para reconocer correos, leer documentos, extraer montos y categorizar movimientos. Estas reglas no producen efectos jurídicos sobre ti, y puedes corregir lo que deducen desde el panel.

Hoy no enviamos tus datos a ningún servicio de inteligencia artificial. Si en el futuro lo hacemos, actualizaremos esta Política antes, diremos qué datos y a qué proveedor, y te lo avisaremos.

Recurrimos a los siguientes proveedores, que tratan datos por nuestra cuenta o como parte del servicio:

• Google LLC: Gmail API y autenticación OAuth (lectura de los correos de la sección 3).
• Hostinger International Ltd.: servidores (VPS) en Brasil, donde funcionan la aplicación, la base de datos, los respaldos cifrados y el cliente de WhatsApp.
• Telegram Messenger: avisos operacionales internos del equipo (por ejemplo, que alguien pidió la beta, con su ciudad y banco; que falló la conexión con un Gmail, identificado por un código interno; o estadísticas semanales de lectura). No reciben tu correo electrónico ni el contenido de tus correos.
• WhatsApp (Meta Platforms): solo si activas los avisos. Tu número y el texto de los avisos pasan por la red de WhatsApp como en cualquier chat, bajo los términos de Meta. Usamos un cliente de WhatsApp propio, no la API oficial de Meta.

Con Hostinger tenemos un contrato de servicio. Google, Meta y Telegram tratan los datos bajo sus propios términos, que aceptamos para usar sus plataformas; revisamos periódicamente sus políticas y certificaciones de seguridad.

Tu información puede transferirse fuera de Chile en los siguientes casos, declarados expresamente:

• Brasil: el servidor de la aplicación, la base de datos, los respaldos y el cliente de WhatsApp.
• Multinacional: Google, por la integración OAuth y la lectura de tu Gmail; Telegram, por los avisos internos con identificadores; y WhatsApp (Meta), si activas sus avisos.

Estas transferencias se realizan con base en tu consentimiento informado y en la ejecución del contrato del servicio. Aplicamos controles técnicos (cifrado en tránsito y en reposo, minimización de datos) para proteger los datos durante la transferencia.

• ✓Accedemos solo a los datos necesarios para funciones visibles del producto, restringiéndonos a los correos de los remitentes de la sección 3.
• ✓No usamos Google user data para publicidad personalizada, venta de datos, evaluación de solvencia ni entrenamiento de modelos de IA.
• ✓No comercializamos estadísticas ni agregados derivados de Google user data.
• ✓No transferimos Google user data a terceros, salvo cuando sea necesario para una función que tú activas (los avisos por WhatsApp), por razones de seguridad o por exigencia legal.
• ✓No permitimos acceso humano al contenido de tus correos, salvo que tú lo solicites o autorices, por seguridad o para cumplir la ley.
• ✓Aplicamos cifrado AES-256-GCM en reposo para los tokens OAuth y TLS 1.2 o superior en tránsito.

Monkey Money's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

• Datos de tu cuenta, movimientos, respuestas y datos leídos de tus PDF: mientras tu cuenta esté activa.
• Asunto y cuerpo de los correos bancarios que guarda el lector anterior: mientras tu cuenta esté activa; se borran al eliminarla.
• PDF que no pudimos abrir o leer: hasta 30 días, cifrados.
• Tokens OAuth: mientras la integración esté autorizada. Si revocas el acceso desde Google dejan de funcionar, y se borran al eliminar tu cuenta o al quitar ese correo del panel.
• Mensajes de WhatsApp enviados y recibidos: en nuestro servidor de mensajería mientras dure la beta, o hasta que nos pidas borrarlos.
• Respaldos cifrados de la base de datos: los diarios se guardan 14 días; otras copias de resguardo cifradas, hasta 6 meses.
• Registros técnicos: se rotan por tamaño y se sobrescriben.

Cuando los datos ya no sean necesarios, los eliminaremos o anonimizaremos según corresponda.

Aplicamos medidas técnicas y organizativas alineadas con ISO/IEC 27001:2022:

• Cifrado en tránsito con TLS 1.2 o superior y HSTS habilitado.
• Cifrado en reposo con AES-256-GCM de tokens OAuth, RUT, nombre, número de WhatsApp y PDF en espera.
• Base de datos no expuesta a Internet pública; acceso restringido al backend.
• Control de accesos con principio de menor privilegio y registro de operaciones administrativas.
• Respaldos diarios cifrados, con retención acotada.
• Monitoreo y alertas de seguridad e integridad del servicio.
• Privacidad por diseño y por defecto en toda nueva funcionalidad.

Puedes ejercer los siguientes derechos sobre tus datos personales:

• Acceso: saber qué datos tuyos tratamos. Plazo de respuesta: hasta 30 días.
• Rectificación: corregir datos inexactos. Tu nombre, día de pago, RUT, nombre como aparece en el banco y WhatsApp los cambias en Mi perfil; lo que deducimos de tus correos, en el panel; lo demás, escribiéndonos. Plazo: hasta 30 días.
• Cancelación o supresión: eliminar tu cuenta y tus datos. Inmediato desde Mi perfil en el panel, o desde monkeymoney.cl/settings. Se borran tu cuenta y todos los datos asociados a ella, y revocamos en Google el acceso a tu Gmail. Las copias que estén en los respaldos cifrados desaparecen cuando estos rotan (sección 12). Quedan, sin vínculo con tu cuenta: los registros de auditoría de acciones de administración, el directorio compartido de comercios (nombres y perfiles de comercios), ejemplos de asuntos de correos de bancos que el lector no reconoció, y promociones de bancos extraídas de correos publicitarios. Si usaste los avisos por WhatsApp, el historial de ese chat se borra a tu solicitud. Si te preinscribiste en la lista de espera, ese registro es aparte y puedes pedirnos borrarlo.
• Oposición a determinados tratamientos. Plazo de respuesta: hasta 30 días.
• Portabilidad: recibir tus datos en formato estructurado (JSON o CSV). Hoy la entregamos a solicitud, por correo. Plazo: hasta 30 días.
• Bloqueo (Ley 19.628). Plazo: hasta 30 días.
• Revocación del consentimiento en cualquier momento.
• Oposición a decisiones automatizadas significativas.
• Desvinculación de tu cuenta de Google, también desde myaccount.google.com/permissions.

Para ejercer cualquiera de estos derechos escríbenos al DPO a privacy@monkeymoney.cl desde el correo asociado a tu cuenta.

Si se produjera una brecha que afecte tus datos personales y represente un riesgo para tus derechos, te notificaremos dentro de las 72 horas desde la confirmación del incidente, conforme al estándar de la Ley 21.719 (vigencia 1-dic-2026) y a la práctica internacional. Mantenemos un proceso documentado de gestión de incidentes alineado con ISO/IEC 27001:2022 (controles A.5.24 a A.5.28) y notificamos a la autoridad competente cuando corresponda.

Monkey Money no está dirigido a menores de edad. Si detectamos que hemos recopilado datos de un menor en contravención de la ley aplicable, adoptaremos medidas para eliminarlos o regularizar su tratamiento.

Podemos modificar esta Política de Privacidad para reflejar cambios legales, regulatorios o del servicio. Cuando los cambios sean materiales, te informaremos por medios razonables (correo o aviso destacado en la app). La versión vigente estará siempre disponible en monkeymoney.cl/privacy.

Para consultas, solicitudes o reclamos sobre privacidad y protección de datos personales:

DPO: Sergio Cubelli
privacy@monkeymoney.cl