Privacidad

Política de privacidad

Esta traducción se ofrece a título informativo. Solo la versión inglesa es jurídicamente vinculante.

En vigor desde: 15 de septiembre de 2026 · Versión 1.3 · actualizada el 15 de septiembre de 2026

Groworth es una herramienta para llevar el control de tus finanzas personales. Eso significa que nos confías los datos más sensibles que existen: tus gastos, deudas, ahorros y metas. Esta política describe de forma transparente y completa qué hacemos con esos datos y qué no hacemos. Nuestra promesa, en tres partes: cifrados, nunca vendidos, borrables con un clic. Cada sección empieza con una línea «En resumen:»; si solo lees esas líneas, ya sabrás lo más importante.

1.Quién es el responsable del tratamiento

En resumen: de tus datos responde el operador de Groworth en Letonia, y puedes escribirle por correo electrónico con cualquier pregunta relacionada con tus datos.

El responsable del tratamiento en el sentido del Reglamento General de Protección de Datos (UE 2016/679, en adelante, «RGPD» o «el Reglamento») es:

SIA Appmeway, reg. No. 40103588483, Mēness iela 16-8, Riga, LV-1013, Latvia

En adelante, «nosotros» o «Groworth». El servicio está disponible en groworth.xyz. Si tienes cualquier pregunta sobre esta política o sobre el tratamiento de tus datos, escribe a support@groworth.xyz: te responderemos sin dilación indebida y, a más tardar, en el plazo de un mes.

2.Qué datos tratamos

En resumen: tu correo electrónico, el hash de tu contraseña y los datos financieros que introduces tú mismo. No recogemos nada en secreto: todo lo que hay en nuestra base de datos lo has introducido tú o es técnicamente necesario para que tu cuenta funcione.

2.1. Datos de la cuenta

Dirección de correo electrónico: el identificador de la cuenta, necesario para iniciar sesión y para recuperar la contraseña.
Hash de la contraseña (bcrypt): tu contraseña no se almacena nunca, en ningún momento, en texto plano. No la conocemos y no podemos averiguarla; si la olvidas, te emitimos una nueva en lugar de recordarte la anterior.
Secreto de la autenticación en dos factores (2FA): si la activas; se almacena cifrado.

2.2. Datos demográficos opcionales

Durante la configuración inicial (onboarding) puedes indicar tu género y tu grupo de edad. Ambas preguntas son voluntarias: puedes omitirlas o elegir «prefiero no decirlo», y la app funcionará exactamente igual. Utilizamos estos datos únicamente en estadísticas anónimas y agregadas (por ejemplo, «cuántos usuarios hay en el grupo de edad de 25 a 34 años»), nunca de forma individual.

2.3. Datos financieros que introduces tú mismo

Todo lo que hay en la app es obra tuya o una elección directa tuya; no obtenemos nada sin una acción por tu parte:

movimientos (importes, fechas, descripciones, notas);
categorías y límites de presupuesto;
tu meta financiera y su importe;
cuentas y sus saldos;
activos y sus valores (inmuebles, ahorros, etc.);
pasivos (préstamos, sus saldos y pagos);
posiciones de la cartera (valores, criptoactivos, sus cantidades y costes de adquisición);
direcciones públicas de monederos de criptomonedas, si añades alguna;
datos de extractos bancarios importados en formato CSV: se procesan en tu navegador, y solo llegan al servidor las filas cuya importación confirmas;
movimientos de la conexión bancaria: solo si conectas un banco tú mismo y apruebas el acceso en tu propia banca en línea (cómo funciona: consulta el apartado 6.1.1).

2.4. Datos técnicos y de sesión

Registros de sesión: para cada dispositivo desde el que inicias sesión, el tipo de dispositivo y la hora de la última actividad. Te permiten ver tus sesiones activas en los ajustes y revocar cualquiera de ellas de forma individual.
Ajustes: el tema, el idioma y preferencias similares que hayas elegido.
Contadores de limitación de solicitudes: contadores de solicitudes de corta duración que protegen los formularios de inicio de sesión frente a ataques de adivinación de contraseñas.

2.5. Lo que NO tenemos

No tenemos tus credenciales de la banca en línea y nunca te las pediremos.
No tenemos los números de tus tarjetas de pago: los datos de la tarjeta van únicamente al procesador de pagos (consulta la sección 6), nunca a nuestro servidor.
No creamos perfiles publicitarios ni recogemos el historial de navegación.

3.Fines y bases jurídicas

En resumen: tratamos los datos únicamente para que la app funcione, sea segura y cumpla la ley. Para marketing, solo con tu consentimiento específico.

Fin	Datos	Base jurídica (artículo 6 del RGPD)
Prestación del servicio: cuenta, presupuesto, metas, cálculos de XP (puntos de experiencia), informes	Datos de la cuenta, datos financieros, ajustes	Ejecución de un contrato, art. 6.1.b)
Seguridad de la cuenta: inicio de sesión, 2FA, gestión de sesiones, protección frente a ataques	Datos de la cuenta, datos de sesión, contadores de limitación de solicitudes	Ejecución de un contrato, art. 6.1.b), e intereses legítimos, art. 6.1.f)
Estadísticas anónimas del producto: cuántos usuarios hay y en qué grupos	Cifras agregadas sin identidad	Intereses legítimos, art. 6.1.f)
Avisos a la lista de correo	Dirección de correo electrónico	Consentimiento, art. 6.1.a)
Correos de marketing (novedades, ofertas)	Dirección de correo electrónico	Solo con consentimiento específico, art. 6.1.a); por defecto NO los enviamos
Cumplimiento de obligaciones legales (por ejemplo, la contabilidad de las suscripciones)	Registros de facturación	Obligación legal, art. 6.1.c)

Nunca tratamos tus datos para venderlos, alquilarlos o cederlos a anunciantes. No tenemos ese fin y nunca lo tendremos.

4.Cómo se protegen tus datos, con total transparencia

En resumen: los campos personales están cifrados, tu contraseña nunca se almacena en claro y la base de datos no es accesible desde internet. Técnicamente sí podemos acceder a los datos, y lo decimos abiertamente en lugar de fingir que no podemos.

4.1. Cifrado

Los campos personales (títulos de los movimientos, notas, direcciones de monederos y contenidos similares de texto libre) se almacenan en la base de datos cifrados a nivel de campo (Fernet, un esquema simétrico basado en AES-128 con verificación de integridad).
Los identificadores de la conexión bancaria (el IBAN de la cuenta y los identificadores de la sesión de acceso) se almacenan cifrados con el mismo esquema a nivel de campo.
Los importes y las fechas se almacenan en claro, de forma deliberada: sin ellos no funcionaría ningún cálculo, ni los totales del presupuesto ni las proyecciones de deuda. Un importe sin contexto («−23,40») no revela por sí solo a qué correspondía.
La clave de cifrado se guarda en el servidor separada de las copias de seguridad de la base de datos: una copia de seguridad por sí sola, sin la clave, no expone los campos personales.
Todos los datos que se intercambian entre tu navegador y el servidor viajan únicamente a través de una conexión HTTPS cifrada.

4.2. Lo que deliberadamente NO afirmamos

Muchos servicios afirman: «no podemos acceder a tus datos». Nosotros no lo diremos, porque no sería cierto. La clave de cifrado está en el servidor; de lo contrario, la recuperación de la contraseña por correo electrónico no funcionaría, y tus datos se perderían de forma irrecuperable junto con una contraseña olvidada. Esto significa que el responsable del tratamiento sí tiene acceso técnico a los datos. Nuestro compromiso es el siguiente: solo el responsable del tratamiento, en persona, accede al contenido de los datos, y únicamente con fines de asistencia y a petición del propio usuario; nunca por curiosidad, con fines analíticos ni de marketing. La promesa honesta es: cifrados, nunca vendidos, borrables con un clic; ni más, pero tampoco menos.

4.3. Contraseñas y acceso

Las contraseñas se almacenan únicamente como hashes bcrypt.
Está disponible la autenticación en dos factores (TOTP); te recomendamos activarla.
Las sesiones están vinculadas a un dispositivo; puedes revocar cada una de ellas de forma individual en los ajustes.
Los formularios de inicio de sesión están protegidos por límites de solicitudes que frenan los ataques de adivinación de contraseñas.
En sus respuestas de inicio de sesión y de recuperación de contraseña, el sistema no revela si existe una cuenta con un correo electrónico determinado.

4.4. Infraestructura

La base de datos no es accesible desde internet: solo la propia aplicación, desde el mismo servidor, puede acceder a ella.
La aplicación se ejecuta en un entorno restringido, sin privilegios de administrador.
Cada acción de un administrador en el sistema queda registrada en un registro de auditoría.
El panel de administración está técnicamente separado de los datos financieros de los usuarios: solo ve cifras agregadas, nunca contenido.

5.Dónde se encuentran físicamente tus datos

En resumen: en un servidor en Alemania, en la Unión Europea. Los datos no salen de la UE/EEE.

Todos los datos de Groworth se almacenan en un servidor de Hetzner Online GmbH en Alemania, es decir, en la Unión Europea, donde el RGPD se aplica directamente. No se transfiere ningún dato a países fuera de la UE/EEE. Si eso cambiara alguna vez, primero actualizaríamos esta política y lo anunciaríamos (consulta la sección 13).

6.Con quién compartimos datos

En resumen: con nadie, salvo con nuestros encargados técnicos del tratamiento: el alojamiento en la UE, el envío de correos electrónicos y, solo si conectas un banco tú mismo, la conexión de datos bancarios. Las fuentes de precios solo ven símbolos de instrumentos. Tus datos nunca se venden: jamás, a nadie, de ninguna forma.

6.1. Encargados del tratamiento actuales

Encargado del tratamiento	Función	Qué datos recibe
Hetzner Online GmbH (Alemania, UE)	Alojamiento del servidor	Todos los datos se encuentran físicamente en este servidor (consulta las secciones 4 y 5 sobre el cifrado y la ubicación)
Resend	Envío de correos electrónicos (recuperación de contraseña, notificaciones de seguridad)	La dirección de correo electrónico del destinatario y el contenido del mensaje que se envía
Enable Banking Oy (Finlandia, UE)	Conexión de datos bancarios (PSD2 AISP), solo si conectas un banco tú mismo	El banco que elijas y la lista de movimientos de la cuenta (fecha, importe, beneficiario, concepto) que el banco devuelve tras tu aprobación en tu banca en línea. Consulta el apartado 6.1.1 más abajo.

6.1.1. La conexión de datos bancarios: cómo funciona

Conectar un banco es una elección, no una opción por defecto: sin ella, Groworth funciona por completo con la introducción manual y la importación CSV. Si conectas un banco:

Das tu consentimiento en el propio banco. Se te redirige a la autorización de tu banco (Smart-ID o la app del banco). Groworth nunca ve la contraseña de tu banca en línea: la autorización se produce del lado del banco, y nosotros solo recibimos acceso de solo lectura a la lista de movimientos.
Qué recibimos: los movimientos de la cuenta (fecha, importe, divisa, nombre del beneficiario, concepto del pago) y el identificador de la cuenta (IBAN). El IBAN y los identificadores de sesión se almacenan cifrados en nuestra base de datos (consulta el apartado 4.1). No podemos realizar pagos: el acceso es de solo lectura (AISP); no se ha solicitado la iniciación de pagos y no es posible.
Base jurídica: ejecución de un contrato (artículo 6.1.b) del RGPD): la lectura de tus movimientos es una función que solicitas tú mismo. El intermediario es Enable Banking Oy, un proveedor de servicios de información sobre cuentas (AISP) autorizado en Finlandia, UE.
El consentimiento caduca por sí solo a más tardar a los 180 días (un límite de la PSD2); después, el banco debe aprobarse de nuevo. Puedes revocarlo en cualquier momento: Ajustes → Bancos → «Desconectar», o directamente en tu banca en línea. Cuando desconectas, los movimientos ya leídos permanecen en tu cuenta: son tus datos y pueden borrarse como cualquier otro registro.
Las filas importadas no se convierten por sí solas en la verdad. Cada movimiento bancario llega sin confirmar y espera tu confirmación: la categoría la eliges tú.

6.2. Fuentes de datos de precios: sin datos personales

Para mostrar los precios actuales de tu cartera, el servidor consulta periódicamente fuentes públicas de precios: CoinGecko (criptoactivos), DexScreener (tokens de exchanges descentralizados, por dirección de contrato), Yahoo Finance (valores) y el Banco Central Europeo (tipos de cambio). A estas fuentes se les envían únicamente símbolos de instrumentos o direcciones de contrato de tokens (por ejemplo, «BTC», «VWCE» o la dirección de un token), nunca tu nombre, tu correo electrónico, cantidades ni ninguna otra cosa que te identifique. El servidor obtiene cada precio una sola vez y lo comparte entre todos los usuarios, por lo que es imposible deducir de las consultas qué usuario posee qué activo.

6.2.a. Direcciones públicas de monederos de criptomonedas

Si añades la dirección pública de un monedero de criptomonedas en la Cartera, la almacenamos cifrada, como los demás campos personales, y consultamos periódicamente su saldo a nodos públicos de blockchain (Solana RPC, Ethereum RPC, Blockstream Bitcoin API). Esos nodos reciben únicamente la propia dirección, que ya es pública en la blockchain. Nunca pedimos claves privadas ni frases semilla, y nunca entran en esta app. Puedes borrar la dirección en cualquier momento, y los saldos obtenidos desaparecen con ella.

6.3. Procesamiento de pagos: Stripe

Stripe (Stripe Payments Europe, Ltd., Irlanda): el procesador de pagos y responsable independiente del tratamiento de los datos de pago. El número de tu tarjeta nunca llega a nuestro servidor: solo Stripe lo ve, en su propio entorno de pago. De Stripe recibimos únicamente los identificadores del cliente y de la suscripción, el importe del pago y su estado.

6.4. Cuando lo exige la ley

Podemos comunicar datos a las autoridades públicas únicamente cuando lo exija la legislación aplicable y la solicitud tenga una base jurídica. Salvo que la ley lo prohíba, te informaremos de dicha solicitud.

6.5. Lo que no hacemos

No vendemos ni alquilamos datos, ni individuales ni agregados.
No enviamos datos a redes publicitarias ni a intermediarios de datos.
No mostramos anuncios ni integramos rastreadores publicitarios.

7.Cookies y seguimiento

En resumen: no hay cookies de seguimiento, ni propias ni de terceros. La única cookie es tu elección de idioma, y es estrictamente necesaria; por eso no hay banner de cookies. Tu sesión se guarda en el almacenamiento local de tu navegador, y las estadísticas de visitas son anónimas, sin direcciones IP.

7.1. Cookies

Groworth utiliza una cookie, lang, y solo si eliges tú mismo un idioma (LV/EN) en la página de inicio. Guarda dos letras («lv» o «en»), dura 12 meses y sirve para un único fin: abrir la página en tu idioma la próxima vez. Es una cookie funcional, no de seguimiento, y la ley no exige consentimiento para ella; por eso nuestras páginas no tienen banner de cookies. No hay cookies publicitarias, analíticas ni de terceros.

7.2. Almacenamiento local del navegador (localStorage)

Después de iniciar sesión, tu clave de sesión se guarda en el almacenamiento local del navegador (localStorage) de tu dispositivo. Esto es técnicamente necesario para que mantengas la sesión iniciada: la app no puede funcionar sin ello. La clave no se envía a ningún sitio salvo a nuestro propio servidor, y desaparece cuando cierras sesión o borras los datos de tu navegador.

7.3. Estadísticas de visitas

Contamos las visitas a la página de inicio de dos maneras, y ambas son anónimas. La primera, un total diario anónimo: un único número en nuestra base de datos. La segunda, Umami, unas estadísticas de visitas de código abierto que funcionan en nuestro propio servidor, no utilizan cookies y no almacenan ninguna dirección IP: ve cuántas personas abrieron qué página y desde qué país, pero no quién eres, y no puede vincular dos de tus visitas. Durante el registro anota igualmente, de forma anónima, a qué paso llegó una persona (por ejemplo, «cuestionario, paso 3»), sin correo electrónico, nombre ni importes; después del registro no mide nada dentro de la app. Nada sale de nuestro servidor. No hay Google Analytics ni ninguna otra analítica de terceros en nuestras páginas.

7.4. Protección frente a bots

Para proteger los formularios frente a bots utilizamos un problema matemático que tu navegador resuelve por sí solo («prueba de trabajo»): sin servicios de terceros, sin seguimiento y sin tener que resolver rompecabezas de imágenes. Por esta vía no nos llega ningún dato sobre ti.

8.Suscripción por correo electrónico en la página de inicio

En resumen: si dejas tu correo electrónico en la página de inicio, te enviaremos una sola cosa: avisos de Groworth. Nada más. Correos de marketing, solo si das tu consentimiento específico para ellos.

En la página de inicio puedes unirte a la lista de correo facilitando únicamente una dirección de correo electrónico. Utilizamos esa dirección para un único fin: enviarte avisos de Groworth. La página de inicio promete «No enviaremos nada más», y esa promesa también es jurídicamente vinculante: cualquier otro correo (novedades, ofertas) requeriría tu consentimiento específico y libremente otorgado, que te pediríamos abiertamente y nunca presumiríamos en silencio.

Puedes abandonar la lista en cualquier momento escribiendo a support@groworth.xyz o mediante el enlace del correo; la dirección se borrará. Sobre los plazos de conservación, consulta la sección 9.

9.Cuánto tiempo conservamos los datos

En resumen: mientras tu cuenta esté activa. Cuando borras tu cuenta, los datos desaparecen de la base de datos operativa de inmediato y de las copias de seguridad cifradas a más tardar en un plazo de 30 días.

Datos	Plazo de conservación
Datos de la cuenta y datos financieros	Mientras la cuenta esté activa. Tras el borrado de la cuenta: de la base de datos operativa, de inmediato y de forma irreversible; de las copias de seguridad cifradas, a medida que se van rotando, a más tardar en un plazo de 30 días.
Registros de sesión	Hasta que la sesión finaliza o se revoca manualmente; nunca más tiempo del que exista la cuenta.
Direcciones de la lista de correo	12 meses desde el último aviso, o hasta que te des de baja, lo que ocurra primero.
Estadísticas agregadas anónimas	Sin límite de tiempo: no contienen datos personales, por lo que no se les aplican los límites de conservación del RGPD.
Registros de facturación	Durante el plazo fijado por la legislación contable (en Letonia, normalmente 5 años): una obligación legal que sigue en vigor incluso después del borrado de la cuenta.

10.Tus derechos y cómo ejercerlos

En resumen: para cada derecho del RGPD tenemos un botón concreto, no un formulario y una espera. Exportación: un clic. Supresión: un clic. Rectificación: todo se puede editar en la propia app.

El RGPD te garantiza derechos sobre tus datos. Para cada uno de ellos hemos integrado un mecanismo directamente en la app, de modo que ejercerlos nunca requiera redactar solicitudes formales:

Derecho	Cómo ejercerlo en Groworth
Acceso (art. 15 del RGPD) y portabilidad (art. 20)	En los ajustes, descarga con un clic una exportación completa de tus datos en formato JSON legible por máquina: todo lo que has introducido.
Rectificación (art. 16)	Todo el contenido se puede editar en la propia app: movimientos, categorías, metas, cuentas, activos. Corrígelo tú mismo en cualquier momento, sin pasar por nosotros.
Supresión (art. 17)	En los ajustes, borra toda tu cuenta con un clic: todo el contenido, de forma irreversible. No hay ningún archivo de «pausa» ni ningún perfil oculto en la sombra. Sobre los plazos, consulta la sección 9.
Limitación del tratamiento (art. 18) y oposición (art. 21)	Escribe a support@groworth.xyz: lo examinaremos y te responderemos a más tardar en el plazo de un mes.
Retirada del consentimiento (art. 7)	Siempre que el tratamiento se base en el consentimiento (por ejemplo, la lista de correo), puedes retirarlo en cualquier momento, con la misma facilidad con la que lo diste. La retirada no afecta a la licitud del tratamiento realizado antes de ella.
Reclamación ante la autoridad de control (art. 77)	Siempre tienes derecho a dirigirte a Datu valsts inspekcija (la Inspección Estatal de Protección de Datos de Letonia): dvi.gov.lv. No obstante, te agradeceríamos que primero nos dieras la oportunidad de resolver el problema nosotros mismos.

11.Decisiones automatizadas y elaboración de perfiles

En resumen: ningún algoritmo toma decisiones con efectos jurídicos sobre ti. Los XP, los niveles y las proyecciones son aritmética sobre tus propios números, no un juicio sobre ti.

Groworth no lleva a cabo decisiones automatizadas en el sentido del artículo 22 del RGPD, es decir, de las que producen efectos jurídicos en ti o te afectan significativamente de modo similar. Los cálculos de la app (XP, niveles, proyecciones de amortización de deudas, totales del presupuesto) son simple aritmética sobre datos que has introducido tú mismo, y solo te sirven a ti, como información. No elaboramos perfiles de usuario con fines publicitarios, de evaluación de la solvencia ni de ningún tipo de selección.

12.Restricción de edad

En resumen: Groworth está destinado a adultos, de 18 años en adelante.

El servicio está destinado a personas de 18 años o más, y al registrarte confirmas que eres mayor de edad. Deliberadamente no recogemos datos sobre menores. Si sabemos que una cuenta ha sido creada por una persona menor de 18 años, la cuenta y sus datos se borrarán.

13.Cambios en esta política

En resumen: anunciaremos los cambios sustanciales por correo electrónico con al menos 14 días de antelación. Cambios silenciosos e inadvertidos en los puntos que importan: no los habrá.

Esta política puede cambiar, por ejemplo, cuando cambien los encargados del tratamiento o las funciones de la app. Los cambios sustanciales, es decir, los que modifican el alcance de los datos tratados, los encargados del tratamiento o tus derechos, se anunciarán en el correo electrónico de tu cuenta al menos 14 días antes de que entren en vigor. La fecha de entrada en vigor y el número de cada versión figuran al principio y al final de la página. Las correcciones de redacción (erratas, aclaraciones de formulación sin cambio de fondo) pueden hacerse sin un aviso específico.

14.Contacto y reclamaciones

En resumen: escríbenos y te responderemos a más tardar en el plazo de un mes. Si la respuesta no te satisface, siempre tienes a Datu valsts inspekcija (la Inspección Estatal de Protección de Datos de Letonia).

Para preguntas sobre esta política y el tratamiento de tus datos:

Responsable del tratamiento: SIA Appmeway, reg. No. 40103588483, Mēness iela 16-8, Riga, LV-1013, Latvia
Correo electrónico: support@groworth.xyz
Autoridad de control: Datu valsts inspekcija (la Inspección Estatal de Protección de Datos de Letonia), dvi.gov.lv