Este artículo es el detalle detrás de ¿Están seguros mis datos financieros?. Ese responde la pregunta; este muestra la maquinaria, incluidos los plazos de retención, que es la parte que la gente más suele querer por escrito.
Conexiones, según cómo funcionan
Sincronización automática, Estados Unidos y Canadá. La maneja Plaid. Te autenticas
con tu banco dentro de la propia ventana de Plaid, así que tus credenciales bancarias van a
Plaid y nunca a Finthy. Finthy conserva un token limitado a leer esa conexión. El acceso es
de solo lectura: entran saldos y transacciones, y no puede salir nada. Puedes revisar o
revocar el acceso de Finthy por tu cuenta en my.plaid.com.
Cuentas manuales, en todos los demás países. Tú creas las cuentas y agregas transacciones, o importas un estado de cuenta. No existe ninguna credencial bancaria, así que ninguna puede filtrarse.
Importaciones de estados de cuenta y archivos. Un archivo que subes lo lee la IA para extraer las transacciones. Los PDF e imágenes se envían tal cual; las hojas de cálculo se convierten a CSV en nuestros servidores primero y solo ese CSV se envía. Lo que Finthy conserva después son las transacciones extraídas, no el archivo. Una importación que falla es la excepción: se guarda poco tiempo, con permisos restringidos, para poder diagnosticar la falla, y después se elimina.
La extensión de Chrome para México lee las transacciones desde el sitio de tu propio banco, en tu navegador, para Citibanamex, HSBC México y Banorte. Inicias sesión en tu banco y no en Finthy, así que tu contraseña bancaria nunca llega a nosotros, y tú inicias cada sincronización. Lo que la extensión envía son las transacciones que leyó, nada más. Los demás bancos mexicanos funcionan con importación de estados de cuenta o registro manual.
Cifrado y acceso
- En tránsito: TLS 1.3 en todo, entre tú y Finthy y entre Finthy y nuestros proveedores.
- En reposo: los datos financieros cifrados con AES-256.
- Acceso interno: solo con necesidad de saber. Las acciones de administrador quedan en un registro de auditoría: inicios de sesión, suplantación y cambios en usuarios, instituciones y categorías.
Nuestra página de Seguridad en finthy.com tiene el detalle de infraestructura y las certificaciones que tienen nuestros proveedores, ya que Finthy opera sobre infraestructura auditada en lugar de tener esas certificaciones por sí mismo.
Qué sale de Finthy, y hacia quién
Nada se va a ningún lado con fines publicitarios, y nada se vende. Estos son los procesadores y lo que recibe cada uno:
| Quién | Qué recibe | Para qué |
|---|---|---|
| Plaid | Tu autorización bancaria, y después saldos y transacciones | Sincronización automática en Estados Unidos y Canadá |
| Anthropic | El estado de cuenta que subiste, o la porción de tus datos que necesita una pregunta a Finthy AI | Extraer transacciones; responder tus preguntas |
| Stripe | Tus datos de pago, escritos en el formulario de Stripe | Suscripciones en la web |
| Apple o Google | Tu compra, si te suscribiste en una tienda de apps | Suscripciones de tienda |
| Nuestro proveedor de correo | Tu dirección de correo y el mensaje | Enviar el correo que pediste |
Anthropic no usa tus datos para entrenar modelos. Eso es una cláusula de nuestro contrato, no una opción que elegimos y podríamos cambiar en silencio.
Cuánto tiempo se guarda cada cosa
| Dato | Se guarda |
|---|---|
| Tu cuenta y sus datos | Mientras la cuenta esté activa |
| Una cuenta eliminada | Programada para 7 días, y luego borrada de forma permanente |
| Una cuenta inactiva | Eliminada tras 2 años sin actividad, con 30 días de aviso previo |
| Datos sin procesar del proveedor bancario | 365 días |
| Datos de importaciones procesadas | 90 días |
| PDF e imágenes que subiste | Eliminados después de procesarlos, dentro de 24 horas |
| Conversaciones de Finthy AI | 90 días después del último mensaje de la conversación |
| Cambios hechos por apps conectadas | 12 meses |
| Registros de consentimiento | 7 años, como prueba del consentimiento |
| Datos de marketing | Eliminados en cuanto te das de baja |
Dos de estos sorprenden. Los datos sin procesar del proveedor son la copia intacta de lo que envió Plaid, guardada para poder rastrear un problema de sincronización; las transacciones que ves son aparte y duran lo que dure tu cuenta. Y una cuenta eliminada no se borra al instante, lo cual es deliberado: esa ventana de 7 días es lo que te permite deshacer una eliminación, incluida una que no hiciste tú.
Los controles de tu cuenta
- Contraseña, de mínimo 8 caracteres, guardada como hash unidireccional.
- Autenticación de dos factores, con 10 códigos de respaldo de un solo uso.
- Llaves de acceso, hasta 20, con el desbloqueo de tu dispositivo o una llave de seguridad física.
- Bloqueo de inicio de sesión tras 10 contraseñas incorrectas en 15 minutos.
- Sesiones que caducan. Un inicio de sesión sin usar caduca solo, antes si no pediste que te recordáramos, y toda sesión termina definitivamente algunas semanas después de que entraste por primera vez y vuelve a pedir tu contraseña. Una sesión activa se extiende sin avisar, así que no te saca mientras trabajas.
- Un cambio de contraseña, un cambio de 2FA o códigos de respaldo regenerados cierran todas las demás sesiones y desconectan lo que tengas en Apps conectadas.
- Aviso por correo en un cambio de contraseña y en cualquier llave de acceso agregada o quitada.
- Apps conectadas lista cada asistente de IA o app que autorizaste, con un botón Desconectar para cada uno.
Tus derechos, y cómo ejercerlos
- Exportar: consulta Exportar tus datos financieros.
- Eliminar: consulta Eliminar tu cuenta de Finthy, que detalla exactamente qué se elimina y qué se conserva.
- Una solicitud formal de datos: Finthy tiene un proceso para los derechos de acceso y eliminación que te da la ley de tu país, y las solicitudes se registran en lugar de atenderse de forma improvisada. Recibes un acuse cuando entra una.
- Qué ley aplica: la política de privacidad cubre el GDPR, la LGPD en Brasil y la CCPA en California, con los derechos de cada región detallados.
Reportar un problema
Los reportes de seguridad, incluidos los de vulnerabilidades, van a security@finthy.com.
Los problemas de cuenta van a soporte normal, que es más rápido para eso: consulta
Obtener ayuda y soporte.