Monkey Money

Monkey Money es un proyecto en formación impulsado por sus founders Diego Olivares (CEO) y Sergio Cubelli (CTO), quienes asumen solidariamente las obligaciones derivadas de esta Política mientras la sociedad no esté formalmente constituida. Al constituirse la sociedad, la titularidad y responsabilidad sobre el tratamiento de datos se transfieren íntegramente a la persona jurídica.

Encargado de Protección de Datos Personales (DPO): Sergio Cubelli. Canal de contacto: privacy@monkeymoney.cl.

Monkey Money ordena tus gastos, ingresos y deudas a partir de los correos que te mandan tus bancos y algunos comercios, y de los estados de cuenta y liquidaciones en PDF que llegan a tu Gmail. Para ello, la plataforma:

• se conecta a tu Gmail mediante OAuth de Google con el permiso gmail.readonly (solo lectura);
• busca únicamente correos de los dominios listados en la sección 3;
• extrae montos, fechas, comercios, bancos, últimos 4 dígitos de tarjeta y tipo de movimiento;
• lee los estados de cuenta, cartolas y liquidaciones en PDF adjuntos a esos correos, o los que tú subas;
• arma tu mes: lo que gastaste, lo que entró, lo que debes, tus suscripciones y lo que cuesta tu mes;
• te pregunta lo que no puede saber solo (por ejemplo, si un cobro repetido es una suscripción) y te avisa de vencimientos y cobros rechazados.

Monkey Money no es un banco, ni una entidad financiera, ni una aseguradora, ni un emisor de tarjetas. Lo que mostramos busca ayudarte a ordenar tu información y no constituye asesoría financiera personalizada, oferta vinculante de crédito ni evaluación de solvencia.

A Gmail le pedimos solo correos enviados desde los dominios de estos remitentes; no leemos correos de ningún otro dominio. Al recibirlos volvemos a comprobar el remitente y descartamos los de direcciones de correo personal (Gmail, Hotmail, iCloud u otras).

• Bancos, tarjetas y billeteras: Banco de Chile, BCI, BancoEstado, Santander, Itaú, Scotiabank, Banco Falabella y CMR, Tenpo, MACH, Mercado Pago y Tarjeta Lider BCI (incluida su financiera, que confirma los pagos hechos por Servipag).
• Seguros de un banco: Zurich Santander.
• Tienda de aplicaciones: Google Play, solo desde su dirección de recibos (googleplay-noreply@google.com) y nunca el resto de los correos de Google.
• Comercios y servicios que envían recibos o avisos de cobro: Falabella (tienda), Uber, DiDi, Hostinger y Anthropic.
• Empleador: liquidaciones de sueldo de Walmart Chile, y los avisos de pago de remuneraciones que envía BancoEstado.
• Inversión y previsión: Capital.com, Hapi y AFP UNO.

Si sumamos un remitente, actualizamos esta lista antes de leer sus correos.

Tus datos personales e identificables, incluido cualquier dato obtenido desde Google o Gmail, jamás serán:

• vendidos a terceros;
• entregados a brokers de datos o revendedores;
• usados para publicidad personalizada o retargeting;
• usados para determinar solvencia crediticia ni decisiones de préstamo;
• cedidos para fines distintos a los declarados en esta Política sin nuevo consentimiento.

Monkey Money puede generar y eventualmente comercializar datos estadísticos agregados y completamente anonimizados derivados del uso colectivo de la plataforma (por ejemplo: tendencias de gasto por categoría a nivel regional). Estos datos no te identifican a ti ni a ninguna persona en particular y no constituyen datos personales bajo la legislación aplicable.

• ✓Prestación del servicio: Crear y administrar tu cuenta, autenticarte y entregarte el panel.
• ✓Lectura de correos y documentos: Leer los correos de la sección 3 y sus PDF para registrar tus movimientos, deudas y sueldo.
• ✓Orden de tu mes: Categorizar movimientos, detectar suscripciones, calcular lo que cuesta tu mes y preguntarte lo que no sabemos.
• ✓Avisos: Avisarte en el panel, y por WhatsApp si lo activas, de vencimientos, cobros rechazados y pruebas gratis por terminar.
• ✓Seguridad y prevención de abuso: Proteger tu cuenta, detectar accesos no autorizados y prevenir fraude.
• ✓Soporte: Responder consultas y resolver incidencias.
• ✓Cumplimiento legal: Cumplir obligaciones legales y responder requerimientos de autoridad competente.
• ✓Mejora del producto: Mejorar la precisión con que leemos correos y documentos.

No usamos tus datos para fines distintos sin tu nuevo consentimiento.

Tratamos tus datos sobre una o más de las siguientes bases:

• Tu consentimiento expreso, otorgado al autorizar la vinculación con Gmail/Google, al darnos tu RUT o tu número de WhatsApp y al aceptar esta Política. Es la base principal, y la única para los datos sensibles de tu liquidación.
• Ejecución del servicio, cuando el tratamiento es estrictamente necesario para entregarte las funciones que solicitaste.
• Cumplimiento de obligaciones legales, conforme a la legislación chilena.
• Interés legítimo, de forma residual y proporcionada, para seguridad operacional y prevención de fraude.

Puedes revocar tu consentimiento en cualquier momento. La revocación implica la eliminación de tu cuenta y de los datos asociados, en los términos de la sección 14.

Monkey Money usa reglas automáticas, escritas por nosotros, para reconocer correos, leer documentos, extraer montos y categorizar movimientos. Estas reglas no producen efectos jurídicos sobre ti, y puedes corregir lo que deducen desde el panel.

Hoy no enviamos tus datos a ningún servicio de inteligencia artificial. Si en el futuro lo hacemos, actualizaremos esta Política antes, diremos qué datos y a qué proveedor, y te lo avisaremos.

Recurrimos a los siguientes proveedores, que actúan como encargados de tratamiento por nuestra cuenta:

• Google LLC: Gmail API y autenticación OAuth (lectura de los correos de la sección 3).
• Hostinger International Ltd.: servidores (VPS) en Brasil, donde funcionan la aplicación, la base de datos y los respaldos cifrados.
• Telegram Messenger: avisos operacionales internos del equipo. No reciben tu correo ni el contenido de tus correos.
• WhatsApp (Meta Platforms): solo si activas los avisos por WhatsApp, para hacerte llegar esos avisos.

Mantenemos relaciones contractuales con estos proveedores y revisamos periódicamente sus políticas y certificaciones de seguridad.

Tu información puede transferirse fuera de Chile en los siguientes casos, declarados expresamente:

• Brasil: el servidor de la aplicación, la base de datos y los respaldos.
• Multinacional: Google, por la integración OAuth y la lectura de tu Gmail; Telegram, por los avisos internos con identificadores; y WhatsApp, si activas sus avisos.

Estas transferencias se realizan con base en tu consentimiento informado y en la ejecución del contrato del servicio. Aplicamos controles técnicos (cifrado en tránsito y en reposo, minimización de datos) para proteger los datos durante la transferencia.

• ✓Accedemos solo a los datos necesarios para funciones visibles del producto, restringiéndonos a los correos de los remitentes de la sección 3.
• ✓No usamos Google user data para publicidad personalizada, venta de datos, evaluación de solvencia ni entrenamiento de modelos de IA.
• ✓No transferimos Google user data a terceros, salvo cuando sea necesario para una función que tú activas (los avisos por WhatsApp), por razones de seguridad o por exigencia legal.
• ✓No permitimos acceso humano al contenido de tus correos, salvo que tú lo solicites o autorices, por seguridad o para cumplir la ley.
• ✓Aplicamos cifrado AES-256-GCM en reposo para los tokens OAuth y TLS 1.2 o superior en tránsito.

Monkey Money's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

• Datos de tu cuenta, movimientos, respuestas y datos leídos de tus PDF: mientras tu cuenta esté activa.
• Asunto y cuerpo de los correos bancarios que guarda el lector anterior: mientras tu cuenta esté activa; se borran al eliminarla.
• PDF que no pudimos abrir o leer: hasta 30 días, cifrados.
• Tokens OAuth: mientras la integración esté autorizada. Si revocas el acceso desde Google dejan de funcionar, y se borran al eliminar tu cuenta o al quitar ese correo del panel.
• Respaldos cifrados de la base de datos: los diarios se guardan 14 días; otras copias de resguardo cifradas, hasta 6 meses.
• Registros técnicos: se rotan por tamaño y se sobrescriben.

Cuando los datos ya no sean necesarios, los eliminaremos o anonimizaremos según corresponda.

Aplicamos medidas técnicas y organizativas alineadas con ISO/IEC 27001:2022:

• Cifrado en tránsito con TLS 1.2 o superior y HSTS habilitado.
• Cifrado en reposo con AES-256-GCM de tokens OAuth, RUT, número de WhatsApp y PDF en espera.
• Base de datos no expuesta a Internet pública; acceso restringido al backend.
• Control de accesos con principio de menor privilegio y registro de operaciones administrativas.
• Respaldos diarios cifrados, con retención acotada.
• Monitoreo y alertas de seguridad e integridad del servicio.
• Privacidad por diseño y por defecto en toda nueva funcionalidad.

Puedes ejercer los siguientes derechos sobre tus datos personales:

• Acceso: saber qué datos tuyos tratamos. Plazo de respuesta: hasta 30 días.
• Rectificación: corregir datos inexactos. Tu nombre, día de pago, RUT y WhatsApp los cambias en Mi perfil; lo que deducimos de tus correos, en el panel; lo demás, escribiéndonos. Plazo: hasta 30 días.
• Cancelación o supresión: eliminar tu cuenta y tus datos. Inmediato desde Mi perfil en el panel, o desde monkeymoney.cl/settings. Se borran tu cuenta y todos los datos asociados a ella. Las copias que estén en los respaldos cifrados desaparecen cuando estos rotan (sección 12). Quedan, sin vínculo con tu cuenta: los registros de auditoría de acciones de administración, el directorio compartido de comercios (nombres y perfiles de comercios), ejemplos de asuntos de correos de bancos que el lector no reconoció, y promociones de bancos extraídas de correos publicitarios. Si te preinscribiste en la lista de espera, ese registro es aparte y puedes pedirnos borrarlo.
• Oposición a determinados tratamientos. Plazo de respuesta: hasta 30 días.
• Portabilidad: recibir tus datos en formato estructurado. Plazo: hasta 30 días.
• Bloqueo (Ley 19.628). Plazo: hasta 30 días.
• Revocación del consentimiento en cualquier momento.
• Oposición a decisiones automatizadas significativas.
• Desvinculación de tu cuenta de Google, también desde myaccount.google.com/permissions.

Para ejercer cualquiera de estos derechos escríbenos al DPO a privacy@monkeymoney.cl desde el correo asociado a tu cuenta.

Si se produjera una brecha que afecte tus datos personales y represente un riesgo para tus derechos, te notificaremos dentro de las 72 horas desde la confirmación del incidente, conforme al estándar de la Ley 21.719 (vigencia 1-dic-2026) y a la práctica internacional. Mantenemos un proceso documentado de gestión de incidentes alineado con ISO/IEC 27001:2022 (controles A.5.24 a A.5.28) y notificamos a la autoridad competente cuando corresponda.

Monkey Money no está dirigido a menores de edad. Si detectamos que hemos recopilado datos de un menor en contravención de la ley aplicable, adoptaremos medidas para eliminarlos o regularizar su tratamiento.

Podemos modificar esta Política de Privacidad para reflejar cambios legales, regulatorios o del servicio. Cuando los cambios sean materiales, te informaremos por medios razonables (correo o aviso destacado en la app). La versión vigente estará siempre disponible en monkeymoney.cl/privacy.

Para consultas, solicitudes o reclamos sobre privacidad y protección de datos personales:

DPO: Sergio Cubelli
privacy@monkeymoney.cl