Política de privacidad

Lo esencial

• Tu audio no sale de tu dispositivo. Los tonos binaurales y los sonidos se generan en tiempo real en tu navegador (Web Audio API) o en el motor de audio nativo de la app Android. No se graban, no se analizan y no se suben a ningún servidor.
• La cuenta es opcional. Sin cuenta, la app funciona igual y todo queda guardado solo en tu dispositivo. Con cuenta, podés sincronizar favoritos, frecuencias, recordatorios e itinerarios entre tus dispositivos.
• Guardamos lo que creás y lo mínimo de la cuenta (correo, nombre y el hash de tu contraseña). No vendemos datos, no hay anuncios y no hay seguimiento entre sitios web.
• Podés descargar o borrar todo cuando quieras, vos mismo. En Mi cuenta hay un botón para exportar tus datos en un archivo JSON y otro para eliminar la cuenta con todo su contenido, al instante y sin pedirnos permiso.

Qué datos guardamos y por qué

Todo lo que guardamos tiene un motivo concreto y está asociado a tu cuenta. Puedes verlo y gestionarlo desde la página Mi cuenta, y descargarlo completo con «Exportar mis datos».

• Datos de la cuenta: correo electrónico, nombre visible, hash de tu contraseña (nunca la contraseña en texto plano), si verificaste tu correo, la fecha y hora en que aceptaste los Términos y esta política al registrarte, y —si activás la verificación en dos pasos— lo necesario para validarla. Sirven para iniciar sesión, recuperar la cuenta y mantenerla segura.
• Preferencias: tema, idioma, zona horaria y volumen predeterminado, para que la app se vea y suene como la dejaste.
• Perfil comercial opcional: el objetivo que declares y los temas de contenido que elijas para adaptar futuras comunicaciones. La etapa de tu recorrido se calcula desde el estado de tu suscripción y pagos; no es un dato que completes. También guardamos tus respuestas estructuradas a encuestas voluntarias (por ejemplo, una calificación y temas de interés), sin respuestas de texto libre.
• Tu contenido: frecuencias guardadas, favoritos, recordatorios/alarmas e itinerarios (con sus pasos). Es tuyo: podés editarlo o eliminarlo desde Mi cuenta.
• Sesiones: guardamos un hash de tus tokens de sesión (nunca el token en sí), el navegador/dispositivo aproximado y la IP del último acceso, con su fecha de expiración. Sirve para mantener la sesión abierta, cerrarla de forma remota y detectar accesos sospechosos.
• Suscripciones de notificaciones: en la web, el endpoint y las claves de push de cada dispositivo donde activás las notificaciones. En la app Android, el token de Firebase Cloud Messaging (FCM) de tu dispositivo. En ambos casos, solo se usan para enviarte los avisos de tus recordatorios — nunca para identificarte fuera de Vyneural.
• Datos de pago/compra: historial de tus compras (plan, monto, fecha, canal) y, solo si activás la auto-renovación con tarjeta en la web (Oneclick), el tipo de tarjeta y sus últimos 4 dígitos — nunca el número completo. El cobro en sí lo procesa Transbank (web) o Google Play (app Android): ni Transbank ni Google Play nos entregan el número completo de tu tarjeta ni tus datos bancarios, y nosotros nunca los guardamos. Más detalle sobre pagos en Términos y condiciones.
• Soporte y comentarios: si nos escribís por la burbuja 🐞 o dejás un comentario, guardamos esos mensajes (y tu valoración, si la das) para poder responderte y mejorar. Si canjeaste un cupón, también queda registrado cuál y cuándo.
• Auditoría mínima: registros de eventos relevantes (qué acción, cuándo) sin datos sensibles, para proteger el servicio contra abusos.

Lo que nunca sale de tu dispositivo

• El audio. Las ondas binaurales se generan en tiempo real donde corres la app (navegador o motor de audio nativo de la APK). No se graba, no se transmite y no hay forma de que nosotros lo escuchemos.
• Sin cuenta, todo es local. Si no creás cuenta, favoritos, alarmas e itinerarios viven únicamente en el almacenamiento de tu navegador o de la app (localStorage / almacenamiento interno de Android). No se sincronizan con ningún servidor.
• En la APK Android: las alarmas se guardan localmente en el dispositivo; si exportás un recordatorio a tu calendario se guarda un archivo .ics en tu carpeta de Descargas; la reproducción en segundo plano es local.

Correos electrónicos

Los correos transaccionales incluyen la verificación de tu cuenta y recuperación de contraseña. También puedes elegir recibir comunicaciones de marketing: son opcionales, requieren una confirmación por correo separada y puedes darte de baja desde Mi cuenta. Las encuestas son voluntarias y no te suscriben a correos.

Usamos Brevo como proveedor externo de correo transaccional y, si confirmas voluntariamente el doble opt-in, para organizar comunicaciones de marketing mediante su API por HTTPS. En ese caso puede procesar tu dirección, el objetivo y temas de contenido que elijas, la etapa de tu recorrido comercial derivada del estado de tu cuenta, y eventos confirmados como registro verificado, uso o vencimiento de un cupón promocional, inicio o renovación/cancelación de una suscripción, pagos confirmados y respuestas estructuradas de encuestas. Estos eventos distinguen el canal web/Android y el proveedor Webpay/Google Play cuando corresponde. No enviamos códigos de cupón, tokens o identificadores de compra, montos, datos de tarjeta, respuestas de texto libre, contraseña, frecuencias, historial de reproducción ni información de salud. Las encuestas son voluntarias y no te suscriben a marketing; puedes editar tus preferencias o retirar el consentimiento desde Mi cuenta. Puedes editar preferencias o retirar el consentimiento desde Mi cuenta. Más detalles en la política de privacidad de Brevo.

Analítica: Vercel Web Analytics y Speed Insights

Usamos Vercel Web Analytics y Vercel Speed Insights para entender cuántas personas visitan la web y cómo de rápida se siente. Ambas herramientas están diseñadas para respetar la privacidad:

• No utilizan cookies.
• No rastrean a los usuarios entre sitios web.
• No identifican a personas concretas: solo agregados (páginas vistas, país aproximado, tipo de dispositivo).
• Se detienen en modo privado y respetan los bloqueadores de rastreadores.

Puedes consultar los detalles oficiales en la documentación de privacidad de Vercel.

Dónde se guardan los datos

La web se sirve desde la infraestructura de Vercel. El backend de cuentas y sincronización y la base de datos (PostgreSQL) corren en Render. Tus datos de cuenta viven en esa base de datos, con acceso restringido y todo el tráfico cifrado con HTTPS. Estos proveedores pueden registrar datos técnicos estándar (dirección IP, fecha y hora, archivos solicitados) para operar y proteger el servicio, tal y como describen sus propias políticas de privacidad.

Para que tus recordatorios lleguen a horario usamos QStash (Upstash): un servicio que le avisa a nuestro servidor "despertate, en unos segundos hay que avisarle algo a este usuario" — nada más. QStash nunca recibe el contenido de tu recordatorio, tu frecuencia, tu email ni ningún dato personal: el mensaje que programamos ahí está vacío, solo lleva una hora. El aviso en sí (con su contenido) lo genera y envía nuestro propio backend directamente a tu navegador, no QStash. Más detalles en la política de privacidad de Upstash.

En la app Android, los recordatorios también pueden llegar por Firebase Cloud Messaging (FCM), el servicio de notificaciones push de Google — así te avisan aunque la app esté completamente cerrada. Lo que le enviamos a Firebase es un mensaje de datos mínimo (el identificador del recordatorio y la frecuencia a abrir): Firebase lo entrega a tu dispositivo, pero la notificación que ves la construye la app en tu teléfono, no Google. Google puede procesar el token de tu dispositivo y datos técnicos estándar de entrega según su propia política; más detalles en la política de privacidad de Firebase.

Transferencias internacionales: varios de estos proveedores operan servidores fuera de Chile, así que parte del tratamiento ocurre en el extranjero. La lista completa de quiénes intervienen es: Vercel (hosting de la web y analítica), Render (backend y base de datos), Brevo (correos transaccionales), QStash / Upstash (el disparador horario, sin datos personales), Firebase Cloud Messaging (entrega de notificaciones en Android), Transbank (pagos en la web) y Google Play (compras dentro de la app Android). Cada uno recibe únicamente lo que necesita para su función, lo trata bajo su propia política de privacidad y ninguno lo recibe para usarlo por su cuenta.

Seguridad

• Las contraseñas se guardan con hash Argon2id; nunca en texto plano ni en un formato del que se pueda recuperar la contraseña original.
• Verificación en dos pasos (2FA), opcional: podés activarla desde Mi cuenta con cualquier app de códigos temporales (TOTP). Es una capa extra: si alguien llegara a tener tu contraseña, no le alcanzaría para entrar.
• Los tokens de sesión se guardan como hash (sha256) y son revocables: podés cerrar todas tus sesiones desde Mi cuenta al cambiar la contraseña.
• Toda la comunicación va por HTTPS. La API además fuerza el canal seguro con HSTS, declara su propia CSP y restringe los orígenes permitidos (CORS).
• Consentimiento registrado: guardamos la fecha y hora exactas en que aceptaste los Términos y esta política al registrarte, para que tu consentimiento sea verificable y no una suposición nuestra.
• Control interno: el panel de administración deja un registro de auditoría cuando alguien del equipo consulta los datos de una cuenta en particular. Nadie mira tus datos sin que quede rastro de quién y cuándo.
• Si encontrás una vulnerabilidad, avisanos a soporte@vyneural.cl: lo tomamos en serio.

Permisos de la app Android (APK)

La APK pide permisos del sistema solo bajo demanda, cuando usás la función que los necesita:

• Notificaciones: para que tus recordatorios avisen con la app cerrada. Se pide cuando tocás «Activar notificaciones».
• Alarmas exactas (opcional): para que las alarmas suenen a la hora justa. Se pide solo si activás alarmas.
• Servicio en segundo plano: para seguir reproduciendo el audio con la pantalla apagada o la app en segundo plano.
• Ninguno de estos permisos se usa para rastrearte.

Tus derechos

• Acceso y corrección: desde Mi cuenta podés ver y editar tus datos, tu contenido y tus preferencias en cualquier momento.
• Portabilidad: en Mi cuenta, sección «Tus datos», el botón «Exportar mis datos» descarga un archivo JSON con todo lo que tenemos asociado a tu cuenta: perfil (incluida la fecha en que aceptaste los Términos), preferencias, frecuencias guardadas, favoritos, itinerarios, alarmas y sus avisos, historial de pagos, la tarjeta guardada (solo tipo y últimos 4 dígitos), dispositivos registrados, suscripciones de notificaciones, comentarios, conversaciones de soporte y cupones usados. Es inmediato, no hace falta pedirlo por correo, y el formato es legible y reutilizable en otra herramienta.
• Qué no entra en la exportación: por seguridad quedan afuera los secretos que no deben salir de nuestro lado ni viajar en un archivo: el hash de tu contraseña, el secreto de la verificación en dos pasos, las claves criptográficas crudas de las notificaciones push y las respuestas en bruto de Transbank. No son datos tuyos que te estemos ocultando: son credenciales cuyo valor está justamente en no copiarse.
• Supresión: en Mi cuenta, en la «Zona de peligro», el botón «Eliminar mi cuenta y mis datos» borra todo en el momento: perfil, frecuencias, favoritos, alarmas, itinerarios, historial de pagos, suscripciones de notificaciones, dispositivos, sesiones y comentarios. La tarjeta guardada para la auto-renovación también se da de baja del lado de Transbank, así que no queda ningún cobro pendiente. Te pedimos tu contraseña de nuevo para confirmar que sos vos; no hay plazos de espera, ni revisión manual nuestra, ni forma de deshacerlo. Si querés quedarte con una copia, exportá tus datos antes de borrar. Después del borrado solo subsiste la auditoría mínima, sin datos personales, por seguridad del servicio.
• Retención: tus datos se conservan mientras exista tu cuenta; las sesiones expiran solas y podés cerrarlas en cualquier momento.
• Oposición y limitación: si confirmás voluntariamente el doble opt-in, usamos el objetivo, los temas de contenido que elegiste y la etapa derivada de tu cuenta para organizar comunicaciones de marketing. Estos datos no determinan tu acceso, tus cobros ni las condiciones del servicio. Podés retirar el consentimiento y editar tus preferencias desde Mi cuenta. Las notificaciones son opt-in y las desactivás por dispositivo cuando quieras.
• Marco legal: en Chile, la Ley 21.719 de protección de datos personales entra en plena vigencia el 1 de diciembre de 2026 y hoy todavía rige la Ley 19.628. Sin esperar esa fecha, nos preparamos voluntariamente para cumplir los estándares de la Ley 21.719: consentimiento explícito y registrado, derechos de acceso, rectificación, supresión, portabilidad y oposición ejercibles por vos mismo, y reconocemos la futura Agencia de Protección de Datos Personales que esa ley crea como la autoridad ante la que podés reclamar una vez vigente. Si estás en la Unión Europea, reconocemos los mismos derechos bajo el RGPD.
• Cómo ejercerlos: lo más rápido es hacerlo vos desde Mi cuenta — acceso, corrección, exportación y borrado están ahí, sin intermediarios ni esperas. Si algo no se resuelve desde ahí, escribinos al contacto del final de esta página.
• Edad mínima: las cuentas de Vyneural son solo para personas mayores de 18 años. El detalle está en los Términos y condiciones.
• Responsable de tus datos: Vyneural SpA, RUT 78.505.157-2. Contacto de privacidad: soporte@vyneural.cl.

Cambios en esta política

Si cambiamos algo importante, actualizamos esta página y la fecha de la última actualización. La versión vigente es siempre la que se publica aquí.