Privacidad

Qué es

Viajes (juanpau.com) es la app privada de una familia para sus viajes: una página por viaje con el itinerario, los hoteles, los pendientes y los pagos. Solo entran las personas de la familia, con su usuario y su PIN. Cada una puede, si quiere, conectar Gmail, para que un agente lea las confirmaciones de viaje que le llegan por correo, y Google Calendar, para tener sus viajes en su calendario. Cada uno se conecta por su lado y pide solo su permiso.

Qué se lee de Google

• Gmail, solo lectura (gmail.readonly), si la persona conecta Gmail. Cuando pulsa «Revisar correo», se buscan los correos que llegaron desde la revisión anterior (la primera vez, los últimos 30 días) y que parecen de un viaje, y se leen con sus adjuntos. Cuando pulsa «Recuperar un viaje» o, en un viaje, «Buscar en mi correo», el agente busca en las cuentas de Gmail de quien pulsa con el mes, el lugar o los datos de ese viaje: ve el remitente, el asunto, la fecha y un extracto de lo que encuentra, y lee enteros, con sus adjuntos, los que parecen de ese viaje. La app no puede mandar, borrar ni mover correos.
• Google Calendar (calendar.events), si la persona conecta Google Calendar. Se escriben en su calendario principal los vuelos, hoteles, coches y reservas con hora de sus viajes, y se mantienen al día: al conectarlo, cada vez que alguien aprueba un cambio de un viaje que ella ve, cuando cambia quién ve un viaje, al pulsar «Revisar correo» y al desconectarlo. Solo se cambian o se borran los eventos que puso la app, que llevan una marca; los demás no se tocan. Para no repetir lo que ya tiene —lo que Gmail añadió de un correo, lo que puso a mano, una invitación—, antes se miran sus eventos en las fechas del viaje, sin guardarlos ni mandarlos a ningún sitio. Y al pulsar «Revisar correo» se leen además los eventos nuevos del calendario, por si alguno es de un viaje, aunque no tenga Gmail conectado. Al recuperar o buscar un viaje en el correo, si esa misma cuenta tiene también Gmail, el agente puede mirar los eventos de esas fechas.
• La cuenta (openid, email): el correo, el id de la cuenta de Google y, si es de trabajo o de escuela, su dominio. Sirve para saber qué cuenta es.

Para qué

Solo para eso: encontrar reservas, cargos, cambios y cancelaciones de viaje, proponer cómo queda cada viaje —la propuesta la aprueba o la descarta la persona dueña de la cuenta; nada cambia en un viaje sin eso— y tener los viajes en su calendario. Los datos de Google no se usan para publicidad, no se venden, no se usan para entrenar modelos de inteligencia artificial y no se usan para nada que no sea lo que la persona ve en la app.

Uso limitado

El uso de la información que se recibe de las APIs de Google cumple la Política de datos de usuario de los servicios de API de Google (y la de las APIs de Google Workspace), incluidos sus requisitos de uso limitado.

The use of information received from Google Workspace scopes will adhere to the Google User Data Policy, including the Limited Use requirements.

Ninguna persona lee el correo de otra: lo lee un modelo, y la dueña de la cuenta ve lo que propone. Solo habría una excepción si ella lo pidiera expresamente, por seguridad o porque lo exigiera la ley.

A quién se manda

• Google: de donde se lee el correo y el calendario, y donde se escriben los eventos de los viajes.
• OpenAI, por su API. De cada correo nuevo, un extracto (remitente, asunto, fecha, el principio del texto y los nombres de los adjuntos) a un modelo que decide si es de un viaje; los que lo son, enteros y con sus adjuntos, a otro que propone los cambios. También los eventos del calendario que parecen de un viaje y, al recuperar o buscar un viaje, lo que devuelven esas búsquedas. OpenAI no los usa para entrenar sus modelos y no guarda las respuestas; conserva lo que recibe hasta 30 días solo para vigilar abusos, y lo que guarda en su caché, hasta 24 horas.
• TypeSafe, por Workers AI de Cloudflare, mientras se prueba su modelo Jev: el mismo extracto de cada correo nuevo que va al modelo que decide si es de un viaje. Jev no decide nada: de su respuesta solo se guarda una cifra, para comparar los dos modelos. Cloudflare lo ofrece sin retención de datos, y según sus condiciones TypeSafe no los usa para entrenar sus modelos.
• Cloudflare: donde corre la app (Workers, D1, R2 y Workflows), que guarda todo cifrado. Desde el 28 de septiembre de 2026, el registro de Workflows guarda solo identificadores y cifras, nunca el contenido de un correo; lo de antes se borra solo a los 30 días.
• La web: el agente puede buscar datos públicos —tipos de cambio, husos horarios, aeropuertos, coordenadas— en Wikipedia, el Banco Central Europeo (por Frankfurter) y sitios así. En esas búsquedas nunca van el correo ni nombres.
• A nadie más.

Quién lo ve

Lo que sale del correo o del calendario de una persona —los correos encontrados, las tareas y las propuestas— lo ve solo ella. Lo que aprueba pasa a sus viajes, y cada viaje lo ven las personas de la familia con quienes lo comparte, también en su calendario si lo conectaron. La pantalla de conectar Gmail lo dice antes de «Continuar con Google».

Cuánto se guarda

• El permiso de Google (el refresh token), cifrado con AES-256-GCM, mientras la cuenta tenga Gmail o Google Calendar conectado. El permiso de cada hora (access token) no se guarda.
• De los correos que son de un viaje: el correo con sus adjuntos y lo que el agente sacó de él, hasta que se pida borrarlo.
• De los demás correos: solo su identificador, su Message-ID, la fecha y que ya se miraron, para no volver a mirarlos. Mientras se prueba Jev, también la cifra que dio.
• De una búsqueda: los correos que el agente leyó, con sus adjuntos, junto a la tarea; lo que vio en los resultados se borra al terminar.
• De los adjuntos que se leen: su huella (un resumen de sus bytes, SHA-256), para no leer dos veces el mismo archivo.
• De los eventos del calendario: su identificador, su iCalUID (el mismo en cada copia de una invitación), cuándo cambiaron y que ya se miraron; los que parecen de un viaje se guardan, como texto, con la tarea del agente que los lee.
• Lo aprobado se queda en los viajes.

Cómo desconectar y pedir que se borre

En la app, en Tu cuenta → Conectores: el menú «…» de Gmail o de Google Calendar → Desconectar. Al desconectar Google Calendar se quitan del calendario los eventos de los viajes que vienen. Cuando una cuenta ya no tiene ni Gmail ni Google Calendar, se borra aquí su permiso —la cuenta sigue apuntada, sin él, con los correos que ya se miraron— y se revoca en Google, salvo que otra persona de la familia tenga conectada esa misma cuenta de Google: revocarlo se lo quitaría también a ella. También se puede quitar desde la cuenta de Google, en myaccount.google.com/connections. Para que se borre lo que se guardó de un correo, o para tener una copia, basta con pedírselo a Juan Pablo, que administra la app, en unmalnick@gmail.com.

Lo que protege

Un correo es contenido de terceros: se trata como datos, nunca como instrucciones. El modelo no puede mandar, borrar ni cambiar nada por su cuenta; solo propone, y cada propuesta la revisa y la aprueba una persona. Los permisos de Google se guardan cifrados y nunca salen a un registro ni a un modelo.

Si esto cambia

Si la app fuera a usar los datos de Google de otra manera, lo dirá aquí y lo pedirá otra vez antes de hacerlo.