Política de privacidad

Solo aquello sin lo que no pueden funcionar el acceso, la sincronización y la correspondencia con el desarrollador:

• tu dirección de correo, no en texto plano, sino como una transformación irreversible con una clave secreta: de ella no se puede recuperar la dirección, aunque una dirección conocida sí puede compararse con ella;
• tu identificador de cuenta en Google o Apple, si entraste así, transformado de la misma manera;
• las sesiones: solo una huella del token de tu cookie, nunca el token, y la hora en que entraste;
• los códigos de los correos de acceso, con hash, vivos durante diez minutos;
• contadores de peticiones, para que un código no se pueda adivinar por fuerza bruta;
• tu correspondencia con el desarrollador, si la has usado: mira su propia sección más abajo;
• un acceso sin terminar: un flujo empezado y no completado vive en el servidor unos minutos y caduca solo;
• tus recargas, si has recargado tu saldo de reconocimiento: el importe, la hora y el identificador del pago en el comercio que lo cobró (el número de la tarjeta se queda con ellos);
• una lista de tus dispositivos: solo el identificador aleatorio que un dispositivo se inventó y cuándo se conectó por última vez. Ni modelo, ni sistema, ni nombre: la lista responde a «cuántos hay y si siguen vivos», y a nada más;
• copias de seguridad de toda la base de datos, hechas una vez por hora y guardadas hasta 14 días, para que un fallo no se lleve las cuentas de todos. Qué contienen y durante cuánto tiempo, mira Cuánto tiempo se guarda cada cosa.

Dónde está el servidor. El servidor, la base de trabajo y las copias locales funcionan en el proveedor de alojamiento Railway (EE. UU.), en su región de Singapur. Los datos de trabajo de personas de la Unión Europea y del Reino Unido se almacenan, por tanto, fuera de esos territorios. Las copias externas cifradas se almacenan en Cloudflare R2 bajo la jurisdicción de la Unión Europea.

Tu diario vive tanto en tu dispositivo como en el servidor, pero en el servidor va cifrado. Las entradas, las vistas previas de fotos, sus copias ampliadas y los registros de peso viven en el almacenamiento de tu navegador, y una copia sellada viaja al servidor: la clave existe solo en tu dispositivo. El servidor puede ver que se añadieron entradas y cuándo, y no puede ver qué comiste, cuánto ni cuánto pesas.

Nosotros tampoco podemos leer tu diario. No es una promesa de portarnos bien; es cómo está construido el sistema: no tenemos la clave. Lo que trae un precio que conviene saber de antemano: si pierdes tu código de recuperación junto con tu dispositivo, nadie puede recuperar el diario, tampoco nosotros. No habría de dónde restaurarlo. El código se muestra en Ajustes, en «Datos»: apúntalo y guárdalo en algún sitio que no sea tu móvil.

El servidor también guarda las versiones en conflicto, y eso juega a tu favor. Si una entrada se editó en dos dispositivos, gana la edición más reciente, y la que perdió no se tira: se queda en el servidor un mes, sellada igual, y la aplicación puede mostrártela. Si no, «se arregló sola» sería nuestra palabra contra tu memoria. Nosotros tampoco podemos leerla, claro: va en el mismo sobre que todo lo demás.

La imagen de perfil es una foto que eliges o un animal integrado. Se guarda en tu dispositivo y entra en tu archivo de copia de seguridad. Llega al servidor solo si activas la sincronización de la imagen: tiene su propio interruptor en la sección «Datos», aparte de la sincronización de ajustes y apagado hasta que lo actives. Entonces el servidor guarda una sola copia actual, en un sobre aparte sellado con tu código de recuperación: solo tus dispositivos pueden abrirlo. No enviamos la imagen al modelo ni a tus amigos. El sobre tiene el mismo tamaño tanto si lleva una foto como un animal: el servidor solo ve que hay una copia, su número de versión y cuándo cambió. Al apagar la sincronización se borra el sobre al instante; queda un registro técnico sin imagen —el número de versión y la hora del apagado— por el que tus otros dispositivos saben que está apagada. Borrar tu cuenta lo borra también. Las copias de seguridad del servidor guardan lo borrado hasta 14 días: consulta Cuánto tiempo se guarda cada cosa.

La sincronización de Health también guarda datos de control en el servidor: claves públicas de verificación del teléfono, permisos de ejecución, destinos de registros con hash y límites de versión, estados de operaciones, cancelaciones y transferencias antiguas. No contiene valores de Health, ID de registros del sistema, nombres de dispositivos ni notas. Se borran con la cuenta; los estados y operaciones se incluyen en la exportación del servidor, las claves públicas de verificación no.

Los ajustes van al servidor solo si activas su sincronización. Los objetivos, el perfil (nombre, sexo, año de nacimiento, altura, nivel de actividad, objetivo, ritmo, peso objetivo, qué tener en cuenta y qué no comes), el objetivo de agua, el reparto de comidas, las funciones del diario, los ajustes de alimentación, el registro de ajustes de la norma, las acciones rápidas, las unidades, el tema de la tarjeta para compartir y dos interruptores (una valoración de producto oculta y una búsqueda en la base abierta desactivada) viajan en un solo sobre, sellado con la misma clave que el diario. Parte de esto lo nombramos aparte, porque puede insinuar tu fe o tu salud: el conjunto listo y los objetivos de alimentación (por ejemplo, «Vegetal» o «Sin alcohol»), la lista de lo que no comes y tus propias palabras en los ajustes de alimentación (palabras de alerta y excepciones) viajan en el mismo sobre, selladas igual. Se activa con un interruptor aparte en la sección «Datos»; hasta que lo hagas, los ajustes no se envían a ninguna parte. Se desactiva en el mismo sitio: la copia del servidor se borra al momento, y la sincronización se apaga en todos tus dispositivos. El servidor ve que el sobre existe, cuándo cambió, qué tamaño tiene y cuándo se apagó la sincronización, y no qué hay dentro. El tema de la app, el idioma, los recordatorios, la conexión con Apple Salud y tu propia clave de proveedor de reconocimiento nunca salen del dispositivo: son del dispositivo, no tuyos.

Tu país de residencia, si lo elegiste, se guarda en este dispositivo. Viaja en el archivo de copia junto al idioma y se borra con tus demás ajustes personales cuando otra persona pasa a usar el dispositivo. No forma parte del sobre de sincronización de ajustes y no lo deducimos de la dirección IP ni del idioma de la interfaz. A nuestro servidor el código del país va como campo de la solicitud solo con una solicitud de reconocimiento con la clave de Snapfork y solo con el interruptor «Tener en cuenta mi país» activado — de paso, allí no se queda (ver «Adónde sí van los datos»). La línea «Sugerido por el dispositivo» del selector de país se calcula en el propio dispositivo —por la región del sistema, la zona horaria o la región de la configuración de idioma del navegador— y no elige nada por sí sola.

Un archivo de copia lo sigues exportando tú y lo guardas tú. No va cifrado, y es la única forma de leer tu diario sin el código.

A los proveedores de acceso no les pedimos tu nombre, tus apellidos ni tu foto de perfil: solo la confirmación de la dirección de correo. Un nombre que escribas tú en tu perfil llega al servidor solo dentro del sobre sellado de ajustes, y solo si la sincronización de ajustes está activa; no podemos leerlo.

Esto trata de la aplicación para iPhone. Aún no está en la App Store, y lo que sigue describe cómo se comportará cuando salga. El sitio web no tiene nada parecido: en un navegador no hay contenedor de la app ni una copia así.

Una copia de seguridad del iPhone lleva los datos de las apps a iCloud: así funciona esa copia, no es algo que haga nuestra app. Si tu diario entra en ella es decisión tuya, y por defecto no entra. Se te pregunta en el primer arranque, y puedes cambiar la respuesta cuando quieras: Ajustes → «Datos» → «Diario en la copia de iCloud».

Lo que se describe aquí es el mecanismo, no el resultado, y no es evasiva: una vez que respondes, la frase «mi diario está en iCloud» es verdad para unos lectores y falsa para otros. Si dices que sí, la copia la hace y la guarda Apple con las reglas de Apple: es su copia, no la nuestra; ni la vemos ni podemos abrirla. Si dices que no, o no dices nada, la carpeta de la app se marca como excluida de la copia, así que el diario no viaja allí.

Nada de esto afecta al archivo de copia que exportas tú: ese lo haces y lo guardas donde quieras. Qué entra en él de los amigos se describe en Amigos.

La app tiene una sección «Prevención»: material de referencia sobre recomendaciones publicadas de chequeos preventivos, seleccionadas según la edad, el sexo y tus respuestas. Esas respuestas son datos de salud, y las tratamos con más rigor que el diario. La sección solo se abre tras un consentimiento aparte en su pantalla de inicio; mientras no lo des, no guarda nada.

Qué se guarda. Dónde te atienden (el país); si fumas, lo dejaste o nunca fumaste, con los paquetes-año y el año en que lo dejaste; si planeas un embarazo; qué puntos por órganos te corresponden; las marcas «hecho» con el mes y el tipo de prueba; los puntos aplazados; el interruptor «Nada sobre perder peso» y cuándo diste el consentimiento. Del perfil, la sección lee el año de nacimiento, el sexo, el objetivo y la lista «Lo que no comes», pero no tu peso. No pregunta ni guarda diagnósticos, antecedentes familiares ni resultados de análisis.

Dónde. En tu dispositivo, en el almacenamiento de la app. En la app para iPhone, las respuestas van selladas con una clave vinculada a ese teléfono: una copia puede restaurarla en el mismo dispositivo, pero no transferirla a otro. A una copia de iCloud las respuestas solo llegan selladas, y en otro teléfono no hay nada con qué abrirlas; allí la sección empieza de cero. En un navegador, las respuestas quedan en su almacenamiento, como el diario.

Al servidor, solo selladas y solo si tú lo decides. Las respuestas de salud van al servidor solo si activas su sincronización entre dispositivos, y entonces selladas con una clave que solo existe en tus dispositivos, como el diario y los ajustes. Esa sincronización tiene su propio interruptor y su propio consentimiento; viene apagada por defecto y solo funciona dentro de la sincronización de ajustes, pero activar esta no la activa. Si indicaste que te atienden en Rusia, las respuestas no van al servidor ni con la sincronización activada.

Adónde no van nunca. Ni al modelo de lenguaje, ni a los amigos, ni a los datos del dispositivo que se adjuntan a un mensaje de soporte. En el archivo de copia (el botón «Exportar JSON») no entran por defecto: una casilla aparte las añade, y entonces recuerda que ese archivo no va cifrado.

Ocultar, apagar la sincronización, borrar: tres acciones distintas. «Ocultar la sección» la quita de la vista y no toca las respuestas. «Apagar y borrar las respuestas del servidor» borra la copia del servidor, y tus otros dispositivos borran la suya en su próxima sincronización; en este dispositivo las respuestas se quedan. «Borrar las respuestas de este dispositivo» las borra aquí y, con la sincronización activada, en la próxima sincronización también en el servidor y en tus otros dispositivos; con las respuestas se retira también el consentimiento, y la sección vuelve a empezar por su pantalla de inicio. Eliminar la cuenta se lleva la copia del servidor con todo lo demás; cuánto viven las copias de seguridad de la base de datos se explica en Cuánto tiempo se guarda cada cosa.

Las fotografías de comidas, envases o etiquetas se envían a reconocer, y por dónde viajan depende de quién firma la petición con su clave. Hay dos rutas, y la elección es tuya:

• Con tu propia clave la fotografía va de tu dispositivo directamente a la plataforma cuya clave introdujiste, sin pasar por nuestro servidor. No la vemos ni la guardamos. La plataforma la eliges tú; hoy la app envía la fotografía a nueve direcciones y no conoce otras:
  • Google Gemini — generativelanguage.googleapis.com
  • OpenAI — api.openai.com
  • Grok xAI — api.x.ai
  • DeepSeek — api.deepseek.com
  • Qwen — dashscope-intl.aliyuncs.com
  • Mistral AI — api.mistral.ai
  • Llama Meta — api.llama.com
  • Poe — api.poe.com
  • OpenRouter — openrouter.ai
  La lista está integrada en la app y en la política de seguridad del navegador, así que la fotografía no puede ir a ningún sitio más que a la plataforma que elegiste. La app también reconoce la clave de una décima plataforma, Claude, pero no le envía nada: solo abre el acceso desde el navegador con una cabecera especial que la propia plataforma llama peligrosa, y nosotros no la ponemos.
• Desde ese punto rigen las condiciones de la plataforma, no las nuestras, y no son iguales en todas partes. En Google, por ejemplo, difieren incluso entre los niveles de una misma clave: en el nivel gratuito se reserva el derecho a usar lo que envías para mejorar sus productos; en el de pago, no. No resumimos las condiciones de las demás: cambian sin nosotros, y hay que leerlas en la fuente. Cómo conseguir una clave está escrito en los ajustes de la aplicación, junto al campo de la clave.
• Con la clave de Snapfork la fotografía pasa por nuestro servidor, donde se firma la petición, y de ahí por OpenRouter, la plataforma que la entrega al proveedor del modelo. Aquí no se guarda: ni el archivo, ni una copia en un registro; lo que queda es una fila de números: modelo, tokens, coste; para quien llegó por una invitación, hasta que la invitación cuente, también la fecha local (ver «Enlaces de invitación»). En cada petición le decimos a la plataforma que no pase por proveedores que conservan lo que se envía.

La aplicación empieza con tu propia clave y pasa a la nuestra solo cuando la tuya ha fallado, o va directamente a la nuestra si el modelo que elegiste no mira fotografías. Ese es el valor por defecto, y una casilla en los ajustes lo desactiva; entonces la fotografía nunca pasa por nuestro servidor, en ningún caso.

Comida en palabras, y recalcular a partir de una descripción. Cuando describes una comida con texto, el texto que escribiste se envía a reconocer por las mismas dos rutas que una fotografía, para que el modelo estime calorías, proteínas, grasas y carbohidratos. Cuando pides a la aplicación que recalcule los números de un producto a partir de su descripción, la descripción del producto (lo que dice su campo de nombre) se envía al modelo de la misma forma. La descripción de una comida lleva también su peso total, si lo diste, y los nombres de productos de tu biblioteca junto con cuánto sueles tomar de cada uno (la ración en gramos), que ayudan al modelo a reconocer lo que ya conoce y a juzgar el peso; los mismos nombres de la biblioteca, con sus raciones en gramos, van también con la fotografía de un plato. La descripción de una comida, igual que una fotografía, lleva también el idioma de la interfaz, para que el modelo nombre los platos en él. El texto no se guarda aquí, igual que la fotografía: solo queda la fila de números.

Tu país de residencia, si lo elegiste. Una foto, una etiqueta o una descripción de una comida llevan también, junto con el idioma de la interfaz, el código de dos letras de tu país, para que el modelo reconozca los platos locales y el tamaño de las porciones. Con la clave de Snapfork, el código del país va por nuestro servidor hasta la plataforma de reconocimiento; con tu propia clave va directo a la plataforma, sin pasar por nosotros. Nuestro servidor solo lo deja pasar: como con una foto, en el registro de llamadas quedan solo el modelo, los tokens y el coste (para quien llegó invitado, también la fecha local; ver «Enlaces de invitación»). El recálculo de un elemento y la clasificación de productos por grupos nunca reciben el país, y tu lista «No como» nunca va al modelo. Se desactiva con el interruptor «Tener en cuenta mi país» en la sección «Reconocimiento de comida».

El texto de tu búsqueda de productos, si tocaste «Buscar en Open Food Facts (en línea)». La aplicación tiene una pantalla de Productos: busca en tus propios productos y en el catálogo descargado en tu dispositivo, y todo eso ocurre sin red. Cuando el catálogo no tiene lo que buscas, aparece un botón «Buscar en Open Food Facts (en línea)» bajo la lista. Con ese toque, y solo con él, lo que escribiste en el campo de búsqueda sale de tu dispositivo hacia Open Food Facts, sin pasar por nuestro servidor: ni vemos ese texto ni lo guardamos. No hay autocompletar mientras escribes ni peticiones en segundo plano: sin el toque, no sale nada.

Con ese texto no viaja nada más: ni entradas del diario, ni fotografías, ni peso, ni identificador de cuenta; la petición no necesita nada de eso, y la aplicación no añade nada. A partir de ahí rigen las condiciones de Open Food Facts, no las nuestras. Una casilla lo desactiva: Ajustes → Productos por código de barras → «Buscar en Open Food Facts (en línea) con un toque»; desactivada, quita el propio botón, y no sale nada en absoluto. Buscar un producto por el código de su paquete, y buscar en el catálogo descargado, nunca salen a la red, ni con la casilla activada ni desactivada.

La aplicación descarga la base de productos de nuestro servidor como archivo de un país o, cuando está disponible, como núcleo mundial; la dirección nombra la base elegida (por ejemplo, /products/de.2026-09-24.csv). El nombre de la base descargada y tu dirección IP son visibles para nuestro servidor y para Cloudflare, que procesa las solicitudes a snapfork.app. La ruta y la dirección IP pueden aparecer en los registros de Railway. Su plazo de conservación depende de la configuración de los proveedores y debe comprobarse antes del lanzamiento. Puede ofrecerse actualizar el archivo de un país ya instalado. El país del archivo no tiene por qué ser tu país de residencia; el núcleo mundial no lo indica. La solicitud sale sin la cookie de inicio de sesión. La aplicación no vincula la descarga a una cuenta. La base solo se descarga con el botón de Ajustes; después, buscar en ella no usa la red.

Los correos con el código de acceso pasan por el proveedor de correo que eligió el responsable del servicio. Aparte de lo enumerado aquí, no se pasa nada a nadie: no hay analítica, ni publicidad, ni scripts de terceros en el sitio ni en la aplicación.

En el propio correo el proveedor añade un contador de apertura: una pequeña imagen que se carga desde su servidor cuando se abre el correo. Por ella sabe que el correo se abrió y cuándo; los clientes de correo que descargan las imágenes directamente también le muestran la dirección desde la que se leyó. En nuestro plan esto no se puede desactivar. El correo tal como lo componemos no lleva ninguna imagen ni ningún enlace.

El sitio cuenta las visitas por sí mismo, sin cookies y sin scripts de nadie más. Lo que llega a la base son números diarios: página, idioma, de dónde vino la visita. Ni la dirección IP ni el User-Agent se guardan de ninguna forma: se convierten en una clave con una sal diaria, y la propia sal no se escribe en ninguna parte, así que ni nosotros podemos cruzar dos días. Se respeta la cabecera Sec-GPC: con ella, no se cuenta nada en absoluto.

Los ajustes de la aplicación tienen una sección «Soporte»: puedes escribir sobre algo roto o algo que falta, y recibir respuesta en el mismo sitio. Es una conversación y no un formulario, lo que significa que se guarda en el servidor: si no, no habría dónde responder.

Lo que se guarda es el texto de tus mensajes y las respuestas del desarrollador, vinculados a tu cuenta. Solo los leen aquellos cuyas direcciones confirmadas el responsable del servicio ha puesto en la lista de desarrolladores: la lista es cerrada, vive en la configuración del servidor, y nadie más ve la correspondencia. Junto a ella no hay ni dirección de correo ni nombre (el servidor de todos modos no los guarda en texto plano), y la conversación se mantiene con un diario, no con una persona.

Los datos del dispositivo se adjuntan solo si marcas la casilla, y antes de enviar se te muestra exactamente el texto que viajará: la versión de la aplicación y de la base de datos, la plataforma y el navegador, el idioma, el tamaño de la ventana, la pantalla desde la que escribes y el código del fallo si vienes de uno, cuántas entradas y pesajes tienes como simples números, si el dispositivo tenía red, si la app se abrió desde su icono o en una pestaña del navegador, si el modo de depuración está activo y si hay una clave de plataforma puesta: «sí» o «no», nunca la clave. Ni una sola entrada del diario, fotografía, registro de peso o campo del perfil va ahí.

El correo de aviso que le llega al desarrollador no contiene ni el texto del mensaje ni tu identificador: solo «hay un mensaje nuevo en la conversación». El contenido de la correspondencia nunca llega al proveedor de correo y nunca aparece en los registros del servidor.

La aplicación puede darte un enlace de invitación permanente. Quien se registre con él recibe de regalo reconocimientos con nuestra clave mientras al enlace le queden regalos, y tú recibes los tuyos cuando esa persona haya reconocido comida con la clave de Snapfork en dos días distintos (contados según su calendario local), hasta agotar el límite de recompensas. Nada más cambia: nadie obtiene acceso al diario de otro.

Para ello, la aplicación envía con cada reconocimiento con la clave de Snapfork la fecha local del dispositivo. Solo se guarda para quien llegó por un enlace, mientras la invitación no se haya contado y quien invitó no haya borrado su cuenta, y no más de 30 días. Una fecha que no existe en ningún huso horario se rechaza: esa llamada, como una sin fecha, se cuenta según el huso de las demás fechas de esa persona y, sin ellas, en hora universal. Si sus fechas no coinciden (una mudanza, dispositivos en husos distintos, un cambio de hora), todo su recuento va en hora universal.

Lo que se guarda es el hecho de que una cuenta llegó por el enlace de otra: qué enlace, cuándo y si la recompensa se ganó. Es un registro de una conexión entre dos personas, así que se guarda lo mínimo y no se le muestra a nadie: quien invitó solo ve números: cuántos llegaron, cuántos de ellos reconocieron comida con la clave de Snapfork en dos días distintos, cuántos reconocimientos recibió y cuántos regalos le quedan al enlace. Ni un nombre, ni una dirección, ni un momento de acceso. No decimos quién aceptó, porque sería contarle a un tercero que una persona concreta empezó a llevar un diario de comidas.

El enlace en sí lleva un código y nada sobre ti. Abrirlo lo cuenta el contador de visitas como su propia campaña, solo la etiqueta: el código nunca llega al contador, porque si no, los números diarios se convertirían en una tabla de qué enlaces funcionan.

Borrar una cuenta quita el enlace y el registro de dónde vino esa cuenta; las anotaciones de recompensa se quedan sin el identificador de cuenta, porque con ellas se cuentan los límites de cuánto se puede regalar.

La exportación «Qué guarda el servidor sobre ti» incluye tus enlaces, también los revocados, el registro de cómo y cuándo llegaste y de si se ganó la recompensa, cuántas personas llegaron por tus enlaces y cuántas de ellas contaron —solo como número—, tus anotaciones de recompensa y cuántos regalos le quedan a tu enlace. Quién te invitó y quién llegó por tu enlace no se nombran en el archivo.

Las anotaciones de recargas se comportan igual: borrar una cuenta las deja en su sitio, pero deja de nombrar a nadie. La razón no es la contabilidad sino tú: un banco puede disputar un pago un mes después de que la cuenta desaparezca, y sin importes no habría con qué responder a esa disputa. El saldo que quede se quema al borrar, y eso se escribe como una anotación propia: el dinero por el que no se prestó ningún servicio queda visible como exactamente eso, en vez de disolverse en los ingresos.

Si estás conectado con un amigo y le has permitido ver tu semana, tu semana sale de tu dispositivo: derivada de tu diario, son exactamente dos datos al día de los últimos siete días: si anotaste algo y, si lo compartiste aparte, si te mantuviste dentro de tu propio objetivo. Además, cuántos días seguidos llevas anotando. Ni qué comiste, ni cuántas calorías, ni tu peso: nada de eso entra en la semana, en ningún nivel de compartir. Aparte de la semana, a un amigo solo le llega lo que envías tú: una nota de una lista fija de ánimos o una tarjeta de producto; lo explicamos más abajo.

Ves la semana de un amigo solo si le has compartido tu semana, y su dato de objetivo solo si también le has compartido tu objetivo; en el lado de tu amigo, nuestra app le muestra de ti exactamente tanto como a ti te muestra de él: tu dispositivo muestra la semana de un amigo solo con consentimiento mutuo. Tu dato de objetivo viaja a tu amigo en un sobre cifrado siempre que le hayas compartido tu objetivo, pero se le muestra solo si él también te ha compartido su objetivo. El consentimiento se pide por amistad y por nivel, y registramos a qué texto accediste: si el sentido de ese texto cambia, volvemos a preguntar en vez de ampliarlo en silencio. Puedes deshacerlo cualquier día, y hay dos botones: «dejar de compartir» mantiene la amistad, «borrar la amistad» quita la conexión y borra lo que cada uno vio del otro.

Una tarjeta de producto sale solo cuando la envías tú. En la pantalla de amigos puedes enviar a un amigo un producto de tu biblioteca. La tarjeta lleva su nombre, los números por 100 g (calorías, proteínas, grasas y carbohidratos), el código de barras si lo hay y de dónde salen los números; el azúcar, las grasas saturadas, la sal y la fibra, solo si vienen de una etiqueta, de un escaneo del código de barras o del catálogo. No lleva peso, ni fecha, ni nada sobre cuándo o cuánto lo comiste. Viaja sellada en el mismo sobre que una nota, de la misma longitud y por el mismo camino, así que el servidor no distingue una tarjeta de una nota. Qué hacer con ella lo decide tu amigo: nada llega a su diario ni a su biblioteca hasta que guarde una entrada con ella, y una tarjeta que nadie aceptó desaparece a los siete días. A un mismo amigo puedes enviarle como máximo cinco tarjetas al día, contando hacia atrás desde el envío y no desde medianoche. «Retirar» borra el sobre en el servidor, y la tarjeta sale de la pantalla de tu amigo en su siguiente intercambio; si ya la añadió, se la queda. Borrar la amistad borra en el servidor las tarjetas entre tu amigo y tú junto con la conexión.

Hay una excepción: el archivo de copia que exportas tú: no está cifrado, y lleva la semana de tu amigo, exactamente lo que viste de él. Las respuestas y las tarjetas de producto no van en él. Borrar una amistad borra lo visto tanto aquí como en el dispositivo, pero no llega a los archivos que ya guardaste: qué pase con ellos depende de ti.

Bloquear. El botón «Bloquear» en la ficha de un amigo corta la conexión al momento —como «borrar la amistad», junto con los sobres en ambos sentidos— y desde entonces no se acepta ninguna invitación entre tú y esa persona. Para ello, el servidor guarda quién bloqueó a quién, y desde cuándo —sin motivo y sin una sola palabra tuya— hasta que desbloquees en la lista «Bloqueados» de la misma pantalla o hasta que uno de los dos borre su cuenta. A la otra parte no se lo decimos: ve lo mismo que tras «borrar la amistad»; la amistad ha terminado y tu enlace de invitación no le funciona, como uno caducado. Desbloquear no devuelve la amistad: la conexión solo se crea si uno de los dos acepta el enlace del otro. La exportación «Qué guarda el servidor sobre ti» incluye a tus amigos tal como los guarda el servidor: tu clave pública, tus conexiones con el día en que empezó cada una, tus invitaciones, tus prohibiciones si las hay y los sobres tuyos y para ti, sellados: solo pueden abrirlos tu dispositivo con tus amigos o el del amigo. Un amigo aparece en el archivo como un identificador de cuenta, no con su nombre; ni su clave, ni sus sobres a otras personas, ni las prohibiciones que te hayan puesto están en él, como tampoco los niveles y los consentimientos: se guardan en el dispositivo.

No podemos leer nada de ello, siempre que la clave sea auténtica. El contenido viaja sellado con una clave que no tenemos, todos los sobres tienen la misma longitud, y ni siquiera el tamaño revela cuántos días hay dentro. Pero algunas cosas sí las vemos, y lo decimos claro:

• quién está conectado con quién, y desde cuándo;
• tu clave pública;
• que tienes un almacén de la clave de amigos, y cuándo cambió; mientras está pendiente una solicitud para reiniciar tus amigos, la propia solicitud y cuándo surte efecto, además de un segundo texto cifrado del almacén con la misma longitud fija;
• cuándo abres la pantalla de amigos (es entonces cuando tu dispositivo recoge su buzón y, si has compartido tu semana, la envía) y cuándo se envió o se retiró un sobre con una nota o una tarjeta; y, si tus amigos están en varios dispositivos con la clave común, también cuándo aceptaste la tarjeta de producto de un amigo o la rechazaste;
• que existen invitaciones, y cuántas.

Lo que no vemos: qué hay dentro, cuánto hay y cómo llamaste a tu amigo en tu propio dispositivo. Tu amigo ve cuándo se actualizó tu semana por última vez: es la última vez que abriste la pantalla de amigos.

Esa salvedad sobre la clave no es una forma de hablar. Las claves que se intercambian entre tu amigo y tú pasan por nuestro servidor, lo que significa que, en teoría, podríamos cambiarlas. Puedes comprobarlo: treinta y dos cifras calculadas a partir de las dos claves públicas tienen que coincidir para ti y para tu amigo. Esa comprobación la ofrecemos en vez de exigirla, y hasta que la hagas, confías en que el servidor entregó la clave real. La pantalla de la amistad siempre muestra si se ha comprobado.

Si sincronizas tu diario, la clave privada de amigos viaja entre tus dispositivos por el mismo camino que el diario: en el almacén de la clave de amigos, sellado con la clave de tu diario, que no tenemos. Allí están también tus permisos, tus comprobaciones y los nombres que diste a tus amigos. Por eso tus amigos están disponibles en cada dispositivo donde está el código de la clave del diario, revocar un permiso en uno vale para todos y la comprobación es común: no hace falta comparar las cifras una segunda vez. La comprobación abarca toda la clave de tu amigo, y si cambia la clave de un amigo ya comprobado, tu semana no le llega hasta que vuelvas a comparar las cifras. Mientras tus amigos no estén en la clave común, la pantalla de amigos te ofrece pasar a ella: sin amigos ni invitaciones pendientes puedes hacerlo en cualquier momento, pero cuando ya tienes amigos o una invitación pendiente el paso, igual que traer tus amigos aquí, cambia una clave en la que otros ya confían, y por eso solo es posible justo después de entrar en la cuenta. Al emitir un código nuevo puedes cambiar también la clave de amigos y, en los ajustes de la cuenta, cerrar la sesión en otros dispositivos (también solo justo después de entrar): así se desconecta un dispositivo perdido. El orden es este: sincroniza tus otros dispositivos, emite un código nuevo y cierra la sesión en los demás. El código nuevo deja al dispositivo perdido sin las entradas nuevas del diario en el servidor; el cambio de la clave de amigos, sin las semanas nuevas de tus amigos; y cerrar la sesión, sin acceso al servidor. Lo que ya está en el dispositivo perdido se queda allí. Tus amigos verán entonces una clave nueva y podrán comparar las cifras otra vez. Cuando cambia la clave de amigos, el servidor también borra lo que te esperaba con la clave anterior (las semanas de tus amigos, sus notas y sus tarjetas de producto): la clave nueva no puede abrirlas, y tus amigos dejarán otras. Si perdiste el código, puedes reiniciar tus amigos con el botón «Reiniciar amigos» justo después de entrar (con el código del correo, con Google o con Apple). Para reiniciar, el dispositivo necesita el código de la clave del diario; si tampoco lo tiene, crea primero uno nuevo: es una clave del diario nueva. El reinicio surte efecto al cabo de un día, salvo que en ese tiempo se abra la app con red en algún dispositivo con tu código: ese dispositivo retira la solicitud por sí solo, aunque no abras la pantalla de amigos, lo que significa que el código lo tienes. Después del reinicio, la clave cambia, las comprobaciones se anulan y tendrás que volver a permitir compartir tu semana. La mitad privada de la clave de amigos nunca va a tu archivo de respaldo; en el propio dispositivo está en la instantánea del almacén, en la misma base del dispositivo que la clave del diario, y una copia de seguridad del dispositivo en la que hayas dejado entrar tu diario se la lleva junto con la clave del diario.

Sin sincronizar el diario o sin la clave común de amigos, la clave que sella tu semana se guarda en tu dispositivo y nunca viaja: ni a nosotros ni a tu archivo de respaldo. Así que en un dispositivo nuevo hay que confirmar de nuevo las amistades. Tus amigos viven en un solo dispositivo, y el servidor solo cambia tu clave mientras aún no tienes amigos ni invitaciones pendientes o al pasarlos a otro, solo justo después de entrar (con tu archivo de respaldo en un dispositivo nuevo y aún vacío o con «Traer aquí»): se detienen en el anterior («Traer de vuelta») y compartir tu semana hay que volver a permitirlo.

Cuánto dura cada cosa: una invitación no aceptada vive 30 días y funciona una vez; tu semana está en el servidor hasta la siguiente y se borra al momento cuando termina una amistad o te pasas a un dispositivo nuevo, en cuanto un dispositivo nuevo y aún vacío carga tu archivo de respaldo o confirmas el traslado en la pantalla de amigos — y, con la clave común de amigos, también cuando pasas a ella, cuando cambia la clave de amigos con un código nuevo y cuando surte efecto un reinicio; las notas viven siete días; el almacén de la clave de amigos se queda hasta que borras la cuenta; la conexión dura hasta que se termina o se borra la cuenta. Las funciones sociales no se ofrecen a nadie cuyo perfil diga que tiene menos de 16 años.

Puedes tener no más de 50 amigos, y ese techo es nuestro y no del producto: cuanto más larga la lista, más conexiones conoce el servidor. Las invitaciones tienen tope por la misma razón: cinco activas a la vez, diez al día.

Exactamente una en todo el dominio: la sesión de acceso. Es técnica, se pone solo cuando entras, vive hasta 180 días desde el último acceso y no la ve nada más que la aplicación. Antes de entrar no hay ninguna, y después viaja con cada página de aquí, esta incluida, porque el sitio y la aplicación responden en una misma dirección. No hay aviso porque no se pide consentimiento para la cookie sin la que no se puede entrar, y no hay nada más por lo que preguntar: ni analítica, ni publicidad.

Cada finalidad tiene su propia base jurídica según el RGPD (artículos 6 y 9):

• Ejecución del contrato (art. 6(1)(b)) — lo que el servicio que pides necesita para funcionar: cuenta, acceso y correos con código, la copia sellada de tu diario, el reconocimiento con la clave de Snapfork junto con el idioma y el país, la descarga de la base de productos, la correspondencia con el desarrollador, los enlaces de invitación y la mecánica de la amistad: la conexión, las claves, el almacén de la clave de amigos, la entrega de sobres, las prohibiciones de volver a invitar, y las notas y tarjetas de producto, que envías tú y que no necesitan consentimiento para compartir tu semana.
• Consentimiento (art. 6(1)(a)) — la sincronización de ajustes: se activa por separado y se retira en cualquier momento con el mismo interruptor.
• Consentimiento explícito (art. 9(2)(a)) — las respuestas de salud y su sincronización, que se retiran con los botones de la sección, y tu semana para un amigo: cada amistad y cada nivel de compartir necesitan su propio consentimiento, que se retira con el botón «Dejar de compartir».
• Interés legítimo (art. 6(1)(f)) — copias de seguridad de la base, registros del proveedor de alojamiento, el contador de visitas y los registros anonimizados de recargas guardados para disputas de pago. Puedes oponerte escribiendo a la dirección de abajo (art. 21).

También puedes presentar una reclamación ante la autoridad de protección de datos de tu país.

El registro de llamadas al modelo se guarda en el servidor mientras exista la cuenta.

La exportación del servidor incluye tu registro de llamadas al modelo: día, hora, tipo de solicitud, modelo, origen del pago, estado, tokens y coste en dólares estadounidenses, y la fecha local de la persona invitada mientras se conserve. El registro no contiene fotos, textos de solicitudes ni respuestas del modelo; la huella de la dirección IP no se exporta.

La sesión, hasta 180 días desde el último acceso. El código por correo, 10 minutos. Los números diarios del contador, indefinidamente, pero no contienen nada sobre una persona. La cuenta, hasta que la borres. La correspondencia con el desarrollador, exactamente lo mismo que la cuenta: se va con ella y no tiene plazo propio. Decidimos a propósito no nombrar un plazo propio: sería una promesa de borrar según un calendario, y no hay calendario, así que la promesa sería falsa desde la primera vez que alguien lo comprobara.

La fecha local de quien llegó invitado: no más de 30 días; se borra antes si la invitación ya cuenta o si quien invitó borra su cuenta (ver «Enlaces de invitación»).

Las entradas del diario en el servidor, mientras viva la cuenta. No tienen plazo propio, y es una decisión, no un olvido. El servidor guarda una copia sellada del diario pensando en tu segundo dispositivo — y una copia que desaparece sola no le sirve de nada a un segundo dispositivo: no tendría de dónde recuperar lo que el servidor olvidó, y el diario en él resultaría, sin avisar, más corto que en el otro. Las entradas se van con la cuenta y solo con ella: bórrala, y la copia sellada del diario sale de la base de datos del servidor al momento, y de sus copias de seguridad a medida que rotan; cuánto tardan se dice al final de esta sección. El diario del propio dispositivo sigue siendo tuyo y se borra aparte.

Los treinta días que se nombran abajo no son de las entradas en sí, y no hay que confundir los dos plazos. Treinta días es la vida de las vistas previas de fotos (en el dispositivo y en el servidor) , de las copias ampliadas en el servidor y de las versiones de entradas que perdieron un conflicto de sincronización. Los tres tipos de datos están JUNTO a una entrada, no en su lugar: lo que se va es una imagen o un borrador anterior de la línea, mientras la entrada sigue donde está. Los plazos del servidor cuentan en la base de datos de trabajo del servidor; en sus copias de seguridad una imagen o una versión puede sobrevivirles hasta 14 días: mira el último párrafo de esta sección.

Vistas previas de las fotos de comidas: 30 días. La aplicación guarda una copia pequeña de la imagen junto a la entrada y la borra del dispositivo treinta días después de hacer la foto. La entrada se queda: solo se va la imagen. Este plazo sí lo nombramos, precisamente porque aquí sí hay calendario (la limpieza se hace cada vez que se abre la aplicación y justo después de restaurar una copia) y puedes comprobarlo abriendo un día antiguo. El archivo original de la cámara no se guarda en el diario. Junto con esta vista previa, la entrada conserva en el dispositivo una copia ampliada y comprimida durante el mismo plazo. El archivo de copia de seguridad que exportas incluye esa copia sin cifrar.

Una foto aplazada: en el dispositivo, no más de 30 días. Una foto que apartas para reconocerla más tarde se queda en el dispositivo entera, no como vista previa: hasta que se reconozca y guardes la entrada, y no más de treinta días después de hacerla. Cuando se acaba el plazo la foto se borra, y el recordatorio de la comida se queda, para que la anotes a mano. Sale del dispositivo solo en el momento del reconocimiento, por la misma ruta que cualquier otra foto (mira Adónde sí van los datos). La foto completa enviada para su reconocimiento no se guarda en nuestro servidor. Si guardas una entrada, su vista previa y su copia ampliada comprimida se almacenan por separado, selladas con tu clave, como se explica abajo.

En el servidor la vista previa vive con el mismo plazo: no más de treinta días. Viaja allí sellada, junto con el diario, para poder aparecer en tu segundo dispositivo; no podemos abrirla, igual que no podemos abrir las entradas. El servidor cuenta el plazo desde el día en que llegó la imagen, no desde el día en que se hizo: no sabe cuándo se hizo, eso va dentro del texto cifrado. Así que la vista previa se va primero del dispositivo y después del servidor, y la limpieza se hace con calendario, una vez al día, y no «algún día».

Copias ampliadas de fotos de comidas: en el servidor, hasta 30 días. Si una entrada tiene una, la aplicación la envía por separado de la vista previa, cifrada con tu clave. El servidor solo ve el texto cifrado; la dirección de la foto va dentro de la entrada cifrada. Otro dispositivo descarga la copia cuando abres la foto. El servidor la borra en su limpieza diaria, contando desde su llegada, e inmediatamente al borrar la cuenta. La exportación incluye el mismo texto cifrado.

Versiones de entradas que perdieron un conflicto de sincronización: no más de treinta días. Cuando editas una entrada sustituyes su versión anterior; el servidor no la tira al momento, sino que la aparta, para que «se arregló sola» no sea nuestra palabra contra tu memoria. Puedes verlas y recuperarlas en la aplicación, en la tarjeta de versiones en conflicto. Están selladas, como las entradas: tampoco podemos abrirlas. La limpieza se hace con calendario, una vez al día, y por eso nombramos aquí el plazo.

Una versión así puede irse antes del plazo, y es más honesto decirlo claro: por entrada el servidor guarda como mucho veinte, y la vigesimoprimera desplaza a la más antigua. Es un límite técnico contra código desbocado, no una promesa de guardar veinte. La versión actual de una entrada no la toca ni el plazo ni el límite: es tu diario, y se va solo con la cuenta.

Copias de seguridad del servidor: hasta 14 días. Una vez por hora el servidor copia toda su base de datos, un seguro para el día en que un disco averiado o una actualización rota se llevarían las cuentas de todos. De las copias de las últimas 48 horas se guarda una por hora, de las más antiguas una por día, y una copia de más de 14 días se borra en la siguiente rotación horaria. Las copias solo las borra un servidor en marcha: mientras está apagado, se quedan todas, y cuando vuelve, las caducadas se van al momento. Una salvedad: la copia más reciente siempre se queda (incluso caducada, si las copias nuevas han dejado de salir bien) hasta la siguiente que salga bien, porque una copia vieja sirve más que un estante vacío. Una copia contiene exactamente lo que tenía la base de datos a esa hora, y de la misma forma. Lo que va sellado con tu clave (el diario, las vistas previas, los ajustes, la imagen de perfil, las versiones en conflicto, el almacén de la clave de amigos) sigue sellado en la copia, y no tenemos clave para ello; lo que el servidor ve abiertamente (la correspondencia con el desarrollador, quién es amigo de quién) lo ve también en la copia. Por eso cada plazo de arriba es un plazo en la base de datos de trabajo: lo que se borró allí, por la limpieza o junto con la cuenta, se queda en las copias de seguridad no más de 14 días después, salvo en los casos de arriba. Catorce días es un límite superior, no una promesa de guardar: una copia puede irse antes, por ejemplo cuando al disco le falta espacio.

Copia externa — caducidad prevista tras 35 días. Una vez al día, el servidor envía una copia de la base a Cloudflare R2 bajo la jurisdicción de la Unión Europea. Todo el archivo se cifra antes del envío con una clave independiente para las copias. El plazo de caducidad previsto es de 35 días. Después, R2 elimina los objetos de forma asíncrona, por lo que el almacenamiento real puede durar más. Los datos borrados de la base de trabajo permanecen en las copias externas hasta que esas copias se eliminan realmente.

A 9 de octubre de 2026, el almacenamiento externo también conserva una copia del 2 de octubre de 2026, creada antes de activar el cifrado del archivo completo. Esta copia antigua está sujeta a la misma regla de caducidad prevista.

En la aplicación: ajustes → «Borrar la cuenta». Eso borra la cuenta, todas sus formas de acceso, todas las sesiones y toda la correspondencia con el desarrollador; con el acceso de Apple también revoca el permiso del lado de Apple. Lo que el servidor guardaba para la sincronización también se va con la cuenta: la copia sellada de tu diario, las vistas previas de fotos, la copia sellada de tus ajustes, la imagen de perfil sellada, el registro de versiones en conflicto y la lista de tus dispositivos: nada de ello queda en la base de datos del servidor. Lo mismo pasa con tus conexiones de amistad, tu clave pública, el almacén de la clave de amigos, los sobres entre tus amigos y tú, tus invitaciones de amistad y las prohibiciones de volver a invitar. Las copias de seguridad horarias aún lo guardan hasta 14 días, de la misma forma, y después también desaparece de ellas (siempre que el servidor estuviera en marcha y las copias nuevas salieran bien); cómo funcionan las copias se describe en Cuánto tiempo se guarda cada cosa. Los números diarios del contador de visitas se quedan: no contienen nada sobre una persona y no se pueden quitar por cuenta, porque en ellos no hay cuentas. El diario de tu dispositivo se borra con un botón aparte: es solo tuyo, y no vamos a decidir su destino por ti.

Esta política cambia junto con el servicio; la fecha de arriba de la página es la de la última edición. Los cambios importantes se anuncian aquí y no por correo: el servidor no guarda ninguna dirección a la que pueda escribir, solo una huella de ella.

El responsable del tratamiento, quien decide qué se guarda aquí y responde de ello, es una persona física, no una empresa: detrás de Snapfork no hay ninguna persona jurídica. Esa persona es Oleksandr Trifonov. Todo lo relativo al servicio, incluidas las solicitudes sobre tus propios datos, va a la dirección de abajo. Qué significa ese arreglo en la práctica está en la página sobre quién está detrás.

Preguntas, acceso a tus propios datos y borrado: a través de la página de preguntas o escribiendo a hello@snapfork.app.