Retención y Borrado de Datos
Política de Retención de Datos
Última actualización: 3 de octubre de 2026 · Versión 2.6
1. Guardamos lo mínimo
Madrugo no mantiene una copia de tu buzón. Lee lo que necesita para construir la vista de 24 horas y del correo guarda solo lo derivado: quién te escribe, de qué, un extracto y el recuerdo que se saca de ahí. El cuerpo completo de un correo no se guarda como memoria permanente; en su lugar se guarda un resumen criptográfico para detectar si el mensaje cambió.
De la agenda sí se guardan copias, y hay que decirlo: los eventos de los calendarios por enlace, cifrados; los eventos y recordatorios que sube la app del iPhone, con su título, fechas, lugar y notas, sin cifrar campo a campo; y tu agenda de contactos de Google, de Microsoft y del iPhone, cifrada.
Antes de guardar un recuerdo de la Memoria, un filtro local descarta lo que parezca un código de un solo uso, una contraseña, un DNI/NIE, un teléfono completo, un IBAN o un dato de tarjeta. Es un filtro por patrones: reduce el riesgo, no lo elimina. No se aplica a las propuestas de respuesta ni al resumen del día, y no limpia lo que se envía al modelo de IA: eso lo cuenta la política de privacidad.
2. Cuánto se guarda cada cosa
Estos son los plazos que aplica el código. La memoria se mide desde que se creó el recuerdo, no desde la última vez que se tocó: si se midiera desde la última vez, bastaría pulsar un botón para alargar la retención indefinidamente.
| Categoría de datos | Plazo | Qué lo borra |
|---|---|---|
| Credenciales de las cuentas conectadas (Google, Microsoft, iCloud, calendarios por enlace, Todoist, tokidu) y el chat de Telegram vinculado | Mientras esa conexión siga activa | Microsoft, iCloud, los calendarios por enlace, Todoist, tokidu y Telegram: al desconectar esa conexión y al borrar los datos de la cuenta. Lo que ya se mandó a Telegram queda en el chat y se borra desde Telegram. Google: hoy solo al borrar los datos de la cuenta, porque todavía no tiene desconexión en el servidor. |
| Memoria derivada del correo (remitente, asunto, extracto, recuerdo) | 90 días desde que se creó el recuerdo | La purga. La caducidad propia de cada recuerdo puede acortar el plazo, nunca alargarlo. |
| Perfil de memoria (hechos, preferencias, contactos frecuentes, estilo) | No sobrevive a los recuerdos que resume | Se rehace después de cada purga y se borra con la cuenta. |
| Propuestas de respuesta de la IA (asunto, remitente, borrador) | 90 días | La purga. |
| Resumen del día guardado, con el resumen criptográfico de tu IP que lo acompaña | 90 días | La purga. |
| Agenda de contactos (Google, Microsoft e iPhone) | Sin plazo: mientras exista la cuenta | Se borra con la cuenta. Un contacto desaparece también cuando deja de estar en su origen al volver a sincronizar, o cuando lo excluyes. Reiniciar la memoria no borra los contactos. |
| Eventos y recordatorios que sube la app del iPhone (título, fechas, lugar y notas) | Sin plazo | Un elemento se borra cuando el teléfono manda una lista nueva en la que ya no está, y todos con la cuenta. La purga no los toca. |
| Copia de los eventos de los calendarios por enlace | Mientras el calendario siga añadido; los eventos sueltos de hace más de 30 días no se conservan | Se borra al quitar el calendario y con la cuenta. |
| Firmas de correo | Sin plazo | Las borras tú, o se borran con la cuenta. |
| Estado de las rutinas diarias | Las marcas de «hecha», 60 días; las rutinas quitadas de la vista, sin plazo | Las marcas se podan cuando vuelves a marcar una rutina, no a diario: si dejas de usar la función, se quedan. Todo se borra con la cuenta. |
| Contadores de uso y de gasto de IA | 60 días los de uso; 13 meses los de gasto | Una poda propia que corre cuando arranca el servidor, no a diario. También se borran con la cuenta. |
| Tu cuenta, tu edición y tus preferencias (con la lista de excluidos y el municipio) | Sin plazo: mientras exista la cuenta | El borrado de la cuenta. |
| Registros de sincronización | 30 días | La purga. |
| Registro de auditoría y trabajos de memoria terminados | 90 días | La purga. |
| Apunte del borrado de una cuenta hecho por el administrador (correo de la cuenta, fecha, motivo y número de recibo) | 90 días | La purga. |
| Códigos para emparejar un dispositivo | Valen 10 minutos y un solo uso; la fila, 1 día | La purga. |
| Tabla de las Live Activities (hoy la app no manda ningún token de notificación) | El token se anula a los 30 días sin uso; la fila, a los 180 | La purga. |
| Credenciales de dispositivo (solo el resumen, nunca el token) | 180 días sin uso, o 180 días desde que se revocaron | La purga. |
| Registro del coste de cada llamada a la IA en la pasarela (Sinergia): modelo, consumo y un seudónimo de tu cuenta, sin el texto | Lo que haga falta para las cuentas del gasto | No lleva nada que te identifique ni nada de lo que escribiste. |
3. Cómo se aplica la purga
La purga es un proceso del servidor que recorre esas categorías, borra lo que ha pasado de plazo y vuelve a construir el perfil de memoria de las cuentas afectadas. Va por lotes, se puede repetir sin daño y no deja en sus registros ninguna cuenta, ningún asunto y ningún remitente: solo recuentos. No lo recorre todo: las rutinas y los contadores tienen su propia poda, y lo que en la tabla figura «sin plazo» no lo toca.
/app/settings puedes borrar lo tuyo en cualquier momento, sin esperar a ningún plazo, y es inmediato.4. Qué borra exactamente el borrado a petición
En /app/settings, escribiendo tu correo para confirmar, se borra en una sola operación todo lo que Madrugo ha guardado de tu cuenta: memoria y perfil, propuestas de respuesta, resúmenes guardados, contactos, eventos y recordatorios del iPhone, firmas de correo, estado de las rutinas, registros de sincronización y de auditoría, trabajos de memoria, contadores de uso y de gasto, dispositivos emparejados y la tabla de las Live Activities, tu cuenta, tu edición y tus preferencias. Se borran también todas las credenciales: los tokens de Google, de Microsoft, de Todoist y de tokidu, la contraseña de iCloud Mail y los calendarios por enlace. Después se borra tu identidad en Firebase Authentication. La operación devuelve un identificador de recibo y un recuento por tabla.
Y esto es lo que ese botón no hace, para que no te lleves una sorpresa: no toca tu Gmail, tu Outlook, tu Todoist ni tu tokidu —ni un correo, ni un evento, ni una tarea—, y no retira el permiso que en su día le diste a Madrugo en Google o en Microsoft. Para cortarlo desde el otro lado hay que revocar el acceso en el panel de seguridad de Google o de Microsoft.
Tampoco llega a dos sitios: lo que tu navegador y las apps guardan en tu dispositivo, que se borra desde Ajustes, cerrando la sesión o desinstalando la app; y las copias de seguridad de la base de datos, que se renuevan solas: lo que borras desaparece de ellas como mucho a los 30 días.
Si la cuenta la borra el administrador —porque se lo pides escribiendo a [email protected], porque la ley lo exige o porque la cuenta se preparó por error—, se borra lo mismo, con la misma operación. La diferencia es que queda un apunte durante 90 días en el registro del administrador: el correo de la cuenta, la fecha, el motivo y el número de recibo, para poder acreditar que se hizo. Cuando lo borras tú desde /app/settings, ese apunte no queda.
5. Por qué «borrado» no siempre significa «destruido hoy»
El artículo 32 de la Ley Orgánica 3/2018 obliga a bloquear los datos cuando se suprimen: identificarlos y reservarlos con medidas técnicas que impidan tratarlos —incluso verlos—, salvo para ponerlos a disposición de jueces y tribunales, del Ministerio Fiscal o de las autoridades de protección de datos, y solo durante el plazo de prescripción de las posibles responsabilidades. Pasado ese plazo hay que destruirlos.
Hoy, cuando borras algo, se borra de nuestra base de datos en ese momento. La única excepción es el apunte de 90 días que deja el borrado de una cuenta hecho por el administrador, que explica el apartado anterior. Si algún día la ley nos obligara a conservar un dato para acreditar algo ante un juez o una autoridad, lo guardaríamos bloqueado: sin usarlo para nada más —ni mostrarlo, ni pasárselo a la IA, ni sincronizarlo— y solo durante el plazo legal.
6. Si revocas el acceso desde Google, Microsoft o Apple
Si quitas el permiso desde el panel de seguridad de tu cuenta de Google o de Microsoft, o desvinculas la app en tu Apple ID, Madrugo se encuentra un token que ya no vale: deja de poder leer nada y marca esa conexión como caída en el siguiente intento de sincronizar. Lo que ya estuviera guardado sigue ahí hasta que lo borres o hasta que venza su plazo; si quieres que desaparezca antes, usa el borrado de /app/settings.
7. Preguntas sobre conservación
Si quieres saber qué tenemos guardado de ti, pedir una confirmación de que se ha destruido o preguntar por cualquier plazo de esta página, escribe a [email protected] o a [email protected]. Es gratuito y contestamos como máximo en un mes.