En controldealquiler.com no tenemos la clave de tus documentos ni de tus datos personales.
Aquí explicamos por qué.

No podemos recuperar tus datos. No es que no queramos: es que no podemos. Tu clave privada de cifrado solo la conoces tú (y quien tú se la des), y solo se usa al introducirla en tu navegador. Si pudiéramos recuperarla, también podría un atacante que comprometiera nuestros servidores, un empleado descontento o una orden judicial. La irrecuperabilidad es exactamente la garantía. Recomendamos guardar tu clave privada de cifrado en un gestor de claves (1Password, Bitwarden, el llavero del navegador).

En dos momentos, y conviene distinguirlos. El primero no lo pides tú: al subir un fichero —y también al abrir por primera vez una vivienda con documentos llegados por correo, Telegram o WhatsApp— mandamos al modelo, a través de nuestro servidor, las primeras páginas convertidas a imagen, el texto del PDF si lo tiene y la nota que añadas (una foto va entera) para clasificar de qué se trata. El segundo sí lo pides tú con un clic: al escanear cualquier documento para sacar sus datos, tu navegador lo descifra y lo manda entero al modelo a través de nuestro servidor, que lo reenvía en memoria sin guardarlo (de una escritura, sus cinco primeras páginas). En ambos casos el resultado vuelve a tu navegador y se cifra antes de guardarse: controldealquiler.com no almacena copias en claro, y el proveedor del modelo (Anthropic) no entrena con tus archivos. El original sigue cifrado en la base de datos como cualquier otro documento. Si prefieres que no ocurra ninguno de los dos, puedes desactivar la inteligencia artificial en tu perfil: entonces clasificas y rellenas los datos a mano, y de tu navegador no sale nada más que los bytes cifrados del documento. El interruptor vale para lo que hace tu cuenta: si un copropietario o tu gestoría tienen la suya activada, sus escaneos sí se hacen.

Sí, con un matiz que conviene contar con honestidad. Empecemos por deshacer una comparación fácil: no es que el fichero subido desde la app no pase nunca por nuestro servidor y el del email sí. Cuando subes un fichero desde la app, antes de cifrarlo salen de tu navegador las primeras páginas convertidas a imagen, el texto del PDF si lo tiene y la nota que añadas (una foto va entera) hacia nuestro servidor y nuestro proveedor de IA, que la miran solo para clasificar de qué documento se trata. Ese tránsito existe, no se almacena en claro, el proveedor no entrena con él, y puedes desactivarlo entero desde tu perfil desactivando la inteligencia artificial: entonces clasificas tú a mano y no sale nada sin cifrar. Después, el fichero completo se cifra en tu navegador y lo que se guarda son bytes que solo se abren con tu clave. Un email, en cambio, viaja por internet (el protocolo SMTP) y llega físicamente a nuestro servidor en claro y entero — eso no lo decide controldealquiler.com, es cómo funciona el correo en todo el mundo. Lo que hacemos es cifrarlo en el instante en que llega, usando tu clave PÚBLICA de cifrado: un candado de una sola dirección que cualquiera puede cerrar pero que solo tu clave privada (la que nunca sale de tu navegador) puede abrir. El servidor echa el candado sin poder volver a abrirlo y borra el original en claro al momento. Así que la diferencia real no es «uno pasa y el otro no», sino cuánto pasa y por qué: del fichero que subes viajan unas páginas reducidas para clasificarlo, o nada si apagas la IA; del email viaja el mensaje entero, porque el correo no sabe llegar de otra manera. En ninguno de los dos casos guardamos el documento en claro. El correo se recibe y se cifra dentro de la UE (Irlanda); la lectura con IA, si la tienes activada, la hace nuestro proveedor de IA (Anthropic), fuera de la UE. Lo que queda guardado solo se abre con tu clave.

Tus documentos y tus datos personales se los llevan cifrados (iv + ciphertext + auth tag). La clave que los abre también está, pero cerrada con tu clave privada de cifrado: para abrirla tendrían que adivinar tu clave privada, probando combinaciones contra PBKDF2 con 200 000 iteraciones por intento. Con una clave privada larga, eso es computacionalmente prohibitivo; con una corta, es atacable, así que elígela larga. Lo que guardamos en claro para calcular —importes, fechas, casillas, municipio— sí quedaría expuesto.

Entregamos lo que tenemos: tus documentos y tus datos personales, cifrados y sin la clave; y en claro, lo que guardamos para calcular (importes, fechas, casillas y municipio). No es resistencia: es realidad técnica. Quien quiera leer tus archivos tendrá que pedírtelos a ti directamente, como cualquier otro arrendador en este país.

Míralo tú mismo: abre las DevTools de tu navegador (F12), pestaña Network, y sube un documento. Verás dos cosas. Una petición a /api/extract que lleva las primeras páginas convertidas a imagen y, si el PDF tiene texto, ese texto: es la clasificación automática, y al subir un documento es lo único que sale legible (lo demás solo sale cuando tú pides un escaneo, como leer un contrato o importar un extracto del banco) — si desactivas la inteligencia artificial en tu perfil, esa petición desaparece del todo. Y la subida del documento en sí, donde lo que viaja son cadenas hexadecimales precedidas de un IV, sin ningún campo legible: eso es lo que se guarda, y es exactamente lo que se ve en la demo interactiva de arriba. Si quieres ir más a fondo, mira el código de cifrado en la pestaña Sources del navegador — en producción lo verás minificado, pero usa las APIs estándar del navegador (`window.crypto.subtle`).

Sí, y sin herramientas técnicas. Cuando la app te pida tu clave privada de cifrado, escribe 99999999: entrarás en tu cuenta sin tu clave y en solo lectura, sin poder cambiar tus datos. Lo que puedas leer así es lo que tiene que estar sin cifrar para poder hacer los cálculos y ofrecerte el servicio, por ejemplo importes, fechas, casillas y porcentajes. Lo demás —nombres, NIF, direcciones, conceptos, notas, documentos y fotos— aparece como un hueco, porque está cifrado y solo se abre con tu clave. Un aviso arriba de cada pantalla te recuerda que estás en este modo; su botón «Salir» te devuelve a la pantalla que pide tu clave.

PBKDF2-SHA256 con 200 000 iteraciones y salt único por usuario para derivar la KEK desde tu clave privada de cifrado. AES-KW para envolver una DEK aleatoria por usuario. AES-256-GCM con IV aleatorio de 96 bits y tag de autenticidad de 128 bits para cifrar cada blob de documento y cada campo PII en base de datos. Para los ficheros que entran por email usamos además un cifrado de sobre (envelope): cada adjunto se cifra con una clave AES-256-GCM aleatoria que, a su vez, se envuelve con tu clave pública RSA-OAEP de 3072 bits; solo tu clave privada, que vive en tu navegador, puede desenvolverla. Son todos estándares NIST, los mismos que usan bancos y mensajería cifrada.

El copropietario usa tu misma clave privada de cifrado, así que puede leer los datos de esa vivienda. Lo importante es cómo llega esa clave: se la pasas tú por tu propio canal (en persona, por teléfono, por mensaje), nunca a través de nosotros. Nuestro servidor solo traslada tu clave ya cifrada (envuelta) de tu cuenta a la suya; sin la frase que solo conocéis vosotros, ese paquete es ilegible. El copropietario accede únicamente a la vivienda que compartes —no al resto de las tuyas, eso lo limita el control de acceso— y puedes revocar su acceso cuando quieras. El contrapunto honesto: al darle tu clave, esa persona puede leer los datos de esa vivienda; compártela solo con quien confías.