Política de privacidad
Este texto es un borrador y no ha sido revisado por un abogado.
Quién publica Papaya
Papaya la publica Syrakon. Cualquier cosa sobre esta política o sobre tus datos nos llega en hello@syrakon.com.
Quién trata tus datos
Papaya es una aplicación de escritorio; no existe ningún servidor de Papaya que reciba tu correo, tus notas ni tu actividad. Tus datos se quedan en tu equipo, así que no tenemos copia: no podemos leerlos, entregarlos ni restaurarlos.
Qué datos se guardan y dónde
Los mensajes, las notas y los ajustes viven en una base de datos dentro de tu ordenador. Las contraseñas y los tokens de las cuentas viven en el llavero del sistema operativo; si el llavero no está disponible —un hueco conocido en algunas sesiones de Linux— caen a un fichero en el directorio de datos de la app, cifrado con XChaCha20-Poly1305 bajo una clave que Argon2id deriva de identificadores de tu máquina y de tu usuario. Ese fichero protege el secreto en una copia de seguridad, en un directorio personal sincronizado o en un disco que cambia de manos; no puede protegerlo de un programa que ya se ejecuta como tú.
Notas cifradas
Las notas guardadas en una vault se cifran con XChaCha20-Poly1305 bajo una clave derivada de tu contraseña con Argon2id. Sin esa contraseña la vault no se abre, tampoco para nosotros.
Tus servidores de correo
La app se conecta por TLS a los servidores IMAP y SMTP que tú configuras, para leer y enviar tu correo. Lo que esos proveedores hagan con ese tráfico lo rige su propia política, no esta.
Alta de una cuenta
Al añadir una cuenta, la app busca su configuración en la dirección de autoconfiguración de tu propio proveedor y, si falla, en autoconfig.thunderbird.net. En esa petición solo viaja el dominio de tu dirección.
Entrar con Google
Las cuentas de Gmail usan OAuth 2.0 con PKCE: tu navegador abre la pantalla de acceso de Google y la app recibe los tokens en una dirección de loopback. Tu contraseña de Google nunca pasa por Papaya y nosotros no la vemos.
Qué datos de Google pide Papaya
Dos scopes. `https://mail.google.com/` da el acceso IMAP y SMTP que necesita leer, enviar, archivar y borrar tu correo; `openid email` solo le dice a la app qué dirección acabas de conectar, para poder etiquetar la cuenta.
Qué hace Papaya con los datos de Google
Tus mensajes de Gmail viajan entre Google y tu ordenador y se guardan ahí, igual que los de cualquier otra cuenta IMAP. No se envían ni a nosotros, ni a ningún servidor nuestro, ni a terceros, porque no existe ningún servidor de Papaya al que mandarlos.
Uso limitado de los datos de Google
El uso y la transferencia por parte de Papaya de la información recibida de las APIs de Google a cualquier otra aplicación se atienen a la Google API Services User Data Policy, incluidos sus requisitos de Limited Use. Puedes consultarla en https://developers.google.com/terms/api-services-user-data-policy. Los datos de Google no se venden, no se usan para publicidad ni perfilado, no alimentan ningún modelo y no los lee ninguna persona: se quedan en tu equipo y nosotros no los recibimos.
Tokens de Google
El refresh token se guarda en el llavero del sistema operativo y solo se usa para obtener tokens de acceso a tu propio buzón. Quitar la cuenta en Papaya lo borra; además puedes revocar el acceso de Papaya cuando quieras en https://myaccount.google.com/permissions.
Imágenes de fondo
La búsqueda de imágenes para el fondo de la app solo funciona si introduces tu propia clave de la API de Pexels. Las búsquedas viajan entonces a api.pexels.com, y la imagen que elijas se descarga del CDN público de Pexels. Sin clave no hay ese tráfico.
Contenido remoto en los mensajes
Las imágenes alojadas fuera de un mensaje no se descargan hasta que lo pides. Eso es lo que impide que quien te escribe sepa cuándo, desde dónde y cuántas veces abriste su correo.
Calendario y festivos
Los festivos se calculan en tu equipo a partir de una base local. El calendario no se los pide a ningún servicio externo.
Buscar en la web desde la app
Buscar el texto seleccionado abre la búsqueda en tu propio navegador, en DuckDuckGo. A partir de ahí la petición es de tu navegador y queda bajo su política y la de DuckDuckGo.
Telemetría
No hay. La app no envía estadísticas de uso ni informes de error, y tampoco comprueba actualizaciones por su cuenta.
Este sitio web
papaya.zip es estático: sin cookies, sin analítica, sin formularios y sin CDN de terceros. Las tipografías se sirven desde este mismo dominio.
Registros del sitio
El servidor guarda registros técnicos de acceso —dirección IP, marca de tiempo, ruta pedida, código de respuesta y agente de usuario— para operar el sitio y diagnosticar fallos. No se cruzan con ningún otro dato y se conservan el tiempo mínimo necesario.
Base jurídica
El único tratamiento bajo nuestro control son esos registros de acceso, por el interés legítimo de mantener el sitio en marcha y seguro. Todo lo que haces dentro de la app ocurre en tu equipo y no tiene más responsable que tú.
Cuánto duran los datos
Los datos de la app duran lo que tú quieras. Borrar una cuenta en la app elimina sus mensajes y sus ajustes; borrar el directorio de datos de la aplicación elimina todo lo que llegó a guardar.
Transferencias internacionales
No transferimos nada, porque no recibimos nada. Tu proveedor de correo sí puede transferir datos fuera de tu país bajo sus propios términos.
Menores
Papaya no se dirige a menores de 14 años y no recogemos conscientemente nada de ellos.
Tus derechos
Acceso, rectificación, supresión, portabilidad y oposición sobre datos personales. Como solo tenemos los registros de acceso del sitio, en la práctica una solicitud alcanza a esos registros; escribe a hello@syrakon.com. También puedes reclamar ante la Agencia Española de Protección de Datos (AEPD).
Cambios en esta política
Este texto puede cambiar; la fecha de actualización encabeza la página. Un cambio sustancial se anuncia aquí antes de entrar en vigor.
Contacto
hello@syrakon.com para preguntas de privacidad, solicitudes sobre tus datos y cualquier incidencia relacionada con esta política.