La mayoría de las aplicaciones financieras incluyen "respetamos tu privacidad" en algún lugar del menú de configuración, junto a una política de 4000 palabras que nadie lee. Queríamos escribir algo diferente: una explicación sencilla de lo que Amunta realmente hace con tus datos, verificada con el código fuente de la aplicación en lugar de con un resumen de marketing.
El valor predeterminado: nada sale de tu teléfono
El libro mayor de Amunta (gastos, ingresos, deudas, facturas, presupuestos, informes) se almacena en una base de datos local en su dispositivo. No hay una pantalla de registro, ni un campo de correo electrónico, ni se requiere un número de teléfono para comenzar a usar la aplicación. Lo abres y funciona.
Amunta no contiene rastreadores de publicidad, Google Analytics ni SDK de Facebook. Es posible que se envíen diagnósticos técnicos anónimos limitados para mejorar la estabilidad; no contienen cantidades, registros financieros, contactos o fotografías y no pueden identificarlo como persona.
Hay un bloqueo de PIN disponible si lo desea. Cuando configura un PIN, la aplicación almacena un hash SHA-256 del mismo, no el PIN en sí, el mismo enfoque que se utiliza para el almacenamiento de contraseñas en cualquier sistema que se tome en serio la seguridad. Si alguien tuviera acceso a los datos sin procesar de la aplicación, no encontraría su PIN en un archivo.
La parte opcional: compartir un libro mayor con otra persona
Amunta también permite que dos personas vinculen sus cuentas, lo que resulta útil si usted y un socio, un compañero de cuarto o un contacto comercial desean compartir una pestaña en ejecución sin que cada uno de ustedes vuelva a ingresar la misma transacción. Esto es optar por participar. La aplicación base nunca lo solicita.
Cuando lo activas, esto es exactamente lo que sucede, porque creemos que "exactamente lo que sucede" es una respuesta más honesta que "nos tomamos tu privacidad en serio".
Para obtener una ID de red (parece SF-XXXXXXX), su teléfono genera un par de claves criptográficas y envía una solicitud de registro que contiene tres cosas: la clave pública, la moneda seleccionada y una bandera que indica el nivel de la aplicación. Esa es toda la carga útil. Sin nombre. Sin número de teléfono. Sin dirección de correo electrónico. Si has escrito un número de teléfono o un correo electrónico en la aplicación en otro lugar, estos permanecen en el almacenamiento local de tu dispositivo y no forman parte de esta solicitud.
Qué significa realmente el cifrado aquí
Una vez que dos personas están vinculadas, las transacciones compartidas se sincronizan entre sus teléfonos a través de un servidor de retransmisión. Aquí es donde "cifrado de extremo a extremo" significa algo específico o es sólo una frase. En el caso de Amunta, es concreto:
- Cada dispositivo tiene un par de claves. Al enviar una transacción a un contacto vinculado, las dos claves públicas se combinan mediante el intercambio de claves de curva elíptica X25519 para producir un secreto compartido.
- Ese secreto compartido se ejecuta a través de HKDF-SHA256 para obtener una clave de cifrado estable.
- Los datos de la transacción se cifran con AES-256-GCM antes de salir del dispositivo.
La clave privada se genera en el dispositivo, se guarda en el almacenamiento seguro y solo se usa localmente para calcular el secreto compartido. El protocolo A-Link no la envía al servidor de retransmisión ni al otro dispositivo.
La parte que la mayoría de las afirmaciones "cifradas" omiten
Aquí es donde debemos ser más cuidadosos de lo que se molestan en ser la mayoría de las aplicaciones. El servidor de retransmisión que pasa mensajes entre dispositivos vinculados no puede leer lo que hay dentro de ellos: el contenido es texto cifrado AES-256-GCM y el retransmisor no contiene la clave. Pero el repetidor sí ve información de enrutamiento: qué ID de red envió un mensaje, a qué ID de red está dirigido y cuándo se envió. Esto es inevitable en cualquier sistema donde un servidor tiene que entregar un mensaje al destinatario correcto; es el mismo compromiso que hacen Signal y sistemas similares.
La retransmisión tampoco guarda el mensaje como archivo. La carga útil cifrada se retiene solo hasta que el dispositivo receptor confirma que llegó y fue procesada, luego se elimina definitivamente. Si nunca se entrega o la confirmación nunca llega, caduca y se elimina automáticamente después de 24 horas.
La descripción precisa de este protocolo es: el servidor de retransmisión ve los identificadores de enrutamiento y los horarios, pero no posee la clave necesaria para leer el contenido de la transacción.
Por qué esto es más importante que una política de privacidad
Una política de privacidad es una promesa de comportamiento; revisar la arquitectura muestra qué datos transportan realmente los flujos conocidos. En las partes revisadas, el registro de A-Link no incluye la lista de contactos, los mensajes de retransmisión no contienen el contenido legible de la transacción y el PIN no se almacena como texto sin formato.
Esto no afirma que ningún programa esté libre de errores o riesgos. El objetivo es ofrecer una descripción concreta y verificable en lugar de garantías absolutas. También puedes leer qué necesita realmente Internet y cómo funciona la copia de seguridad cifrada.