Política de Privacidad

1. Introducción

Esta Política de Privacidad explica cómo Luka ("Luka", "nosotros" o "la Plataforma") recopila, usa, almacena, comparte y protege la información de las personas que usan nuestro asistente financiero a través de WhatsApp, nuestra aplicación web y las integraciones asociadas (Google, Gmail y Microsoft Outlook). Al crear una cuenta en Luka, escribirnos por WhatsApp o conectar tu correo electrónico, aceptas las prácticas descritas en este documento.

Luka opera desde Perú y trata los datos personales de acuerdo con la Ley N.º 29733, Ley de Protección de Datos Personales, su reglamento, y —para usuarios ubicados en la Unión Europea o el Espacio Económico Europeo— aplicando de forma voluntaria los principios del Reglamento General de Protección de Datos (GDPR). Si tienes cualquier duda sobre cómo tratamos tu información, puedes escribirnos a contacto@luka.com.pe.

2. Quiénes somos y qué hace Luka

Luka es un asistente financiero personal impulsado por inteligencia artificial que ayuda a las personas a entender y controlar su dinero conversando por WhatsApp. A través de Luka, un usuario puede: registrar gastos e ingresos por texto o audio, enviar fotos de boletas y facturas para que sean digitalizadas automáticamente, conectar su cuenta de Gmail u Outlook para detectar recibos de compra que llegan por correo, categorizar automáticamente sus transacciones, generar reportes y ver dashboards de su situación financiera, y buscar en su historial de movimientos usando lenguaje natural.

Para prestar este servicio, Luka necesita procesar cierta información personal y financiera. Esta sección y la siguiente detallan exactamente qué recopilamos y por qué.

3. Información que recopilamos

3.1 Número de teléfono y mensajes de WhatsApp

Cuando escribes a Luka por WhatsApp, recibimos tu número de teléfono, tu nombre de perfil de WhatsApp (si lo tienes configurado) y el contenido de los mensajes que nos envías: texto, comandos, confirmaciones y respuestas a nuestras preguntas. Usamos esta información para identificar tu cuenta, mantener la conversación y registrar tus movimientos financieros.

3.2 Notas de voz

Si nos envías una nota de voz para registrar un gasto o ingreso, la transcribimos usando servicios de reconocimiento de voz para extraer el monto, la categoría y la descripción de la transacción. El audio se procesa para generar la transcripción y no se utiliza para ningún otro fin, como identificación biométrica o creación de perfiles de voz.

3.3 Fotos y comprobantes de pago

Cuando envías una foto de una boleta, factura o comprobante, la imagen es analizada mediante tecnología de reconocimiento óptico (OCR) e inteligencia artificial para extraer datos como el comercio, el monto, la fecha, los productos y el método de pago. Guardamos la imagen original y los datos extraídos para que puedas consultar tu historial de comprobantes en cualquier momento.

3.4 Información financiera generada por el usuario

Toda la información que registras en Luka —gastos, ingresos, categorías, montos, fechas, cuentas, presupuestos y notas— se almacena de forma asociada a tu cuenta para construir tu historial financiero, generar reportes y alimentar los dashboards que ves en la aplicación.

3.5 Conexión con tu cuenta de Google (Gmail)

Si decides conectar tu cuenta de Google, Luka solicita mediante OAuth 2.0 tu autorización para acceder a información básica de tu cuenta (nombre, dirección de correo y foto de perfil) y al alcance restringido gmail.readonly. Este alcance permite técnicamente consultar tus mensajes y la configuración de Gmail, pero Luka lo utiliza únicamente para la función visible de detectar comprobantes y notificaciones de transacciones y convertirlos en movimientos de tu historial financiero.

Para realizar esa detección automática, Luka consulta mensajes recientes desde la fecha en que conectas la cuenta y procesa datos como remitente, asunto, fecha y cuerpo del mensaje. El sistema determina automáticamente cuáles corresponden a recibos o transacciones financieras; no envía correos, no modifica mensajes, no los elimina y no utiliza el contenido de Gmail para publicidad, evaluación crediticia ni finalidades ajenas a las funciones que autorizaste. Los datos de los mensajes procesados y la información financiera extraída se conservan según la sección 9 mientras la integración o tu cuenta permanezcan activas.

Puedes revocar este acceso en cualquier momento desde los ajustes de Luka o desde la página de permisos de tu cuenta de Google en myaccount.google.com/permissions.

3.6 Conexión con tu cuenta de Microsoft (Outlook)

De forma equivalente, si conectas tu cuenta de Outlook/Microsoft 365, Luka accede —también mediante OAuth 2.0 y con tu autorización expresa— a tu información básica de cuenta (nombre y correo electrónico) y a los correos que contengan comprobantes de compra, con el mismo propósito descrito para Gmail: detectar y registrar automáticamente tus gastos. Puedes revocar este acceso desde tu cuenta de Microsoft o desde los ajustes de Luka en cualquier momento.

3.7 Información de perfil

Recopilamos datos básicos de perfil como tu nombre, moneda preferida, zona horaria, idioma y, si aplica, tu correo electrónico de contacto para notificaciones y soporte.

3.8 Cookies y tecnologías similares

Nuestro sitio web y aplicación usan cookies propias y de terceros para mantener tu sesión iniciada, recordar tus preferencias y medir el uso del servicio. Puedes gestionar o bloquear las cookies desde la configuración de tu navegador; ten en cuenta que bloquear ciertas cookies puede afectar el funcionamiento de la aplicación web.

3.9 Datos de analítica y uso

Usamos herramientas de analítica para entender cómo se usa nuestro sitio web y producto: páginas visitadas, tiempo de permanencia, flujos de navegación y eventos de interacción. Esta información es principalmente agregada y estadística, y se usa para mejorar la experiencia del producto y nuestras comunicaciones. En concreto:

• Medición propia de Luka: registramos en nuestros propios servidores las páginas y pantallas que visitas y los botones que tocas, asociados a un identificador anónimo guardado en una cookie de luka.com.pe. Si creas una cuenta, ese identificador se vincula a ella para entender tu recorrido. Nunca registramos montos, nombres, correos ni teléfonos en estos eventos.
• Google Analytics y Meta Pixel: para medir el alcance de nuestras campañas y el tráfico del sitio web, con datos agregados.
• Microsoft Clarity: para mapas de calor y grabaciones anónimas de cómo se usa el sitio y la aplicación web. El contenido que escribes y los datos que se muestran en pantalla se enmascaran antes de grabarse.

3.10 Información del dispositivo

Recopilamos información técnica sobre el dispositivo y la conexión que usas para acceder a Luka, como dirección IP, tipo de dispositivo, sistema operativo, navegador e identificadores de sesión. Esta información nos ayuda a detectar fraude, prevenir abuso y dar soporte técnico.

3.11 Datos de pago de tu suscripción

Si contratas un plan de pago, los datos de tu tarjeta (número, fecha de vencimiento, código de seguridad y nombre del titular) se envían desde tu navegador directamente a Mercado Pago, que los convierte en un token. Luka nunca recibe ni almacena el número completo de tu tarjeta ni su código de seguridad.

Para cobrar tu plan y sus renovaciones, Luka envía a Mercado Pago tu nombre, tu correo electrónico, el monto, el plan contratado, tu país de facturación y referencias internas del cobro. Mercado Pago guarda tu tarjeta asociada a tu correo para las renovaciones.

Luka conserva únicamente la marca y los últimos 4 dígitos de tu tarjeta, los identificadores que Mercado Pago asigna a tu tarjeta y a tu perfil de cliente, tu dirección de facturación y el historial de tus pagos (monto, moneda, fecha, estado y plan).

4. Para qué usamos tu información

Usamos la información descrita arriba para los siguientes fines:

• Prestar el servicio principal: registrar tus gastos e ingresos, procesar tus notas de voz y fotos, y mantener tu historial financiero actualizado.
• Detectar y categorizar automáticamente transacciones a partir de recibos de Gmail u Outlook.
• Generar reportes, dashboards, alertas y recomendaciones personalizadas sobre tus finanzas.
• Permitir búsquedas en lenguaje natural sobre tu historial de transacciones.
• Cobrar tu plan de pago y sus renovaciones automáticas, emitir tus comprobantes y atender reclamos sobre cobros.
• Comunicarnos contigo por WhatsApp o correo electrónico sobre tu cuenta, cambios en el servicio o soporte.
• Mejorar la calidad y confiabilidad del servicio mediante métricas operativas y retroalimentación que no utilizan contenido de Gmail para entrenar modelos de inteligencia artificial o aprendizaje automático.
• Prevenir fraude, abuso del servicio y actividades no autorizadas.
• Cumplir con obligaciones legales y regulatorias aplicables en Perú.

Luka no vende tu información personal ni financiera a terceros con fines publicitarios, y no utiliza el contenido de tus correos o mensajes de WhatsApp para mostrarte publicidad de terceros.

5. Datos de Google y requisitos de Limited Use

El uso por Luka de la información recibida de las APIs de Google se adherirá a la Política de Datos de Usuario de los Servicios API de Google, incluidos los requisitos de Limited Use.

Esta obligación cubre los datos obtenidos directamente desde Gmail y cualquier dato agregado, anonimizado o derivado de ellos. En particular:

• Usamos los datos de Gmail exclusivamente para detectar y registrar comprobantes y transacciones, una funcionalidad visible solicitada por el usuario.
• No usamos ni permitimos que terceros usen datos de Gmail para entrenar, ajustar o mejorar modelos generalizados de inteligencia artificial o aprendizaje automático, ni para crear bases de datos destinadas al entrenamiento de modelos.
• No usamos datos de Gmail para publicidad, retargeting, perfiles comerciales, determinación de solvencia, préstamos, venta de datos ni actividades de intermediación de información.
• Solo transferimos datos de Gmail a proveedores que actúan por cuenta de Luka cuando es necesario para prestar esta funcionalidad y con tu consentimiento. Esos proveedores no pueden usar los datos para sus propios fines, publicidad o entrenamiento de modelos.
• El personal de Luka no lee el contenido de tus mensajes, salvo que nos autorices expresamente a revisar mensajes específicos para brindarte soporte, cuando sea indispensable investigar un incidente de seguridad o cuando lo exija la ley.

6. Base legal del tratamiento

Tratamos tu información con base en tu consentimiento expreso (por ejemplo, al autorizar el acceso OAuth a Gmail u Outlook, o al aceptar esta política al registrarte), en la necesidad de ejecutar el contrato de servicio que aceptas al usar Luka, y en nuestro interés legítimo en mantener la seguridad, calidad y mejora continua del producto. Cuando el tratamiento se basa en tu consentimiento, puedes retirarlo en cualquier momento sin que ello afecte la legalidad del tratamiento previo.

7. Cómo protegemos tu información

La seguridad de tu información financiera es central en el diseño de Luka. Aplicamos las siguientes medidas:

• Cifrado en tránsito: toda la comunicación entre tu dispositivo, WhatsApp, nuestros servidores y los proveedores de terceros (Google, Microsoft) viaja cifrada mediante TLS 1.2 o superior.
• Cifrado en reposo: tu información financiera, tokens de acceso OAuth, comprobantes e imágenes se almacenan cifrados en nuestras bases de datos y sistemas de almacenamiento.
• Control de acceso: el acceso interno a los datos de usuarios está restringido al personal que lo necesita para operar y dar soporte al servicio, bajo el principio de mínimo privilegio, y queda registrado mediante logs de auditoría.
• Tokens de terceros: los tokens de acceso a Gmail y Outlook se almacenan cifrados y nunca se comparten con terceros ajenos al procesamiento del servicio.
• Segmentación de proveedores: trabajamos únicamente con proveedores de infraestructura e inteligencia artificial que cumplen estándares de seguridad reconocidos y firman acuerdos de confidencialidad y tratamiento de datos con nosotros.
• Monitoreo continuo: supervisamos nuestros sistemas para detectar accesos indebidos, vulnerabilidades o comportamientos anómalos.

Ningún sistema es 100% infalible; si llegara a ocurrir un incidente de seguridad que afecte tu información, te notificaremos conforme a lo exigido por la normativa peruana aplicable y tomaremos las medidas correctivas necesarias.

8. Con quién compartimos tu información

Cuando usamos la palabra "compartir" en esta política, incluimos la transmisión limitada de datos a proveedores que actúan como encargados o procesadores de Luka. Esto no significa que vendamos los datos ni que permitamos a esos proveedores utilizarlos para fines propios. Transferimos únicamente la información necesaria para operar la función solicitada:

• Meta / WhatsApp Business Platform: para enviar y recibir los mensajes que intercambias con Luka.
• Google y Microsoft: para autenticar tu conexión OAuth y acceder a los correos que autorizas expresamente.
• Anthropic (Claude), como procesador de inteligencia artificial: recibe únicamente el remitente, asunto y el fragmento necesario del contenido de mensajes candidatos a transacciones para extraer monto, comercio, fecha y categoría. Este procesamiento se realiza para la función solicitada por el usuario; los datos de Gmail no pueden utilizarse para entrenar modelos.
• Otros proveedores de inteligencia artificial y transcripción: para procesar notas de voz e imágenes de comprobantes que envías directamente a Luka y generar categorizaciones automáticas.
• Proveedores de infraestructura en la nube: para alojar de forma segura nuestras bases de datos y servicios.
• Mercado Pago, como procesador de pagos: si contratas un plan de pago, recibe los datos de tu tarjeta y los datos del cobro descritos en la sección 3.11 para procesar el pago de tu suscripción y sus renovaciones. Mercado Pago trata esa información también conforme a sus propios términos y política de privacidad.
• Culqi, como procesador de pagos de respaldo: cuando lo tenemos habilitado, procesa el cobro si Mercado Pago no está disponible por una falla técnica, con los mismos datos.
• Proveedores de analítica (Google Analytics, Meta Pixel, Microsoft Clarity): reciben datos de navegación agregados o anonimizados, según se describe en la sección 3.9; nunca tu información financiera ni el contenido de tus correos o mensajes.
• Autoridades competentes: cuando la ley peruana nos obligue a ello, o para proteger nuestros derechos, los de nuestros usuarios o la seguridad pública.

No vendemos, alquilamos ni transferimos tu información personal, financiera o de Gmail a anunciantes, corredores de datos u otros terceros para fines comerciales o publicitarios. Los procesadores indicados arriba solo pueden tratarla siguiendo nuestras instrucciones, bajo obligaciones contractuales de confidencialidad, seguridad y uso limitado.

9. Retención de datos

Los datos relacionados con Google no tienen necesariamente el mismo ciclo de vida. Aplicamos periodos de conservación según la naturaleza de cada categoría y la finalidad para la cual fue obtenida.

9.1 Credenciales OAuth de Google

Las credenciales que permiten la conexión con Google —como el token de acceso, el token de actualización y la autorización de Gmail— se conservan únicamente mientras la integración de Gmail permanece activa. Si desconectas Gmail desde Luka, dejamos de utilizar esa autorización y las credenciales asociadas se revocan o eliminan conforme al flujo técnico disponible para la integración. También puedes revocar el acceso directamente desde la página de permisos de tu cuenta de Google.

9.2 Contenido obtenido de Gmail

Los datos obtenidos de mensajes de Gmail —como remitente, asunto, fecha y el cuerpo o los fragmentos necesarios del mensaje— se conservan únicamente durante el tiempo necesario para detectar y procesar transacciones, proteger la seguridad del servicio, prevenir duplicados, atender solicitudes de soporte y prestar las funcionalidades que solicitaste. Cuando dejan de ser necesarios para esas finalidades, se eliminan o anonimizan, salvo que una obligación legal específica exija conservar determinados datos durante un plazo concreto.

Luka no conserva contenido de Gmail para publicidad, entrenamiento o ajuste de modelos de inteligencia artificial o aprendizaje automático, ni para crear conjuntos de datos destinados al entrenamiento de modelos. Su conservación está limitada a la prestación de la funcionalidad autorizada y a las necesidades legítimas asociadas descritas anteriormente.

9.3 Datos financieros derivados

Los datos extraídos de un mensaje —por ejemplo, monto, comercio, moneda, fecha y categoría— y la transacción creada en Luka son datos financieros derivados. Una vez incorporados a tu historial financiero, pueden conservarse mientras tu cuenta de Luka permanezca activa, aunque posteriormente desconectes Gmail. Puedes eliminar una transacción mediante las funciones del servicio o eliminar tu cuenta para solicitar la eliminación de tu historial completo.

9.4 Conservación por obligaciones específicas

Si una obligación legal o regulatoria aplicable exige conservar una categoría concreta de información, conservaremos únicamente los datos mínimos requeridos y solo durante el plazo exigido. Esta excepción no constituye una autorización general para conservar indefinidamente datos obtenidos de Google y no permite utilizarlos para una finalidad distinta de cumplir esa obligación específica.

9.5 Datos de pago

Los datos de tu tarjeta que conserva Luka (marca, últimos 4 dígitos e identificadores de Mercado Pago) se mantienen mientras tengas una tarjeta registrada. Al cambiar de tarjeta, se reemplazan por los de la nueva. El historial de pagos y los comprobantes se conservan durante el plazo que exijan las normas tributarias y contables aplicables en Perú.

10. Tus derechos sobre tu información

De acuerdo con la Ley N.º 29733 y, cuando corresponda, con los estándares del GDPR, tienes derecho a:

• Acceso: solicitar una copia de la información personal que tenemos sobre ti.
• Rectificación: corregir datos inexactos o desactualizados.
• Cancelación / eliminación: solicitar que eliminemos tu información y tu cuenta.
• Oposición: oponerte a un tratamiento específico de tus datos.
• Portabilidad: recibir tu información financiera en un formato estructurado y de uso común.
• Retirar el consentimiento: revocar en cualquier momento el acceso otorgado a Gmail, Outlook u otras integraciones.
• Limitar el tratamiento: pedir que restrinjamos el uso de tu información en determinados casos.

Para ejercer cualquiera de estos derechos, escríbenos a contacto@luka.com.pe. Responderemos tu solicitud dentro de los plazos establecidos por la ley peruana aplicable.

11. Eliminación de tu cuenta

Puedes eliminar tu cuenta de Luka en cualquier momento escribiendo "eliminar cuenta" en la conversación de WhatsApp o solicitándolo a contacto@luka.com.pe. Cuando eliminamos tu cuenta, dejamos de utilizar las autorizaciones asociadas, eliminamos las credenciales OAuth almacenadas por Luka conforme al flujo técnico de cada integración y eliminamos o anonimizamos los datos personales asociados a la cuenta, el contenido proveniente de Gmail, las transacciones derivadas y tu historial financiero.

Solo conservaremos información después de la eliminación de la cuenta cuando una obligación legal o regulatoria específica exija conservar una categoría determinada de datos durante un plazo concreto. En ese caso, la conservación se limitará a los datos mínimos y al plazo estrictamente necesario, con acceso restringido y sin utilizarlos para prestar otras funcionalidades, publicidad o entrenamiento de modelos. Finalizado ese plazo, los datos se eliminarán o anonimizarán.

12. Menores de edad

Luka está dirigido a personas mayores de 18 años. No recopilamos intencionalmente información de menores de edad. Si tomamos conocimiento de que hemos recopilado datos de un menor sin el consentimiento verificable de sus padres o tutores, eliminaremos dicha información de forma inmediata.

13. Transferencias internacionales de datos

Algunos de nuestros proveedores de infraestructura, inteligencia artificial, mensajería y pagos (incluyendo Google, Microsoft, Meta y Mercado Pago) pueden procesar datos en servidores ubicados fuera del Perú. En estos casos, nos aseguramos de que dichos proveedores mantengan niveles de protección de datos adecuados, mediante cláusulas contractuales, certificaciones de seguridad y el cumplimiento de sus propias políticas de privacidad.

14. Cambios a esta política

Podemos actualizar esta Política de Privacidad periódicamente para reflejar cambios en nuestras prácticas, nuevas funcionalidades o requisitos legales. Si realizamos cambios materiales, te lo notificaremos por WhatsApp, correo electrónico o mediante un aviso destacado en nuestro sitio web antes de que entren en vigor. La fecha de "Última actualización" en la parte superior de esta página indica la versión vigente.

15. Contacto

Si tienes preguntas, dudas o solicitudes relacionadas con esta Política de Privacidad o con el tratamiento de tu información personal, puedes contactarnos en cualquier momento. El responsable del tratamiento de tus datos personales es LUKA TECHNOLOGY SOCIEDAD ANONIMA CERRADA, con domicilio en Cal. Simón Bolívar Nro. 150 Urb. Leuro, Miraflores, Lima, Perú. Canales de contacto:

• Correo electrónico: contacto@luka.com.pe
• WhatsApp: directamente desde tu conversación con Luka

16. Medición publicitaria opcional

Con tu autorización opcional, usamos Meta Pixel, Microsoft Clarity y Google Analytics para medir visitas, mejorar la experiencia y evaluar campañas. Luka puede enviar a Meta el evento de registro confirmado mediante Conversions API, con un identificador seudónimo y un ID de deduplicación. No enviamos transacciones, saldos, mensajes, números de tarjeta, correos ni teléfonos para este propósito.

Puedes rechazar o modificar tu elección desde «Preferencias de privacidad» en el pie de página de la landing y, si tienes cuenta, desde Configuración → Privacidad publicitaria. Retirar tu autorización detiene nuevos envíos, aunque no elimina automáticamente eventos que un proveedor ya haya recibido.