Política de Privacidad

1. Información que recopilamos

• Datos de cuenta: email y contraseña (almacenada como hash).
• Datos de configuración: dominios, direcciones, reglas de reenvío.
• Logs de email: metadatos de los correos procesados (remitente, destinatario, fecha, estado).
• Contenido de los correos: sí lo almacenamos. La Bandeja compartida guarda tus conversaciones para que puedas leerlas, buscarlas y responderlas, y los buzones IMAP guardan tu correo igual que cualquier proveedor. Si sólo usas reenvío y no abres la Bandeja, el mensaje se guarda de todos modos: es la misma tubería.
• Datos de pago: procesados directamente por MercadoPago. No almacenamos datos de tarjeta.

2. Cómo usamos tu información

• Para operar el servicio de reenvío de email.
• Para autenticarte y proteger tu cuenta.
• Para procesar pagos y gestionar tu suscripción.
• Para enviarte notificaciones importantes sobre el servicio.
• Para detectar y prevenir abuso del servicio.

3. Procesamiento de emails

Los correos entrantes llegan a Amazon SES y su contenido se guarda en Amazon S3. De ahí salen el reenvío, las reglas y la Bandeja. El texto se indexa además en nuestra base de datos para que la búsqueda funcione. El correo de los buzones IMAP se guarda en Tigris.

No leemos, analizamos ni vendemos el contenido de tus correos, y no lo usamos para entrenar modelos de inteligencia artificial. El acceso técnico existe porque operamos el servicio, y se usa sólo para atender un problema que nos reportes.

Cuánto tiempo lo conservamos:

• Dominio activado: conservamos el historial completo mientras el dominio siga activo. Es el punto del producto: que no pierdas la conversación.
• Dominio gratis: ves los últimos 7 días. Lo anterior se conserva 30 días —y vuelve a aparecer si activas el dominio— y después se borra de forma definitiva, incluidos los archivos en S3 y el índice de búsqueda.
• Papelera: lo que borras se elimina de forma definitiva a los 15 días.
• Buzones IMAP: el correo se conserva hasta que tú lo borres o elimines el buzón.
• Al cancelar un dominio activado: tienes 30 días de sólo lectura para descargar tu correo en formato .mbox.

Puedes borrar una conversación, un buzón o el dominio completo en cualquier momento desde tu panel, y eso borra también lo que hay en S3 y en el índice.

4. Servicios de terceros

• Amazon Web Services (SES/S3): recepción, envío y almacenamiento del contenido de los correos.
• Tigris: almacenamiento del correo de los buzones IMAP.
• MercadoPago: procesamiento de pagos.
• OVHcloud: servidores donde corren la aplicación y su base de datos.

5. Retención de datos

• Los logs de email se retienen 7 días en un dominio gratis y 90 en un dominio activado. La Bandeja de un dominio gratis muestra 7 días y conserva 30 antes de borrar.
• Los datos de cuenta se mantienen mientras tu cuenta esté activa.
• Al eliminar tu cuenta, borramos todos tus datos en un plazo de 30 días.

6. Seguridad

Protegemos tu información con:

• Contraseñas almacenadas con hash PBKDF2.
• Conexiones cifradas con HTTPS/TLS.
• Autenticación DKIM y SPF para emails.
• Tokens JWT con expiración para sesiones.

7. Tus derechos

Tienes derecho a:

• Acceder a tus datos personales.
• Solicitar la corrección de datos incorrectos.
• Solicitar la eliminación de tu cuenta y datos.
• Exportar tus datos de configuración.

8. Cookies

Usamos una cookie de sesión (JWT) para autenticación. No usamos cookies de rastreo ni de terceros.

9. Aplicaciones conectadas (Claude, ChatGPT y otros clientes MCP)

Puedes conectar tu cuenta a un asistente de inteligencia artificial (Claude, ChatGPT, Ghosty u otro cliente MCP) desde https://www.mailmask.studio/mcp o https://www.mailmask.studio/mcp/directory, autorizándolo con OAuth o con una API key.

• Qué datos ve el conector: sólo los de la cuenta que autorizó la conexión, y sólo lo que esa cuenta puede ver y hacer (dominios, direcciones, Bandeja, DNS, envíos), cuando se lo pides en una conversación. No tiene acceso a otras cuentas, a tus API keys ni a tu contraseña.
• Qué guardamos: el registro del cliente que se conectó (nombre, sitio, direcciones de regreso y la IP desde la que se registró) y los tokens de la conexión, siempre como hash. No guardamos el contenido de tus conversaciones con el asistente ni de sus peticiones: esas viven en el servicio del asistente y se rigen por su propia política. Lo que el asistente haga en tu nombre queda igual que si lo hicieras desde el panel (por ejemplo, un correo enviado aparece en tus logs de email).
• Lo que el asistente lee de tus correos sale de MailMask hacia su proveedor (por ejemplo, Anthropic en el caso de Claude u OpenAI en el de ChatGPT) para que pueda responderte. Nosotros no lo usamos para entrenar modelos.
• Retención: el código de autorización vence en 10 minutos, el token de acceso en 1 hora y el de renovación en 60 días (se renueva y rota con cada uso); los vencidos se borran. Los logs de email que generen sus acciones siguen los plazos de la sección 5. Al eliminar tu cuenta borramos al instante sus tokens de conexión.
• Tus controles: desconecta el conector desde el asistente (el cliente revoca el token en /oauth/revoke); cambia tu contraseña de MailMask para invalidar al instante todas las conexiones; o pide la eliminación de tu cuenta y tus datos escribiendo a soporte@mailmask.studio.
• Contacto: dudas sobre conectores y privacidad a soporte@mailmask.studio.

10. Cambios a esta política

Te notificaremos por email sobre cambios significativos con al menos 15 días de anticipación.

11. Contacto

Para consultas sobre privacidad, escríbenos a soporte@mailmask.studio.