Política de privacidad de la beta de Cordi

Última actualización: 3 de noviembre de 2026 (las pantallas antes de un aviso salen del celular con los nombres de las personas, los teléfonos, los correos, las cuentas, los alias, los montos y lo escrito en los campos ya tapados; texto provisorio, ver «Cambios»). 2 de noviembre de 2026 (sumamos quién es el responsable y cómo escribirle, dónde están nuestro servidor y nuestros proveedores, y cómo pedir tus datos; ver «Cambios» al final). 28 de octubre de 2026 (con «Ayudar a mejorar Cordi» prendido, el equipo puede ajustar la configuración de Cordi en ese celular para ayudar; ver «Ajustes del equipo de Cordi»). 28 de octubre de 2026 (aunque no prendas nada, Cordi pregunta una vez por día si hay una versión nueva, sin mandar ningún dato tuyo; ver «Datos técnicos de la conexión»). 26 de octubre de 2026 (Cordi puede preguntarte, justo después de una alerta, si querés compartir tus datos; ver «Cambios» al final). 25 de octubre de 2026 (quien ya tenía prendido «Ayudar a mejorar Cordi» ve en la app un aviso con lo que cambió, y el cambio se aplica desde que se muestra). 23 de octubre de 2026 (con «Ayudar a mejorar Cordi», para cada aviso ahora también se manda qué regla del detector lo hizo aparecer, los pasos de los minutos anteriores como códigos y qué pasó después de «Sí, continuar»; y hay un interruptor aparte y opcional, «Compartir pantallas con el equipo», apagado salvo que lo prendas, para mandar cómo eran las últimas pantallas antes de cada aviso; ver «Cambios» al final). Está escrita para que se entienda, sin letra chica.

Cordi es una app para Android que avisa a una persona mayor antes de que caiga en una estafa en el celular. Responsable de los datos: Alon Liwsky. Para cualquier consulta sobre tus datos, escribí a privacidad@mycordi.com.

En pocas palabras

• Cordi cuida del lado del celular. Lo que se ve en la pantalla, tus mensajes, tus contactos, tus llamadas y tus montos se analizan en el celular y no se mandan a nuestro servidor, con una sola excepción, que viene apagada: solo si la familia prende «Compartir pantallas con el equipo» (un interruptor aparte y opcional), cuando Cordi muestra o anota un aviso manda cómo eran las últimas pantallas antes de ese aviso (sus textos y botones, no una foto), para que el equipo revise si el aviso tuvo razón (ver «Pantallas antes de un aviso»). La app de Google Play no tiene ayuda de internet: ningún texto de la pantalla sale del celular. La única consulta con texto existe solo en la versión de prueba que se instala por cable, viene apagada y la prende la familia con un toque (punto 4 de «Qué recolectamos»).
• Hay opciones separadas, todas apagables cuando quieras: «Ayudar a mejorar Cordi» (códigos y contadores de uso, sin tu nombre; viene prendida en el último paso de la configuración, con su interruptor a la vista para apagarla ahí mismo, antes se llamaba «Datos de la beta»); «Compartir pantallas con el equipo» (las pantallas antes de un aviso; viene apagada, solo funciona con «Ayudar a mejorar Cordi» prendido y se prende únicamente si prendés su interruptor, que tiene al lado qué se manda y para qué) y, solo en la versión de prueba por cable, la ayuda de internet (texto corto ya tapado, para los casos dudosos; viene apagada).
• Si alguna de las dos primeras está apagada, Cordi puede preguntarte, justo después de que respondas una alerta, si querés compartir tus datos: una tarjeta chica abajo de la pantalla («NUEVO»), que se va sola a los pocos segundos, con un interruptor «Compartir mis datos» que viene apagado y, al lado, qué se manda («Qué alerta salió, por qué, y lo que había en la pantalla antes. Nunca contraseñas.») y «Ver detalles». Si lo prendés, se prenden las dos: «Ayudar a mejorar Cordi» y «Compartir pantallas con el equipo». Aparece como mucho después de las primeras 5 alertas que respondas desde esa versión, nunca durante una llamada, y no vuelve a aparecer una vez que lo prendiste. Se apagan cuando quieras en Configuración de Cordi.
• Con «Ayudar a mejorar Cordi» a nuestro servidor llegan códigos y contadores: qué tipo de aviso se mostró, qué regla y qué señales del detector lo hicieron aparecer, qué se respondió, si después de «Sí, continuar» la persona siguió, salió o deshizo el ajuste (nunca a qué app fue), los pasos de los minutos anteriores a cada aviso como códigos (tipo de app y de pantalla, si quien escribió o llamó era un contacto o un desconocido, tipo de link y de pedido, rango del monto; ver «Uso»), si los permisos están bien y qué versión de la app se usa. Nunca los textos de la pantalla. Además, si marcás un aviso como falsa alarma, se manda más detalle de por qué saltó, sin contenido: como mucho, el nombre del sitio web o el código de la app conocida donde saltó.
• Solo si prendiste «Compartir pantallas con el equipo», las pantallas antes de un aviso: cuando salta un aviso, la estructura y los textos de las últimas pantallas (hasta 10 minutos antes), las notificaciones y los datos de las llamadas de ese rato. Antes de salir del celular se tapan los números de tarjeta, las cuentas (CBU/CVU) y los códigos, y también los nombres de las personas, los teléfonos, los correos, los alias, el DNI, los montos y lo que se escribió en los campos de las apps de mensajes y de bancos; las contraseñas no se leen nunca; no son capturas de pantalla (fotos). Se guardan 30 días y las revisa el equipo con ayuda de una IA de Anthropic (Claude), para que Cordi dé menos falsas alarmas. Si lo apagás (o apagás «Ayudar a mejorar Cordi»), el celular borra lo que faltaba mandar y le pide al servidor que borre las que ya mandó.
• Ningún familiar puede ver los avisos de otra persona desde afuera del celular: la app de Google Play no tiene panel web ni código de vínculo. El panel de la familia (punto 2) existe solo en la versión de prueba que se instala por cable.
• No pedimos el email ni el teléfono de la persona mayor. El celular se identifica con un número al azar.
• No vendemos datos ni mostramos publicidad.
• Podés pedir el borrado cuando quieras: apagando «Ayudar a mejorar Cordi» en la app (el celular lo pide solo), desde el panel de la familia o por mail (ver «Cómo pedir el borrado»).

El servicio de accesibilidad y los otros permisos

Cordi usa el servicio de accesibilidad de Android, aunque no es una herramienta para personas con discapacidad. Lo usa para dos cosas: leer el texto que aparece en pantalla (por ejemplo «Confirmar transferencia»; los campos de contraseña no se leen) para darse cuenta de que la persona está por hacer algo riesgoso, y mostrar la pregunta «¿Estás por…?» por encima de la app. Solo cuando la persona toca un botón del aviso, Cordi vuelve atrás, borra lo que escribió, corta una llamada o llama a un familiar; nunca hace nada por su cuenta. Lo que lee se analiza en el celular y no se guardan capturas (imágenes) de la pantalla. Lo único que puede salir del celular es la estructura de las últimas pantallas antes de un aviso, y solo si la familia prende «Compartir pantallas con el equipo», que viene apagado (ver «Pantallas antes de un aviso»). Antes de pedir el permiso, la app lo explica y espera que la persona acepte. Se puede apagar cuando se quiera en Ajustes → Accesibilidad.

Las notificaciones, el teléfono (el estado de las llamadas y quién llama) y los contactos se usan solo en el celular: para reconocer mensajes de estafa, saber si quien llama está agendado y llamar al familiar con un toque. No salen del celular, salvo las notificaciones y los datos de las llamadas (de dónde, si es un contacto y cuánto duró; el nombre y el número, tapados) de los minutos antes de un aviso, solo con «Compartir pantallas con el equipo» prendido.

Qué NO recolectamos nunca

Capturas de pantalla (imágenes), contraseñas, números de tarjeta, CBU/CVU completos, códigos de verificación, ubicación, fotos ni audio. Y fuera de las pantallas antes de un aviso (punto 1, solo con «Compartir pantallas con el equipo»): contenido de la pantalla, textos de mensajes o de chats, nombres o números de contactos y de llamadas, montos (de un aviso, a lo sumo su rango), alias, direcciones web completas ni nombres de las apps que usa la persona (salvo lo que se dice abajo sobre los pasos antes de un aviso y las falsas alarmas). Tampoco guardamos nada más de lo que escribe o ve. El comentario opcional que se escribe al marcar una falsa alarma queda solo en el celular. La única consulta que lleva texto es la ayuda de internet opcional (punto 4), que va ya tapada y que no guardamos. En la telemetría esto lo hace cumplir el servidor: si la app mandara un dato que no está en la lista de abajo, lo rechaza en lugar de guardarlo.

Qué recolectamos

1. Del celular, con «Ayudar a mejorar Cordi» (viene prendido en el último paso de la configuración, donde lo podés apagar, o se prende con «Compartir mis datos» después de una alerta; se apaga cuando quieras; antes se llamaba «Datos de la beta»)

• Un identificador al azar de la instalación y una clave de acceso del celular (del servidor guardamos solo una versión «hasheada» de esa clave).
• Datos técnicos: versión de Cordi, versión de Android, fabricante y modelo del celular, idioma.
• Cómo está configurado: nivel de avisos (Leve, Moderada o Intensa), si usa la IA por internet, cuántos avisos se cambiaron, cuántas apps están en cada modo (solo la cantidad, no cuáles) y si usa el lector de la traza.
• Uso, solo como códigos y contadores: qué pantalla de Cordi se abrió; hasta qué paso del asistente de configuración se llegó (solo el nombre del paso, como «activar» o «probar», y cuántos segundos pasaron desde el primero; nada de lo que se escribió ahí); qué aviso se mostró (su código, por ejemplo «mandar plata durante una llamada», la gravedad y el tipo de app: «banco», «mensajería», «navegador»… sin el nombre de la app); qué se respondió («No, salir», «Llamar a un familiar», «Sí, continuar», sin respuesta) y en cuántos segundos. Para cada aviso, también qué regla y qué señales del detector lo hicieron aparecer (códigos fijos como url.risk, nunca el texto de la pantalla), el motivo interno de la decisión y si intervino una IA y de qué tipo; detalles de la respuesta: si llegó después de la cuenta regresiva de «Sí, continuar», si el mismo aviso ya había salido hace poco y qué se respondió esa vez; y, unos dos minutos después de un «Sí, continuar», si la persona terminó lo que estaba haciendo, salió de esa app o deshizo el ajuste del celular (nunca a qué app fue). Cada aviso lleva un número de orden de ese celular, para unirlo con su respuesta. En los avisos de «No interrumpir», si parecía programado (por horario o al apagar la pantalla) o puesto a mano. Y también qué avisos se anotaron sin mostrar pantalla, por qué motivo, con su regla y su gravedad; los resultados de las autopruebas; y un latido por día. Para cada aviso (mostrado o anotado), también los pasos de los 10 minutos anteriores, como códigos (hasta 20, cada uno con cuántos segundos antes fue, redondeado): el tipo de paso (cambio de app, pantalla, mensaje, notificación, SMS, llamada, toque en un link, instalación, ajuste, un aviso de Cordi y qué se respondió), el tipo de app y de pantalla (por ejemplo «chat», «revisar una transferencia», «formulario de clave»; el nombre de la app solo si es una de las que Cordi ya conoce, como mercado_pago o whatsapp), si quien escribió o llamó era un contacto, un familiar, un grupo o un desconocido y si era la primera vez en ese rato, el tipo de pedido que reconoció el detector en el mensaje (por ejemplo «apuro», «premio», «pide un código»), el tipo de link (oficial, acortado, hosting gratis, imita una marca, una IP), el rango del monto (por ejemplo «entre $ 100.000 y $ 500.000») y si el destinatario estaba agendado o era nuevo, el estado de la llamada y las señales del detector. Y si en ese momento había una llamada con un desconocido o una app de control remoto activa. Nunca los textos, nombres, números, montos exactos ni direcciones.
• Además, si la familia marca un aviso como falsa alarma (en el Registro, «Este aviso no tenía sentido»): el código del aviso, la regla y las señales del detector que lo dispararon (códigos fijos como url.risk o page.credential_form: nunca el texto de la pantalla, ni una dirección, ni un nombre), la gravedad, el nivel de avisos, si intervino una IA y de qué tipo (local, Claude u OpenAI) y qué dijo (riesgo o no, y con cuánta seguridad), el tipo de app y cuántos minutos pasaron desde el aviso. Para entender por qué avisó también van códigos del detector: el motivo interno de la decisión, un puntaje, el patrón de estafa que sospechaba (por ejemplo «soporte técnico»), si la pantalla era un chat con un desconocido, un contacto o un grupo (nunca quién), qué tipo de cosa era (una notificación, una llamada, una pantalla), y si el mismo aviso ya había salido hace poco y qué se respondió. Dos datos más, solo en este reporte: si la app es una de las que Cordi ya conoce (bancos, billeteras, mensajería…), su código (por ejemplo mercado_pago), nunca el de otras apps; y si el aviso fue por una página web, solo el nombre del sitio (por ejemplo banco-falso.xyz), nunca la dirección completa ni lo que viene después. El comentario opcional que se escribe ahí se queda en el celular y no se manda.
• Pantallas antes de un aviso — solo con «Compartir pantallas con el equipo», un interruptor aparte y opcional que viene apagado (en el último paso de la configuración, en Configuración de Cordi → Ayudar a mejorar Cordi y en la tarjeta «NUEVO» que puede aparecer después de responder una alerta, con «Compartir mis datos»), que solo funciona con «Ayudar a mejorar Cordi» prendido y que se prende únicamente si prendés su interruptor, que tiene al lado qué se manda y para qué («Ver detalles» lo explica entero). Con él prendido, cada vez que Cordi muestra un aviso (y, como mucho 20 por día, cuando anota uno de gravedad media o alta sin mostrarlo), el celular manda cómo eran las últimas pantallas antes del aviso: hasta 20 pantallas o 10 minutos, lo que sea menos. De cada pantalla va su estructura y sus textos (qué textos, botones y campos había y dónde estaban, el nombre de la app y el título de la ventana), no una foto. Van también los toques, las notificaciones (app, título y texto), los datos de las llamadas y SMS de ese rato (si fue entrante o saliente, si era un contacto, un familiar o un desconocido y la duración), lo que se escribió en los campos y la decisión completa del detector. Antes de salir del celular se tapan los números de tarjeta ([TARJETA]), los CBU/CVU ([CBU]) y los códigos de verificación o PIN; los campos de contraseña no se leen nunca. Desde el 3 de noviembre de 2026 también se tapan, en el celular: los nombres de las personas (cada una queda como una marca, por ejemplo [CONTACTO1] o [DESCONOCIDO2], que solo dice si era un familiar, un contacto agendado o alguien que no está en la agenda), los teléfonos, los correos (queda el dominio), los alias, el DNI o CUIT, otros números de cuenta, los montos (queda solo si es chico, mediano o grande) y, en las apps de mensajes y de bancos, lo que se escribió en los campos. De los links queda solo el nombre del sitio. Quedan los botones, los títulos y las frases que hacen falta para saber si era una estafa. Es un filtro automático: un nombre escrito de una forma rara puede quedar sin tapar. Texto provisorio: la política completa de este interruptor está en revisión. Con «Compartir pantallas con el equipo» apagado no se graba ni se manda nada de esto; se guarda 30 días y después se borra solo. Si lo apagás, el celular borra lo que faltaba mandar y le pide al servidor que borre todas las que ya mandó (si no hay internet, apenas haya).
• Salud de la protección: si están activados la accesibilidad, las notificaciones y el permiso para mostrar avisos sobre otras apps, si la batería está optimizada, si el celular limitó a Cordi, si está en pausa o en modo familiar.

2. Del panel de la familia (solo en la versión de prueba que se instala por cable; la app de Google Play no lo tiene)

• El código de vínculo del celular y el PIN que elige la familia (del PIN guardamos solo un «hash», no el número).
• Un registro de los cambios que hace la familia o el equipo (por ejemplo «cambió el nivel a Intensa»).
• Una cookie técnica para mantener abierta la sesión. No usamos cookies de publicidad ni de análisis.

3. Si te anotás en la beta

Tu nombre, tu email, el modelo de celular, qué sos de la persona que va a usar Cordi, de dónde viniste (por ejemplo el enlace de un amigo o un volante) y un código corto personal para que puedas invitar a otras familias. Los usamos para invitarte a la beta, saber qué celulares tenemos que cubrir y escribirte si hay un problema. Para habilitar la descarga en Google Play te vamos a pedir por email el Gmail del celular donde se instala, y lo usamos solo para eso.

4. IA por internet (opcional; no existe en la app de Google Play)

La app de Google Play no tiene esta función. Solo existe en la versión de prueba que se instala por cable, viene apagada y solo la usa el celular donde la familia la activó a propósito (Familiar → Cómo piensa Cordi → «Sí, usar la ayuda de internet», o «No, solo en este teléfono» para apagarla). No depende de «Ayudar a mejorar Cordi»: se puede usar sin mandar ningún dato de uso. Para poder usarla, el celular se registra en nuestro servidor con un identificador al azar y lo mínimo para darle una clave de acceso y ponerle un tope de consultas: versión de Cordi y de Android, idioma y nivel de avisos (sin marca ni modelo del celular, salvo que también esté prendido «Ayudar a mejorar Cordi»). En casos dudosos Cordi le manda a nuestro servidor un texto corto que ya tapó en el celular (sin nombres, teléfonos, montos, códigos, mails, cuentas ni alias; si queda algún dato personal, no lo manda). Nuestro servidor lo vuelve a revisar con filtros simples: si encuentra números largos, emails o CBU/CVU lo rechaza y no lo envía a ningún lado. Si pasa el filtro, lo reenvía a OpenAI (gpt-4.1-mini o gpt-4.1-nano) con nuestra clave y con la opción de que no lo guarde en su historial. En el servidor no guardamos ni el texto ni la respuesta: solo cuántas consultas hizo cada celular por día, cuántas rechazamos, la cantidad de tokens y el tiempo de respuesta. Hay un tope de 150 consultas por día por celular. OpenAI trata esa información según sus propias condiciones.

5. Datos técnicos de la conexión

Para frenar abusos (por ejemplo, probar PIN al azar) contamos los intentos por dirección IP durante unos minutos, solo en la memoria del servidor, sin guardarla en la base de datos. El servicio que recibe las conexiones HTTPS puede anotar la dirección IP y la ruta consultada en sus registros técnicos, que se borran solos por rotación.

Aviso de versión nueva. Aunque no prendas nada, una vez por día Cordi le pregunta al servidor cuál es la última versión, para mostrarte «Hay una versión nueva de Cordi». La pregunta no lleva ningún dato tuyo ni del celular: solo dice si la app es la de Google Play o la de prueba. El servidor contesta y no guarda nada de esa consulta.

Para qué lo usamos

• Saber si Cordi funciona bien: que los permisos estén bien, que los avisos aparezcan y que no molesten de más.
• Mejorar la app durante la beta (qué avisos se entienden, cuáles se ignoran).
• Operar la beta: poder bloquear un celular si hace falta y ayudar a quien tenga un problema.
• En la versión de prueba que se instala por cable: mostrarle a la familia el estado y los últimos avisos de su celular, y dejarla cambiar la configuración desde el panel web. La app de Google Play no tiene esta función.
• Decidir los casos dudosos con una inteligencia artificial, solo en la versión de prueba por cable y solo si la familia prendió la ayuda de internet.
• Con las pantallas antes de un aviso: revisar todos los días si cada aviso tuvo razón y ajustar el detector para que dé menos falsas alarmas sin dejar pasar estafas. La revisión la hace el equipo con ayuda de Claude, una IA de Anthropic.

Ajustes del equipo de Cordi

Con «Ayudar a mejorar Cordi» prendido, si Cordi molesta de más o algo anda mal (y por ejemplo un familiar nos escribe), el equipo de Cordi puede ajustar la configuración de Cordi en ese celular para ayudar, sin que la persona tenga que hacer nada. Solo hay cuatro ajustes posibles: pausar los avisos de Cordi unas horas (24 como mucho), pasarlo a un nivel más tranquilo, o silenciar un aviso o los avisos dentro de una app por unos días (30 como mucho). Solo pueden hacer que Cordi avise menos, nunca más: un nivel más tranquilo no cambia los avisos que vos ya habías apagado o dejado solo en el registro.

• Siempre vence solo, aunque el celular no tenga internet, y el equipo lo puede deshacer antes.
• Se ve en el celular: la pantalla principal dice «El equipo de Cordi ajustó los avisos para ayudarte» y hasta cuándo; en Configuración de Cordi (con la clave) está la lista, y el registro anota cuándo empieza y cuándo termina cada uno.
• Solo toca la configuración de Cordi: nunca cambia nada fuera de Cordi (ni otras apps, ni ajustes del celular, ni mensajes), no permite ver la pantalla ni manejar el celular, y no manda más datos que los de «Ayudar a mejorar Cordi».
• Nunca vale durante una llamada de un número desconocido ni en los 15 minutos después (más, si la llamada fue larga), ni mientras otra persona maneja o ve la pantalla del celular (acceso remoto o pantalla compartida): en esos momentos Cordi avisa como si el ajuste no existiera. Y nunca apaga el aviso de «Apagar Cordi».
• Para que llegue rápido: con «Ayudar a mejorar Cordi» prendido y la pantalla encendida, Cordi le pregunta al servidor si hay ajustes como mucho cada 10 minutos (además de al abrirse y cada media hora). La pregunta usa el mismo código al azar de siempre y no manda ningún dato nuevo; el servidor solo anota la hora de la última conexión. Sin «Ayudar a mejorar Cordi» no se hace.
• Queda anotado en el servidor quién lo hizo, cuándo, por qué y hasta cuándo. Si apagás «Ayudar a mejorar Cordi», los ajustes dejan de valer en el celular en ese mismo momento, aunque no haya internet, y se borran con el resto de los datos.

Quién puede ver los datos

• El equipo de Cordi, con usuario y clave.
• En la versión de prueba por cable, la familia, solo lo de su propio celular y solo con el código de vínculo y su PIN. En la app de Google Play, nadie de afuera ve los avisos de la persona.
• Proveedores que hacen posible el servicio: el servidor donde corre Cordi (Hetzner) y, solo para el modo de IA por internet de la versión por cable, OpenAI.
• Anthropic (Claude), como proveedor que trata los datos por cuenta nuestra y solo para la revisión de las pantallas antes de un aviso: el equipo le pasa esas pantallas para que diga si el aviso tuvo razón. No las usa para otra cosa.
• Nadie más. No vendemos ni cedemos datos para publicidad.

Dónde están los datos

• Nuestro servidor es de la empresa Hetzner y está en Estados Unidos (Oregón).
• Anthropic, que nos ayuda a revisar las pantallas antes de un aviso (solo si prendiste «Compartir pantallas con el equipo»), también está en Estados Unidos. La revisión la hace el equipo en una computadora propia, en Israel, con el disco cifrado; lo que se baja para revisar se borra a los 30 días, igual que en el servidor.
• La Argentina no incluye a Estados Unidos entre los países con protección adecuada de datos personales. Por eso te lo decimos antes: con «Ayudar a mejorar Cordi» o «Compartir pantallas con el equipo» prendidos, esos datos se guardan y se tratan en Estados Unidos, con las reglas de esta política. Si los apagás, Cordi funciona igual, no manda nada tuyo y le pide al servidor que borre lo que ya mandó.
• Lo que Cordi lee en el celular (mensajes, notificaciones, llamadas, contactos), que muchas veces es de otras personas, se analiza ahí para avisarte y no se manda, salvo lo que se explica en «Pantallas antes de un aviso».

Cuánto tiempo los guardamos

• Eventos de uso y contadores de IA: 90 días, y después se borran solos.
• Pantallas antes de un aviso (y lo que dijo la revisión de cada una): 30 días, y después se borran solas. No van a las copias de seguridad.
• Un celular que no se conecta por 180 días se borra con todo lo suyo.
• Copias de seguridad de la base: una por día, las últimas 14. Un dato que borrás puede quedar hasta 14 días más en esas copias.
• Inscripciones a la beta: hasta que termine la beta o hasta que pidas que las borremos.

Cómo pedir el borrado

Podés pedir saber qué tenemos, corregirlo o que lo borremos. Para borrar los datos de un celular hay estos caminos:

1. Solo las pantallas antes de un aviso: Familiar → Ayudar a mejorar Cordi, y apagar «Compartir pantallas con el equipo». El celular le pide al servidor que borre todas las de este celular; lo demás sigue igual.
2. En la app: Familiar → Ayudar a mejorar Cordi, y apagar el interruptor. El celular le pide al servidor que borre todo lo suyo (eventos, contadores, pantallas antes de un aviso, configuración y registro); si no hay internet, lo hace apenas haya. En la versión por cable, si la ayuda de internet sigue activa, después el celular se registra de nuevo con lo mínimo para seguir usándola. Para apagarla: Familiar → Cómo piensa Cordi → «No, solo en este teléfono»; si «Ayudar a mejorar Cordi» también está apagado, el celular pide el mismo borrado.
3. Desde el panel de la familia (/familia; solo en la versión por cable) → «Borrar los datos de este celular».
4. Por mail a privacidad@mycordi.com. Es el único camino para borrar también la inscripción a la beta (nombre y email), que la app no puede borrar.

Si desinstalás Cordi sin apagar los datos, se borran solos: los eventos a los 90 días y el celular a los 180 días sin conectarse. Si el equipo bloqueó un celular, queda un registro mínimo del bloqueo (el código al azar de la instalación y datos técnicos básicos), para que borrar no lo levante.

Si sos de Argentina, la Ley 25.326 de Protección de Datos Personales te da derecho de acceso, rectificación y supresión. Podés pedirnos gratis qué datos tenemos de tu celular y te contestamos dentro de los 10 días corridos; si pedís corregirlos o borrarlos, lo hacemos dentro de los 5 días hábiles. Como Cordi no tiene cuentas, te vamos a pedir lo justo para encontrar tu celular sin equivocarnos y saber que el pedido es tuyo.

El titular de los datos personales tiene la facultad de ejercer el derecho de acceso a los mismos en forma gratuita a intervalos no inferiores a seis meses, salvo que se acredite un interés legítimo al efecto conforme lo establecido en el artículo 14, inciso 3 de la Ley N° 25.326. La AGENCIA DE ACCESO A LA INFORMACIÓN PÚBLICA, en su carácter de Órgano de Control de la Ley N° 25.326, tiene la atribución de atender las denuncias y reclamos que interpongan quienes resulten afectados en sus derechos por incumplimiento de las normas vigentes en materia de protección de datos personales.

Menores de edad

Cordi es para personas adultas (personas mayores y sus familiares) y no está dirigida a menores de 18 años. No recolectamos a sabiendas datos de menores; si creés que un menor nos mandó datos, escribinos y los borramos.

Seguridad

Todo viaja por HTTPS. Las claves de acceso y los PIN se guardan «hasheados». Las consultas a la base de datos están parametrizadas y los paneles tienen protección contra formularios falsos. Aun así, ningún sistema es perfecto: si pasara algo que te afecte, te avisaremos.

Cambios

Si cambiamos esta política de una manera que importe, lo avisamos en la app y en esta página, con la fecha de arriba. Esta política también se abre desde la app: Familiar → Privacidad.

• 3 de noviembre de 2026 (provisorio): con «Compartir pantallas con el equipo», las pantallas antes de un aviso ahora salen del celular con los nombres de las personas, los teléfonos, los correos, los alias, el DNI, las cuentas, los montos y lo escrito en los campos de las apps de mensajes y de bancos ya tapados (ver «Pantallas antes de un aviso»). No cambia cuándo se manda, cuánto se guarda ni cómo se apaga.
• 2 de noviembre de 2026: sumamos quién es el responsable y cómo escribirle, «Dónde están los datos» (nuestro servidor y Anthropic están en Estados Unidos) y cómo pedir tus datos, con los plazos de la ley. No cambia qué se manda.
• 28 de octubre de 2026: con «Ayudar a mejorar Cordi» prendido, el equipo de Cordi puede ajustar la configuración de Cordi en ese celular para ayudar (pausar los avisos unas horas, un nivel más tranquilo, silenciar un aviso o una app unos días). Solo puede hacer que Cordi avise menos, siempre vence, se ve en el celular, nunca toca nada fuera de Cordi y nunca vale durante una llamada de un número desconocido ni en los 15 minutos después, ni con acceso remoto. Para que llegue rápido, con la pantalla encendida Cordi pregunta si hay ajustes como mucho cada 10 minutos. Ver «Ajustes del equipo de Cordi».
• 28 de octubre de 2026: aunque «Ayudar a mejorar Cordi» esté apagado, Cordi pregunta una vez por día cuál es la última versión (sin ningún dato tuyo ni del celular) para avisarte que hay una nueva.
• 26 de octubre de 2026: si «Ayudar a mejorar Cordi» o «Compartir pantallas con el equipo» están apagados, Cordi puede preguntarte, justo después de que respondas una alerta, si querés compartir tus datos (una tarjeta «NUEVO» abajo de la pantalla, como mucho después de las primeras 5 alertas respondidas, nunca durante una llamada). Su interruptor, «Compartir mis datos», viene apagado, tiene al lado qué se manda y «Ver detalles», y si lo prendés se prenden las dos opciones; el celular anota que se prendió desde esa tarjeta y cuándo. No cambia qué se manda con cada una, ni cuánto se guarda, ni cómo se apagan.
• 25 de octubre de 2026: si ya tenías prendido «Ayudar a mejorar Cordi» desde antes del 23 de octubre, la app ahora te muestra un aviso, «Cambió lo que Cordi manda para mejorar», en su pantalla principal la próxima vez que la abras (y una sola notificación que lleva a ese aviso). El aviso cuenta qué se agregó (solo códigos, nunca textos de la pantalla) y el cambio se aplica desde que se muestra: ya no hace falta tocar «Está bien». Lo podés apagar cuando quieras en Configuración de Cordi (y se borra lo que ya se mandó). Mientras el aviso no se muestre, se sigue mandando solo lo de antes. «Compartir pantallas con el equipo» no cambia: sigue aparte y apagado salvo que lo prendas.
• 23 de octubre de 2026: con «Ayudar a mejorar Cordi», para cada aviso también se manda qué regla y qué señales del detector lo hicieron aparecer (antes solo iban con un reporte de falsa alarma), más detalles de la respuesta y qué pasó después de «Sí, continuar» (nunca a qué app fue la persona), y los pasos de los minutos anteriores a cada aviso como códigos (tipo de app y de pantalla, si quien escribió o llamó era un contacto o un desconocido, tipo de link y de pedido, rango del monto, destinatario agendado o nuevo; nunca textos, nombres, números ni direcciones). Si ya lo tenías prendido, la app te lo cuenta una vez en Configuración de Cordi, y hasta que toques «Está bien» sigue mandando solo lo de antes; ahí mismo lo podés apagar. Y hay un interruptor nuevo, aparte y opcional, «Compartir pantallas con el equipo», que viene apagado: solo si lo prendés, para cada aviso se mandan las pantallas antes del aviso: la estructura y los textos de las últimas pantallas (no fotos), las notificaciones y los datos de las llamadas de ese rato, con las tarjetas, las cuentas y los códigos tapados en el celular y sin leer nunca las contraseñas. Se guardan 30 días, no van a las copias de seguridad y las revisa el equipo con ayuda de Claude (Anthropic), que las trata por cuenta nuestra. Apagarlo borra las que ya se mandaron.
• 9 de octubre de 2026: «Datos de la beta» ahora se llama «Ayudar a mejorar Cordi» y viene prendido, con un interruptor; la app de Google Play no tiene ayuda de internet ni panel web.