Política de privacidad

Última actualización: 23 de septiembre de 2026.

1. Quién es responsable de tus datos

Puedes escribirnos sobre cualquier asunto de privacidad a angel@engravitysigns.com.

El servicio lo opera esa misma entidad desde un servidor propio, y la app se llama T-kall (identificador com.bitali.tkall).

2. Lo esencial, en una tabla

Cifrado de extremo a extremo significa que el contenido se cifra en tu dispositivo y solo se descifra en el de la otra persona. Nosotros movemos sobres cerrados. La garantía completa la da la aplicación instalada; en el navegador, el programa que cifra se descarga de nuestro servidor en cada carga (ver Seguridad). Pero no todo va dentro del sobre, y eso es lo que casi ninguna política de privacidad cuenta:

3. Qué datos se recogen exactamente

3.1. Datos de la cuenta

• Tu correo electrónico principal (es tu identificador de acceso).
• El nombre con el que te ven los demás.
• Un hash Argon2id de tu contraseña. La contraseña en claro nunca se guarda.
• La organización a la que perteneces y la fecha de alta de la cuenta.

3.2. Datos de perfil que pide el registro

• Fecha de nacimiento y edad (la app exige 13 años cumplidos).
• Una localización aproximada del tipo «ciudad, país», opcional.

Estos tres campos se guardan cifrados en la base de datos (AES-256-GCM). Conviene entender qué protege eso y qué no: protege frente a una filtración de la base de datos, porque quien se la lleve verá texto opaco. No protege frente a nosotros: la clave está en el servidor y podemos descifrarlos. Es distinto del cifrado de los mensajes, donde la clave no la tenemos.

La localización no es GPS. La app no pide el permiso de ubicación. Lo que hace es sugerirte un texto a partir de la zona horaria y el idioma que ya tiene configurados el teléfono; ese cálculo ocurre en tu dispositivo y puedes corregirlo o dejarlo vacío.

3.3. Tu identidad ampliada

• Hasta tres correos electrónicos y dos números de teléfono asociados a la cuenta.
• Si cada uno es el principal, si está verificado y a qué perfil tuyo pertenece («Personal», «Trabajo»…).
• Cuando pides verificar un correo, un hash del código que te enviamos (se pega en la app y caduca en 30 minutos) y su fecha de caducidad. El código en sí no se guarda.
• Si pides restablecer la contraseña, un hash del vale que va en el enlace, su caducidad (una hora) y la fecha en que dejó de valer, sea porque lo usaste o porque pediste otro nuevo (cada petición anula los anteriores). El vale en sí no se guarda; y un vale anulado no se borra, se marca, para poder decirte «ya no sirve» sin revelar si existió.

Correos y teléfonos no van cifrados, y no es un descuido: son la forma en que otra persona te encuentra. Si estuvieran cifrados, nadie podría buscarte por ellos.

3.4. Tus dispositivos

• El nombre que le pones a cada uno («Pixel 10», «Chrome en Windows»).
• Sus claves públicas de cifrado y de firma. Las privadas no salen nunca del dispositivo y nosotros no las tenemos.
• El identificador de notificaciones (el «token» de Firebase), si activas los avisos.
• Fechas de alta, de aprobación, de revocación y de última conexión.

3.5. Tus conversaciones

• El sobre cifrado de cada mensaje. Es un bloque opaco: no podemos leer su contenido, ni buscar dentro, ni entregárselo legible a nadie.
• Los metadatos de cada mensaje: en qué conversación va, quién lo escribió, cuándo, si es respuesta a otro y si se editó o borró.
• Un identificador aleatorio que tu propio teléfono inventa para cada mensaje, para que un reenvío tras un corte de red no lo duplique. Es distinto en cada mensaje y no identifica al aparato.
• La marca de hasta dónde has leído en cada conversación.
• Los vídeos y los ficheros que adjuntas (documentos, PDF, comprimidos…), que por su tamaño no caben dentro del mensaje. Se cifran en tu dispositivo y se suben a un almacén de ficheros del mismo servidor, como un bloque de bytes sin nombre. La clave para abrirlo viaja dentro del mensaje cifrado, así que nosotros no podemos verlo. Del fichero no guardamos quién lo subió, para quién es, cómo se llamaba ni de qué tipo es: sólo su tamaño y la fecha. Lo único que se anota por cuenta es cuántos bytes has subido en una ventana de 24 horas, para frenar abusos: un contador aparte de la base de datos (en Redis, que sí escribe en disco), guardado solo con el identificador interno de la cuenta y que caduca solo a las 24 horas de la primera subida de esa ventana.

Las imágenes y las notas de voz que envías viajan dentro del propio mensaje cifrado; ésas no se suben a ningún almacén aparte. Los vídeos y los demás ficheros adjuntos sí, por el motivo de arriba, y el fichero se borra solo en el barrido diario siguiente a cumplir 30 días desde que se subió —entre 30 y 31 días—, lo hayas borrado tú antes o no. La copia que la otra persona ya se haya descargado a su teléfono es suya y no la tocamos.

3.6. Tus citas

• El tipo (llamada, videollamada o mensaje programado), la hora en UTC y la duración.
• A quién invitaste (el correo o número) y si aceptó.
• El título y las notas, cifrados en tu dispositivo (solo los invitados los abren; nosotros no tenemos la clave), más las claves envueltas para cada dispositivo invitado.
• Un hash del enlace de acceso a la cita, nunca el enlace en claro.
• Si la cita es una videollamada, el identificador de la sala de vídeo que se crea para ella al programarla (punto 3.11). Esa videollamada va por el servidor de salas (punto 6.2) aunque seáis solo dos, y al cancelar la cita nadie más puede entrar en su sala (a quien ya estuviera dentro no se le echa). El título de la cita no se manda a ese servidor: sigue cifrado.

3.7. Tu agenda

• El nombre que tú le pones a cada contacto y las notas que escribas sobre él.
• Los correos y teléfonos que apuntas de esa persona, que puede no tener cuenta en T-kall.
• Las solicitudes de contacto enviadas y recibidas, con su estado y sus fechas.

Las notas se guardan cifradas en la base de datos (AES-256-GCM), igual que los datos de perfil del apartado 3.2 y con las mismas dos caras: protegen frente a una filtración de la base, pero no frente a nosotros, porque la clave está en el servidor y el servidor las descifra cada vez que abres la agenda. No es el cifrado de extremo a extremo de los mensajes ni el de las notas de una cita.

El resto —el nombre que le pones a cada contacto, sus correos y teléfonos, y las solicitudes— se guarda en claro en el servidor. Y ojo con lo que implica: al apuntar a alguien en tu agenda nos estás dando sus datos de contacto. Solo apunta a gente que razonablemente esperaría estar ahí.

La app no lee la agenda del teléfono. No pide ese permiso a Android y no sube ninguna lista de contactos: cada contacto lo escribes tú a mano.

3.8. Equipos, canales y organizaciones

• Los equipos, canales y organizaciones a los que perteneces y con qué rol.
• Los códigos de invitación que se emiten y cuántas veces se han usado.

3.9. Moderación

• A quién has bloqueado y quién te ha bloqueado.
• Las denuncias que pones o que recibes, con el motivo que escribes. Ese motivo se guarda cifrado en la base de datos con una clave nuestra, como las notas de tu agenda (punto 3.7): protege frente a una filtración, no frente a nosotros, porque es una petición dirigida a nosotros y un operador la descifra para revisarla. De cada denuncia guardamos también su estado, si se marcó como prioritaria, quién la resolvió, cuándo y con qué decisión. Si se sanciona una cuenta, queda anotado desde cuándo, hasta cuándo, con qué alcance, con un código de motivo y a qué denuncia se debe. No hay un panel dentro de la app: la revisa una persona con acceso al servidor. No incluye el contenido de los mensajes denunciados, que sigue siendo ilegible para nosotros. Y una precisión que importa: estas fichas no se borran con la cuenta (punto 8), para que darse de baja no sea la forma de escapar de una revisión.

3.10. Datos técnicos

• Tu dirección IP, mientras estás conectado. Se usa para el límite de peticiones (evitar ataques de fuerza bruta y abuso) y queda registrada en los registros del servidor web.
• Tu sesión: guardamos el hash del testigo de renovación (nunca el testigo) y, por cada aparato con sesión abierta, la clave pública con la que ese aparato firma sus peticiones y su huella, una etiqueta del navegador o sistema («Chrome en Android»), en qué tipo de almacén vive su clave privada (software o hardware del aparato), a qué dispositivo de tu identidad de cifrado y a qué testigo de renovación está atada, y las fechas de alta, último uso, caducidad (30 días desde el último uso), cierre y, si se rotó la clave, cuándo.
• Registros de funcionamiento del servidor. Están escritos para no contener direcciones de correo completas (se ofuscan a j***@ejemplo.com) ni identificadores de conversación.

Retención de esos registros: no se archivan. Cada servicio del servidor principal conserva como mucho 50 MB de registro —cinco ficheros de 10 MB— y lo más antiguo se descarta solo según entra lo nuevo. No hay copia ni archivo histórico fuera de esa rotación. Cuánto tiempo cubre esa ventana depende del tráfico, así que no te damos un número de días: sería inventado. El servidor de salas, que es otra máquina (punto 6.2), lleva sus propios registros y no entra en esta rotación: su plazo está en el punto 8.

3.11. Reuniones por enlace y salas de las citas de vídeo

• Cada vez que creas una reunión con «Reunirse ahora» o programas una cita de vídeo, se guarda una ficha de esa sala con: quién la creó (el identificador interno de tu cuenta); un hash del enlace, nunca el enlace en claro (en una cita el enlace ni siquiera se usa: se genera uno al azar y se descarta); cuándo se creó; cuándo caduca —a los 30 días en «Reunirse ahora»; en una cita, dos horas después de la hora a la que acaba—; y, si se cerró antes, cuándo: porque el anfitrión revocó el enlace o porque se canceló la cita.
• En la base de datos no se guarda quién entró ni cuándo (los registros del servidor de salas sí pueden tenerlo: punto 8), ni el nombre que le pongas a la reunión: ese nombre solo pasa por el servidor de salas (punto 6.2). Quién espera en la sala de espera se lleva en la memoria del servidor mientras espera, y a quién ha expulsado el anfitrión, hasta que se revoca el enlace, se cancela la cita o se reinicia el servidor; nada de eso se escribe en la base de datos.

Estas fichas hoy no se borran, ni siquiera al borrar la cuenta: el plazo está en el punto 8.

4. Qué NO recogemos

• No hay publicidad ni perfilado publicitario.
• No hay analítica: ni Google Analytics, ni Firebase Analytics, ni Crashlytics, ni ningún SDK de medición dentro de la app.
• No usamos el identificador de publicidad de Android.
• No leemos tu agenda de contactos del teléfono.
• No pedimos permiso de ubicación ni recogemos tu posición GPS.
• No vendemos, alquilamos ni cedemos datos a terceros con fines comerciales.
• Este sitio web no tiene cookies ni analítica. La portada carga sus tipografías desde Google Fonts, así que al abrirla tu navegador pide esos ficheros a Google, que ve tu dirección IP; esta página, Seguridad y Borrar cuenta no cargan nada de otros dominios.

5. Para qué se usan

• Prestar el servicio: entregar mensajes, establecer llamadas, avisar de citas, gestionar equipos.
• Identificarte: iniciar sesión y permitir que te encuentren quienes tienen tu correo o tu número.
• Seguridad: límites de peticiones, detección de robo de sesiones, aprobación de dispositivos nuevos.
• Moderación: atender denuncias y bloqueos.
• Obligaciones legales, cuando existan.

No usamos tus datos para entrenar modelos, ni para publicidad, ni para ninguna finalidad distinta de operar la app.

6. Con quién se comparten

Estos son todos los terceros que intervienen hoy. Si algún día hay uno más, aparecerá en esta lista antes de activarse.

6.1. Google — notificaciones push (Firebase Cloud Messaging)

Es lo que hace que la app te avise con la pantalla apagada. Firebase no es un sobre cerrado: Google ve lo que se le manda. Por eso el aviso que le entregamos sale de una lista cerrada y corta de textos fijos, ninguno de los cuales nombra a nadie.

Google recibe:

• el identificador de notificación de tu dispositivo (la dirección del sobre);
• el instante del envío;
• la clase de aviso, de una lista cerrada de seis valores (mensaje, cita, invitación a cita, respuesta a cita, alta de contacto, llamada);
• el texto que se te va a enseñar, que es uno de siete fijos y sin nada interpolado dentro: «Tienes un mensaje nuevo», «Tienes una invitación a una cita», «Han respondido a tu invitación de cita», «Alguien de tu agenda ya está en T-kall» y, para el recordatorio de una cita, «Tu cita empieza enseguida», «… en menos de 10 min» o «… pronto». El título es siempre «T-kall». Para una llamada no viaja ningún texto: Google solo recibe «es una llamada» y el aviso «Llamada entrante» lo escribe tu propio teléfono;
• si el aviso es urgente o no (las llamadas se marcan urgentes para que suenen aunque el móvil esté en reposo);
• la dirección IP con la que tu teléfono habla con los servidores de Google.

Google no recibe:

• el contenido de ningún mensaje (no lo tenemos ni nosotros);
• el nombre ni el identificador de quien te escribe o te llama;
• el identificador de la conversación, de la llamada ni de la cita;
• el título de la cita;
• la hora exacta de la cita: el recordatorio dice el tramo en grueso y no los minutos que faltan, precisamente para que dos avisos del mismo minuto no delaten que dos personas van a la misma cita.

En la pantalla de bloqueo ves uno de esos siete textos —o «Llamada entrante», que compone tu teléfono—; quién te escribió aparece solo al abrir la app, ya descifrado.

Si no quieres notificaciones, Google no se entera de que existes. Mientras no aceptes los avisos, la app no da de alta tu teléfono en Firebase: el componente de Google viene dentro de la app y se carga con ella, pero arranca apagado y no llega a pedir ningún identificador ni a conectarse. Solo se enciende —y solo entonces Google recibe un identificador de instalación de la app y la dirección IP desde la que se conecta— en el momento exacto en que aceptas recibir notificaciones.

Si las rechazas y luego cambias de idea, se enciende ahí. Y si cierras sesión, se apaga otra vez y se borra el identificador en los servidores de Google, no solo en los nuestros.

Una precisión honesta, porque la diferencia importa: si ya habías aceptado las notificaciones antes de esta versión, tu teléfono ya está dado de alta y seguirá estándolo —es justo lo que hace que los avisos te sigan llegando sin tener que volver a aceptar nada—. Para deshacerlo, cierra sesión en la app: casi siempre basta con eso. Decimos «casi» porque hay un hueco real: si cierras sesión sin que la app haya llegado a poner en marcha las notificaciones tras actualizar —por ejemplo, si la abriste sin conexión—, la baja en Google puede quedarse sin hacer. Entrar otra vez con los avisos funcionando y volver a cerrar sesión lo arregla.

6.2. Servidores de llamadas (STUN, TURN y salas), propios

Para conectar una llamada, cada dispositivo necesita averiguar su propia dirección pública en internet, y para eso pregunta a un servidor STUN. Ese servidor es nuestro. Hasta julio de 2026 se usaba el servidor público de Google, que veía la dirección IP de tu dispositivo en cada llamada; se cambió precisamente para que eso dejara de ocurrir.

Cuando las dos redes no permiten una conexión directa, la llamada pasa además por un servidor de reenvío (TURN), también nuestro, que reenvía el tráfico ya cifrado: mueve paquetes que no puede descifrar. Ve las direcciones IP de ambos extremos y la duración del reenvío.

Lo que este cambio no resuelve, y conviene saberlo: tu dispositivo tiene que resolver por DNS el nombre de nuestro servidor de llamadas, así que quien te dé el DNS —tu operador, normalmente— puede deducir que vas a llamar, aunque no con quién. Y las notificaciones siguen delatando el momento de una llamada por la otra puerta (punto 6.1).

El servidor de salas. Cuando una llamada no va de un aparato a otro, la junta y la reparte un servidor de salas, también nuestro (el programa es LiveKit, de código abierto). Pasan por él las llamadas de grupo de un canal, el botón de llamada de grupo de un chat, las reuniones de «Reunirse ahora» y las citas de vídeo; estas dos últimas, siempre, aunque en la reunión estéis solo dos. Las llamadas de dos que se hacen con los botones de llamada y videollamada de un chat no pasan por él. Y una diferencia que importa: el servidor de salas es otra máquina, distinta de la del resto del servicio, y está en Estados Unidos (puntos 6.3 y 7).

Lo que ese servidor ve de cada llamada que pasa por él:

• quién eres dentro de la sala: el identificador interno de tu cuenta y tu nombre visible;
• tu dirección IP y la de cada participante;
• en qué sala entras, por su nombre técnico: el identificador del canal o de la reunión, no el nombre del canal;
• cuándo entra y cuándo sale cada uno;
• qué publica cada uno —micrófono, cámara o pantalla compartida— y si lo tiene silenciado (cuando el anfitrión de una reunión silencia a alguien, lo hace a través de ese servidor);
• datos técnicos de tu conexión: la versión del programa de llamadas que usa la app, el navegador o sistema desde el que te conectas —lo que tu navegador le dice a cualquier servidor web— y, si el aparato lo indica, el tipo de red (wifi o datos móviles);
• si la versión de la app de cada aparato sabe cifrar la llamada en el dispositivo (cada aparato lo anuncia para que la sala sepa si puede cifrarse), y los avisos técnicos de «no consigo descifrarte» que se mandan los aparatos entre sí;
• el nombre de la reunión, si el anfitrión le pone uno al crearla con «Reunirse ahora». Ese nombre se reparte a los demás por el canal de datos de la sala, que no va cifrado en tu dispositivo —solo el audio y el vídeo lo van—, así que el servidor de salas lo puede leer. No lo guardamos en la base de datos. Si el nombre es delicado, no lo pongas.

Lo que no ve es el audio y el vídeo, que van cifrados en tu dispositivo (SFrame) mientras todos los presentes usen una versión que lo soporta. Si entra alguien con una versión antigua, esa llamada baja a cifrado hasta el servidor mientras esa persona esté —la app lo dice dentro de la sala—, y durante ese rato el servidor de salas sí podría verlo y oírlo. No se graba ninguna llamada: ni la app ni nuestro servidor piden nunca una grabación —no tienen esa función—, y el permiso con el que se entra a una sala no la incluye.

Nuestro servidor principal tiene preparado un aviso del servidor de salas para volver a echar de una reunión por enlace a quien el anfitrión haya expulsado, pero hoy ese aviso no está activado. Si se activa, se escribirá aquí antes. Y conviene saber ya cómo funcionaría: el servidor de salas avisaría de lo que pasa en todas las salas —quién entra y sale, y en cuál, también en las de un canal—, y nuestro servidor solo lo usaría para volver a echar a un expulsado; el resto lo descartaría sin guardarlo.

Una corrección que hay que decir tal cual: hasta el 23 de septiembre de 2026 esta página nombraba el servidor de salas, pero no decía que es otra máquina, ni que está en Estados Unidos, ni qué ve; y el punto 7 afirmaba que todo estaba en una sola máquina, lo que no era cierto.

6.3. Alojamiento

• Este sitio web está alojado en Hostinger. Sirve archivos estáticos; sus registros de acceso incluyen direcciones IP, como cualquier servidor web.
• El servidor de la app corre en un servidor privado (VPS) contratado a Hostinger, en un centro de datos de Fráncfort (Alemania). Ahí viven la base de datos y los sobres cifrados. No hay servicios en la nube de terceros por medio: ni analítica, ni almacenamiento externo, ni intermediarios que vean el tráfico.
• El servidor de salas de las llamadas de grupo, las reuniones y las citas de vídeo (punto 6.2) corre en otro VPS, también contratado a Hostinger, en un centro de datos de Boston (Estados Unidos).

6.4. Correo electrónico — Resend

Desde el 26 de agosto de 2026 T-kall envía correo a través de Resend (resend.com), desde no-responder@send.t-kall.com. Resend recibe la dirección a la que se escribe y el contenido del mensaje, que solo puede ser uno de tres: el código para verificar un correo (se pega en la app; caduca en 30 minutos), el enlace para restablecer la contraseña (caduca en una hora) o un aviso de que alguien intentó añadir tu dirección a otra cuenta. Ninguno lleva contenido de conversaciones, y nunca te pediremos una contraseña por correo. El dominio principal t-kall.com sigue sin enviar ni recibir correo —declara que ningún servidor está autorizado a hacerlo en su nombre—; el envío sale de ese subdominio dedicado.

Una corrección que hay que decir tal cual: este apartado anunció Resend como «pendiente de contratar» hasta el 8 de septiembre de 2026, cuando llevaba activo desde el 26 de agosto. La regla del punto 6 —aparecer aquí antes de activarse— no se cumplió esta vez.

6.5. Google Play

Si instalas la app desde Google Play, Google sabe que la has instalado, según sus propias condiciones y no las nuestras. Si prefieres evitarlo, podrás descargar el APK directamente de este sitio en cuanto la descarga esté disponible.

6.6. Autoridades

Si recibimos un requerimiento legal válido, solo podemos entregar lo que tenemos: datos de cuenta y metadatos. No podemos entregar el contenido de los mensajes ni de las llamadas: no se graba ninguna llamada, y no tenemos las claves de lo que va cifrado en tu dispositivo. La excepción es la del punto 6.2: mientras una llamada de grupo haya bajado de nivel, el servidor de salas podría verla y oírla, y el nombre que se le ponga a una reunión lo puede leer siempre. Y que quede claro que no poder entregar el contenido no nos impide entregar los metadatos, que en muchos casos son igual de reveladores.

7. Dónde se guardan

En dos máquinas, las dos contratadas a Hostinger (punto 6.3):

• El servidor principal, en Alemania (un centro de datos de Fráncfort). Ahí están la base de datos, el almacén de ficheros donde van los vídeos y los demás adjuntos (punto 3.5) y los servidores STUN y TURN de las llamadas de dos (punto 6.2).
• El servidor de salas, en Estados Unidos (un centro de datos de Boston). Por él pasan las llamadas de grupo, las reuniones de «Reunirse ahora» y las citas de vídeo. No guarda mensajes ni ficheros, pero lo que ve de cada una de esas llamadas (punto 6.2) —el identificador de tu cuenta y tu nombre visible, tu dirección IP, en qué sala entras, cuándo entras y sales, qué publicas y si lo tienes silenciado, los datos técnicos de tu conexión y el nombre de la reunión, si tiene uno— sale del Espacio Económico Europeo y se trata en Estados Unidos. Las llamadas de dos que se hacen con los botones de llamada y videollamada de un chat no pasan por ella.

Las notificaciones push atraviesan la infraestructura de Google, que es global —lo que viaja ahí es el aviso, no el contenido del mensaje, que va cifrado—.

8. Cuánto tiempo se conservan

• Los mensajes, 90 días en el servidor. Pasado ese plazo el servidor los borra solo, los hayas leído o no. Y una precisión que antes decíamos al revés: desde el 28 de agosto de 2026 la app sí guarda en cada aparato los mensajes que ya descifró —los descifra la primera vez que los muestra y a partir de ahí los lee de ese almacén, como hacen Signal o WhatsApp—, envueltos con una clave local que la propia app no puede exportar (un fallo de la parte web no se la lleva, aunque podría usarla desde dentro de la app; quien vuelque el almacenamiento del aparato, sí: ver Seguridad, puntos 2 y 6), y los poda sola al arrancar cuando llevan más de 400 días guardados en ese aparato o pasan de 20 000 mensajes. Consecuencia: un mensaje que el servidor ya borró puede seguir en los aparatos que lo mostraron hasta esa poda; no se ve en la app, pero está en ese almacén. Si algo te importa, guárdalo fuera de T-kall: hoy la app no permite exportar el historial.
• Lo que queda en tu propio aparato. Cerrar sesión no borra ese almacén ni las claves de cifrado: se quedan a propósito, para que al volver a entrar recuperes tus mensajes. Eliminar la cuenta sí lo borra —claves, mensajes descifrados, ajustes— en el aparato desde el que la eliminas y en cuanto el servidor confirma el borrado; el detalle y sus límites están en Borrar tu cuenta. En un ordenador compartido, la diferencia importa.
• Los vídeos y los ficheros adjuntos, 30 días desde que se suben (punto 3.5), borrados en el barrido diario siguiente —entre 30 y 31 días—. Son ficheros cifrados que sólo puede abrir quien tenga la clave, que va dentro del mensaje. Quien lo recibió y lo abrió ya tiene su copia; pasado el plazo, lo que se borra es el fichero del servidor.
• Lo que ya no ves, mucho menos. Un mensaje que borras deja de mostrarse en el acto y su contenido se elimina del servidor en 7 días; lo mismo con las citas que cancelas. Lo que ya había descifrado el aparato de quien lo recibió sigue en su almacén local hasta la poda de arriba: borrar un mensaje lo quita de la vista y del servidor, no de los aparatos ajenos. De una sesión cerrada o caducada, el testigo de renovación se borra a los 7 días; su ficha (clave pública, etiqueta y fechas, punto 3.10) queda con la fecha de cierre —o, si simplemente caducó, con la de caducidad vencida— y se conserva hasta que borres la cuenta. Igual con un vale de recuperación de contraseña usado, anulado o caducado: se marca, no se borra, hasta que borres la cuenta.
• Las citas pasadas, 90 días, igual que los mensajes: la agenda te deja consultarlas hasta entonces.
• Al borrar la cuenta, la eliminación es inmediata y en una sola operación. Los vídeos y ficheros que hubieras subido son ficheros aparte y desaparecen del servidor a más tardar a los 31 días; como las claves para abrirlos iban dentro de mensajes que ya no existen, entretanto no son legibles para nadie, tampoco para nosotros. Las denuncias en las que aparezcas (punto 3.9) se conservan sin tu cuenta: hoy no tienen un plazo de borrado automático, y una obligación legal puede exigir guardarlas al menos un año. Las fichas de las reuniones y salas de vídeo que hubieras creado (punto 3.11) también se quedan, y los registros del servidor de salas siguen su propio camino; las dos cosas se explican justo abajo. Más detalle de qué se borra y qué no, en Borrar tu cuenta.
• Las fichas de las reuniones por enlace y de las salas de las citas de vídeo (punto 3.11): hoy no se borran. Dejan de servir al caducar, al revocarse o al cancelarse la cita, pero la ficha —quién la creó, el hash del enlace y sus fechas— se queda en la base de datos, también si borras la cuenta, porque no está atada a ella: queda con el identificador de una cuenta que ya no existe. Lo que sí se va con la cita es el identificador de su sala (a los 90 días, o a los 7 si se canceló).
• Los registros del servidor de salas. Esa máquina lleva sus propios registros, que pueden incluir lo que ve de cada llamada (punto 6.2): el identificador de tu cuenta, en qué sala entras, tu dirección IP y las horas. Hoy no hay un plazo fijado por configuración para esos registros, así que no podemos darte uno, y no se borran al borrar tu cuenta. Cuando se fije un plazo, se escribirá aquí. Grabaciones de llamadas no hay: no se graba ninguna.
• Copias de seguridad: una copia diaria de la base de datos, cifrada antes de tocar el disco —nunca se escribe una copia en claro, ni siquiera temporal— y borrada automáticamente a los 14 días. Es uno de los sitios donde tus datos pueden sobrevivir a un borrado de cuenta —junto con lo que enumera Borrar tu cuenta: las denuncias, el registro de transparencia de claves, los ficheros adjuntos hasta 30 días, unos apuntes internos que caducan como mucho en 24 horas y los registros técnicos del servidor principal hasta que roten; y con lo que se cuenta más arriba: las fichas de las reuniones y salas de vídeo y los registros del servidor de salas—, y por eso se dice aquí.
• Registros técnicos del servidor principal: no se archivan; rotan por tamaño, como se explica en el punto 3.10. Los del servidor de salas, más arriba.

9. Cómo se protegen

• Cifrado en tu dispositivo del contenido de mensajes y de los detalles de las citas: el servidor no tiene las claves.
• TLS obligatorio en todo el tránsito; la app no puede conectarse sin cifrar.
• Contraseñas con hash Argon2id.
• Datos de perfil (fecha de nacimiento, edad, localización) y notas de la agenda, cifrados en la base de datos.
• Sesiones con testigos rotativos: si uno se reutiliza, se revoca toda la familia.
• Un dispositivo nuevo necesita la aprobación de uno ya autorizado antes de recibir nada.
• La copia de seguridad de Android está desactivada para que ni las claves ni los mensajes ya descifrados salgan del aparato.

Los límites de todo esto están explicados sin adornos en Seguridad. Léelo: forma parte de esta política tanto como lo de arriba.

10. Menores

T-kall no está dirigida a menores de 13 años, y el registro rechaza las fechas de nacimiento que den una edad menor. Si detectamos una cuenta de alguien por debajo de esa edad, se elimina.

11. Tus derechos

Según dónde vivas, puedes tener derecho a acceder a tus datos, rectificarlos, portarlos, eliminarlos, limitar su tratamiento u oponerte a él.

• Acceso y rectificación: la mayoría de tus datos los ves y los cambias en la propia app (perfil, correos, teléfonos, dispositivos, agenda).
• Borrado: ver Borrar tu cuenta, que incluye la vía para pedirlo sin instalar la app.
• El resto: escríbenos a angel@engravitysigns.com.

También puedes reclamar ante la autoridad de protección de datos que te corresponda por tu país de residencia. Si nos escribes primero, te decimos cuál es y no te hacemos buscarla.

12. Cambios en esta política

Si cambiamos algo importante —un tercero nuevo, un dato nuevo, algo que la app empiece a guardar—, se actualiza la fecha del principio. La app no tiene una segunda política: su pantalla de privacidad es un resumen que remite a esta misma página y que, si en algo no coincide, cede ante este texto. La regla interna que seguimos es la contraria a la habitual: primero se escribe aquí, después se activa. Cuando falla —el almacén local del 28 de agosto de 2026 estuvo diez días sin declararse aquí, y el servidor de salas en Estados Unidos no se declaró como tal hasta el 23 de septiembre de 2026 (punto 6.2)— se corrige y se cuenta, en vez de fingir que no pasó.

13. Contacto

angel@engravitysigns.com