Privacy Policy
Version 1.5 · Last updated October 9, 2026
This policy explains what data Despega collects, what it is used for, who it is shared with and what rights you have over it.
1. What we collect
Account data: your email, name and password (encrypted). If you enable the PIN or biometrics, they are stored only on your device. If you turn on two-step verification with Google Authenticator, we store its secret key encrypted, only a fingerprint of each backup code (not the code itself) and when you turned it on. The key and your email are also stored in Google Authenticator, which may copy them to your Google account if you have its backup turned on. While you finish turning it on, we also store your backup codes encrypted; they stop working after fifteen minutes if you do not finish, and we delete them in the next automatic cleanup, usually within a day. All of this is deleted when you turn it off or delete your account.
Banking data, through Plaid: institution name, type and last digits of each account, balances, credit limit, payment dates and transactions, including the spending category Plaid assigns to each transaction (for example restaurants, travel or health). We never receive or store your bank credentials; you enter them directly in Plaid.
We also ask for your checking and savings accounts, not only your cards: that is what lets us show your balances, your debit spending and which account you pay from. We only read; we never move money.
Notification data: if you turn on notifications, an identifier of your device (push token) used only to deliver them to you.
Notice usage data: when each notice is sent and to which type of phone, when you see it in the app and when you open it. The record of sends, views and opens is deleted ninety days after sending. The notice itself stays until you delete your account, with its date, its type and whether it is marked as read: if you delete it from your notification bell its text is removed, but its date and type stay. Also, so as not to repeat a notice, each transaction and each bank account keep when we last notified you about them, and your settings keep the date of the last daily summary.
Subscription data: if you subscribe, the store (Apple or Google) tells us through RevenueCat whether your subscription is active, on which plan and when it renews. We never receive your card number or payment details.
Support messages: what you write in the in-app support chat, so we can help you.
Usage data: language, app settings, technical logs and error reports needed for the app to work and to fix faults.
Card image: which card image you choose for each connected account, or whether you tell us it is none of the ones we show you, and when you chose. It is deleted when you disconnect that bank or delete your account.
IP address: we keep it with some security actions on your account, to protect it and detect unusual access, until you delete your account.
2. What we use it for
To show you your accounts, compute your credit health, organize your payments, send the reminders you enable, manage your subscription and provide support. We do not sell your data or use it for third-party advertising. We use the send, view and open dates of notices to improve them.
3. Who we share it with
Plaid, Inc., which connects to your bank and delivers the data to us. Its policy: https://plaid.com/legal/
Render, Inc., where our API runs, and Supabase, Inc., which hosts the database. Both keep their servers in Oregon, United States, and process the data on our behalf, not for their own purposes.
Resend, Inc., which receives your email address in order to deliver verification codes and the notices you turn on.
Apple Inc. and Google LLC, which deliver notifications to your phone (APNs and Firebase Cloud Messaging) and charge the subscription. They receive your device's notification identifier and the text of each notice; never your banking data.
Expo (650 Industries, Inc.), which routes each notice from our servers to Apple or Google. It receives the notification identifier and the text of the notice.
RevenueCat, Inc., which manages the status of your subscription under an anonymous identifier. It does not receive your banking data.
Functional Software, Inc. (Sentry), which receives a technical report when the app or the server fails, so we can fix the error. Those reports do not include your banking data.
To show merchant logos next to your transactions, our server visits each merchant's website and the addresses that website serves its icon from, and queries Wikidata and Wikimedia Commons, public services run by the Wikimedia Foundation, Inc. It only sends them the merchant's name or the website address: never your name, your email, your accounts, your amounts or anything that identifies you. Our server does this, not your phone, and the logos obtained this way are stored on our servers and reach you from there.
We do not use advertising networks or third-party tracking tools.
Authorities, when required by law.
4. How long we keep it
We keep your data while your account is active.
When you delete your account from the app (Profile → Security) the deletion is immediate: we first revoke access to your banks in Plaid and then everything of yours is deleted in cascade, accounts, transactions, plans, reminders, support messages and settings. If Plaid does not respond when we revoke access, whether you delete your account or disconnect a bank, we keep the access token for that bank encrypted for up to ninety days, only to try again; if that does not work within that time, we delete the token and only the identifier of that connection in Plaid remains. Beyond that, we do not keep any copy.
The names of the businesses your bank recognizes through Plaid in your transactions go into our shared logo catalog and stay there even if you delete your account, without recording which customer they came from. They are saved as they arrive, except for the account holder's name that some banks add with the label "INDN:", which we remove before saving them. The names you write yourself, when you rename a transaction or in your rules, and the bank's text on a transaction you mark as a subscription without renaming it can also go into the catalog; for those, the catalog records which ones are yours only so it can delete them, and they are deleted when you delete your account or when you disconnect the bank they came from and they no longer appear in any of your transactions (if something fails at that moment, they are deleted later, in the daily automatic cleanup). They stay, with nothing linking them to you, if another customer has the same name in their rules, if it matches the name of a business Plaid recognizes or if they have a logo or website. Whatever was already in the catalog before this version may stay, also with nothing linking it to you. The names you give a money transfer between people or a remittance that we recognize as such (Zelle, Venmo, PayPal, Cash App, Western Union and the other services on our list) never go into the catalog: from those transfers only the service goes in, never who the money goes to. The names you write are not sent to Wikidata, Wikimedia or merchants' websites to look up their logo.
The database is backed up automatically once a day and each backup is kept for seven days; after that it is overwritten on its own, and whatever you had deleted goes with it. Beyond that, we only keep what the law requires us to keep, and for the period it sets.
Technical error reports are kept for ninety days and then deleted on their own, even if your account is still active.
Deleting your Despega account does not delete what Plaid keeps on its own. You can see and revoke the connections you made through Plaid at https://my.plaid.com
5. Your rights
You can access your data, correct it, request a copy, disconnect any bank and delete your whole account from within the app (Profile → Security). You can also write to us to exercise any of these rights.
If you live in California, the CCPA and the CPRA also give you the right to know what personal data we hold about you and where it came from, to ask us to delete or correct it, and not to be treated differently for exercising those rights. We do not sell personal data and we do not share it for behavioural advertising, and we have not done so in the last twelve months.
If you live in Virginia, Colorado, Connecticut, Utah, Texas or another state with its own privacy law, you have equivalent rights.
To exercise them write to us at support@despegacredito.com. We will reply within forty five days at most.
6. Security
Data travels encrypted (HTTPS/TLS). The access tokens to your bank are stored encrypted with AES-256-GCM, and the whole database is encrypted at rest by the provider that hosts it. Your bank credentials never pass through our servers.
You can protect your account with a PIN or biometrics on your phone. When you sign in on a new device we ask for the code we send to your email, and you can also turn on two-step verification with Google Authenticator, which also asks for that app's code.
What we do not have yet: an external audit (SOC 2) or an independent penetration test. What we do have: Plaid reviewed our application and approved us to operate in its production environment, we scan the code with security tools on every change, and we will publish here every audit we obtain. How to report a security issue: https://despegacredito.com/security
No system is infallible; if we detect a breach that affects you, we will notify you.
7. Minors
The app is not directed at people under 18 and we do not knowingly collect data from minors.
8. Changes and contact
If we change this policy in a material way we will notify you in the app.
Questions or requests about your data: support@despegacredito.com. VMMV Partners LLC, 174 Wimbledon Lake Dr Apt 174, Plantation, FL 33324, United States.
Change history
1.0, August 27, 2026: first version.
1.1, September 11, 2026: every third party named (Apple, Google, Expo, RevenueCat and Sentry in addition to Plaid, Render, Supabase and Resend), notification and subscription data, support messages, encryption named, two-step verification, Plaid spending category, ninety-day error reports and what Plaid keeps after you delete your account.
1.2, September 12, 2026: daily backups kept seven days (it used to say up to thirty), why we ask for bank accounts and not only cards, what we do not have yet in security (audit, penetration test) and how to report an issue, and this section.
1.3, September 27, 2026: merchant websites and Wikimedia (Wikidata and Commons), where merchant logos come from, and what is sent to them; the shared logo catalog, which is not deleted when you delete your account; notice usage data: when notices are sent, seen and opened; the card image you choose for each connected account; and the IP address we keep with some security actions.
1.4, September 27, 2026: the shared logo catalog records which customer wrote each of the names customers write, only to delete them when that customer deletes their account or disconnects the bank they came from; names given to money transfers between people never go into it; and the account holder's name marked with "INDN:" is removed from the bank's text.
1.5, October 9, 2026: two-step verification with Google Authenticator and what we keep for it; and what happens to your bank access token if Plaid does not respond when we revoke it.
Política de privacidad
Versión 1.5 · Actualizado el 9 de octubre de 2026
Esta política explica qué datos recoge Despega, para qué los usa, con quién los comparte y qué derechos tienes sobre ellos.
1. Qué datos recogemos
Datos de cuenta: tu correo electrónico, nombre y contraseña (cifrada). Si activas el PIN o la biometría, se guardan solo en tu dispositivo. Si activas la verificación en dos pasos con Google Authenticator, guardamos cifrada su clave secreta, solo una huella de cada código de respaldo (no el código) y cuándo la activaste. La clave y tu correo quedan también guardados en Google Authenticator, que puede copiarlos en tu cuenta de Google si tienes activada su copia de seguridad. Mientras terminas de activarla guardamos también cifrados tus códigos de respaldo; dejan de servir a los quince minutos si no terminas, y los borramos en la siguiente limpieza automática, normalmente en menos de un día. Todo eso se borra al desactivarla o al borrar tu cuenta.
Datos bancarios, a través de Plaid: nombre de la entidad, tipo y últimos dígitos de cada cuenta, saldos, límite de crédito, fechas de pago y movimientos, incluida la categoría de gasto que Plaid asigna a cada movimiento (por ejemplo restaurantes, viajes o salud). No recibimos ni guardamos tus credenciales bancarias; las introduces directamente en Plaid.
Pedimos también tus cuentas corrientes y de ahorro, no solo las tarjetas: es lo que permite enseñarte tus saldos, tus gastos con débito y desde qué cuenta pagas. Solo leemos; nunca movemos dinero.
Datos para los avisos: si activas las notificaciones, un identificador de tu dispositivo (token de notificaciones) que sirve solo para hacerte llegar los avisos.
Datos de uso de los avisos: cuándo se envía cada aviso y a qué tipo de teléfono, cuándo lo ves en la app y cuándo lo abres. El registro de envíos, vistas y aperturas se borra a los noventa días del envío. El aviso en sí se queda hasta que borres tu cuenta, con su fecha, su tipo y si está marcado como leído: si lo borras de tu campanita se quita su texto, pero su fecha y su tipo se quedan. Además, para no repetirte un aviso, cada movimiento y cada cuenta bancaria guardan cuándo te avisamos de ellos por última vez, y tus ajustes guardan la fecha del último resumen del día.
Datos de la suscripción: si te suscribes, la tienda (Apple o Google) nos comunica a través de RevenueCat si tu suscripción está activa, en qué plan y cuándo se renueva. Nunca recibimos tu número de tarjeta ni tus datos de pago.
Mensajes de soporte: lo que escribes en el chat de soporte de la app, para poder atenderte.
Datos de uso: idioma, ajustes de la app, registros técnicos e informes de error necesarios para que funcione y para corregir fallos.
Imagen de tarjeta: qué imagen de tarjeta eliges para cada cuenta conectada, o si nos dices que no es ninguna de las que te enseñamos, y cuándo lo elegiste. Se borra al desconectar ese banco o al borrar tu cuenta.
Dirección IP: la guardamos en algunas operaciones de seguridad de tu cuenta, para protegerla y detectar accesos raros, hasta que borres tu cuenta.
2. Para qué los usamos
Para mostrarte tus cuentas, calcular tu salud crediticia, organizar tus pagos, enviarte los avisos que actives, gestionar tu suscripción y darte soporte. No vendemos tus datos ni los usamos para publicidad de terceros. Las fechas de envío, vista y apertura de los avisos las usamos para mejorar los avisos.
3. Con quién los compartimos
Plaid, Inc., que conecta con tu banco y nos entrega los datos. Su política: https://plaid.com/legal/
Render, Inc., donde se ejecuta nuestra API, y Supabase, Inc., que aloja la base de datos. Los dos tienen los servidores en Oregón, Estados Unidos, y tratan los datos por cuenta nuestra, no para fines propios.
Resend, Inc., que recibe tu dirección de correo para entregarte los códigos de verificación y los avisos que actives.
Apple Inc. y Google LLC, que entregan las notificaciones en tu teléfono (APNs y Firebase Cloud Messaging) y cobran la suscripción. Reciben el identificador de notificaciones de tu dispositivo y el texto de cada aviso; nunca tus datos bancarios.
Expo (650 Industries, Inc.), que encamina cada aviso desde nuestros servidores hasta Apple o Google. Recibe el identificador de notificaciones y el texto del aviso.
RevenueCat, Inc., que gestiona el estado de tu suscripción con un identificador anónimo. No recibe tus datos bancarios.
Functional Software, Inc. (Sentry), que recibe un informe técnico cuando la app o el servidor fallan, para poder corregir el error. Esos informes no incluyen tus datos bancarios.
Para poner el logo de los comercios en tus movimientos, nuestro servidor visita la web de cada comercio y las direcciones desde las que esa web sirve su icono, y consulta Wikidata y Wikimedia Commons, servicios públicos de la Wikimedia Foundation, Inc. Solo les envía el nombre del comercio o la dirección de su web: nunca tu nombre, tu correo, tus cuentas, tus importes ni nada que te identifique. Lo hace nuestro servidor, no tu teléfono, y los logos que se consiguen así se guardan en nuestros servidores y te llegan desde ellos.
No usamos redes publicitarias ni herramientas de seguimiento de terceros.
Autoridades, cuando la ley nos obligue.
4. Cuánto tiempo los guardamos
Guardamos tus datos mientras tengas la cuenta activa.
Cuando borras tu cuenta desde la app (Perfil → Seguridad) la eliminación es inmediata: primero revocamos en Plaid el acceso a tus bancos y después se borra en cascada todo lo tuyo, cuentas, movimientos, planes, recordatorios, mensajes de soporte y ajustes. Si Plaid no responde al revocar el acceso, al borrar la cuenta o al desconectar un banco, guardamos cifrado el token de acceso a ese banco hasta noventa días, solo para volver a intentarlo; si en ese plazo no se logra, borramos el token y queda solo el identificador de esa conexión en Plaid. Aparte de eso, no guardamos ninguna copia.
Los nombres de los negocios que reconoce tu banco a través de Plaid en tus movimientos pasan a nuestro catálogo común de logos y se quedan ahí aunque borres tu cuenta, sin guardar de qué cliente vinieron. Se guardan tal como llegan, salvo el nombre del titular que algunos bancos añaden con la marca «INDN:», que quitamos antes de guardarlos. Los nombres que tú escribes, al renombrar un movimiento o en tus reglas, y el texto del banco de un movimiento que marcas como suscripción sin cambiarle el nombre también pueden pasar al catálogo; de esos, el catálogo apunta cuáles son tuyos solo para poder borrarlos, y se borran cuando borras tu cuenta o cuando desconectas el banco del que venían y ya no aparecen en ninguno de tus movimientos (si algo falla en ese momento, se borran después, en la limpieza automática diaria). Se quedan, sin nada que los relacione contigo, si otro cliente tiene el mismo nombre en sus reglas, si coincide con el de un negocio que reconoce Plaid o si tienen logo o web. Lo que ya estaba en el catálogo antes de esta versión puede quedarse, también sin nada que lo relacione contigo. Los nombres que pones a un envío de dinero entre personas o a una remesa que reconocemos como tal (Zelle, Venmo, PayPal, Cash App, Western Union y los demás servicios de nuestra lista) nunca entran en el catálogo: de esos envíos solo entra el servicio, nunca a quién va el dinero. Los nombres que escribes no se mandan a Wikidata, a Wikimedia ni a las webs de los comercios para buscar su logo.
La base de datos se copia automáticamente una vez al día y cada copia se conserva siete días; pasado ese plazo se sobrescribe sola, y con ella desaparece lo que hubieras borrado. Aparte de eso, solo conservamos lo que la ley nos obligue a conservar y durante el plazo que marque.
Los informes técnicos de error se conservan noventa días y se borran solos, aunque tu cuenta siga activa.
Borrar tu cuenta en Despega no borra lo que Plaid conserva por su cuenta. Puedes ver y revocar las conexiones que hiciste a través de Plaid en https://my.plaid.com
5. Tus derechos
Puedes acceder a tus datos, corregirlos, pedir una copia, desconectar cualquier banco y borrar tu cuenta entera desde la propia app (Perfil → Seguridad). También puedes escribirnos para ejercer cualquiera de estos derechos.
Si resides en California, la CCPA y la CPRA te reconocen además el derecho a saber qué datos personales tenemos sobre ti y de dónde proceden, a pedir que los borremos o los corrijamos, y a no recibir un trato distinto por ejercer esos derechos. No vendemos datos personales ni los compartimos para publicidad basada en tu comportamiento, y no lo hemos hecho en los últimos doce meses.
Si resides en Virginia, Colorado, Connecticut, Utah, Texas u otro estado con ley de privacidad propia, tienes derechos equivalentes.
Para ejercerlos escríbenos a support@despegacredito.com. Responderemos en un plazo máximo de cuarenta y cinco días.
6. Seguridad
Los datos viajan cifrados (HTTPS/TLS). Los tokens de acceso a tu banco se guardan cifrados con AES-256-GCM, y la base de datos entera está cifrada en reposo por el proveedor que la aloja. Tus credenciales bancarias nunca pasan por nuestros servidores.
Puedes proteger tu cuenta con PIN o biometría en el teléfono. Al iniciar sesión desde un dispositivo nuevo te pedimos el código que enviamos a tu correo, y puedes activar además la verificación en dos pasos con Google Authenticator, que pide también el código de esa aplicación.
Lo que aún no tenemos: una auditoría externa (SOC 2) ni una prueba de intrusión independiente. Lo que sí: Plaid revisó nuestra aplicación y nos aprobó para operar en su entorno de producción, analizamos el código con herramientas de seguridad en cada cambio, y publicaremos aquí cada auditoría que consigamos. Cómo avisarnos de un fallo de seguridad: https://despegacredito.com/security
Ningún sistema es infalible; si detectamos una brecha que te afecte, te avisaremos.
7. Menores
La app no está dirigida a menores de 18 años y no recogemos a sabiendas datos de menores.
8. Cambios y contacto
Si cambiamos esta política de forma relevante te lo avisaremos en la app.
Dudas o solicitudes sobre tus datos: support@despegacredito.com. VMMV Partners LLC, 174 Wimbledon Lake Dr Apt 174, Plantation, FL 33324, Estados Unidos.
Historial de cambios
1.0, 27 de agosto de 2026: primera versión.
1.1, 11 de septiembre de 2026: todos los terceros con nombre (Apple, Google, Expo, RevenueCat y Sentry además de Plaid, Render, Supabase y Resend), datos de avisos y de suscripción, mensajes de soporte, cifrado con nombre, verificación en dos pasos, categoría de gasto de Plaid, informes de error de noventa días y lo que Plaid conserva tras borrar la cuenta.
1.2, 12 de septiembre de 2026: copias de seguridad diarias de siete días (antes decía hasta treinta), por qué pedimos cuentas de banco y no solo tarjetas, lo que aún no tenemos en seguridad (auditoría, prueba de intrusión) y cómo avisarnos de un fallo, y esta sección.
1.3, 27 de septiembre de 2026: las webs de los comercios y Wikimedia (Wikidata y Commons), de donde salen los logos de los comercios, y qué se les envía; el catálogo común de logos, que no se borra al borrar la cuenta; los datos de uso de los avisos: cuándo se envían, cuándo los ves y cuándo los abres; la imagen de tarjeta que eliges para cada cuenta conectada; y la dirección IP que guardamos en algunas operaciones de seguridad.
1.4, 27 de septiembre de 2026: el catálogo común de logos apunta qué cliente escribió cada uno de los nombres que escriben los clientes, solo para borrarlos al borrar su cuenta o al desconectar el banco del que venían; los nombres que se ponen a los envíos de dinero entre personas nunca entran en él; y del texto del banco se quita el nombre del titular marcado con «INDN:».
1.5, 9 de octubre de 2026: la verificación en dos pasos con Google Authenticator y qué guardamos de ella; y qué pasa con el token de acceso a tu banco si Plaid no responde al revocarlo.