¿Son seguras las apps de escaneo de recibos?

Lo que un recibo realmente revela

Es fácil pensar que un recibo es algo trivial. Uno solo, casi siempre lo es. Un año entero de ellos, no.

Juntos muestran dónde estás y cuándo, con un patrón semanal que se repite. Qué comes y bebes, lo que dice algo sobre tu salud. Qué medicamentos compras. A qué bares vas y con qué frecuencia. Adónde viajas. Qué compras para tus hijos. Si tu gasto cambió de repente — la señal que suele preceder a una pérdida de empleo, una separación o un diagnóstico.

Las líneas de detalle van más allá de los totales. Un ticket de supermercado leído a nivel de artículo es un inventario detallado de un hogar.

Por eso decir «solo son recibos» se queda corto. Los datos de recibos son datos de comportamiento con marca de tiempo y ubicación, y tienen valor comercial — algunas apps de esta categoría están construidas precisamente para monetizar eso, de forma bastante abierta, pagándote por tus recibos y vendiendo el agregado a estudios de mercado. Es un negocio legítimo y un intercambio justo si sabes que lo estás haciendo. El problema es cuando no queda claro qué tipo de app has instalado.

La pregunta que lo determina todo: ¿dónde ocurre la lectura?

Lectura en el dispositivo

La fotografía nunca sale de tu teléfono. La extracción de texto se ejecuta localmente — en iOS, normalmente a través del Vision framework de Apple, que realiza el reconocimiento en el propio dispositivo. Los servidores del desarrollador nunca ven la imagen ni el texto.

La exposición se limita a tu propio dispositivo y a la copia de seguridad o sincronización que hayas activado.

Lectura en la nube

La imagen, o el texto extraído de ella, se envía a un servidor. Ese servidor puede ser del propio desarrollador de la app, o de un proveedor externo de OCR o IA detrás de él.

Esto no es automáticamente malo — los modelos en la nube leen mejor los recibos difíciles que los que funcionan en el dispositivo, y existen implementaciones honestas. Pero cambia las preguntas que necesitas que te respondan:

• ¿Se envía la foto, o solo el texto extraído? Hay una gran diferencia. Una foto puede contener los últimos cuatro dígitos de tu tarjeta, un número de fidelización, a veces un nombre.
• ¿Se almacena, o se procesa y se descarta?
• ¿Quién es el tercero, y cuáles son sus condiciones de conservación?
• ¿Está activado por defecto, o requiere tu consentimiento explícito?
• ¿Puedes desactivarlo y volver a la lectura local?

Una app que responde claramente a las seis preguntas está siendo honesta contigo. Una app cuya política de privacidad solo dice «usamos seguridad estándar del sector» no ha respondido a ninguna.

Preguntas que merece la pena hacer antes de instalar

¿Hay una cuenta? Una app con una base de datos de usuarios puede filtrar una base de datos de usuarios. Una app cuya única identidad es tu cuenta de Apple o Google existente tiene mucho menos que perder.

¿Dónde se sincroniza el registro? «Se sincroniza entre tus dispositivos» puede significar tu propia cuenta de iCloud o Google, o puede significar los servidores del proveedor. Solo la primera opción mantiene al proveedor fuera.

¿Qué dice la etiqueta de privacidad de la App Store? En iOS, revisa «Datos usados para rastrearte» y «Datos vinculados a ti». Una app de presupuesto que te rastrea a través de apps de otras empresas te está diciendo cuál es su modelo de negocio.

¿Hay SDK de analítica o publicidad de terceros? Son los silenciosos. Una app puede ser honesta sobre sus propios servidores y aun así incluir un SDK de analítica que envía eventos de comportamiento a otro lugar.

¿Puedes exportar y borrar? Ambas cosas deberían ser gratuitas y completas. Que la exportación esté detrás de un muro de pago significa que tus propios datos se están usando como palanca.

¿Es legible el modelo de negocio? Si una app es gratis, no tiene compra, no muestra anuncios y ejecuta IA en la nube en cada recibo, alguien está pagando por eso. No es necesariamente algo siniestro, pero deberías poder averiguar qué es.

Hábitos prácticos

Con independencia de la app que elijas:

• Activa un código de acceso y un bloqueo biométrico en el dispositivo, y usa un bloqueo dentro de la app si lo ofrece. La exposición más realista suele ser que alguien coja un teléfono desbloqueado, no una brecha de servidor.
• Escanea y descarta. Una vez que el recibo está en el registro, rara vez necesitas la foto. Menos imágenes guardadas es menos que perder.
• Revisa qué hay en tu biblioteca de fotos. Algunas apps guardan cada recibo en Fotos, que luego se sincroniza con lo que sea que tengas configurado como copia de seguridad de Fotos.
• Exporta una copia de seguridad periódicamente, para que dejar una app nunca te salga caro.
• Vuelve a leer la política de privacidad tras una actualización importante o una adquisición. Es entonces cuando cambian las condiciones.

Cómo lo gestiona Pennywick

Dicho con precisión, porque la precisión es el propósito de esta página.

Por defecto, los recibos se leen en tu dispositivo. Apple Vision extrae el texto localmente. La fotografía no sale de tu iPhone.

Tu registro vive en tu dispositivo y en tu propio iCloud. Los movimientos, presupuestos y recibos se sincronizan a través de la base de datos privada de CloudKit de Apple — cifrados de extremo a extremo bajo las condiciones que Apple describe en su resumen de seguridad de datos de iCloud, en tu cuenta, donde el desarrollador no puede leerlos.

No existe una cuenta de Pennywick. La única identidad es tu Apple ID. No hay base de datos de usuarios, ninguna contraseña que vulnerar y ningún inicio de sesión.

Sin anuncios, sin rastreo publicitario, sin SDK de analítica de terceros.

Existe una lectura en la nube opcional, y esto es exactamente lo que hace. Dos modos, ambos desactivados hasta que los actives:

1. Tu propia clave API. Aportas una clave de OpenAI o Google Gemini; la lectura se factura a tu cuenta y va directamente de tu dispositivo a ese proveedor.
2. Lectura alojada, incluida con Pro. Pennywick ejecuta un servidor que verifica tu compra firmada por Apple, cuenta tu cuota mensual y reenvía la petición a un proveedor de modelos.

En ambos casos solo se envía el texto extraído del recibo — nunca la fotografía. El texto no se almacena ni se registra. El servidor alojado solo guarda un recuento de cuántos recibos has leído este mes, indexado por un hash irreversible de un identificador de suscripción de Apple. Sigue sin haber cuenta ni inicio de sesión: la transacción firmada de la App Store es la credencial.

Merece la pena decirlo con claridad porque el propio marketing de Pennywick solía decir «sin servidor», y eso dejó de ser cierto cuando se lanzó la lectura alojada. La afirmación exacta es: sin cuenta, sin acceso bancario, sin copia de tus datos financieros legible por el desarrollador, y nada sale de tu dispositivo a menos que tú lo actives.

La exportación nunca está restringida. CSV y copia de seguridad completa, exportar y restaurar, sin importar lo que hayas comprado. Retener los propios registros financieros de alguien como rehén contradiría toda la premisa.

El detalle completo está en la política de privacidad, que nombra a cada destinatario.

La versión corta

El escaneo de recibos es tan seguro como la arquitectura de la app, y la arquitectura se puede conocer si haces las preguntas correctas. Averigua dónde ocurre la lectura, si se envían fotos o solo texto, si hay una cuenta y dónde se sincroniza tu registro. Una app que no puede responder a eso en un lenguaje sencillo ya te ha dicho algo.

Relacionado: apps de presupuesto que no necesitan acceso bancario y cómo escanear recibos en iPhone.