Quiénes somos
apumail se opera desde Chile y puedes contactarnos en support@apumail.com. En adelante, "nosotros" significa el servicio apumail; "tú" significa el titular de la cuenta y, por extensión, los agentes que actúan con tus credenciales.
Qué almacenamos
Mensajes
Es la razón de ser del servicio. Por cada mensaje entregado a una bandeja que controlas guardamos el remitente, el destinatario, el asunto, el cuerpo (texto y HTML sanitizado), los adjuntos y la marca de tiempo. También registramos la dirección IP y el nombre HELO del servidor remitente, porque sin esa procedencia no podemos distinguir una denuncia de abuso legítima de una falsa. El correo que envías a través de apumail se replica de la misma forma, junto con el resultado de su entrega (entregado, rebotado o denunciado como spam) para que puedas ver qué pasó con él.
Los SMS funcionan de forma idéntica para los números que arriendas: remitente, destinatario, cuerpo y marca de tiempo.
Cuenta y credenciales
Si inicias sesión, almacenamos el identificador y la dirección de correo verificada que nos entrega notlogin, además de las bandejas, dominios, carpetas y números de teléfono que te pertenecen. Cada token que emitimos —tokens de bandeja, tokens de API de la cuenta, cookies de sesión— se almacena como un hash SHA-256, nunca en texto plano. No podemos recuperar un token perdido; tú lo rotas.
Registros operativos
Cada llamada autenticada a la API registra la dirección IP, el user-agent y la etiqueta de agente opcional que la originó, agrupados por bandeja. Esto es lo que alimenta la vista de "agentes", y es la forma de averiguar cuál de tus agentes hizo algo. Los contadores de límite de tasa se mantienen en memoria y no se persisten.
Pagos
Los handles de pago, las bandejas de dominio y los números de teléfono se pagan en Solana con USDC o $PROWL. Almacenamos la firma de la transacción para que el mismo pago no pueda reclamarse dos veces. Nunca vemos ni guardamos una clave privada, y la transacción en sí es pública en la blockchain de Solana: eso es una propiedad de la cadena, no algo que hayamos elegido.
También puedes pagar con tarjeta a través de Stripe Checkout. Los datos de la tarjeta se ingresan en la página de Stripe y nunca llegan a nosotros; guardamos los identificadores de la sesión y del pago de Stripe, el monto y lo que se pagó.
Analítica del sitio web
El sitio web público (la página de inicio, el blog y las páginas legales) usa
Google Analytics 4 para contar visitas, solo después de
que lo aceptas en el banner de cookies (Google Consent Mode v2; el
almacenamiento de analítica está denegado hasta que digas que sí, y el
almacenamiento publicitario está siempre denegado). Tu elección se guarda en una
cookie apumail_consent y puedes cambiarla en cualquier momento desde
"Configuración de cookies" en el pie de página. Tu elección de idioma se guarda en
una cookie apumail_lang. El panel y la API no cargan ningún script de
analítica; las solicitudes de texto plano a la página de inicio desde clientes que
no son navegadores (curl, agentes) se cuentan en el servidor solo por user-agent,
sin cookie.
App móvil
La app apu almacena además un token de notificaciones push por bandeja para poder avisar al dispositivo cuando llega correo. Una notificación push contiene solo el remitente y la línea de asunto, nunca el cuerpo del mensaje: se muestra en la pantalla bloqueada y pasa por los servidores de Expo, por lo que el cuerpo se deja fuera deliberadamente. Si eliminas la app, o quitas la bandeja de ella, el token se descarta. Tus tokens se guardan en el almacén seguro de claves del dispositivo (Keychain / Keystore), no en el almacenamiento común de la app.
La app no tiene SDK de analítica, ni identificador publicitario, ni rastreadores de terceros. Se comunica con apumail y con apuchat, y con nada más.
Quién más lo ve
Usamos un número reducido de encargados de tratamiento, cada uno para una sola tarea:
- Resend (y Brevo para el correo enviado desde un dominio propio que hayas verificado): entregan el correo que envías. Necesariamente ven los mensajes que envías, no los que recibes.
- Stripe: procesa los pagos con tarjeta, si pagas con tarjeta.
- Google Analytics: estadísticas de visitas al sitio web, solo con tu consentimiento (ver arriba).
- DeepSeek: impulsa la función opcional AI View. Solo si la activas, y solo para las bandejas que selecciones explícitamente, el contenido de ese correo se envía a DeepSeek para generar el informe o responder una pregunta del chat. Si dejas AI View desactivado, ningún mensaje sale nunca de nuestra infraestructura para ello.
- Telnyx y SMSGlobal: transportan los SMS. Un operador móvil necesariamente ve el contenido del mensaje; así funcionan los SMS.
- Google Cloud: aloja los servidores, la base de datos y el almacenamiento de adjuntos.
- Expo: retransmite las notificaciones push a la app (solo remitente y asunto, como se indicó arriba).
- notlogin: el proveedor de identidad, si inicias sesión.
No vendemos tus datos, no los compartimos con fines publicitarios y no usamos el contenido de tus mensajes para entrenar ningún modelo. Fuera de eso, solo divulgamos datos cuando una exigencia legal válida nos obliga a hacerlo.
Cuánto tiempo los conservamos
- Las bandejas gratuitas expiran 24 horas después de su última actividad, y su correo y sus adjuntos se eliminan con ellas. Leer una bandeja reinicia el reloj. Esto es automático y no se puede recuperar.
- Los handles de pago, las bandejas de dominio y los números de teléfono duran mientras estén pagados. Cuando termina el año pagado, la bandeja se suspende (deja de aceptar y de servir correo); si sigue impaga después del período de gracia, se libera y su correo se elimina.
- Eliminar una bandeja elimina su correo, adjuntos, webhooks, reglas y tokens push de inmediato.
- Respaldos: los volcados cifrados de la base de datos y las instantáneas de disco se conservan durante 30 días, por lo que los datos eliminados pueden persistir ese tiempo en los respaldos antes de caducar.
Tus opciones
Puedes leer, exportar y eliminar todo a través de la misma API que usan los
agentes: no hay ningún dato que guardemos que la API no te muestre. En concreto:
GET /api/v1/account lista lo que te pertenece,
GET /api/v1/inbox/:address devuelve el correo,
DELETE /api/v1/inbox/:address destruye una bandeja y todo lo
asociado a ella, y la pantalla de Configuración hace lo mismo desde la app o el
panel. Para cerrar una cuenta por completo, o para preguntar qué datos tenemos,
escribe a
support@apumail.com y lo atenderemos
dentro de 30 días.
Según dónde vivas, puedes tener derechos legales de acceso, rectificación, supresión, portabilidad y oposición (GDPR/RGPD, CCPA, Ley 19.628 de Chile). La misma dirección atiende esas solicitudes.
Seguridad
Todo el tráfico va por TLS. Los tokens se almacenan con hash. El correo entrante se verifica en cuanto a alineación SPF, DKIM y DMARC y contra listas de bloqueo públicas. El envío saliente tiene límite de tasa por bandeja y por IP, y se desactiva automáticamente para una bandeja que empieza a rebotar o a recibir denuncias de spam. Ningún sistema es perfecto; si encuentras una vulnerabilidad, escribe a support@apumail.com antes de divulgarla.
Menores
apumail es una herramienta para desarrolladores y no está dirigida a menores. No recopilamos a sabiendas datos de menores de 13 años.
No pongas secretos en una bandeja temporal
Una bandeja gratuita se crea sin registro y está pensada para códigos de verificación y correos de registro. No es un buzón para nada cuya pérdida te perjudique —se elimina sola— ni para nada que consideres datos personales sensibles. Usa un handle de pago o tu propio dominio delegado para todo lo que importe.
Cambios
Si cambiamos la forma en que se tratan los datos, esta página cambia con ello y la fecha de arriba se actualiza. Los cambios importantes también se anunciarán en el panel.