Política de privacidad

Última actualización: 5 de octubre de 2026

MonedAPI es un servicio gratuito de cotizaciones. Para ver el sitio o consultar las cotizaciones no tenés que registrarte ni darnos ningún dato. La cuenta es opcional.

Qué datos se procesan

El sitio y la API corren en Cloudflare. Para servir cada pedido y protegerlo de abusos, Cloudflare procesa datos técnicos como la dirección IP, el navegador y la hora. La API usa la IP para aplicar el límite de pedidos del histórico; no la guardamos.

Tu cuenta

Si creás una cuenta, guardamos:

• tu email, para mandarte el código de ingreso;
• el nombre, si lo cargás;
• la fecha de alta;
• si entraste con Google, el identificador que Google le da a tu cuenta, para reconocerte la próxima vez. No guardamos tu contraseña de Google ni accedemos a nada más de tu cuenta de Google.

No usamos contraseñas. El código que te mandamos vence a los 10 minutos y no lo guardamos tal cual.

Podés borrar tu cuenta cuando quieras desde la página de tu cuenta: se borra en el momento, junto con tus sesiones, el vínculo con Google, tus API keys y sus marcas de importación, y no se puede deshacer.

Si tenías cuenta en la versión anterior de MonedAPI, la trajimos con tu email, tu nombre y tu fecha de alta, sin tu contraseña.

API keys

Si creás una API key, guardamos su hash SHA-256, un prefijo parcial para reconocerla, el nombre que le das, la cuenta a la que pertenece, sus fechas, versión y origen. No guardamos el secreto completo: lo mostramos una sola vez al crearla o rotarla.

También guardamos el minuto y la cantidad actual de pedidos privados en la misma clave para aplicar el límite de 30 por minuto. No guardamos un historial de usos por clave.

Para las claves importadas de la versión anterior conservamos una marca con el hash original y su dueño, incluso si la rotás o revocás. Esto evita que una reimportación reactive una clave retirada. Al borrar tu cuenta también se borran estas marcas. Revocar una clave la retira de inmediato para nuevos pedidos; rotarla reemplaza su secreto.

También contamos el total de pedidos privados aceptados del día para limitar el uso del servicio. Ese contador compartido no identifica cuentas y se reemplaza al comenzar otro día.

Ingreso

• Código por correo: te lo mandamos con Resend, que recibe tu email y el contenido del correo para entregarlo.
• Google: si elegís entrar con Google, Google te pide permiso para compartir con nosotros tu email, tu nombre y si el email está verificado.
• Verificación anti-bots: antes de mandar un código, la página de ingreso usa Cloudflare Turnstile para comprobar que el pedido lo hace una persona. Turnstile se carga solo en esa página.

Medición de visitas

Contamos las visitas con Cloudflare Web Analytics, que no usa cookies ni recolecta datos personales. Vemos cuántas personas entran a cada página, no quiénes son.

Cookies

El sitio no usa cookies de seguimiento ni de publicidad. Si ingresás a tu cuenta, usamos dos cookies propias, necesarias para el ingreso, y por eso no te pedimos consentimiento:

• la de tu sesión, que dura 30 días desde la última vez que la usás y se borra al cerrar la sesión;
• una que dura 10 minutos mientras entrás con Google, para comprobar que la vuelta de Google es la que empezaste vos.

Turnstile puede usar sus propias cookies técnicas en la página de ingreso.

Proveedores

• Cloudflare: alojamiento del sitio, de la API y de las cuentas, red de distribución, verificación anti-bots (Turnstile) y medición de visitas.
• Resend: envío del correo con el código de ingreso.
• Google: ingreso con tu cuenta de Google, solo si lo elegís.

Cambios

Si el servicio suma funciones que necesiten otros datos personales, como alertas, esta política se actualiza antes de que estén disponibles.

Contacto

Para consultas sobre esta política o sobre tus datos: contacto@monedapi.ar.

Webhooks

Al habilitarse el módulo, cada suscripción registra el par elegido, destino, estado y entregas. La URL completa (que puede contener tokens), Authorization opcional y secreto de firma se guardan cifrados en Cloudflare D1. El Worker descifra solo para la configuración propia y el intento autorizado; la RPi o un runner temporal de GitHub Actions recibe en memoria el material del envío. La clave maestra queda en el Worker. El receptor recibe el cuerpo y la credencial que configuraste.

Los listados enmascaran path/query del destino. El historial de entregas dura hasta siete días desde la creación y no guarda cuerpos arbitrarios del receptor ni sus credenciales. Borrar un webhook o la cuenta retira configuración, secretos y entregas; no puede retirar un POST ya emitido. Resend envía avisos de pausa y, con autorización operativa, recuperación agrupada de v1. El correo heredado incluye secretos nuevos de firma por decisión de migración; nunca incluye Authorization ni tokens de URL y no activa las suscripciones.