Lo más íntimo que se puede anotar merece una respuesta honesta y no una promesa bonita. Esto es lo que pasa de verdad con vuestros registros.
Un registro se guarda en el teléfono y viaja al servidor: de otro modo no sobreviviría a la pérdida del teléfono ni aparecería en un segundo dispositivo. En el servidor está despersonalizado: sin nombre, sin correo, sin número a su lado.
La comunicación entre parejas va cifrada: nuestro relé solo ayuda a los dos dispositivos a encontrarse, y lo que pasa por él no podemos leerlo. Los registros en sí llegan al servidor despersonalizados.
Ni correo, ni número, ni contraseña: la cuenta la crea el dispositivo al arrancar por primera vez y solo guarda una marca técnica. No existe una base de usuarios en la que se os pueda encontrar, ni contraseña que nadie pueda restablecer.
El código que abre la app y el secreto TOTP que hay detrás se generan en el dispositivo y se guardan en su almacén seguro. No se transmiten a ningún sitio.
Los registros en sí: fecha, duración, etiquetas y la nota si la escribisteis. Nada a su lado: ni nombre, ni correo, ni número, ni fecha de nacimiento, solo una marca técnica del dispositivo. Además, informes anónimos de fallo: modelo del dispositivo, versión del sistema y de la app, y la traza técnica del error.
Desinstalar la app borra los registros del teléfono. La copia despersonalizada del servidor permanece: no está ligada a ninguna persona, así que no hay nada a lo que podamos asociar una solicitud de borrado. En la app no existe una acción aparte de «borrar todo del servidor».
Quien lo encuentre se topa con el código de entrada, no con vuestro historial. En un dispositivo nuevo los registros vuelven desde la copia despersonalizada, mediante el código de vinculación y no mediante un correo o un número: no los tenemos.
La política de privacidad dice lo mismo en lenguaje jurídico.
Leer la política