Sí, es seguro conectar tu cuenta bancaria a una app si la conexión va por open banking (PSD2) y quien lee tus cuentas, la propia app o la empresa con la que conecta, está registrado como proveedor de servicios de información sobre cuentas: tu banco te identifica con su propia doble confirmación, el permiso es de solo lectura (no puede pagar, transferir ni enviar un Bizum), caduca solo y puedes retirarlo tú. Lo que la ley no decide por ti es de quién te fías: comprueba su registro, lee su política de privacidad y pasa el Test de los Tres Síes.
«¿Darle acceso a mi banco a una app? Ni de broma.» Es una reacción sensata, pero sincronizar tu cuenta bancaria por open banking no es entregar la llave de la caja fuerte: la app no puede mover dinero y puedes cortar el acceso cuando quieras.
Sincronizar una cuenta bancaria con una app es un proceso regulado por la Unión Europea en el que tu banco comparte tus movimientos y saldos con un proveedor registrado, solo con tu consentimiento expreso y solo en modo lectura. Normativa y registros, comprobados el 15 de octubre de 2026.
Lo esencial
- Sí, si conecta por PSD2 con un proveedor registrado (open banking).
- Te identifica tu banco, con su doble confirmación.
- Solo lectura: la app ve movimientos y saldos, no puede transferir ni cambiar nada.
- Caduca solo: como máximo a los 180 días en la práctica (en algunos bancos, menos), y puedes retirarlo cuando quieras desde la app.
- Puedes comprobarla tú en el registro del Banco de España o en el de la EBA.
- Martia lee tus cuentas a través de Enable Banking, registrado y supervisado por la autoridad financiera finlandesa (FIN-FSA).
¿Es seguro conectar tu cuenta bancaria a una app? Las tres capas de protección
Es seguro porque la protección no depende de la buena fe de la app, sino de tres capas que marca la ley. Tener reparo es sano: tienes dinero en esa cuenta y no quieres que nadie más lo toque. El open banking se diseñó para que ese miedo no tenga dónde agarrarse.
1. Registro y supervisión
Quien lee tu cuenta tiene que estar registrado como proveedor de servicios de información sobre cuentas, con un supervisor detrás. Justo debajo tienes cómo comprobarlo tú mismo.
2. Autenticación reforzada (SCA) en tu banco
La PSD2 exige que tu banco te identifique con dos elementos de categorías distintas: algo que sabes (la clave), algo que tienes (el móvil) o algo que eres (la huella), también cuando es una app quien pide la información (Real Decreto-ley 19/2018, art. 68). Cada banco muestra su propio paso: en CaixaBank, la «confirmación reforzada» pide tu contraseña personal más la confirmación desde tu dispositivo de firma o un código por SMS; N26 te lleva a su página de inicio de sesión y te pide el consentimiento en su aplicación.
3. Solo lectura
El permiso es de consulta: movimientos y saldos. La app no puede hacer una transferencia, enviar un Bizum ni cambiar un ajuste de tu cuenta, y la ley le obliga a acceder solo a las cuentas que tú designas y le prohíbe pedirte datos de pago sensibles (art. 39 del Real Decreto-ley 19/2018).
El Test de los Tres Síes de Martia
Antes de autorizar cualquier app, hazte tres preguntas. Si las tres respuestas son sí, estás ante una sincronización regulada:
- ¿La app, o el proveedor a través del que lee tus cuentas, aparece en el registro del Banco de España o en el de la EBA?
- ¿Mi banco me pide confirmar, con su doble factor, una consulta de movimientos y saldos, y no un pago?
- ¿Puedo retirar el permiso yo mismo, y caduca solo?
Basta un solo no para cerrar la pestaña.
Mito y realidad
Mito: «Si conecto el banco a una app, la app puede vaciarme la cuenta.»
Realidad: el permiso de un proveedor de información sobre cuentas es de lectura. Iniciar un pago es otro servicio, con otra autorización, y cada pago exige tu confirmación reforzada en el banco. Lo que sí conviene mirar es qué hace la app con tus datos: la ley también la limita (art. 39 del Real Decreto-ley 19/2018) y su política de privacidad te cuenta el resto.
El marco legal completo está en qué es el open banking y la PSD2. Y si sigues sin querer dar acceso, así funciona una app de presupuesto sin conectar el banco.
Cómo comprobar que una app está autorizada (y quién la vigila)
Quien lee tus cuentas por open banking, la propia app o el proveedor que usa, tiene que figurar en un registro público: el del Banco de España si es una entidad española y el de la EBA, la Autoridad Bancaria Europea, si viene de otro país de la UE. Si la app lee tus cuentas a través de otro proveedor, como Martia con Enable Banking, busca a ese proveedor. Un detalle que te ayuda a buscar: los proveedores que solo leen cuentas se registran, no se autorizan (Real Decreto-ley 19/2018, arts. 3 y 15).
Si la empresa es española: el Registro de Entidades
- Entra en Registros de Entidades del Banco de España y pulsa «Consulta online de registros de entidades».
- En «Buscador de entidades» escribe el nombre, el código de registro o el NIF y pulsa «Buscar».
- En los resultados mira el «Código BE» y los roles: el que buscas es «Entidad prestadora del servicio de información sobre cuentas» (un rol terminado lleva «Dado de baja»).
Un ejemplo español: Fintonic indica en su web el nº 6935 del Banco de España, y en el Registro ese código aparece como entidad prestadora del servicio de información sobre cuentas. Más en ¿es seguro Fintonic?.
Si viene de otro país de la UE: el registro de la EBA
El Registro del Banco de España no lista a los proveedores de otros países de la UE que operan aquí sin sucursal, y su buscador te manda al registro de la EBA. Los pasos, en inglés:
- Abre el registro de la EBA, elige «Payments Institutions Register» y pulsa «Continue».
- En «Institution Search» escribe el nombre en «Institution Name» y pulsa «Search».
- Comprueba que figure como «Account Information Service Provider» y que España aparezca con «8. Account information services».
La EBA avisa de que su registro no tiene valor legal: el que cuenta es el de la autoridad del país del proveedor. Un ejemplo es Enable Banking Oy, el proveedor a través del que Martia lee tus cuentas (Finlandia, identificador empresarial 2988499-7): su ficha lo muestra como proveedor de información sobre cuentas, registrado el 12 de junio de 2020 con la FIN-FSA como autoridad competente y con España entre los países donde puede prestar el servicio.
Quién lo vigila y qué respalda al proveedor
Vigila la autoridad del país que concedió el registro: el Banco de España para las entidades españolas y la FIN-FSA, la autoridad financiera de Finlandia, para Enable Banking. La ley añade una garantía: para registrarse, un proveedor de lectura debe tener un seguro de responsabilidad civil profesional (o una garantía equivalente) que cubra el acceso no autorizado o fraudulento a la información de tu cuenta (art. 16.2 del Real Decreto-ley 19/2018, que traspone el art. 5.3 de la PSD2). Con una empresa no registrada, el Banco de España avisa de que no podrás reclamar ante su Servicio de Reclamaciones.
Conecta tu banco y pregunta lo que quieras
Martia lee tus cuentas a través de Enable Banking, con acceso de solo lectura, y puedes desconectar un banco cuando quieras desde Ajustes. Después hablas con ella en español: «¿cuánto pagué de recibos en marzo?», y la respuesta sale de tus movimientos reales.
¿Quién ve tu clave? Redirección, app del banco o formulario de la app
Depende de cómo conecte la app. Antes de la PSD2, agregar cuentas solía significar escribir las claves de la banca online en la app, que entraba en tu banco haciéndose pasar por ti: el screen scraping. La PSD2 lo sustituye por un acceso regulado. Con la redirección te identificas en la web o la app de tu banco; con el método desacoplado, confirmas aparte, por ejemplo en la app de tu banco. En el método embebido, una app registrada recoge tus credenciales y las transmite a tu banco por un canal seguro (Real Decreto-ley 19/2018, art. 39). La EBA reconoce las tres formas y aclara que los bancos no están obligados a ofrecer la embebida (Opinión de la EBA, 4 de junio de 2020).
Tres formas de dar acceso a una app: qué pasa con tu clave en cada una.
| Aspecto | Screen scraping (método antiguo) | PSD2 embebido | PSD2 redirección o confirmación en la app del banco |
|---|---|---|---|
| Quién ve tu clave | La app la guarda y entra en tu banco como si fuera tú | La escribes en la app, que la transmite a tu banco | Solo la escribes en tu banco o confirmas en su app |
| Qué puede hacer la app | Todo lo que puedes hacer tú | Consultar las cuentas que designas | Consultar las cuentas que designas |
| Identificación | La clave, sin más | Tu banco sigue aplicando su autenticación reforzada | La autenticación reforzada de tu banco |
| Quién lo vigila | No es el acceso regulado de la PSD2 | La autoridad que registró al proveedor: el Banco de España o la de su país | La autoridad que registró al proveedor: el Banco de España o la de su país |
| Cómo cortas el acceso | Cambias la clave y confías | Retiras el permiso en la app o, si tu banco lo ofrece, en su banca online | Retiras el permiso en la app o, si tu banco lo ofrece, en su banca online |
La redirección o la confirmación en la app de tu banco es el método en el que tu clave no pasa por nadie más, y el que conviene preferir. El embebido es legal si la app está registrada: comprueba el registro. Y párate si un formulario te pide la clave y no acaba en la confirmación con el segundo factor de tu banco.
En Martia te identificas en tu banco (su web o su app) o, en algunos bancos, en la página de Enable Banking, el proveedor registrado, y confirmas con el doble factor de tu banco. Luego vuelves a Martia, que no ve ni guarda tu clave: sus formularios nunca te la piden.
¿Qué datos ve la app al sincronizar tu cuenta, y cuáles no?
Una app que sincroniza tu cuenta por open banking ve lo mismo que verías tú en el histórico de movimientos, sin datos de pago sensibles (Reglamento Delegado (UE) 2018/389, art. 36).
Qué comparte tu banco con una app de presupuesto al sincronizar la cuenta por open banking.
| Lo que la app ve | Lo que la app no ve ni puede hacer |
|---|---|
| Movimientos: fecha, importe y concepto | Datos de pago sensibles, por ejemplo el PIN o el CVV de tu tarjeta |
| Saldo de cada cuenta que autorizas | Las cuentas que no has incluido en el permiso |
| Datos de la cuenta: IBAN, titular y moneda | Hacer transferencias, Bizum o pagos, ni cambiar los ajustes de la cuenta |
Cómo llega tu extracto español a la app
El concepto llega tal como lo escribe tu banco. La nómina suele aparecer como NOMINA o como una TRANSFERENCIA con esa palabra; la luz, el móvil o el seguro, como RECIBO seguido del acreedor en mayúsculas (IBERDROLA CLIENTES); un Bizum, como BIZUM DE o BIZUM A; las compras con tarjeta, con COMPRA o PAGO EN, y el cajero, con REINTEGRO. Cada banco escribe a su manera.
Los recibos son la razón práctica para sincronizar. Según el Banco de España (estadísticas del SNCE, fuente Iberpay), en 2025 se procesaron al menos 1.395 millones de adeudos directos, el 42,8 % de las operaciones de ese sistema, que solo cuenta los pagos entre bancos. Salen solos, sin que nadie los mire. Para ver cuáles se te han acumulado, empieza por cómo ver y cancelar las suscripciones de tu tarjeta.
Un detalle muy español: si cobras en 14 pagas, el mes de la paga extra de verano (lo fija tu convenio) y diciembre suelen traer una nómina más alta; si tu convenio las prorratea, no verás ese pico. Para saber qué es normal cobrar, mira el sueldo medio en España.
Qué puede hacer la app con tus datos bancarios (y qué no)
La ley limita a la app: solo puede usar tus datos para el servicio que le pediste. El artículo 39 del Real Decreto-ley 19/2018, que traspone el artículo 67 de la PSD2, obliga al proveedor de lectura a actuar solo con tu consentimiento explícito, acceder a las cuentas que tú designas, no pedirte datos de pago sensibles (credenciales incluidas), identificarse ante tu banco en cada comunicación y no utilizar, almacenar ni acceder a ningún dato para fines distintos del servicio que le pediste.
Además, tienes los derechos del RGPD: pedir una copia de tus datos (art. 15) o que los borre (art. 17). La app debe responderte en un mes, ampliable en casos complejos, y si no lo hace puedes reclamar ante la autoridad de protección de datos de tu país de residencia, que en España es la AEPD (art. 77).
Lo que la ley no te dice es cómo gana dinero cada app. Pregúntatelo antes de conectar: unas cobran una suscripción y otras, por ejemplo, a las entidades cuando contratas un préstamo a través de ellas. Martia cuesta 9 € al mes o 59 € al año y, según su política de privacidad, no vende datos personales ni financieros. Tienes, en inglés, la política de privacidad y la lista de proveedores que tratan datos.
¿Y si la app usa inteligencia artificial?
En una app con la que hablas de tu dinero, la pregunta es legítima. La conexión con tu banco sigue las mismas reglas de la PSD2; lo que cambia es qué pasa con tus datos después. Según la política de privacidad de Martia, no usa tus datos para entrenar sus propios modelos; trabaja con proveedores de modelos de IA bajo condiciones de API que, según sus políticas actuales, no les dan derecho a entrenar con tu contenido; y no comparte los datos bancarios ni las conversaciones con proveedores de publicidad. Parte del tratamiento puede ocurrir fuera del Espacio Económico Europeo, incluidos Estados Unidos y China, con cláusulas contractuales tipo o una decisión de adecuación.
Señales de alarma: cuándo no conectar tu banco (y qué hacer si ya lo has hecho)
Una señal de alarma es lo que no encaja con lo que la ley exige a una app de lectura. No conectes tu banco si ves alguna de estas:
- La app te ha llegado por un enlace en un SMS, un WhatsApp o un correo, en vez de buscarla tú. El Banco de España recuerda que tu banco nunca te pedirá tus claves por correo electrónico ni por SMS (phishing y suplantación de SMS).
- Ni la app ni el proveedor a través del que lee tus cuentas aparecen en el registro del Banco de España o en el de la EBA.
- Te pide el PIN o el CVV de tu tarjeta, o un código por SMS que confirma un pago.
- Tu banco te pide confirmar un importe y un destinatario, o habla de un pago o una transferencia, en vez de una consulta de cuentas: así se confirma un pago, no una lectura (art. 68 del Real Decreto-ley 19/2018).
- El permiso no caduca ni se puede retirar.
Si ya has conectado algo en lo que no confías
- Retira el permiso en la app y, si tu banco tiene un apartado de accesos de terceros, también ahí.
- Cambia la clave de tu banca online.
- Llama a tu banco por sus canales oficiales para que bloquee la operación y revierta lo que pueda. Si te han estafado, el Banco de España aconseja denunciar a la Policía, a la Guardia Civil o en el juzgado, y el 017 de INCIBE ofrece ayuda gratuita y confidencial todos los días de 8:00 a 23:00.
- Revisa tus últimos movimientos. Si ves un recibo que no reconoces, mira cómo devolver un recibo que no reconoces.
Si prefieres no conectar nada, hay otra vía: una app de presupuesto sin conectar el banco.
Cómo quitarle el acceso a una app (y por qué el permiso caduca solo)
Quitarle el acceso a una app es retirar el permiso de lectura que le has dado, y puedes hacerlo desde la propia app y, en los bancos que lo ofrecen, desde tu banco. El Banco de España lo explica así: «igual que das este permiso, lo puedes revocar posteriormente» (Portal del Cliente Bancario).
Dos caminos para retirar el permiso
- En la app. En Martia: Ajustes, «Cuentas bancarias» y «Desconectar» en el banco que quieras. Martia pide a Enable Banking que cierre la sesión y, si es posible, el consentimiento en tu banco; el banco pasa a «Conexiones ocultas», donde los datos se conservan hasta que eliges «Eliminar permanentemente». Para borrar tu cuenta entera: Ajustes, «Suscripción y eliminar cuenta» y «Eliminar cuenta y datos».
- En tu banco. Si tu banco tiene un apartado de accesos de terceros, retiras el permiso ahí. Si no lo tiene, pídeselo a la app: N26, por ejemplo, indica en su página sobre PSD2 que debes contactar con el proveedor para solicitar la revocación.
Revocar corta los movimientos nuevos. Los que la app ya tenía puedes pedir que los borre con tu derecho de supresión del RGPD (art. 17).
Por qué el permiso caduca solo
El Reglamento Delegado (UE) 2022/2360 (art. 10 bis) obliga al banco a repetir la autenticación reforzada cuando pasan más de 180 días desde la última vez, y en la práctica el permiso dura como máximo 180 días; en algunos bancos, menos. No es un fallo de la app: pasado ese plazo hay que confirmar de nuevo, y un permiso olvidado deja de funcionar.
Qué hacer cuando deja de sincronizar
Si el permiso ha caducado, Martia muestra ese banco con el botón Reconectar, y lo ya sincronizado se queda. Repite el recorrido de la primera vez: eliges tu banco, te identificas y confirmas. Si la confirmación no llega, revisa las notificaciones de la app de tu banco o espera unas horas.
Lo que viene: un panel de permisos en tu banco (PSD3/PSR)
Cuando entre en vigor el nuevo reglamento europeo de servicios de pago, tu banco tendrá que darte, dentro de su banca online, un panel para ver los permisos de acceso a tus datos y retirarlos cuando quieras y sin coste, según el texto de compromiso del Consejo de abril de 2026. Todavía no está en vigor: el acuerdo político se anunció el 27 de noviembre de 2025 y, a 15 de octubre de 2026, falta su adopción formal; la mayor parte de las nuevas normas se aplicarán 21 meses después de su entrada en vigor.
Fundador de Martia
Del fundador
Cuando elegí el proveedor de open banking para Martia, miré más de una docena de opciones. Enable Banking no ganó por ser el más barato, sino por estar registrado y supervisado por la FIN-FSA: la seguridad no era una concesión, era el requisito.
Cómo funciona la sincronización bancaria por dentro: AISP, PSD2 y cuatro consultas al día
La sincronización de una cuenta bancaria es el proceso por el que una app, con tu permiso, recibe de tu banco los movimientos y los saldos de tus cuentas, a través de un canal que el banco está obligado a ofrecer por la directiva europea de servicios de pago, la PSD2 (Directiva (UE) 2015/2366). El recorrido siempre es el mismo: eliges tu banco, te identificas y confirmas con su segundo factor, y el banco te pregunta si autorizas la consulta. Cada pantalla está en cómo conectar tu cuenta bancaria con una app, paso a paso.
¿Cada cuánto se actualiza?
Depende del banco y de la app, pero la norma pone un techo. El Reglamento Delegado (UE) 2018/389, en su artículo 36, permite al proveedor consultar tu cuenta hasta cuatro veces cada 24 horas cuando tú no estás delante, y además cada vez que abres la app y pides datos. Por eso un pago puede tardar unas horas en aparecer.
¿Qué es un AISP?
AISP son las siglas en inglés de proveedor de servicios de información sobre cuentas: la figura que crea la PSD2 para leer, con tu consentimiento, los datos de tus cuentas de pago. La misma directiva distingue otra figura, el PISP, que inicia pagos. Una app de presupuesto solo necesita la primera: leer, nunca pagar.
La seguridad de conectar tu banco, en cuatro cifras de la ley
Fuentes: EUR-Lex, Directiva (UE) 2015/2366, BOE, Real Decreto-ley 19/2018, EUR-Lex, Reglamento Delegado (UE) 2022/2360, EUR-Lex, Reglamento Delegado (UE) 2018/389
Tu banco ya sincroniza otros bancos: Santander, BBVA e ING
No es un invento exótico de las fintech: los grandes bancos españoles te dejan ver cuentas de otros bancos en su propia app. Según sus fichas en la App Store española, Santander promete agregar cuentas de otros bancos en una sola pantalla; BBVA suma un «Coach financiero» que diagnostica tu capacidad de ahorro mensual; e ING incluye en Money Up! un Agregador para consultar cuentas de otros bancos (fichas consultadas en octubre de 2026). Leer tus cuentas de otro banco con tu permiso es un derecho tuyo (art. 7 del Real Decreto-ley 19/2018).
Además hay agregadores especializados, como Tink, que en noviembre de 2020 cerró la compra de la española Eurobits tras la aprobación del Banco de España. Fintonic es gratis y, según la propia Fintonic, gana dinero cobrando a las entidades cuando contratas un préstamo a través de ella (dice que no tiene seguros propios): ¿es seguro Fintonic?. Martia se paga con una suscripción y usa tus movimientos para responder a tus preguntas. Para ver varias cuentas juntas, mira todas tus cuentas bancarias en una app.
Cómo sincronizar tu cuenta bancaria con Martia, paso a paso
Son tres pasos, y te identificas con los datos de acceso de tu banco: Martia no ve tu clave en ningún momento. Tiene app para iPhone y Android y funciona en el navegador del ordenador, con la misma cuenta.
1. Elige tu banco
Lo eliges en la lista (hay más de 2.500 bancos de Europa y el Reino Unido). Si tienes cuentas en varios, las conectas una detrás de otra.
2. Identifícate con tu banco
Martia te lleva a una página de Enable Banking, desde la que pasas a tu banco (su web o su app); en algunos bancos te identificas en la propia página de Enable Banking. Confirmas con el doble factor de tu banco (un código, la huella o una aprobación en su app).
3. Confirma el acceso de solo lectura
Tu banco te pregunta si autorizas que Martia consulte tus movimientos y saldos. Confirmas, vuelves a Martia y los movimientos llegan solos: ya puedes preguntar «¿qué recibos me han subido este año?» o «¿cuánto gasté en Mercadona en mayo?», y comparar con cuánto gasta de media una persona en comida al mes.
Si te atascas, en conectar tu cuenta bancaria con una app están todas las pantallas. Después, toca sacarles partido a tus movimientos: en cómo organizar la economía doméstica mes a mes tienes un repaso semanal y un cierre mensual; en cuánto ahorran de media los españoles, una vara de medir; y en encontrar tus gastos hormiga, dónde se te escapa el dinero. Para elegir herramienta, mira las mejores apps para controlar gastos en España.
Recomendación rápida
- Método: Open banking (PSD2) — tu banco te identifica con su doble confirmación y el permiso es de solo lectura.
- Antes de autorizar: El Test de los Tres Síes — app o proveedor en el registro, consulta y no pago en tu banco, permiso que puedes retirar y que caduca.
- Para comprobar una app: Registro de Entidades del Banco de España o registro de la EBA — el primero para entidades españolas, el segundo para proveedores de otros países de la UE.
- Para preguntar en español: Martia — lee tus cuentas a través de Enable Banking y responde con tus movimientos.
Martia: la IA con la que hablas de tu dinero
Pregunta en español «¿cuánto se me va en recibos al mes?» o «¿en qué gasté más en agosto?» y la respuesta sale de tus movimientos reales, sincronizados solos. Sin hojas de cálculo y sin apuntar nada a mano.
Preguntas frecuentes
¿Es seguro conectar mi cuenta bancaria a una app?
Sí, si la app conecta por open banking (PSD2) y quien lee tus cuentas, la propia app o su proveedor, está registrado como proveedor de servicios de información sobre cuentas. Tu banco te identifica con su propia autenticación reforzada, el permiso es de solo lectura, caduca solo (como máximo a los 180 días en la práctica) y puedes retirarlo tú. Sincronizar tu cuenta no da acceso a pagos. Lo que la ley no decide por ti es de quién te fías: comprueba el registro del Banco de España o de la EBA y lee la política de privacidad.
¿Puede una app vaciarme la cuenta si la conecto al banco?
No. Un proveedor de servicios de información sobre cuentas (AISP, en la PSD2) solo puede consultar movimientos y saldos de las cuentas que designas. Iniciar un pago es otro servicio, con otra autorización (PISP), y cada pago exige que lo confirmes en tu banco con autenticación reforzada. Martia usa solo el acceso de lectura, a través de Enable Banking: ve tus movimientos para responder a tus preguntas, pero no puede mover ni un euro. Desconfía de una pantalla de tu banco que te pida confirmar un importe y un destinatario.
¿La app ve la clave de mi banca online?
Depende de cómo conecte. Con redirección, o con la confirmación en la app de tu banco, escribes la clave solo en tu banco. Con el método embebido, una app registrada puede recoger tu clave y pasarla a tu banco por un canal seguro: es legal, pero tu clave pasa por ella, y tu banco sigue aplicando su autenticación reforzada. Prefiere la redirección y comprueba el registro. Martia no ve ni guarda tu clave, y sus formularios nunca te la piden. Para conectar, te identificas en tu banco (su web o su app) o, en algunos bancos, en la página de Enable Banking, el proveedor registrado, y después vuelves a Martia. Párate si un formulario te pide la clave y no acaba en la confirmación de tu banco.
¿Cómo sé si una app financiera está autorizada por el Banco de España?
Búscala en el Registro de Entidades del Banco de España, en el buscador de entidades, y comprueba que figura como entidad prestadora del servicio de información sobre cuentas. Si es de otro país de la UE y opera aquí sin sucursal, no saldrá ahí: búscala en el registro de la EBA (Institution Search, en inglés) y mira que conste como Account Information Service Provider, con España entre los países. Estos proveedores se registran, no se autorizan. Si la app lee tus cuentas a través de otro proveedor, busca a ese proveedor: Martia, por ejemplo, lo hace a través de Enable Banking, registrado en Finlandia.
¿Qué hace la app con mis datos bancarios? ¿Puede venderlos?
La ley limita a la app. Según el artículo 39 del Real Decreto-ley 19/2018, solo puede acceder a las cuentas que tú designas, no puede pedirte datos de pago sensibles y no puede usar ni guardar tus datos para una finalidad distinta del servicio que le pediste. Además tienes los derechos del RGPD, como el acceso y la supresión, y puedes reclamar ante la AEPD. El resto lo cuenta su política de privacidad: léela y mira cómo gana dinero la app. La de Martia dice que no vende datos personales ni financieros.
¿Es seguro conectar mi banco a una app con inteligencia artificial?
La conexión sigue las mismas reglas de la PSD2: proveedor registrado, autenticación reforzada en tu banco y permiso de solo lectura. Lo que cambia es el tratamiento de los datos. Según su política de privacidad, Martia no usa tus datos para entrenar sus propios modelos, trabaja con proveedores de IA bajo condiciones de API que, según sus políticas actuales, no les dan derecho a entrenar con tu contenido, y no comparte los datos bancarios ni las conversaciones con proveedores de publicidad. Parte del tratamiento puede ocurrir fuera del Espacio Económico Europeo, con cláusulas contractuales tipo o una decisión de adecuación.
¿Qué pasa si comparto mi número de cuenta (IBAN)?
Con tu IBAN alguien puede ingresarte dinero o, en el peor caso, domiciliar un recibo a tu nombre; si no lo reconoces, puedes devolverlo. Compartirlo es lo normal para cobrar una nómina o pagar una factura, y no es lo mismo que dar acceso de lectura a una app: el IBAN por sí solo no enseña tus movimientos ni abre tu banca online. Si ves un cargo que no reconoces, mira qué es un adeudo y cómo se devuelve un recibo.
Más en qué es un adeudo y en cómo devolver un recibo que no reconoces.
He conectado una app de la que no me fío: ¿qué hago?
Actúa en este orden. Primero, retira el permiso en la app y, si tu banco lo ofrece, también en su banca online. Segundo, cambia la clave de tu banca online. Tercero, llama a tu banco por sus canales oficiales para que bloquee lo que haga falta y revierta lo que pueda; si hay un fraude, denúncialo a la Policía, a la Guardia Civil o en el juzgado. Cuarto, revisa tus últimos movimientos y devuelve cualquier recibo que no reconozcas. Para pedir ayuda gratuita y confidencial, el 017 de INCIBE atiende todos los días de 8:00 a 23:00.
Si el cargo es un recibo, aquí tienes cómo devolver un recibo que no reconoces.
¿Cómo le quito a una app el acceso a mi cuenta bancaria?
Hay dos caminos. En la app, desconectas el banco: en Martia es Ajustes, Cuentas bancarias y Desconectar. En tu banca online, si tu banco tiene un apartado de accesos de terceros, retiras el permiso ahí; si no, pídeselo a la app. Revocar corta los movimientos nuevos; los que la app ya tenía puedes pedir que los borre con el derecho de supresión del RGPD (artículo 17). Con el nuevo reglamento europeo de servicios de pago, tu banco tendrá que ofrecerte un panel para ver y retirar estos permisos, pero todavía no está en vigor.
¿Por qué tengo que volver a conectar el banco cada pocos meses?
Porque el permiso de lectura caduca. El Reglamento Delegado (UE) 2022/2360 fija en 180 días el plazo tras el cual el banco debe repetir la autenticación reforzada, y en la práctica el permiso dura como máximo 180 días; en algunos bancos, menos. Martia no te avisa antes: cuando caduca, la app muestra tu banco con el botón Reconectar; lo pulsas, te identificas y confirmas, igual que la primera vez. Lo ya sincronizado se queda. No es un fallo: pasado ese plazo hay que confirmar de nuevo, y un permiso olvidado deja de funcionar.
¿Cada cuánto se actualizan los movimientos sincronizados?
Depende del banco y de la app, pero la norma pone un techo. Según el Reglamento Delegado (UE) 2018/389, artículo 36, un proveedor de información sobre cuentas puede consultar tu cuenta hasta cuatro veces cada 24 horas cuando tú no estás delante, y además cada vez que abres la app y pides datos. Por eso un movimiento puede tardar unas horas en aparecer, y un cargo que el banco aún no ha contabilizado puede cambiar hasta que lo confirma.
¿Qué bancos españoles se pueden sincronizar con una app?
La PSD2 obliga a los bancos con banca online a dar acceso a los proveedores registrados cuando tú lo pides; qué bancos puedes conectar en la práctica depende de la app. Martia se conecta, a través de Enable Banking, con más de 2.500 bancos de Europa y el Reino Unido, entre ellos CaixaBank, BBVA, Santander, Sabadell, Bankinter e ING. Todos siguen el mismo esquema: eliges el banco, te identificas con él y confirmas con su segundo factor. Antes de empezar puedes buscar tu entidad en la lista de bancos que Martia te muestra al conectar.
Fuentes y bibliografía
- BOE (2018), Real Decreto-ley 19/2018, de servicios de pago y otras medidas urgentes en materia financiera, texto consolidado (arts. 3, 7, 15, 16, 39 y 68), consultado el 15 de octubre de 2026, boe.es
- Parlamento Europeo y Consejo (2015), Directiva (UE) 2015/2366 sobre servicios de pago (PSD2), eur-lex.europa.eu
- Comisión Europea, Reglamento Delegado (UE) 2018/389 (2018, art. 36, eur-lex.europa.eu) y Reglamento Delegado (UE) 2022/2360 (2022, art. 10 bis, eur-lex.europa.eu)
- Autoridad Bancaria Europea (2020), Opinion on obstacles under Article 32(3) RTS on SCA and CSC, 4 de junio de 2020, eba.europa.eu
- Banco de España, Registros de Entidades (buscador en app.bde.es) y «Las entidades no autorizadas (intrusos)», consultados el 15 de octubre de 2026
- Autoridad Bancaria Europea, registro de entidades de pago (PSD2): ficha de Enable Banking Oy, consultada el 15 de octubre de 2026; Enable Banking (2026), condiciones del servicio
- Banco de España, Portal del Cliente Bancario: «Open banking» (23 de diciembre de 2021), «¿Qué es el phishing y cómo evitarlo?» (5 de marzo de 2020) y «Suplantación de SMS y del identificador de llamadas» (11 de enero de 2022)
- Parlamento Europeo y Consejo (2016), Reglamento (UE) 2016/679 (RGPD), artículos 15, 17 y 77, boe.es; Agencia Española de Protección de Datos, «Ejerce tus derechos»
- Consejo de la UE, comunicado de prensa del 27 de noviembre de 2025 y texto de compromiso del Reglamento de servicios de pago (ST 8221/26, 17 de abril de 2026); estado en el Observatorio Legislativo del Parlamento Europeo (2023/0210(COD)), 15 de octubre de 2026
- INCIBE, Tu Ayuda en Ciberseguridad (017); CaixaBank, «PSD2: confirma tu identidad»; N26, «PSD2 - un Open Banking seguro»
- Martia (2026), política de privacidad y lista de proveedores (subprocessors), vigentes el 15 de octubre de 2026, en /privacy-policy y /subprocessors
- App Store España, fichas de Santander España, BBVA España e ING, y de Fintonic (monetización), consultadas en octubre de 2026; Fintonic, «Productos y servicios» (seguros)
- Banco de España (2026), Sistema Nacional de Compensación Electrónica (SNCE), fuente Iberpay: adeudos SEPA de 2025 (1.395.593.166 operaciones interbancarias)
- Tink (2020), «Tink completes acquisition of Eurobits technologies», 4 de noviembre de 2020; BOE, Estatuto de los Trabajadores, art. 31 (gratificaciones extraordinarias), consultado el 16 de octubre de 2026