Cómo protegemos tus registros

Última actualización: 25 de octubre de 2026

El diario de un caballo guarda informes veterinarios, pasaportes, lo que pagaste y quién lo cuida. Esto es lo que hacemos para protegerlo, en palabras sencillas, y cómo puedes comprobarlo.

Privado desde el diseño

• Sin publicidad, sin analítica, sin rastreadores. Nada te sigue por la web, y nunca vendemos ni alquilamos tus datos.
• Una sola cookie, y solo para mantener tu sesión iniciada.
• Aparte de las personas que invitas y el calendario que conectas, tus datos solo llegan a las pocas empresas que alojan EquiDiary, envían sus correos o cobran las suscripciones, cada una para esa única tarea. El aviso de privacidad las nombra a todas.

Tu cuenta

• Tu contraseña se guarda solo como un hash con sal, calculado con un algoritmo deliberadamente lento (PBKDF2): nunca en una forma que alguien, nosotros incluidos, pueda volver a leer.
• Al elegir una contraseña, rechazamos las 5000 más comunes. No hay reglas sobre símbolos ni mayúsculas: una frase larga que recuerdes vale más que una corta que no.
• Iniciar sesión, crear una cuenta y pedir un enlace para restablecer la contraseña pasan antes por una comprobación contra bots. Tras 10 contraseñas incorrectas en 15 minutos, el inicio de sesión de esa dirección se pausa. Se cuenta por red, así que alguien que adivine desde otro sitio no puede bloquearte a ti. Para cambiar la contraseña o eliminar tu cuenta te pedimos de nuevo la actual, con el mismo límite de 10 intentos fallidos en 15 minutos.
• Tu cookie de sesión solo viaja por HTTPS, solo hacia la aplicación, y los scripts de la página no pueden leerla. Cada inicio de sesión abre una sesión nueva, y cambiar la contraseña cierra la sesión en todos los demás dispositivos.
• La aplicación solo acepta cambios hechos desde sus propias páginas: una petición enviada desde cualquier otro sitio web se rechaza.
• Si alguna vez te fijamos una contraseña —porque no puedes entrar y nos lo pides—, solo te sirve para elegir la tuya, y deja de funcionar a los 3 días. También te avisamos por correo en tu dirección confirmada, salvo que ya haya recibido su límite diario de correos sobre la cuenta.

Los registros de tu caballo

• Un caballo solo lo ven su propietario y las personas que este invita. Lo comprobamos en nuestro servidor en cada petición, dentro de la propia consulta a la base de datos; lo que protege tus datos nunca es que la aplicación oculte un botón. Para cualquier otra persona, el registro no existe.
• Las fotos y los documentos están en un almacenamiento privado y solo se entregan a quien tiene permiso para verlos. Cada archivo que se sube se comprueba para que sea lo que dice ser —una foto tiene que ser de verdad una foto—, y un archivo solo se entrega como imagen, vídeo o descarga, nunca dentro de un marco de otro sitio web ni como script.
• Los vídeos se reproducen mediante enlaces firmados, cada uno para un solo vídeo y válido 12 horas como máximo. Si revocas un enlace compartido o le quitas el acceso a alguien, no recibe enlaces nuevos, y los que ya tiene dejan de funcionar dentro de esas 12 horas. Los vídeos subidos antes de que pasáramos a un servicio de vídeo dedicado se guardan y se entregan como las fotos.
• Los enlaces para compartir son de solo lectura y nunca muestran precios ni datos de la cuenta. Puedes limitar uno a ciertas categorías o a partir de una fecha, ponerle fecha de caducidad y revocarlo en cualquier momento.
• Los enlaces que te enviamos por correo —para confirmar tu dirección, restablecer tu contraseña o aceptar una invitación— guardan su parte secreta donde tu navegador nunca la envía a un servidor, así que no puede acabar en un registro.

En tránsito y almacenados

• Las conexiones van cifradas (HTTPS, TLS 1.2 o posterior), y los navegadores saben que nunca deben conectarse sin cifrar. Una excepción: cuando una aplicación de calendario se suscribe con un toque a tu enlace del calendario del teléfono, su primerísima petición puede llegar por http sin cifrar. La redirigimos a HTTPS antes de leerla, pero esa primera petición, enlace incluido, ya ha cruzado la red sin cifrar. Más detalles (English)
• La aplicación, la base de datos y tus archivos funcionan en Cloudflare.
• Una vez al día, una copia de seguridad va a un servidor que alquilamos en Canadá. Se cifra antes de guardarse, y la clave que la abre se conserva fuera de línea, no en ese servidor. Lo que eliminas desaparece de las copias en 30 días como máximo.
• Nuestro registro de errores no contiene direcciones de correo, direcciones IP ni ninguno de tus enlaces privados, y se conserva 7 días como máximo.

En tu teléfono u ordenador

• La aplicación guarda una copia de tu diario en el dispositivo para funcionar en la cuadra sin cobertura. Al cerrar sesión, esa copia se borra primero; y si en ese momento no tienes conexión, tu sesión se cierra la próxima vez que la aplicación se conecte.
• Tus datos son tuyos: Cuenta → Descargar mis datos te da una copia de tus registros, fotos, documentos y vídeos: hasta 100 minutos de vídeo por descarga, todo el cupo de una cuenta estándar, y el diálogo nombra cualquier vídeo que quede fuera. Cuenta → Eliminar mi cuenta borra tus datos; el aviso de privacidad enumera lo poco que queda, como las entradas que registraste en el caballo de otra persona.

Comprobado frente a un estándar público

Evaluamos EquiDiary frente al OWASP Application Security Verification Standard (ASVS), versión 5.0: una lista abierta de requisitos de seguridad para aplicaciones web, escrita por la comunidad de seguridad, no por nosotros. Su nivel 1 es la base que exige a toda aplicación.

Nuestra última evaluación, terminada el 25 de octubre de 2026, repasó los 70 requisitos del nivel 1. Cada uno se cumple o se refiere a algo que EquiDiary no tiene: comandos del sistema operativo, texto enriquecido, XML, WebSockets, iniciar sesión a usuarios de otras empresas. Dos se cumplen por una vía distinta de la que describe el requisito, y explicamos por qué.

La repetimos cada vez que cambia algo de lo que depende, y al menos una vez al año.

Lo que aún no hacemos

Algunas protecciones pertenecen al nivel 2 del estándar, frente al que todavía no nos hemos evaluado. Tres que quizá esperes y aún no encontrarás:

• No hay un segundo paso al iniciar sesión, como un código o una llave de acceso además de la contraseña.
• Una sesión dura 90 días salvo que cierres sesión; no termina antes por falta de uso.
• No hay una lista de los dispositivos con la sesión iniciada. Cambiar la contraseña cierra la sesión en todos.

¿Has encontrado un problema?

Si crees haber encontrado una debilidad de seguridad, escribe a support@equidiary.com contando qué encontraste y cómo reproducirlo; es la misma dirección que indica nuestro security.txt. Te pedimos que no lo hagas público hasta que esté corregido: te avisaremos cuando lo esté y, si quieres, te daremos las gracias con tu nombre.

OWASP es una marca de la OWASP Foundation, Inc. EquiDiary no está afiliada a la OWASP Foundation ni cuenta con su respaldo.