Seguridad y confianza

1. Resumen de una página

Nose for Horse (“Nose”) es un producto en etapa inicial. Hoy no contamos con SOC 2 ni ISO 27001 y aún no hemos encargado una prueba de penetración externa. Esta página describe lo que tenemos, dónde se ejecuta y las clases de control que lo protegen, para que un centro ecuestre consciente de la seguridad pueda tomar una decisión informada.

• Quiénes somos. Nose es un software para administrar una escuela de equitación: programar clases, realizar un seguimiento de la asistencia y cómo pagaron los jinetes, administrar bonos y vales regalo, calcular las ganancias de los instructores y brindar a los clientes del centro ecuestre una vista de sus propias reservas. Está operado por DF Daniel Fojcik, una empresa unipersonal polaca (NIP 6472592229 / REGON 387798601, Marklowice), que comercializa como Nose for Horse (“Nose”).
• Nuestras dos funciones. Somos el responsable del tratamiento de datos de nuestra propia cuenta, análisis y datos de seguridad, y un encargado del tratamiento de datos que actúa según las instrucciones de cada centro ecuestre respecto de los datos de jinetes/clientes que ese centro ecuestre introduce. La relación del encargado del tratamiento se rige por nuestro Acuerdo de procesamiento de datos (DPA). Consulte el “Marco de cumplimiento” a continuación.
• Lo que tenemos. Correo electrónico de la cuenta y nombre/teléfono del perfil opcional; direcciones de correo electrónico de invitación; los registros operativos que ingresa un centro ecuestre sobre sus jinetes (nombres, contactos, participación en clases, bonos/vales, etiquetas de seguimiento de pagos, notas de texto libre); PIN de programación y tokens de invitación almacenados únicamente como hashes unidireccionales. No tenemos datos bancarios o de tarjetas de pago ni datos de salud. Inventario completo en "Datos que tenemos" a continuación.
• Qué lo protege. Cifrado en tránsito y en reposo; aislamiento de inquilinos aplicado en la propia base de datos; validación de sesión del lado del servidor; reautenticación intensificada para acciones destructivas y administrativas; una estricta Política de seguridad de contenido; limitación de velocidad y protección contra bots; y un registro de auditoría de solo anexar. Consulte “Medidas técnicas” a continuación.
• Dónde se ejecuta. En más de una región de datos, y agregamos regiones a medida que crecemos. Los datos de clientes de los centros ecuestres de la región de EE. UU. se almacenan en los Estados Unidos. La operación, la administración y el soporte del Servicio se realizan desde la Unión Europea. Los centros ecuestres de nuestra región de la UE se atienden desde el EEE. Algunos servicios son compartidos por ambas regiones y se ejecutan en el EEE — el correo electrónico transaccional, el monitoreo de errores, el análisis de productos — y algunos componentes funcionan a nivel mundial. Las regiones y los mecanismos de transferencia de cada proveedor figuran en la página Subencargados del tratamiento.
• Lo que aún no tenemos. No hay SOC 2, ISO 27001 ni prueba de penetración externa. Si su proceso de adquisición requiere hoy alguna de estas, todavía no somos la opción adecuada.
• Cómo comunicarse con nosotros sobre seguridad. Envíe un correo electrónico a support@nose.horse con `Security` en la línea de asunto. Consulte "Respuesta a incidentes (notificación de violación de datos en 72 horas)" y "Divulgación responsable" a continuación.

2. Datos que tenemos

Recopilamos el mínimo necesario para ejecutar el Servicio. Las categorías siguientes son los datos personales que tocan Nose.

Cuando una fila indica región de su centro ecuestre, se trata de la región de la UE o de la región de EE. UU. — fijada en el momento de la creación del centro ecuestre y detallada en “Infraestructura: quién gestiona qué y dónde” a continuación.

Lo que no conservamos

• Sin tarjeta de pago ni datos bancarios. Nose nunca participa en un pago y nunca maneja datos de tarjetas. Los métodos fuera de línea ("efectivo", "bono", "vale", "transferencia") son etiquetas de seguimiento que anota un centro ecuestre, no transacciones que ejecuta Nose. Para la facturación de suscripción del centro ecuestre (Stripe para los centros ecuestres polacos, Dodo Payments como comerciante registrado para los centros ecuestres no polacos) y para los pagos de jinetes en línea cuando un centro ecuestre los permite (Stripe, con liquidación en la propia cuenta del centro ecuestre), los datos de la tarjeta se manejan completamente en el proceso de pago del propio proveedor de pagos y nunca nos llegan, por lo que permanecemos fuera del alcance de PCI DSS (consulte “Marco de cumplimiento” a continuación).
• Sin documentos de identidad ni direcciones. No recopilamos direcciones particulares, números de documentos de identificación ni identificadores gubernamentales.
• Sin datos de categoría especial (salud). No pretendemos recopilar datos del artículo 9 del RGPD y el producto no está diseñado para almacenarlos. A los centros ecuestres se les indica (en el DPA) que no ingresen datos de categorías especiales en campos de texto libre. Las notas sobre un caballo son sobre un animal, no sobre una persona, y quedan fuera del RGPD.
• Sin perfiles publicitarios, identificadores de retargeting ni seguimiento entre sitios. Sin píxeles Meta/LinkedIn/X/TikTok; sin huellas dactilares del navegador.
• No se venden, alquilan ni prestan datos a terceros.
• No entrenamos modelos de IA/ML con sus datos. No entrenamos, ajustamos ni evaluamos ningún modelo de IA o aprendizaje automático con datos personales extraídos de Nose.

3. Infraestructura: quién gestiona qué y dónde

Nose se aloja en infraestructura en la nube gestionada, con un pequeño conjunto de proveedores especializados ("subencargados del tratamiento"), cada uno de los cuales maneja una porción estrecha. Ninguno tiene acceso de extremo a extremo a todo. Nose funciona en dos regiones de datos: una región de la UE y una región de EE. UU. Los datos de clientes de los centros ecuestres de la región de EE. UU. se almacenan en los Estados Unidos. La operación, la administración y el soporte del Servicio se realizan desde la Unión Europea. Los datos operativos de un centro ecuestre residen únicamente en la base de datos de su propia región — no hay replicación entre regiones ni ninguna ruta de la aplicación que lea de una a otra. Tres servicios son compartidos por ambas regiones y permanecen en el EEE — el correo electrónico transaccional, el monitoreo de errores y el análisis de productos.

La lista canónica y siempre actualizada de proveedores, con el propósito, las categorías de datos personales, la región de procesamiento por cada región de datos y el mecanismo de transferencia de cada uno, es la página Subencargados del tratamiento. La Política de privacidad y el DPA enlazan a la misma fuente en lugar de mantener copias divergentes, y esta página también.

4. Medidas técnicas

Estas son las clases de control realmente vigentes hoy. Esta es también la sustancia detrás del DPA → “Confidencialidad, seguridad y subencargados”, que remite aquí para nuestras medidas técnicas y organizativas.

Red y transporte

• TLS para todo el tráfico, con precarga de HSTS.
• Sin contenido mixto: la Política de seguridad de contenido rechaza los recursos inseguros.

Aislamiento de inquilinos y autorización

• Seguridad a nivel de fila con alcance para cada centro ecuestre en cada tabla operativa, aplicada en la propia base de datos: los datos de un centro ecuestre no pueden ser leídos por otro incluso si el código de la aplicación tuviera un error. Esta es la principal defensa entre inquilinos.
• Comprobaciones de rol de la capa de aplicación como defensa en profundidad además del aislamiento de la base de datos, nunca como la única línea.

Autenticación

• Inicio de sesión sin contraseña: enlace mágico de correo electrónico o inicio de sesión opcional con Google o con Apple. No se almacenan contraseñas.
• Validación de sesión del lado del servidor en cada solicitud protegida: nunca se confía en la cookie de inicio de sesión por sí sola.
• Reautenticación intensificada para acciones destructivas y administrativas; una reautenticación intensificada ausente o caducada falla de forma cerrada.

Secretos y manejo de credenciales

• Los PIN de programación y los tokens de invitación se almacenan únicamente como hashes unidireccionales; los tokens de invitación son de un solo uso y de tiempo limitado, y los tokens sin procesar nunca persisten.
• Las credenciales de servicio privilegiadas son solo para el servidor: nunca se envían al navegador; una comprobación en tiempo de compilación lo garantiza.

Manejo de entradas y salidas

• Cada entrada del servidor se valida por esquema: la validación del lado del cliente se trata solo como UX; el servidor es el límite de confianza.
• En cada respuesta se aplican una política de seguridad de contenido estricta y un conjunto reforzado de encabezados de seguridad.
• Escape automático de la salida; el contenido escrito por el usuario es texto sin formato en esta etapa.

Protección contra abusos y bots

• La limitación de velocidad y la protección contra bots se aplican a la autenticación y a otros puntos finales sensibles.

Datos en reposo y pista de auditoría

• Cifrado en reposo en la base de datos y el almacenamiento de archivos.
• Un registro de auditoría de solo agregar registra eventos relevantes para la seguridad (autenticación, cambios de rol y membresía, eventos financieros, exportaciones, eliminaciones). Siempre está escrito y es distinto de la telemetría operativa.
• Monitoreo de errores con limpieza de datos personales: los datos personales se eliminan de los informes de errores antes de que salgan de nuestros sistemas; lo que queda es el contexto técnico más identificadores seudónimos.

Copias de seguridad y recuperación

• Copias de seguridad diarias automatizadas de la base de datos con una ventana de retención móvil. Las implementaciones anteriores se conservan para poder revertir rápidamente una versión incorrecta.

5. Medidas organizativas

• Los datos de producción permanecen en la infraestructura administrada. Los volcados de bases de datos de producción no se almacenan en las máquinas locales; el desarrollo local utiliza una base de datos separada con datos sintéticos.
• Mínimo privilegio para cuentas de servicio. Las credenciales privilegiadas están destinadas únicamente al uso del lado del servidor; el acceso del navegador a la base de datos se realiza a través de una clave limitada detrás de la seguridad a nivel de fila.
• Registro de acceso del lado del proveedor. Las acciones administrativas de nuestros proveedores son registradas por esos proveedores y se revisan.
• Confidencialidad. Todas las personas con acceso a producción están obligadas a guardar confidencialidad respecto de los datos personales procesados a través del Servicio, tal y como se refleja en la DPA.

6. Respuesta a incidentes (notificación de violación de datos en 72 horas)

Monitoreo. Se monitorean los errores y los eventos relevantes para la seguridad, y el registro de auditoría de solo anexar proporciona un registro duradero para su investigación.

Nuestro compromiso de notificación de violaciones. Si se produce una violación de datos personales que pueda resultar en un riesgo para los derechos y libertades de las personas afectadas, haremos lo siguiente:

• Notificar a la autoridad supervisora competente (el presidente de la UODO en Polonia) sin demoras indebidas y, cuando sea posible, dentro de las 72 horas de tener conocimiento de la infracción (Artículo 33 del RGPD).
• *Cuando sea probable que la violación resulte en un riesgo alto* para las personas afectadas, notificarles sin demora indebida, describiendo la naturaleza de la violación, las categorías de datos involucrados, las posibles consecuencias y las medidas tomadas (Artículo 34 del RGPD**).
• Cuando actuemos como encargado del tratamiento de un centro ecuestre, notificar a ese centro ecuestre (el responsable del tratamiento) sin demora indebida para que pueda cumplir con sus propias obligaciones del Artículo 33/34 para con sus jinetes.

Esto refleja la Política de Privacidad y la DPA. Indica cómo implementamos una obligación que el RGPD ya impone; no es una promesa contractual adicional más allá del RGPD.

Contacto. No urgente: support@nose.horse. Seguridad (urgente): envíe un correo electrónico a support@nose.horse con `Security` en la línea de asunto.

7. Lo que aún no tenemos

Todavía no contamos con SOC 2 ni ISO 27001, y aún no hemos encargado una prueba de penetración externa. Publicamos una certificación cuando la tenemos, no antes. Si el proceso de adquisición de un posible centro ecuestre exige hoy alguna de estas, no somos actualmente la opción adecuada, y lo diremos claramente en lugar de dilatar la conversación.

8. Marco de cumplimiento

RGPD (Reglamento 2016/679). Nose opera bajo una doble función: responsable del tratamiento de los datos cuyos propósitos y medios determina (visitantes del sitio de marketing, datos de cuenta/contacto de administradores e instructores de centros ecuestres, identidad de inicio de sesión de cada titular de cuenta sea cual sea su función, análisis de productos y datos de seguridad/prevención de abuso), y encargado del tratamiento de los datos operativos del jinete/cliente que ingresa un centro ecuestre; allí, el centro ecuestre es el responsable del tratamiento y Nose procesa según las instrucciones documentadas del centro ecuestre según la DPA (artículo 28 del RGPD). Los subencargados del tratamiento operan según los contratos del Artículo 28 (DPA + SCC/DPF, el Anexo del Reino Unido o un mecanismo equivalente cuando una transferencia cruza regiones); consulte la página de Subencargados del tratamiento.

Datos de niños. Las escuelas de equitación enseñan regularmente a niños, por lo que Nose procesa a sabiendas los datos de menores en nombre de un centro ecuestre (por ejemplo, un niño ingresado como participante de una clase, a menudo por un padre que es cliente del centro ecuestre). El centro ecuestre es responsable de la base legal y de cualquier consentimiento o autoridad de los padres requerido conforme a la ley que le sea aplicable (Artículo 8 del RGPD en la UE y el Reino Unido; COPPA y ley estatal en los Estados Unidos); Nose minimiza lo que conserva sobre un niño y no se dirige ni comercializa directamente a los niños. Consulte la Política de Privacidad → “Privacidad de los niños”.

Se admiten los derechos de los interesados, incluido el acceso/portabilidad de autoservicio a través de una exportación JSON en /account/export y el borrado a través de /account/delete (se aplica un período de gracia reversible de 30 días y una reautenticación intensificada; al borrar, eliminamos los identificadores directos en lugar de eliminarlos por completo: seudonimización según el artículo 4(5) del RGPD, no anonimización completa según el considerando 26; consulte la tabla de retención en la Política de privacidad → “Cuánto tiempo conservamos los datos (retención)” para obtener detalles a nivel de campo). Para los datos del jinete, el responsable del tratamiento es el centro ecuestre, por lo que un jinete ejerce derechos contra su centro ecuestre y Nose ayuda como encargado del tratamiento; la excepción es la identidad de inicio de sesión del jinete, de la que Nose es responsable del tratamiento, por lo que los derechos sobre ella se ejercen directamente ante Nose.

PCI DSS: no aplicable a Nose. No manejamos, almacenamos ni transmitimos datos de tarjetas. Para la facturación de suscripción del centro ecuestre, la ruta de los datos de la tarjeta la lleva en su totalidad el proveedor de pagos en su caja alojada: Stripe (encargado del tratamiento de pagos) para los centros ecuestres polacos, con Nose como comerciante, y Dodo Payments como Comerciante registrado para los centros ecuestres no polacos. Para pagos de jinetes en línea, cuando un centro ecuestre los permite, los datos de la tarjeta, la billetera o (en Polonia) BLIK son transportados en su totalidad por Stripe (a través de Stripe Connect) y se depositan en la propia cuenta de Stripe del centro ecuestre: el centro ecuestre es el comerciante y Stripe es el encargado del tratamiento compatible con PCI, mientras que Nose solo transmite instrucciones y nunca recibe datos de la tarjeta. En todos los casos, Nose nunca recibe datos de la tarjeta y permanece fuera del alcance de PCI.

Ley de IA de la UE: no aplicable. Nose es una herramienta operativa para escuelas de equitación; no entrena, desarrolla ni implementa modelos de IA, y ningún componente utiliza aprendizaje automático o IA generativa para procesar datos personales. Si eso cambia, publicaremos una posición de la Ley de IA de la UE y un compromiso de "no capacitación sobre datos personales" antes de que se lance la función.

ePrivacy/cookies. Carga de análisis opcional solo con consentimiento (en los Estados Unidos: hasta que usted lo desactive); Las cookies estrictamente necesarias están exentas según el artículo 5, apartado 3, de la Directiva ePrivacy. Consulte la Política de cookies.

9. Divulgación responsable

Si cree que ha encontrado una vulnerabilidad de seguridad en Nose:

• Envíe un correo electrónico a [support@nose.horse](mailto:support@nose.horse) con `Security` en la línea de asunto. (Está prevista una dirección dedicada `security@` y una clave PGP).
• Incluya suficientes detalles para reproducir el problema.
• Dénos un período razonable para investigar y remediar antes de cualquier divulgación pública.

Qué puede esperar de nosotros:

• Un reconocimiento y una evaluación inicial tan pronto como sea razonablemente posible; no dejaremos que un informe creíble quede sin atención.
• El estado se actualiza a intervalos razonables mientras se clasifica o soluciona el problema.
• Crédito en cualquier divulgación posterior a la reparación, si lo desea (opcional). No ofrecemos recompensas económicas por los informes.

Alcance y puerto seguro. La investigación de seguridad de buena fe que sigue esta política, permanece dentro de sus propias cuentas, evita degradar el Servicio para otros y no accede a datos que no sean los suyos no se considerará una violación de nuestra Política de uso aceptable o Términos de servicio. No intente acceder a los datos de otro centro ecuestre o de otro jinete, y no ejecute pruebas automáticas de raspado o denegación de servicio contra el Servicio.

10. Registro de cambios