Tus datos, en tu dispositivo y bajo tu control
Sin contraseñas en nuestros servidores, por diseño
No guardamos contraseñas. Punto. Inicias sesión con tu cuenta de Google o con un código de un solo uso que te enviamos por correo electrónico, así que tu cuenta no tiene contraseña. La única contraseña es la contraseña de cifrado de cada espacio de trabajo, y nunca sale de tu dispositivo.
El cifrado se aplica automáticamente a nivel de espacio de trabajo. Cuando creas un espacio de trabajo, sus claves de cifrado se generan en tu dispositivo y solo llegan a nuestros servidores bloqueadas, de una forma que no podemos abrir.Cómo tratamos tu información
Todo se queda en tu dispositivo
Esta es nuestra idea radical: tus datos siempre están bajo tu control. Para tu comodidad, sincronizamos automáticamente copias cifradas entre tus dispositivos, y los datos se cifran antes de salir de tu dispositivo. Nuestros servidores solo ven los datos de tu cartera y de tu Wallet como bloques cifrados, nunca de forma legible. Consulta cómo instalar Turbobulls en el ordenador y en el móvil para tenerlo en todos tus dispositivos.Los espacios de trabajo se cifran por defecto
Cuando creas un espacio de trabajo, eliges una contraseña de cifrado exclusiva para él. Tu dispositivo genera al azar las claves del espacio de trabajo y, después, deriva de esa contraseña una clave aparte mediante métodos criptográficos (PBKDF2-SHA-256), con la que bloquea esas claves.
La contraseña del espacio de trabajo no se guarda en ningún sitio, ni en tu dispositivo ni en nuestros servidores, y nunca se nos envía. La clave que se deriva de ella tampoco sale nunca de tu dispositivo. En nuestros servidores solo quedan las claves bloqueadas, que solo pueden abrir tu contraseña o tu clave de recuperación.
Cómo funcionan las claves en conjunto: cuando creas un espacio de trabajo, tu dispositivo genera un par de claves RSA-OAEP (2048 bits) y una clave de datos aleatoria de 256 bits. La clave de datos cifra y descifra los datos reales de tu espacio de trabajo con AES-256-GCM, con un valor aleatorio nuevo para cada registro, y solo se guarda cifrada con la clave pública del espacio de trabajo. La clave privada que la abre solo se guarda cifrada con la clave derivada de tu contraseña, y una segunda copia se guarda cifrada con tu clave de recuperación.
Si cambias la contraseña, la misma clave de datos se vuelve a bloquear con la nueva y recibes una clave de recuperación nueva, así que tus datos nunca tienen que volver a cifrarse.
Las claves de cifrado se generan en tu dispositivo cuando creas un espacio de trabajo. Solo llegan a nuestros servidores bloqueadas, y la contraseña y la clave de recuperación que las abren nunca se transmiten. Para tu comodidad, la clave derivada de tu contraseña se guarda en la caché de tu navegador, de modo que este dispositivo no te pide la contraseña en cada visita, pero no se puede exportar: la app puede usarla para desbloquear tus datos, pero no puede extraer ni leer la clave en sí. Al cerrar sesión, se borra.
Usamos la Web Crypto API para todas las operaciones de cifrado y para generar números aleatorios.
Garantías de seguridad
Filtraciones de la base de datos: los datos cifrados de nuestra base de datos no se pueden leer sin la contraseña de tu espacio de trabajo o su clave de recuperación. El cifrado AES-GCM, con las claves bloqueadas bajo una clave derivada mediante PBKDF2, mantiene tus datos seguros aunque alguien consiga acceder a la base de datos.
Descifrado no autorizado: tu clave privada se cifra con claves derivadas de la contraseña de tu espacio de trabajo y de tu clave de recuperación. Sin ninguna de las dos, descifrarla es computacionalmente inviable.
Extracción de claves: la clave que guarda tu navegador se almacena como no exportable en su Web Crypto API. Puede realizar operaciones criptográficas, pero no se puede leer, copiar ni transmitir.
Acceso desde el servidor: los datos de tu cartera y de tu Wallet se cifran en tu dispositivo antes de sincronizarse. Nuestros servidores solo los almacenan como bloques cifrados, con las claves bloqueadas, y nunca tienen nada con lo que abrirlos.
Ataques a la cadena de suministro - que alguien sustituya nuestro código por versiones maliciosas
Manipulación directa de la base de datos - escrituras o borrados no autorizados
Detección de patrones de actividad - podemos ver cuándo se realizan operaciones y de qué tipo, pero no su contenido
La diferencia entre cifrado y cifrado de extremo a extremo
Verás que otras apps de seguimiento de carteras dicen «tus datos están cifrados» o hablan de «seguridad de nivel bancario». Te explicamos por qué eso no es lo mismo que lo que hacemos nosotros.«Cifrado» no significa privado
Cifrado en tránsito y en reposo significa:
- Los datos van cifrados mientras viajan entre tu dispositivo y sus servidores (HTTPS)
- Los datos se cifran cuando se guardan en su base de datos (cifrado en reposo)
Pero hay un detalle importante: las claves de cifrado las tienen ellos. Pueden descifrar tus datos cuando quieran. Cuando consultas el panel de tu cartera, los gráficos o los análisis, sus servidores están leyendo tus datos sin cifrar para generar esas funciones.
«Cifrado» solo significa que tus datos están protegidos frente a hackers externos o frente a alguien que robe sus discos duros. No impide que ellos vean tus datos.
El cifrado de extremo a extremo es distinto
Solo tú puedes abrir las claves. Tus datos se cifran en tu dispositivo, y las claves que los abren están bloqueadas con la contraseña de tu espacio de trabajo. Nunca vemos esa contraseña, y esas claves solo las tenemos bloqueadas.
Nuestros servidores solo ven bloques cifrados. Cuando tus datos se sincronizan, almacenamos información ininteligible. No podemos descifrarla, no podemos analizarla y no podemos ver tus posiciones ni sus valores, aunque quisiéramos.
Nada se procesa en el servidor. No podemos ofrecer funciones que necesiten leer los datos de tu cartera (recomendaciones con IA, análisis en el servidor) porque, sencillamente, no tenemos acceso a ellos.
Qué sale realmente de tu dispositivo
Cuando Turbobulls sincroniza, cada operación guardada viaja como un paquete cifrado: el texto cifrado más el vector de inicialización necesario para descifrarlo con una clave que solo tu dispositivo puede abrir. Los importes, los tickers y las notas que escribiste van dentro de ese texto cifrado, no junto a él.
{
"amount": 1234.56,
"ticker": "AAPL",
"note": "monthly dca",
"date": "2026-07-27"
}{
"action": "transaction added",
"encrypted": "k3JhbmRvbS1sb29raW5nIGJhc2U2...",
"iv": "9tK2fQ7xW1pL4mNz",
"created_at": "2026-07-27T14:22:31Z"
}La diferencia de fondo: la petición de una app de seguimiento que procesa los datos en su servidor incluye tus cifras en un formato legible, porque su servidor necesita leerlas para funcionar. La petición de Turbobulls no puede incluirlas en un formato legible, porque el cifrado ya se ha hecho en tu dispositivo. Cuando los datos llegan, el servidor no tiene nada que pueda leer.
Por qué otras apps no lo hacen
El E2EE real es más difícil de desarrollar y limita las funciones. La mayoría de las apps de seguimiento de carteras necesitan ver tus datos para:
- Generar análisis de la cartera en sus servidores
- Ofrecer recomendaciones con IA
- Crear informes de rentabilidad
- Mostrarte paneles sin un procesamiento intensivo en tu dispositivo
Tienes las mismas funciones, solo que se procesan en tu dispositivo en lugar de en nuestros servidores.
Si una app afirma a la vez:
- «Tus datos están totalmente cifrados y son privados»
- Y «Te ofrecemos análisis y recomendaciones de cartera con IA»
Probablemente una de las dos afirmaciones es engañosa. Un análisis con IA en el servidor exige leer tus datos sin cifrar.
Por eso nos importa tanto: gestionamos nuestras propias carteras con esta app. Cada decisión de seguridad protege nuestro dinero tanto como el tuyo. No hay mejor motivación para una buena seguridad que el propio interés.
¿Tienes preguntas? Hemos creado este sistema porque nosotros también somos usuarios. Tu privacidad no es una función más, es la base de todo. Escríbenos
Recibe estas guías por correo
Una idea de inversión útil, explicada con claridad. La Carta está en inglés y puedes darte de baja con un solo clic.
Sigue leyendo
Cifrado de extremo a extremo: por qué es importante para tus finanzas
Casi todas las apps de seguimiento de cartera pueden ver tus posiciones, saldos y operaciones. Por qué es un problema y cómo funciona un cifrado de extremo a extremo real.
Importa activos personalizados desde un archivo CSV o Excel
Añade muchos activos personalizados a la vez: uno por línea en un archivo CSV o Excel, una comprobación de lo que se va a añadir y una sola importación. Gratis, dentro de los límites de tu plan.
Precios para tus activos personalizados desde tu propio proveedor de datos
Vincula un activo personalizado a EODHD, Twelve Data, Alpha Vantage, Finnhub o a un feed tuyo con el Turbobulls Connector, gratuito, para que sus precios se mantengan al día solos. Tu clave API se queda en tu dispositivo.