Política de privacidad

AutoBastas respeta tu privacidad y trata tus datos personales conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

1. Responsable del tratamiento

• Titular: Bern Vich Susanna
• NIF: 47127140W
• Domicilio: Carrer Mare de Déu de la Salut 5, Tordera (Barcelona), España
• Email de contacto: admin@autobastas.es

No estamos obligados a designar Delegado de Protección de Datos (DPO) por no concurrir los supuestos del art. 37 RGPD ni del art. 34 LOPDGDD. Si en el futuro se designa, se actualizará esta política.

2. Datos que tratamos

Tratamos únicamente los datos necesarios para prestar el Servicio:

• Datos de cuenta: email, contraseña (almacenada con hash Argon2), nombre opcional, preferencias.
• Datos de uso: subastas favoritas, alertas configuradas, análisis ejecutados, historial de actividad.
• Datos de facturación: nombre fiscal, NIF/CIF, dirección, historial de facturas. Los datos completos de tarjeta los gestiona Stripe; nosotros sólo conservamos los 4 últimos dígitos y la marca como referencia.
• Datos técnicos: dirección IP, User-Agent, identificadores de sesión, logs de acceso y eventos del Servicio.
• Comunicaciones: mensajes que nos envíes a soporte y respuestas asociadas.

No solicitamos categorías especiales de datos (salud, ideología, religión, datos biométricos). Si voluntariamente nos los aportas en una comunicación, los trataremos únicamente para responder a tu consulta.

La documentación oficial de las subastas (publicada por organismos oficiales en subastas.boe.es) puede contener datos personales de terceros (DNI/NIE, nombres). AutoBastas accede a esos datos únicamente para reflejar la información pública oficial; no los utiliza con fines comerciales, no los enriquece con perfiles y aplica medidas de redacción en logs.

3. Finalidades y bases jurídicas

• Prestación del Servicio (gestión de cuenta, ejecución de alertas, análisis) — base: ejecución del contrato (art. 6.1.b RGPD).
• Facturación y obligaciones fiscales — base: obligación legal (art. 6.1.c RGPD).
• Comunicaciones transaccionales (recibos, avisos de cobro fallido, fin de prueba, cancelación) — base: ejecución del contrato y obligación legal. No admiten opt-out.
• Comunicaciones comerciales y newsletters — base: consentimiento (art. 6.1.a RGPD), revocable en cualquier momento con un clic.
• Seguridad y prevención del fraude — base: interés legítimo (art. 6.1.f RGPD) en proteger el Servicio y a sus Usuarios.
• Mejora del Servicio (analítica agregada, depuración) — base: interés legítimo, con datos minimizados y sin elaborar perfiles individuales con efectos jurídicos.
• Cumplimiento de requerimientos legales y judiciales — base: obligación legal.

4. Plazos de conservación

• Datos de cuenta: mientras la cuenta esté activa. Tras la baja, se conservan bloqueados durante los plazos legales (hasta 6 años en cuestiones mercantiles y fiscales) y se eliminan transcurridos esos plazos.
• Datos de facturación: 6 años (Código de Comercio, art. 30) y los plazos tributarios aplicables.
• Logs técnicos y de seguridad: hasta 12 meses salvo necesidad de mayor conservación por incidente o requerimiento.
• Consentimientos marketing: hasta su revocación.

5. Destinatarios y encargados del tratamiento

Para prestar el Servicio compartimos datos con proveedores que actúan como encargados de tratamiento bajo contrato conforme al art. 28 RGPD:

• Amazon Web Services EMEA SARL — hosting, almacenamiento y email transaccional (región eu-west-1, Irlanda).
• Stripe Payments Europe, Ltd. — procesamiento de pagos (Irlanda, con transferencias intragrupo a EE. UU. bajo cláusulas contractuales tipo y DPF).
• Resend / proveedor de email transaccional — envío de correos del Servicio.
• Proveedores de modelos de IA — para la funcionalidad de análisis automatizado. La documentación enviada procede del BOE (información pública). No se envían datos personales internos de cuenta a estos proveedores salvo los estrictamente necesarios para la prestación.

No vendemos datos personales a terceros. Las cesiones a autoridades se realizan únicamente cuando exista obligación legal o requerimiento judicial.

6. Transferencias internacionales

Algunos proveedores pueden tratar datos fuera del EEE. Cuando esto sucede, exigimos garantías adecuadas conforme al art. 46 RGPD: decisiones de adecuación (p. ej. EU-US Data Privacy Framework cuando aplique), cláusulas contractuales tipo y, si procede, medidas suplementarias técnicas y organizativas (cifrado en tránsito y en reposo, control de acceso, registros de auditoría).

7. Decisiones automatizadas y elaboración de perfiles

AutoBastas ofrece análisis automatizados de subastas mediante IA, pero no toma decisiones automatizadas con efectos jurídicos ni significativos sobre las personas usuarias. Las recomendaciones del análisis son orientativas y la decisión final corresponde íntegramente al Usuario.

8. Tus derechos

Como titular de los datos, te asisten los derechos de: acceso, rectificación, supresión (“al olvido”), limitación del tratamiento, oposición, portabilidad y a no ser objeto de decisiones automatizadas con efectos jurídicos. Puedes ejercerlos:

• Desde tu panel: edición y eliminación de la cuenta desde tu perfil.
• Por email a admin@autobastas.es indicando el derecho que ejerces y acreditando tu identidad.

Responderemos en el plazo máximo de un mes (prorrogable a dos en casos complejos, comunicándolo previamente).

También puedes retirar el consentimiento prestado en cualquier momento, sin que ello afecte a la licitud del tratamiento previo, y presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD).

9. Seguridad

Aplicamos medidas técnicas y organizativas apropiadas conforme al art. 32 RGPD: cifrado en tránsito (TLS) y en reposo, hashing de contraseñas con Argon2, autenticación con cookies httpOnly+Secure y CSRF token, segregación de entornos, principio de mínimo privilegio en el acceso a datos, registros de auditoría y procedimientos de notificación de incidentes.

En caso de violación de seguridad con riesgo para tus derechos, lo notificaremos a la AEPD en un plazo de 72 horas y, cuando proceda, también a las personas afectadas.

10. Menores

El Servicio se dirige a personas mayores de edad. No recogemos conscientemente datos de menores de 14 años. Si detectamos un tratamiento por error, eliminaremos los datos sin demora.

11. Cookies

El uso de cookies y tecnologías similares se describe en la Política de Cookies.

12. Modificaciones

Esta política puede actualizarse para adaptarla a cambios normativos o del Servicio. La versión vigente es siempre la publicada en esta URL con la fecha indicada arriba. Los cambios sustanciales se comunicarán por email y/o mediante aviso en el panel.

13. Contacto

Para cualquier consulta relacionada con la privacidad y la protección de datos:
admin@autobastas.es