Quién trata tus datos
El responsable del tratamiento es Luyten Gallery, S.L. (NIF B21619937), que presta este servicio bajo el nombre comercial ArtBidHere.
Para cualquier cuestión de privacidad, usa el formulario de contacto. La dirección de correo de la sociedad figura en el Aviso legal.
No hemos designado delegado de protección de datos: por el tipo y el volumen de datos que tratamos, la normativa no lo exige.
Qué datos tratamos, para qué y con qué base legal
Si haces una oferta por una obra
| Dato | Para qué | Base legal |
|---|---|---|
| Tu correo electrónico | Verificar que la oferta es tuya, avisarte de su resultado y dárselo al vendedor si ganas | Ejecución de las condiciones que aceptas al pujar (art. 6.1.b RGPD) |
| Tu teléfono | Que el vendedor pueda llamarte. Es obligatorio para pujar. No lo verificamos: nunca enviamos SMS | Art. 6.1.b |
| Tu preferencia sobre el aviso de «te han superado» | Enviarte solo ese aviso si no lo has desactivado | Art. 6.1.b |
| El importe y el momento de cada oferta | Determinar la oferta más alta y dejar constancia | Art. 6.1.b |
| Tu idioma y tu zona horaria | Escribirte en tu idioma y darte la hora de cierre en tu reloj | Art. 6.1.b |
| Una huella de tu dirección IP | Limitar el número de intentos y evitar el abuso del envío de códigos. No guardamos la IP, sino un valor derivado del que no puede recuperarse | Interés legítimo en la seguridad del servicio (art. 6.1.f) |
Nunca te pedimos tu nombre. Para pujar basta un correo electrónico verificado y un teléfono. No hay cuenta ni contraseña: tu dirección identifica tus ofertas, y el navegador recuerda durante 30 días que la verificaste. Desde «Mis datos», en la página de cualquier obra, puedes cambiar el teléfono o hacer que este dispositivo te olvide; en tu página de pujador ves todas tus ofertas.
Nunca te cobramos nada. ArtBidHere no procesa ni custodia dinero por las obras.
Si abres la página de una obra
Contamos cuántas personas abren la página pública de cada obra, para que quien la expone sepa si alguien llegó a verla. Lo hacemos sin cookie y sin guardar tu dirección IP ni tu navegador: guardamos una huella de ambos y del día, calculada con una clave que cambia cada día y se borra al terminar, de modo que no puede recuperarse ni relacionarse con otro día. Junto a esa huella guardamos por qué vía llegó la visita —el QR de la etiqueta, un enlace que el vendedor compartió en Instagram, en un mensaje o en un correo, o su propia web—, tomada de una marca que lleva el enlace y no de ti. El vendedor solo ve el número y cuántas visitas llegaron por cada vía. La base legal es nuestro interés legítimo en decirle al vendedor si su etiqueta y sus enlaces se ven (art. 6.1.f RGPD). Esas huellas se borran 90 días después de cerrarse la obra.
Si ves la obra en un recuadro dentro de la web del vendedor, o en la página propia del vendedor, no contamos nada ni guardamos ninguna cookie: la visita se cuenta cuando abres la página de la obra.
Si eres vendedor
Tratamos la dirección de correo con la que accedes, tu contraseña —solo como un resumen criptográfico del que no puede recuperarse—, el nombre público con el que te presentas, los datos de contacto que decidas publicar, y la información de las obras que creas. Si entras con Google o Apple, cuando se ofrezca, lo único que recibimos de ellos es tu dirección de correo y que la han verificado; no conservamos ninguna sesión suya. La base legal es la ejecución de las Condiciones del servicio.
Los datos de facturación y de pago los trata Stripe directamente. Nosotros no vemos ni almacenamos números de tarjeta en ningún momento; conservamos el importe, el impuesto aplicado, el país de facturación y el identificador de la operación, porque la normativa fiscal y contable obliga a ello (art. 6.1.c).
Si nos escribes
El formulario de contacto trata tu dirección de correo, el asunto y el mensaje, y un código de seis dígitos que confirma que la dirección es tuya, porque respondemos por correo. Base legal: atender tu consulta (art. 6.1.b) y el interés legítimo en que el formulario no pueda usarse para enviar mensajes en nombre de otro (art. 6.1.f). También aquí usamos la huella de la dirección IP, solo para limitar los intentos.
Con quién los compartimos
Damos tu correo electrónico y tu teléfono al vendedor de esa obra desde que tu oferta queda registrada, ganes o no. Esa es la finalidad principal del servicio y la aceptas al pujar: haces una oferta de compra a una galería o a un artista, y quien la recibe sabe de quién es.
No es público y no se comparte con nadie más. Tu dirección no aparece en la página de la obra, no se la damos a otros pujadores y no la usamos para nada que no sea esta obra. Si tu oferta es la más alta, además, el vendedor se compromete a dirigirse a ti primero durante una hora, tal y como se explica en las condiciones.
Además, prestan servicios por nuestra cuenta, como encargados del tratamiento:
| Proveedor | Para qué | Dónde se tratan los datos |
|---|---|---|
| Supabase | Base de datos y almacenamiento de las imágenes | Fráncfort, Alemania (Unión Europea) |
| Vercel | Alojamiento y ejecución de la aplicación | Fráncfort, Alemania (Unión Europea) |
| Brevo | Envío de los correos del servicio | Unión Europea |
| Stripe | Cobro de la tarifa al vendedor | Unión Europea y Estados Unidos |
Todos los tratamientos de la aplicación ocurren en la Unión Europea. Stripe y Vercel son sociedades con matriz en Estados Unidos: cualquier transferencia internacional que pueda producirse en su seno está amparada por las garantías previstas en el capítulo V del RGPD —cláusulas contractuales tipo y, en su caso, el marco de adecuación entre la UE y EE. UU.
No vendemos datos y no hacemos perfilado ni decisiones automatizadas con efectos jurídicos sobre ti. Lo que sí comunicamos a las plataformas publicitarias, y solo con tu consentimiento, se explica en el apartado siguiente.
Analítica y publicidad
En la portada, en las páginas de marketing y legales y en las pantallas del vendedor —nunca en las páginas donde un coleccionista hace una oferta, en la página propia del coleccionista, en la página propia del vendedor, en el recuadro de la web del vendedor ni en el panel de administración— usamos tres servicios de terceros, cada uno solo si lo has aceptado en el aviso de cookies o en el enlace «Preferencias de cookies»:
| Proveedor | Para qué | Papel | Dónde |
|---|---|---|---|
| Google Ireland Ltd (Google Analytics 4, Google Ads) | Qué páginas se leen y dónde se abandona; si uno de nuestros anuncios llevó a una cuenta o a una compra | Encargado para la analítica; corresponsable con nosotros para la medición de anuncios | Unión Europea y Estados Unidos |
| Meta Platforms Ireland Ltd (píxel de Meta y API de conversiones) | Mostrar nuestros propios anuncios a quien ha visitado este sitio, y si un anuncio llevó a una cuenta o a una compra | Corresponsable con nosotros para la medición | Unión Europea y Estados Unidos |
| Microsoft Ireland Operations Ltd (Clarity) | Grabaciones y mapas de calor de cómo se usan las páginas, con los campos de formulario y los datos de contacto de coleccionistas enmascarados | Encargado | Unión Europea y Estados Unidos |
La base jurídica es tu consentimiento (art. 6.1.a RGPD y art. 22.2 LSSICE), prestado en el aviso, categoría por categoría, y revocable en cualquier momento desde «Preferencias de cookies» al pie de cada página. Revocarlo no afecta a lo tratado lícitamente antes. Sin tu consentimiento, la etiqueta de Google funciona en lo que Google llama Consent Mode: no pone ninguna cookie ni envía ningún identificador, solo una señal agregada de que se ha mostrado una página, con la que Google estima resultados.
Qué se envía, y cuándo. Si diste tu consentimiento a Publicidad y creas una cuenta de vendedor o pagas créditos, tu navegador se lo comunica a Google Ads (con el importe de una compra, nunca con tu dirección) y nuestro servidor se lo comunica a Meta, junto con tu dirección de correo transformada con SHA-256 —una huella de un solo sentido que Meta puede cotejar con sus propios usuarios pero no convertir de nuevo en una dirección—, el identificador de clic del anuncio por el que llegaste, si lo hay, y el importe. A Google nunca se envía ninguna dirección de correo, ni siquiera transformada. Sin consentimiento a Publicidad no se envía nada que te identifique a ninguno de los dos: Meta no recibe nada, y Google Ads solo una señal anónima y sin cookies de que hubo un registro o una compra, con el identificador de clic del anuncio eliminado antes de salir de tu navegador.
También guardamos, en tu cuenta de vendedor, los parámetros de campaña y los identificadores de clic que contenía la dirección por la que llegaste (`utm_*`, `gclid`, `fbclid` y similares), con la misma finalidad y mientras exista la cuenta. Desaparecen al borrarla.
Google, Meta y Microsoft son sociedades con matriz en Estados Unidos; cualquier transferencia internacional en su seno está amparada por el Marco de Privacidad de Datos UE–EE. UU., al que las tres están adheridas, y por cláusulas contractuales tipo donde aquel no aplique. Sus propias políticas explican qué hacen con los datos como responsables: Google, Meta y Microsoft.
Cuánto tiempo los conservamos
- La página pública de una obra deja de responder a los 7 días de cerrarse la obra. Deja de
responder: no se borra nada y el vendedor conserva el resultado.
- Las huellas de quién abrió la página de una obra se borran 90 días después de cerrarse
la obra; la clave del día con que se calcularon, al terminar ese día.
- Todo lo demás se conserva mientras exista la cuenta. Una obra, su resultado y los datos de
contacto de quienes pujaron por ella se guardan mientras la cuenta del vendedor siga abierta. No se borran por plazo. Una venta de arte puede tardar un año en cerrarse, quien puja en una feria compra a menudo en la siguiente, y unos datos que desaparecieran solos se llevarían por delante el registro del propio negocio del vendedor.
- Puedes borrarlos tú, cuando quieras. Al eliminar una cuenta de vendedor se borra su
espacio, sus obras, sus imágenes y los datos de contacto de los pujadores que contenga: en el acto y de forma definitiva. No hay plazo de espera ni hace falta pedírnoslo.
- No borramos una cuenta sin avisarte antes. Si alguna vez tuviéramos que cerrar una cuenta
inactiva desde hace mucho, escribiríamos a la dirección con la que está registrada y te daríamos tiempo para exportar lo tuyo o para oponerte.
- Cualquier pujador puede pedirnos que borremos sus datos de contacto cuando quiera, y lo
hacemos en un plazo de 30 días. Pídelo por el formulario de contacto.
- Los datos de facturación se conservan mientras lo exija la normativa mercantil y fiscal.
Esos no podemos borrarlos aunque nos lo pidas, y lo decimos claramente.
- Los registros de envío de correo se conservan el tiempo necesario para acreditar la
entrega y atender incidencias.
Conservar los datos mientras exista la cuenta es una decisión, y es la honesta: un plazo que vaciara en silencio los resultados de una galería causaría justo el daño que dice evitar. El control está en tus manos, no en un temporizador.
Tus derechos
Puedes pedirnos en cualquier momento:
- Acceso a los datos que tenemos sobre ti.
- Rectificación de los que sean inexactos.
- Supresión de tus datos.
- Limitación u oposición al tratamiento.
- Portabilidad de los datos que nos hayas facilitado.
- Retirar tu consentimiento cuando el tratamiento se base en él, sin que ello afecte a lo
ya tratado.
Pídelo por el formulario de contacto desde la dirección sobre la que preguntas, o indicando cuál es. Respondemos en el plazo que marca el RGPD.
Si crees que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es), autoridad de control competente en España.
Menores de edad
Este servicio no está dirigido a menores de 18 años y no debe utilizarse por ellos.
Cambios
Si cambiamos esta política, publicaremos aquí la versión nueva con su fecha. Las aceptaciones ya registradas siguen refiriéndose a la versión que estaba en vigor cuando se hicieron.