Política de privacidad

1. Responsable

El responsable del tratamiento de datos en esta web es:
Tim Schneider
TradeDay&Night (Einzelunternehmen)
Cranachstr. 2
64546 Mörfelden-Walldorf
Alemania
kontakt@tradedaynight.de

No se ha designado un delegado de protección de datos. No se alcanzan los umbrales legales del § 38 BDSG (ley federal alemana de protección de datos).

2. Qué datos tratamos

Durante la explotación de la plataforma se tratan los siguientes datos:

• Datos de la cuenta: Dirección de correo electrónico, nombre de usuario, contraseña (guardada solo como valor hash), momento del registro y del inicio de sesión. El nombre de usuario lo eliges tú al registrarte (de 3 a 20 caracteres, modificable como máximo cada 30 días). Es visible públicamente (por ejemplo, en tu mesa, en las valoraciones y en el chat), por lo que no debería contener ni tu nombre completo ni datos de contacto. Tu fecha de nacimiento solo la pedimos al registrarte para comprobar que eres mayor de edad; guardamos únicamente el momento de esta confirmación, no la fecha.
• Inicio de sesión con Google o Apple: Si inicias sesión con tu cuenta de Google, Google nos transmite tu dirección de correo electrónico, tu nombre y un identificador de tu cuenta de Google; con ellos creamos tu cuenta o te damos acceso. No conocemos tu contraseña de Google. El proveedor es Google Ireland Limited (Irlanda); es posible una transferencia a Google LLC (EE. UU.). El inicio de sesión con Apple (Apple Distribution International Ltd., Irlanda) lo ofreceremos en cuanto esté habilitado; allí puedes ocultar tu dirección de correo electrónico. La base jurídica es la ejecución del contrato de uso (art. 6.1.b del RGPD).
• Datos del perfil: Condición de vendedor, estado de la membresía, valoraciones.
• Contenidos: Ofertas, imágenes de producto, mensajes del chat, propuestas de precio y de intercambio entre usuarios. Si alguien cambia el precio de una carta, publica una carta nueva o borra una, guardamos el título de la carta, el precio –en un cambio, el anterior y el nuevo; en una carta borrada, el último–, quién lo hizo y cuándo; solo el titular de la mesa puede verlo. Pasados doce meses borramos estas entradas automáticamente.
• Los chats y su conservación: Los mensajes, ofertas e imágenes del chat de una solicitud solo los ven las partes; en el caso del vendedor, también sus colaboradores autorizados. Con «Ocultar para mí» quitas un chat terminado de tu lista. Los chats sin compra pagada los eliminamos en cuanto todas las partes los han ocultado y, si no, siete días después de su finalización. En una compra pagada eliminamos el contenido del chat (mensajes e imágenes) doce meses después del último cambio del pedido; la solicitud, el pedido, la valoración y la línea con la oferta aceptada se conservan como justificante. Mientras haya un problema o un litigio abierto o una denuncia sobre el chat pendiente de decisión, no eliminamos nada. La base jurídica es el art. 6.1.b del RGPD (ejecución de la operación) y la letra f del RGPD (prueba en caso de contracargos y reclamaciones derivadas de la compra). También se considera finalizado un chat sin compra en el que no ha pasado nada durante 30 días; anunciamos el borrado de antemano en el chat. Además, te informamos por correo electrónico de los mensajes, ofertas y solicitudes nuevos del chat. Puedes darte de baja de estos correos en cualquier momento, en «Mi cuenta» → «Notificaciones» o a través del enlace que figura en cada uno de ellos; para ello guardamos por cuenta un identificador aleatorio que eliminamos junto con la cuenta. Los avisos en la app no se ven afectados, y los correos sobre pedidos, pagos, plazos y la seguridad de tu cuenta te seguirán llegando.
• Fotos y vídeos: Al subirlas, reducimos las fotos y eliminamos los datos incrustados, como la cámara, el momento y el lugar de la toma; en los vídeos eliminamos el lugar de grabación. Las fotos y los vídeos de tus cartas son visibles públicamente mientras la carta esté a la venta.
• Dirección de envío: Nombre, apellidos, calle, número, código postal, localidad y país. Estos datos solo se le muestran a la otra parte contratante cuando un trato se ha confirmado de forma vinculante y se ha pagado; antes no son visibles para la otra parte. No pedimos ningún número de teléfono ni guardamos ninguno mientras no ofrezcamos etiquetas de envío; los números indicados antes de forma voluntaria los hemos borrado.
• Datos del pedido y del pago: Número de pedido, importe, gastos de envío, porcentaje de comisión, estado del pedido, momentos del pago, del envío y de la confirmación de recepción, así como el identificador del pago en el proveedor de pagos. Los datos de tarjetas de crédito, de cuentas bancarias y de documentos de identidad no los tratamos nosotros, sino exclusivamente el proveedor de pagos Stripe; nosotros no los vemos en ningún momento.
• Métodos de pago en la compra: El pago se realiza en la página de pago de Stripe. Qué métodos de pago aparecen allí depende de tu país, del importe y de tu dispositivo: tarjeta, Apple Pay, Google Pay, Link (datos de pago guardados en Stripe), transferencia bancaria, iDEAL, Bancontact, EPS, Przelewy24, Revolut Pay, Amazon Pay, MobilePay, MB WAY, Multibanco y Satispay. Introduces tus datos de pago directamente en Stripe o en el servicio correspondiente; nosotros solo vemos el importe, el momento, el método de pago y el identificador del pago. Según el método de pago, tratan además los datos bajo su propia responsabilidad: las redes de tarjetas y tu banco; Apple o Google para la autorización en tu dispositivo (Apple Pay, Google Pay); en Revolut Pay, Amazon Pay, MobilePay, MB WAY y Satispay, el proveedor correspondiente; en iDEAL, Bancontact, EPS, Przelewy24, Multibanco y la transferencia bancaria, tu banco y el operador del sistema. Se aplican sus respectivas políticas de privacidad. La base jurídica es el art. 6, apdo. 1, letra b) del RGPD. Si Stripe te ofrece PayPal, PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburgo) trata además tus datos bajo su propia responsabilidad.
• Contracargos: Si un comprador revierte un pago a través de su banco, transmitimos al proveedor de pagos Stripe pruebas del pedido, que Stripe reenvía al banco del comprador: número de pedido, tipo de pedido y títulos de las cartas, nombre de la mesa con la indicación de si se vende como particular o como profesional, nombres de usuario del vendedor y del comprador en TradeDay&Night, importe y momento del pago, transportista, número de seguimiento y fecha de envío, código postal y país de la dirección de entrega, si se confirmó la recepción y cuándo, y el historial del pedido (pago, envío, recepción, problemas notificados, reembolsos). Si eso no basta, en casos concretos añadimos otras pruebas del pedido, por ejemplo, un extracto de su chat. La base jurídica es nuestro interés legítimo y el del vendedor en rechazar contracargos injustificados (art. 6.1.f del RGPD).
• Saldos de las cuentas de cobro de los vendedores: Una vez al día consultamos en Stripe el saldo de cada cuenta de cobro de vendedor –importe, moneda y si está configurado el adeudo directo para un saldo negativo– y guardamos en la cuenta del vendedor solo el último estado; solo nosotros podemos verlo. Así detectamos un saldo negativo, por ejemplo tras un contracargo, y podemos reclamar los importes pendientes. Al sincronizar la cuenta de cobro guardamos además el país y la moneda de la cuenta bancaria vinculada y si Stripe puede compensar un saldo negativo mediante adeudo directo; de ello depende el plazo de espera antes de la liquidación (7 o 30 días). La base jurídica es el art. 6.1.b y f del RGPD.
• Edad mínima de los vendedores: Cada vez que conciliamos la cuenta de cobro de un vendedor, comprobamos si Stripe registra al titular de la cuenta como menor de edad: a partir de la fecha de nacimiento, si Stripe nos la transmite, y de si Stripe exige o ha registrado a un tutor legal. Solo guardamos el resultado, no la fecha de nacimiento. Si el titular tiene menos de 18 años, abrir una mesa y vender quedan bloqueados, porque TradeDay&Night solo puede usarse a partir de 18 años. La base jurídica es el art. 6.1.b y f del RGPD.
• Reclamaciones pendientes y cobro: Si un usuario nos debe un importe después de un contracargo, guardamos la reclamación con la cuenta, el pedido, el importe, la comisión, el motivo y el estado. Si sigue sin pagarse, podemos cederla a una agencia de cobro junto con los datos necesarios para ello: nombre, dirección, dirección de correo electrónico, pedido e importe; esto solo ocurre si hay una reclamación pendiente. La base jurídica es nuestro interés legítimo en hacer valer nuestras reclamaciones (art. 6.1.f del RGPD). Los datos de la reclamación los conservamos como los demás datos de pedidos y pagos (apartado 6).
• Documentación para una denuncia en un intercambio parcial: Si en un intercambio parcial un vendedor no devuelve dentro del plazo las cartas del comprador, ponemos a disposición del comprador la documentación para una denuncia. Además de los datos del pedido, contiene el nombre y la dirección del vendedor –la dirección de envío que ya se había facilitado al comprador para el intercambio parcial– y, en el caso de vendedores profesionales, los datos del vendedor. La base jurídica es el interés legítimo del comprador en reclamar sus cartas y denunciar los hechos (art. 6.1.f del RGPD). A las autoridades encargadas de la investigación les facilitamos estos datos si nos los solicitan (art. 6.1.c o f del RGPD).
• Ubicación aproximada: Al abrir una página, nuestro alojador Vercel deduce de tu dirección IP tu país y una ubicación aproximada (más o menos a nivel de ciudad) y transmite ambos datos a nuestros servidores. Utilizamos esta información únicamente para mostrar las ferias y las mesas de los vendedores ordenadas por proximidad y para decirte si una mesa envía a tu país. Si has iniciado sesión y tienes guardada una dirección de envío, utilizamos en su lugar el país de esa dirección. Los datos no se guardan, no se vinculan con tu cuenta y no se ceden a terceros; no se muestra ni se oculta nada, solo cambia el orden. La base jurídica es nuestro interés legítimo en una presentación clara y adecuada para ti (art. 6.1.f del RGPD). Además, elegimos el idioma según ese país cuando abres una dirección sin indicación de idioma y ni un idioma elegido antes ni la configuración de idioma de tu navegador coincide con uno de nuestros idiomas.
• Datos fiscales de los vendedores: Los vendedores facilitan su nombre, dirección, fecha de nacimiento o número de inscripción en el Registro Mercantil, número de identificación fiscal, en su caso el número de identificación a efectos del IVA y, de forma voluntaria, sus datos bancarios. Según la ley alemana de transparencia fiscal de plataformas (PStTG, Directiva de la UE DAC7), los operadores de plataformas deben comunicar una vez al año a la Oficina Central Federal de Impuestos de Alemania (BZSt) los vendedores, el número de sus ventas, sus ingresos y las comisiones retenidas; la BZSt puede transmitir los datos a las autoridades tributarias de otros Estados de la UE. Solo se comunica a quien alcanza los umbrales legales (30 ventas o más de 2.000 € al año). Si faltan los datos cuando un vendedor pasa a estar obligado a ser comunicado, se los pedimos y se lo recordamos dos veces (a los 20 y a los 40 días); si a los 60 días no los tenemos, las nuevas ventas quedan en pausa hasta que los facilite (§ 22 PStTG). Comprobamos el número de identificación a efectos del IVA indicado – de los vendedores y, en compras para una empresa, también de los compradores – en el sistema de intercambio de información sobre el IVA (VIES) de la Comisión Europea; allí solo se envía el número y la respuesta indica si es válido y, en su caso, el nombre registrado para él. La base jurídica es el art. 6.1.c del RGPD. Los datos se conservan durante diez años, como exige la ley. Los vendedores sin datos fiscales pueden indicar de forma voluntaria en su cuenta de cobro una dirección de facturación (nombre o empresa y dirección) para que sus justificantes de comisión reciban un número (art. 6.1.b del RGPD); se puede eliminar en cualquier momento y se borra junto con la cuenta, mientras que los justificantes ya emitidos se conservan como facturas.
• Vendedores particulares: recuento, pausa de revisión y autodeclaración: En las mesas registradas como particulares contamos por año natural las ventas pagadas y su importe total. A partir de 20 ventas o 1.500 € lo advertimos; a partir de 30 ventas o 2.000 € las nuevas ventas quedan en pausa hasta que el vendedor haya facilitado sus datos fiscales completos y respondido a una autodeclaración (por ejemplo: ¿compras específicamente para revender? ¿vendes producto nuevo?). Para ello también analizamos las cartas de su mesa: con qué frecuencia aparece la misma carta y cuánto producto sellado hay. Si las respuestas no plantean dudas, la pausa termina automáticamente; si no, una persona revisa el caso. La pausa se produce automáticamente y es provisional; un bloqueo lo impone siempre una persona. En cualquier momento puedes pedir a través del formulario de contacto que una persona revise el caso. Conservamos el recuento, las respuestas y la decisión hasta el final del tercer año posterior al año natural afectado. Esto no conlleva ninguna comunicación a la administración tributaria. La base jurídica es nuestro interés legítimo y el de los compradores en que nadie se presente como particular si actúa como profesional (art. 6.1.f del RGPD).
• Registros según el § 22f de la ley alemana del IVA: Por cada venta en TradeDay&Night registramos lo que exige el § 22f de la ley alemana del IVA (UStG): nombre y dirección del vendedor (en vendedores particulares también la fecha de nacimiento; en profesionales, el correo electrónico y el número de IVA), número fiscal y datos bancarios si los conocemos, el país de envío, el país, el código postal y la localidad de entrega, la fecha y el importe, las cartas vendidas y el número de pedido. Si un vendedor cambia sus datos de vendedor o sus datos fiscales o elimina su cuenta, conservamos la versión anterior en la medida en que la necesiten ventas anteriores. Conservamos estos registros durante diez años y los facilitamos electrónicamente a la administración tributaria cuando lo solicita (§ 22f apdo. 4 UStG; art. 6.1.c RGPD). Quien sea comunicado según la ley alemana de transparencia fiscal de plataformas sabrá a más tardar el 31 de enero del año siguiente, por correo y en el área de vendedor, qué hemos comunicado. Los vendedores pueden descargar sus ventas en una tabla; contiene el nombre de usuario del comprador y el país, el código postal y la localidad de entrega, que reciben de todos modos para el envío.
• Datos de los vendedores profesionales: Los vendedores profesionales deben indicar a los compradores su nombre o razón social, su dirección y sus datos de contacto (§ 312l BGB, art. 246d EGBGB). Estos datos figuran en una página propia de la mesa. La dirección de correo electrónico solo aparece tras hacer clic; para ello contamos las consultas por visitante (con sesión iniciada, mediante el identificador de usuario; si no, mediante una clave no reversible derivada de la dirección IP) y eliminamos este recuento a los dos días, para que nadie recopile las direcciones automáticamente. El número de teléfono solo lo mostramos si el vendedor lo ha autorizado expresamente. Con cada pedido dejamos constancia de los datos tal como eran en el momento de la compra. La base jurídica es el art. 6.1.c del RGPD y, para el límite de consultas, la letra f.
• Lista de espera para más países: Si te apuntas a la lista de espera de un país en el que todavía no son posibles las cuentas de vendedor, guardamos en tu cuenta el país, el idioma de la página y el momento. En cuanto allí sean posibles las cuentas de vendedor, te escribimos un correo electrónico a la dirección de tu cuenta; 30 días después de ese correo borramos la inscripción. Puedes salir de la lista de espera en cualquier momento en el mismo lugar, y con tu cuenta también se borra la inscripción. La base jurídica es tu consentimiento (art. 6.1.a del RGPD), que retiras al salir de la lista de espera.
• Lista de lanzamiento: Si te apuntas a la lista de lanzamiento antes de la apertura, guardamos tu correo electrónico, el idioma de la página, la versión del texto de consentimiento y las fechas de inscripción y confirmación, sobre la base de tu consentimiento (art. 6, apartado 1, letra a, del RGPD). Primero recibes un correo para confirmar; sin confirmación, borramos la inscripción a los 7 días. En el lanzamiento te enviamos un solo correo y después borramos la dirección. Puedes darte de baja en cualquier momento con el enlace del correo de confirmación; así retiras tu consentimiento. Para evitar abusos, contamos las inscripciones por dirección y por dirección IP, como se describe en los límites contra abusos. Los correos se envían a través de Resend.
• Sugerencias y comprobación de direcciones: Al introducir la dirección de envío, te sugerimos direcciones que coinciden y, al guardar, comprobamos si la dirección existe. Para ello, nuestro servidor envía el texto de la dirección introducida (sin tu nombre y sin tu dirección IP) a Photon, un servicio de direcciones de komoot GmbH (Alemania) basado en los datos cartográficos abiertos de OpenStreetMap. No guardamos estas consultas. La base jurídica es la ejecución del contrato, del que forma parte una dirección en la que se pueda entregar (art. 6.1.b del RGPD), y nuestro interés legítimo en que los envíos lleguen sin errores (art. 6.1.f del RGPD).
• Protección frente a solicitudes automatizadas: En los formularios para iniciar sesión, registrarte, restablecer la contraseña, contactar con nosotros, canjear cupones, enviar propuestas y cancelar contratos, nuestro proveedor de alojamiento Vercel (BotID) comprueba si quien los envía es una persona. Para ello se analizan características técnicas de tu navegador y tu dirección IP; no se crean cookies de publicidad ni de análisis. La base jurídica es nuestro interés legítimo en proteger la plataforma y a sus usuarios frente a abusos como los intentos masivos de inicio de sesión y el spam (art. 6.1.f del RGPD). En los formularios para iniciar sesión, registrarte, restablecer la contraseña, contactar con nosotros y denunciar contenidos utilizamos además Cloudflare Turnstile (véase el apartado 4). Solo aparece una casilla para marcar si sospechamos que se trata de una solicitud automatizada, por ejemplo tras muchos intentos fallidos.
• Límites de cantidad contra abusos: Para proteger las cuentas y los buzones frente a intentos masivos, contamos los inicios de sesión fallidos, así como los registros, las solicitudes de restablecimiento de contraseña, los mensajes de contacto, las denuncias sin cuenta y los canjes de cupones, en cada caso por dirección de correo electrónico o cuenta y por dirección IP. Para ello no se guarda ni la dirección ni la dirección IP en sí, sino solo un valor de comprobación generado con nuestra clave (HMAC), que sin esa clave no se puede revertir; se elimina como máximo al cabo de un día, y los intentos fallidos de una dirección, ya con el siguiente inicio de sesión correcto. Si se alcanza un límite, pedimos una breve confirmación o un poco de paciencia. La base jurídica es nuestro interés legítimo en proteger la plataforma y a sus usuarios frente a abusos (art. 6.1.f del RGPD).
• Filtro automático del chat y advertencias: Antes de enviarlos, el chat comprueba automáticamente si los mensajes contienen números de teléfono, direcciones de correo electrónico, direcciones postales, contactos en otros servicios o enlaces externos; así protegemos a compradores y vendedores frente a fraudes fuera de la plataforma. Los casos claros no se entregan y dan lugar a una advertencia; los casos dudosos simplemente no se entregan. Tras tres advertencias en 30 días, el chat queda bloqueado durante 30 días; ver, comprar y los pedidos en curso siguen siendo posibles. Se guardan la advertencia, el momento y el motivo. Este bloqueo se produce automáticamente: en cualquier momento puedes pedir a través del formulario de contacto que lo revise una persona, exponer tu punto de vista e impugnarlo; si no estaba justificado, lo levantamos. La base jurídica es nuestro interés legítimo en un funcionamiento seguro y sin abusos de la plataforma (art. 6.1.f del RGPD).
• Denuncias de contenidos: Quien denuncia un contenido mediante «Denunciar» nos transmite el motivo, una descripción, de forma voluntaria una dirección de correo electrónico y, si ha iniciado sesión, hasta cinco imágenes como prueba; la denuncia de quien ha iniciado sesión queda asociada a su cuenta; en una denuncia desde un chat consultamos el historial del chat afectado. Decidimos sobre la denuncia y comunicamos la decisión motivada a quien denuncia y a la persona afectada (arts. 16 y 17 del Reglamento de Servicios Digitales, Digital Services Act). Conservamos la denuncia como prueba de la decisión; borramos las imágenes seis meses después de la decisión, cuando haya vencido el plazo para reclamar. La base jurídica es el art. 6, apdo. 1, letra c) del RGPD en relación con el Digital Services Act, así como nuestro interés legítimo en una plataforma segura (letra f).
• Bloqueo: Si bloqueas una cuenta, guardamos quién ha bloqueado a quién para que no surjan nuevas solicitudes ni mensajes entre vosotros. Los pedidos en curso se tramitan igualmente. El bloqueo se mantiene hasta que lo levantes o se elimine una de las cuentas. La base jurídica es el art. 6.1.b y f del RGPD.
• Formulario de contacto y correo electrónico: Si nos escribes a través del formulario de contacto, tratamos tu nombre, tu dirección de correo electrónico y tu mensaje para responderte. El mensaje nos llega a través de nuestro servicio de envío de correo (Resend) como correo electrónico a nuestro buzón en Google (Gmail). Conservamos la correspondencia mientras sea necesaria para tu consulta y, más allá de eso, solo si existe una obligación legal de conservación (por ejemplo, para cartas comerciales según el § 257 HGB). La base jurídica es el art. 6.1.b o, en su caso, la letra f del RGPD.
• Cancelación mediante «Cancelar contratos aquí»: Para una cancelación mediante el botón de cancelación (§ 312k BGB) tratamos el nombre, la dirección de correo electrónico, el contrato cancelado, el tipo de cancelación, en su caso su motivo y el momento, y confirmamos la cancelación por correo electrónico. Conservamos la cancelación como prueba hasta que prescriban las reclamaciones derivadas del contrato (tres años desde el final del año de la cancelación). La base jurídica es el art. 6.1.c del RGPD en relación con el § 312k BGB.
• App y notificaciones: En nuestra app para Android e iOS se aplican las mismas reglas que en la web. Si permites las notificaciones, guardamos por dispositivo un identificador para notificaciones (token push), el sistema operativo y el idioma de la app, para avisarte, por ejemplo, de mensajes nuevos o pagos recibidos. Las notificaciones pasan por Firebase Cloud Messaging de Google (Google Ireland Limited; es posible un tratamiento en EE. UU.). Eliminamos el identificador cuando cierras sesión, cuando Google lo notifica como no válido o cuando eliminas tu cuenta. La base jurídica es tu consentimiento (art. 6.1.a del RGPD, § 25 apdo. 1 TDDDG), que puedes retirar en cualquier momento en los ajustes de tu dispositivo. En la app no vendemos membresías. Si en la app se produce un error o se cierra de forma inesperada, lo comunica a nuestro registro de errores, solo con la versión de la app, el sistema operativo, la pantalla afectada y el mensaje de error, sin tu cuenta y sin contenidos. Para ello, la app guarda en tu dispositivo si la última vez se cerró correctamente. La base jurídica es nuestro interés legítimo en una app sin errores (art. 6.1.f del RGPD, § 25 apdo. 2 n.º 2 TDDDG).
• Enlaces de recomendación a Amazon: Algunas recomendaciones de accesorios para ferias enlazan a Amazon con nuestro identificador de afiliado. Antes de que hagas clic en uno de estos enlaces, Amazon no recibe ningún dato de nosotros. Tras el clic se aplican la política de privacidad y las cookies de Amazon; si compras allí, recibimos una comisión sin saber quién ha comprado. La base jurídica es nuestro interés legítimo en financiar la plataforma (art. 6.1.f del RGPD).
• Copias de seguridad y registros: Hacemos una copia de seguridad diaria de nuestra base de datos en un almacenamiento no público de nuestro proveedor de bases de datos Supabase en la UE; cada copia la eliminamos a los 14 días. Nuestro proveedor de alojamiento Vercel registra al acceder a las páginas datos técnicos (dirección IP, momento, dirección consultada, identificación del navegador) para un funcionamiento seguro y la búsqueda de errores, y los elimina al poco tiempo. Los errores en nuestros servidores los registramos en un registro de errores propio (sin dirección IP y sin contenido de formularios, solo la dirección, el tipo y el mensaje del error) para poder corregirlos; un error corregido lo eliminamos del registro 90 días después. La base jurídica es nuestro interés legítimo en un funcionamiento seguro y disponible (art. 6.1.f del RGPD). [Indicar el plazo de eliminación de los registros del servidor en Vercel (según el plan)]

Acceso en caso de disputa: Si una de las partes comunica un caso de disputa antes de la liberación del pago, consultamos el historial de chat correspondiente y los datos del pedido para decidir sobre el reembolso o la liberación. Sin un caso de disputa comunicado no leemos ningún chat. La base jurídica es el art. 6.1.b y el art. 6.1.f del RGPD.

Lista de colección: Si creas una lista de colección, guardamos su nombre y las cartas que contiene con colección, número, idioma, estado, cantidad, tu precio máximo, tu nota y si las has marcado, en tu cuenta, para que la web y la app muestren la misma lista (art. 6.1.b del RGPD). La app guarda una copia en tu dispositivo para que la lista funcione también sin conexión; al cerrar sesión se elimina de allí. Si creas un enlace de lectura, cualquiera con el enlace puede ver el nombre de la lista y las cartas, sin precio máximo, nota ni cuenta. Puedes retirar el enlace en cualquier momento. Las listas las eliminas tú; al eliminar tu cuenta se eliminan todas tus listas de colección.

3. Bases jurídicas

El tratamiento se realiza para cumplir el contrato de uso (art. 6.1.b del RGPD), para cumplir obligaciones legales (art. 6.1.c del RGPD) y sobre la base de nuestro interés legítimo en una explotación segura de la plataforma (art. 6.1.f del RGPD).

4. Prestadores de servicios utilizados

Utilizamos los siguientes prestadores de servicios. Con cada uno de los encargados del tratamiento existe un contrato conforme al art. 28 del RGPD.

• Vercel (Vercel Inc., EE. UU.) – alojamiento de la web. Las funciones de servidor de este proyecto se ejecutan en la región de Dublín, Irlanda (dub1). Encargado del tratamiento. [Confirmar el contrato de encargo de tratamiento – en el panel de Vercel, en Settings, Legal]
• Supabase (Supabase Inc., EE. UU.) – base de datos, cuentas de usuario, almacenamiento de archivos y actualización en tiempo real del chat. Los datos se encuentran en la región eu-west-1 (Irlanda). Encargado del tratamiento. [Confirmar el contrato de encargo de tratamiento – en los ajustes de organización de Supabase]
• Resend (Resend, Inc., EE. UU.) – envío de correos electrónicos de notificación. Se transmiten la dirección de correo electrónico y el contenido del mensaje correspondiente. Encargado del tratamiento; el tratamiento tiene lugar en EE. UU. [Confirmar el contrato de encargo de tratamiento e indicar la base de la transferencia a EE. UU. – decisión de adecuación (Data Privacy Framework) o cláusulas contractuales tipo]
• Cloudflare (Cloudflare, Inc., EE. UU.) – Turnstile, una comprobación frente a solicitudes automatizadas en los formularios de inicio de sesión y de contacto. Se tratan la dirección IP y características técnicas del navegador. Encargado del tratamiento; es posible un tratamiento en EE. UU. [Confirmar el contrato de encargo de tratamiento (Cloudflare Data Processing Addendum) e indicar la base de la transferencia a EE. UU. – decisión de adecuación (Data Privacy Framework) o cláusulas contractuales tipo]
• Stripe (Stripe Payments Europe, Limited, Irlanda, y Stripe, Inc., EE. UU.) – gestión de la membresía de pago, de los pagos entre usuarios y de las liquidaciones a los vendedores. Stripe trata los datos de pago en buena medida como responsable independiente y no por encargo nuestro, en particular para cumplir sus propias obligaciones regulatorias (prevención del blanqueo de capitales, verificación de la identidad de los vendedores). A ese tratamiento se le aplica la política de privacidad de Stripe. Qué métodos de pago ofrece Stripe y qué servicios hay detrás figura en el apartado 2, en «Métodos de pago en la compra».
• Google (Google Ireland Limited, Irlanda, y Google LLC, EE. UU.): inicio de sesión con Google si así lo deseas, notificaciones en la app (Firebase Cloud Messaging) y nuestro buzón de correo electrónico (Gmail), al que llegan los mensajes del formulario de contacto. Para Firebase Cloud Messaging y el buzón, Google es encargado del tratamiento; es posible un tratamiento en EE. UU. [Confirmar el contrato de encargo del tratamiento (Firebase: Data Processing and Security Terms) e indicar la base de la transferencia a EE. UU.; para el buzón, elegir una cuenta con contrato de encargo (Google Workspace) o un buzón con dominio propio]
• YouTube (Google Ireland Limited, Irlanda, y Google LLC, EE. UU.): transmisiones en directo de los vendedores en su página de mesa. El reproductor solo se carga cuando tocas «Cargar directo»; antes no hay ninguna conexión con YouTube. Después, Google recibe, entre otros datos, tu dirección IP, información sobre tu navegador y dispositivo y la página visitada, y puede instalar cookies; es posible un tratamiento en EE. UU. (Data Privacy Framework). Usamos el modo de privacidad mejorada (youtube-nocookie.com). La base jurídica es tu consentimiento mediante el clic (art. 6.1.a del RGPD, § 25, apdo. 1 TDDDG). Al tratamiento en YouTube se aplica la política de privacidad de Google.

5. Cookies y almacenamiento local

Solo utilizamos cookies y almacenamiento local técnicamente necesarios: las cookies de inicio de sesión, sin las cuales no es posible usar la cuenta; una cookie con el último idioma elegido (un año); en la app, una cookie que identifica la vista de la app (30 minutos); una cookie con la respuesta a la propuesta de idioma (un año); al iniciar sesión con código y al restablecer la contraseña, una cookie con la dirección de correo electrónico introducida, para poder asignarle el código (una hora); tras indicar una fecha de nacimiento de menos de 18 años, una cookie que bloquea el registro (24 horas); hasta el lanzamiento, una cookie que da acceso a la vista previa (hasta 180 días); y, al unirse al equipo de un vendedor, una cookie con la invitación (una hora). En el propio navegador (localStorage o sessionStorage) se guardan los últimos términos de búsqueda utilizados, la elección entre apariencia clara y oscura, el contenido de la cesta de solicitudes, un aviso de valoración descartado y el borrador de un producto mientras se crea; estos datos permanecen en el dispositivo.

No utilizamos herramientas de análisis ni de marketing. Por eso no es necesario un banner de consentimiento.

Aviso para el operador, no para los usuarios: [En cuanto se añada una herramienta de análisis o de marketing, en este punto será obligatorio un banner de consentimiento y habrá que sustituir el párrafo anterior]

6. Plazo de conservación

Los datos de la cuenta los conservamos mientras exista la cuenta. A petición dirigida a la dirección indicada arriba eliminamos una cuenta; quedan excluidos los datos que tenemos que conservar o podemos conservar.

Puedes eliminar tu cuenta tú mismo en cualquier momento: en «Mi cuenta» → «Eliminar cuenta». El requisito es que no haya ningún pedido en curso. Se eliminan de inmediato tus datos de acceso, tu perfil, tu dirección de envío, anuncios de búsqueda, favoritos, mesas favoritas, listas de colección, notificaciones, votos y advertencias; una membresía en curso finaliza. Tu mesa y tus cartas se retiran del catálogo. Lo que estamos obligados a conservar –datos de pedidos, pagos y facturas, así como los datos fiscales de los vendedores– queda almacenado y bloqueado durante el plazo legal; tu perfil en sí queda entonces anonimizado. Los historiales de chat y las valoraciones siguen siendo legibles para la otra parte; en lugar de tu nombre aparece «Cuenta eliminada». La base jurídica para la conservación es el art. 6.1.c del RGPD en relación con el § 147 AO (código tributario alemán) y el § 257 HGB (código de comercio alemán); para seguir mostrando los chats, nuestro interés legítimo y el de la otra parte en una transacción trazable (art. 6.1.f del RGPD).

Cuánto tiempo conservamos los chats figura en el apartado 2, en «Los chats y su conservación». La tabla al final de este apartado muestra todos los plazos de un vistazo.

Los datos de pedidos, pagos y facturas los conservamos conforme a lo previsto en el derecho mercantil y tributario: diez años según el § 147 de la Abgabenordnung (código tributario alemán) y el § 257 del Handelsgesetzbuch (código de comercio alemán), contados desde el final del año natural en el que se completó el pedido. Durante ese tiempo los datos están bloqueados para cualquier otro tratamiento.

Las advertencias y los periodos de bloqueo los eliminamos cuando ya no son necesarios para prevenir abusos.

Plazos de eliminación de un vistazo

Esta tabla resume durante cuánto tiempo conservamos qué datos. Bloqueado significa: los datos solo se conservan para la finalidad indicada y no se tratan de ninguna otra forma.

7. Tus derechos

Tienes derecho de acceso, rectificación, supresión, limitación del tratamiento, portabilidad de los datos y oposición. Además te asiste el derecho a presentar una reclamación ante una autoridad de control de protección de datos. La autoridad competente es el Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden.

Decisiones automatizadas: Algunos pasos se producen automáticamente: el bloqueo del chat tras tres advertencias, la pausa de revisión para vendedores particulares a partir del límite y el bloqueo de una cuenta si un comprador revierte un pago después de haber confirmado él mismo la recepción, si un vendedor no devuelve dentro del plazo las cartas del comprador en un intercambio parcial o si un vendedor pierde dos contracargos por su propia culpa en un plazo de 90 días. Todos estos pasos son provisionales. En cualquier momento puedes pedir que una persona revise el caso, exponer tu punto de vista e impugnar la decisión (art. 22.3 del RGPD); lo más sencillo es hacerlo a través del formulario de contacto. Un bloqueo definitivo de tu cuenta o de tus ventas lo decide siempre una persona.