Política de Privacidad

El responsable del tratamiento de tus datos personales es SubastaYA, plataforma de subastas en línea operada en Colombia.

• Correo de contacto: privacidad@subastaya.co
• Ciudad: Bogotá D.C., Colombia

Datos que nos proporcionas directamente:

• Nombre y apellido.
• Correo electrónico.
• Contraseña (almacenada cifrada — nunca en texto plano).
• Ciudad de residencia y dirección.
• Teléfono de contacto.
• Tipo y número de documento de identidad (C.C., C.E., NIT, Pasaporte, T.I.) — para verificación SARLAFT.
• Foto del documento de identidad (cuando se solicita verificación).
• Información de empresa (solo vendedores).
• Dirección de envío.
• Imágenes de artículos publicados, facturas de compra, certificados de autenticidad.
• IMEI/número de serie de dispositivos electrónicos (confidencial — no visible para compradores ni terceros).
• Placa y VIN de vehículos.
• Suscripciones a notificaciones push web (endpoint, claves de cifrado VAPID) — vinculadas a tu cuenta y eliminables en cualquier momento.

Datos que recopilamos automáticamente:

• Dirección IP y datos de navegación.
• Tipo de dispositivo y navegador.
• Páginas visitadas, tiempo de sesión y visitas por subasta.
• Historial de pujas, autobids y transacciones.
• Notificaciones recibidas y leídas.
• Artículos guardados como favoritos y vendedores seguidos.
• Intentos de inicio de sesión (exitosos y fallidos) con fecha y hora.

Datos de terceros:

• Datos de pago procesados por Wompi (Bancolombia) — SubastaYA no almacena números de tarjeta, datos bancarios ni claves de acceso.
• Datos de envío procesados por Envia.com y transportadoras (Coordinadora, TCC, Servientrega).
• Imágenes almacenadas en Supabase Storage con cifrado en tránsito y reposo.

Usamos tus datos personales para:

• Crear y gestionar tu cuenta de usuario.
• Procesar subastas, pujas, autobids y transacciones.
• Verificar tu identidad (cédula/RUT) en cumplimiento de SARLAFT y normativa anti-lavado.
• Facilitar pagos mediante Wompi (tarjeta, PSE, Nequi) y el sistema escrow de retención de fondos.
• Gestionar envíos físicos a través de Envia.com y entregas digitales de boletas.
• Enviarte notificaciones en tiempo real (in-app, correo electrónico y notificaciones push web): pujas superadas, subastas ganadas, pagos, envíos, soporte.
• Gestionar suscripciones a notificaciones push web: almacenamos el endpoint y las claves de tu dispositivo para enviarte alertas aunque la app esté cerrada. Puedes revocar el permiso en cualquier momento desde Mi Cuenta → Configuración o desde la configuración de tu navegador.
• Gestionar tickets de soporte y disputas entre compradores y vendedores.
• Administrar el Plan Premium y sus beneficios (estadísticas, prioridad, verificación).
• Verificar facturas de compra, certificados de autenticidad, IMEI y documentos de propiedad.
• Prevenir fraudes: bloqueo por intentos fallidos, verificación de montos en webhooks, validación de firma HMAC.
• Cumplir con obligaciones tributarias (facturación electrónica DIAN, retención en la fuente, IVA).
• Gestionar el derecho de retracto (Ley 1480) y protección al consumidor, conforme a las condiciones descritas en los Términos y Condiciones.
• Mejorar la plataforma mediante análisis de visitas, rendimiento y comportamiento agregado.

El tratamiento de tus datos se basa en:

• Consentimiento: otorgado al registrarte y aceptar esta política.
• Ejecución contractual: datos necesarios para prestarte los servicios de la plataforma.
• Interés legítimo: seguridad de la plataforma, prevención de fraudes.
• Cumplimiento legal: obligaciones tributarias (DIAN), SARLAFT (anti-lavado), Ley 1480 (consumidor), requerimientos de autoridades.

SubastaYA comparte datos personales únicamente con:

• Wompi (Bancolombia): procesamiento de pagos (tarjeta, PSE, Nequi). Aplica su propia política.
• Envia.com y transportadoras (Coordinadora, TCC, Servientrega): nombre, teléfono y dirección para gestionar envíos físicos.
• Supabase: almacenamiento de imágenes y archivos en la nube (AWS São Paulo). Datos cifrados en reposo y en tránsito. La base de datos de usuarios y transacciones reside en PostgreSQL alojado en Railway.
• Railway: infraestructura de hosting del backend en la nube. Aplica su propia política de privacidad y seguridad.
• El vendedor: nombre y ciudad del comprador para coordinar la entrega. Para boletas digitales, solo el nombre.
• El comprador: nombre, ciudad, rating y estado de verificación del vendedor.
• DIAN: datos de facturación electrónica cuando aplique por obligación tributaria.
• Autoridades competentes: cuando sea requerido por ley, orden judicial, SIC o autoridad administrativa.

SubastaYA no vende ni cede datos personales a terceros con fines comerciales.

• Datos de cuenta activa: mientras la cuenta esté activa.
• Datos de transacciones: mínimo 5 años por obligaciones tributarias y contables.
• Datos de cuenta eliminada: eliminados en un plazo máximo de 30 días, salvo que existan obligaciones legales pendientes.
• Datos de navegación y cookies: máximo 13 meses.

De acuerdo con la Ley 1581 de 2012, tienes los siguientes derechos sobre tus datos:

• Acceso: conocer qué datos tuyos tratamos.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: solicitar la eliminación de tus datos cuando no exista obligación legal de conservarlos.
• Revocación del consentimiento: retirar el consentimiento para tratamientos basados en él.
• Oposición: oponerte a ciertos tratamientos, como el marketing directo.
• Portabilidad: recibir tus datos en formato estructurado.
• Queja ante la SIC: presentar reclamación ante la Superintendencia de Industria y Comercio si consideras que tus derechos han sido vulnerados.

Puedes ejercer tu derecho de acceso directamente desde la plataforma en Mi Cuenta → Configuración, donde puedes consultar, modificar o eliminar tus datos.

Para otros derechos escríbenos a privacidad@subastaya.co. Responderemos en un plazo máximo de 10 días hábiles.

SubastaYA utiliza cookies y tecnologías similares para:

• Mantener tu sesión activa de forma segura mediante cookies HttpOnly (inaccesibles desde JavaScript, lo que protege contra ataques XSS): cookie "token" (JWT de sesión, 7 días) y "refresh_token" (renovación automática, 30 días).
• Recordar tus preferencias de navegación (tema oscuro/claro).
• Analizar el uso de la plataforma mediante herramientas de analítica agregada (cookies analíticas).
• Notificaciones push web: almacenamos en tu dispositivo la suscripción push (no es una cookie, sino un Service Worker registrado). Puedes revocarlo desde la configuración de tu navegador o desde Mi Cuenta → Configuración.
• Caché de perfil de usuario: almacenamos en localStorage una copia no sensible de tus datos de perfil (nombre, rol, ciudad) únicamente para mejorar la velocidad de carga. Este dato no contiene tokens ni información de pago.

Puedes configurar tu navegador para rechazar cookies, aunque esto puede afectar el funcionamiento de la plataforma. Las cookies esenciales no pueden desactivarse sin impedir el uso del servicio. SubastaYA no utiliza cookies de seguimiento publicitario ni comparte datos de navegación con redes de publicidad. Consulta nuestra Política de Cookies para el detalle completo.

SubastaYA implementa medidas técnicas y organizativas para proteger tus datos:

• Las contraseñas se almacenan cifradas de forma irreversible — nunca en texto plano.
• Las sesiones expiran automáticamente por inactividad.
• Las cuentas se bloquean temporalmente ante múltiples intentos fallidos de inicio de sesión.
• Política de contraseñas seguras: mínimo 8 caracteres con combinación de mayúsculas, minúsculas, números y caracteres especiales.
• Todos los eventos de pago son verificados criptográficamente antes de procesarse.
• El acceso a la API está limitado para prevenir abusos y ataques automatizados.
• Las comunicaciones en tiempo real requieren autenticación activa.
• Acceso restringido según el rol del usuario — compradores, vendedores y administradores tienen permisos diferenciados.
• Los tokens de recuperación de contraseña son de uso único y expiran automáticamente.
• Todas las comunicaciones están cifradas mediante HTTPS/TLS.
• Los datos se almacenan con cifrado en reposo y en tránsito.

En caso de una brecha de seguridad que afecte tus datos, te notificaremos en un plazo de 72 horas desde que tengamos conocimiento del incidente.

SubastaYA no está dirigida a menores de 18 años. No recopilamos conscientemente datos de menores. Si detectamos que un menor se ha registrado, procederemos a eliminar su cuenta y datos asociados de inmediato.

Si eres padre, madre o tutor y crees que tu hijo/a ha proporcionado datos en nuestra plataforma, contáctanos a privacidad@subastaya.co.

SubastaYA puede actualizar esta Política de Privacidad periódicamente. Cuando se realicen cambios relevantes, te notificaremos por correo electrónico y mediante un aviso en la plataforma con al menos 15 días de anticipación.

El uso continuado de la plataforma después de la entrada en vigor de los cambios implica la aceptación de la nueva política.

Para cualquier consulta, solicitud o reclamo relacionado con el tratamiento de tus datos personales:

• Correo: privacidad@subastaya.co
• Horario de atención: lunes a viernes, 8:00 a.m. – 6:00 p.m. (hora Colombia)
• Tiempo de respuesta: máximo 10 días hábiles

Si no obtienes respuesta satisfactoria, puedes acudir a la Superintendencia de Industria y Comercio (SIC) como autoridad de protección de datos en Colombia.