Política de privacidad

• Cuenta: nombre, email, contraseña (hash bcrypt).
• Perfil de comprador: teléfono, identificación, nacionalidad, dirección.
• KYC: fotos de cédula/pasaporte y selfie con documento.
• Actividad: compras, reservas, pujas, watchlist, suscripción al newsletter.
• Técnicos: IP del navegador (sólo para rate limiting y auditoría de seguridad), User-Agent.

• Verificar tu identidad antes de comprar o pujar en subastas.
• Procesar compras, calcular los pagos y aportes correspondientes, emitir recibos.
• Enviarte confirmaciones por email (verificación, pago, entrega, subastas).
• Mantener el historial financiero exigido por la normativa contable.
• Publicar reportes de impacto agregados (sin identificar individuos).

• Procesadores de pago (Azul cuando integremos): tu nombre, email y monto.
• Notario: en subastas, durante el acto de entrega, sólo nombre.
• Equipo de verificación de AltruArt: acceso a tus documentos KYC.
• Autoridades: sólo bajo requerimiento legal formal.

Nunca vendemos, alquilamos ni cedemos tus datos a terceros con fines de marketing.

• Cuenta de comprador: mientras esté activa.
• KYC: mientras la cuenta exista. Al eliminar la cuenta, se purgan los archivos físicos.
• Ventas y pagos: indefinidamente (obligación contable).
• Logs de auditoría: indefinidamente (transparencia ante el Comité de Ética).
• Intentos de login fallidos: 24 horas (TTL automático).
• Tokens de verificación de email: 48 horas (TTL automático).

• Acceder: descargar un export JSON de todos tus datos desde /mi-cuenta/privacidad.
• Rectificar: editar tu perfil desde /mi-cuenta/perfil.
• Eliminar: borrar tu cuenta. Las ventas pasadas conservan un snapshot de tu nombre por obligación contable; el resto se purga.
• Oponerte al newsletter: el footer trae el link de baja.

• altruart_session: sesión cifrada (httpOnly, sameSite=lax).
• altruart_locale: preferencia de idioma.
• altruart_currency: preferencia de moneda.
• altruart_consent: registro de tu consentimiento al banner.

No usamos cookies de tracking publicitario ni de terceros (Analytics, Facebook Pixel, etc.).

Detalles completos en la página de salvaguardas éticas: cifrado en tránsito (HTTPS+HSTS), KYC servido sólo bajo auth, contraseñas con bcrypt 12, sesiones revocables, 2FA para administradores, rate limiting y bloqueo de brute force.