Política de Cookies

1. Introducción

Invernova Trade SL, con CIF B67427021 (en adelante, "el Responsable"), le informa, en cumplimiento de lo dispuesto en el artículo 22 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (en adelante, "LSSI-CE"), y del Reglamento (UE) 2016/679 (en adelante, "RGPD"), sobre las cookies utilizadas en la plataforma Subastas SaaS (en adelante, "el Servicio").

Para información completa sobre el tratamiento de sus datos personales, consulte la Política de Privacidad.

2. Qué son las cookies

Las cookies son pequeños archivos de texto que los sitios web almacenan en el dispositivo del usuario (ordenador, tablet o teléfono móvil) cuando este accede al sitio. Permiten que el sitio web recuerde información sobre la visita del usuario, como sus preferencias de sesión.

La normativa aplicable no se limita a las cookies en sentido estricto: alcanza a cualquier dispositivo de almacenamiento y recuperación de datos en el equipo del usuario. Por ello, esta política describe también el almacenamiento local (localStorage) que utiliza el Servicio, detallado en la sección 3.3.

3. Cookies que utilizamos

El Servicio utiliza dos categorías de cookies: las técnicas estrictamente necesarias, que se instalan siempre por ser imprescindibles para su funcionamiento, y las analíticas o de medición, que únicamente se instalan si se aceptan de forma previa y expresa en el banner descrito en la sección 5.2. Además, solo cuando la plataforma tiene activadas campañas publicitarias, se utilizan las cookies de marketing descritas en la sección 3.5, sujetas igualmente a esa aceptación previa.

Con independencia de estas dos categorías, algunas páginas incorporan contenido de terceros —mapas de ubicación, pasarela de pago y acceso con cuenta de Google— que puede instalar sus propias cookies. Todo ello se detalla en la sección 6.

3.1 Cookies técnicas estrictamente necesarias

Son cookies propias (first-party), instaladas por la infraestructura de autenticación del Servicio (Auth.js / NextAuth). Están exentas del requisito de consentimiento conforme al artículo 22.2 de la LSSI-CE.

Los nombres recogidos en la tabla corresponden a la conexión segura mediante HTTPS, que es la utilizada en producción. Sobre una conexión sin HTTPS —por ejemplo, en un entorno local de desarrollo— los mismos valores se almacenan sin los prefijos __Secure- y __Host- (es decir, authjs.session-token, authjs.csrf-token, etc.).

3.2 Cookies analíticas o de medición

Estas cookies no son estrictamente necesarias y solo se instalan tras una aceptación previa y expresa. El Servicio recurre a dos proveedores, ambos terceros: Google Analytics 4, de Google, y Microsoft Clarity, de Microsoft. Conviene destacar que Microsoft Clarity no se limita a contabilizar páginas vistas: graba reproducciones de la sesión de navegación —movimientos del cursor, clics y desplazamiento por la página— y elabora mapas de calor.

Aunque algunas de estas cookies se depositan en el dominio del propio Servicio, se consideran de terceros porque es el proveedor quien determina su finalidad y quien recibe la información recogida.

Sobre las duraciones indicadas. Los plazos de _ga y _ga_<ID-de-contenedor> son los valores por defecto que Google publica en su documentación y que el Servicio no modifica; los navegadores pueden acortarlos por su cuenta. Microsoft, en cambio, no publica los plazos de conservación en su lista oficial de cookies, por lo que esta política prefiere indicar que se desconocen antes que ofrecer una cifra no verificada. La referencia actualizada es, en cada caso, la documentación del propio proveedor.

3.3 Almacenamiento local equivalente

Además de cookies, el Servicio utiliza el almacenamiento local del navegador (localStorage), sujeto a las mismas reglas del artículo 22 de la LSSI-CE. Salvo la atribución de campañas (sección 3.5), se emplea únicamente con fines técnicos y de preferencia del usuario; no se transmite al servidor ni se comparte con terceros:

• cookie-consent: guarda la decisión adoptada sobre las cookies analíticas, para no volver a preguntar en cada visita y para poder respetarla. Es imprescindible para gestionar el propio consentimiento.
• listados.view, listados.mode, listados.printWithNotes, listados.columns.v1 y listados.groupingHint.v1: recuerdan preferencias de presentación elegidas por el propio usuario en la sección de listados (vista, modo, columnas visibles y opciones de impresión).
• subastas_attribution y subastas_attribution_first: atribución de campañas (sección 3.5). Solo se guardan si se aceptan las cookies: entonces se escriben en el almacenamiento de sesión (sessionStorage), que se borra al cerrar la pestaña, y en localStorage durante 30 días. Viajan con el formulario de contacto o de registro que se envíe.

Estos valores permanecen en el navegador hasta que se borran los datos del sitio desde el propio navegador.

3.4 Detalle técnico de las cookies propias

• __Secure-authjs.session-token: Cookie HttpOnly, Secure, SameSite=Lax. El contenido es un JWT cifrado que contiene el identificador del usuario, su rol y la fecha de expiración. El servidor lo verifica en cada solicitud para mantener la sesión activa. Se renueva de forma transparente durante la navegación activa del usuario.
• __Host-authjs.csrf-token: Cookie que contiene un token CSRF utilizado para validar que los formularios y peticiones POST enviadas al servidor son legítimas. Es un mecanismo de seguridad estándar conforme a las buenas prácticas OWASP. El prefijo __Host- impide que pueda fijarse desde un subdominio distinto.
• __Secure-authjs.callback-url: Cookie de duración de sesión que almacena temporalmente la URL a la que debe redirigirse al usuario después del login. Se elimina automáticamente al cerrar el navegador.
• __Secure-authjs.pkce.code_verifier, __Secure-authjs.state y __Secure-authjs.nonce: Cookies HttpOnly de vida muy breve que solo existen mientras dura el intercambio de acceso con Google. Se descartan en cuanto este concluye.

3.5 Cookies de marketing (solo con tu consentimiento y solo con campañas activas)

Subastas.ai puede utilizar, únicamente si aceptas las cookies en el aviso y solo cuando la plataforma tiene activadas campañas publicitarias, las siguientes herramientas de medición de campañas:

• Meta Pixel y API de conversiones (Meta Platforms Ireland Ltd.): cookies _fbp (90 días) y, si llegas desde un anuncio de Meta, _fbc (90 días). Miden si una visita procedente de un anuncio termina en un registro o en un formulario de contacto y permiten a Meta optimizar la entrega de sus anuncios. Los datos que enviamos al servidor de Meta van seudonimizados con hash SHA-256 (correo, teléfono, nombre) y solo cuando has aceptado las cookies de marketing.
• Google Ads (Google Ireland Ltd.): cookie _gcl_au (90 días) y las cookies de conversión de doubleclick.net. Miden las conversiones (registro, contacto) de las campañas de búsqueda de Google.

Si eliges «Rechazar», estas herramientas no se cargan y no se instala ninguna de estas cookies. Puedes cambiar tu decisión en cualquier momento desde «Configurar cookies» en el pie de página.

Atribución de campañas propia (first-party). Para saber qué campaña ha traído cada registro o contacto, anotamos los parámetros de campaña de la URL (utm_*, fbclid, gclid, msclkid, ttclid), la página de entrada y el sitio de procedencia. Mientras no has decidido, esa anotación solo existe en la memoria de la página abierta: no se guarda en tu navegador ni se envía a nadie. Solo si pulsas «Aceptar» se guarda bajo las claves subastas_attribution y subastas_attribution_first, en el almacenamiento de sesión y en localStorage durante 30 días, y viaja con el formulario de contacto o de registro que envíes. No es una cookie y no identifica a nadie por sí misma, y depende solo de tu decisión en el aviso, haya o no campañas activas. Si eliges «Rechazar», o retiras tu consentimiento, se borran todas las copias.

Si has aceptado las cookies y te registras con tu cuenta de Google, el navegador sale de esta web y vuelve, y esos datos no pueden viajar con un formulario. Por eso, al pulsar el botón de Google se crea la cookie propia subastas_oauth_tracking (15 minutos) con esa misma atribución, tu decisión sobre las cookies y un identificador aleatorio del evento; se lee y se borra al volver de Google y solo se usa si la cuenta es nueva. Si lo es, tu sesión lo indica durante 15 minutos y el navegador anota en el almacenamiento de sesión (subastas_google_signups_tracked, sin datos personales, se borra al cerrar la pestaña) que el alta ya se ha medido, para medirla una sola vez. Si no has decidido o eliges «Rechazar», no se crea nada de esto (y se borra si quedaba de antes).

4. Clasificación de cookies

De conformidad con las directrices de la Agencia Española de Protección de Datos (AEPD) contenidas en la Guía sobre el uso de las cookies (actualizada en julio de 2023), las cookies se clasifican en las siguientes categorías:

4.1 Cookies técnicas / estrictamente necesarias

Son aquellas imprescindibles para la prestación del servicio solicitado por el usuario. Sin ellas, el sitio web no puede funcionar correctamente.

Estado en Subastas SaaS: Las cookies propias enumeradas en la sección 3.1 pertenecen a esta categoría. Permiten mantener la sesión del usuario autenticado, proteger contra ataques de seguridad y completar con garantías el acceso mediante una cuenta de Google. El almacenamiento local descrito en la sección 3.3 responde a la misma naturaleza técnica y de preferencia del usuario.

4.2 Cookies analíticas o de medición

Son aquellas que permiten al responsable del servicio el seguimiento y análisis del comportamiento de los usuarios. Se utilizan para medir la actividad del sitio web y elaborar estadísticas de navegación.

Estado en Subastas SaaS: SUJETAS A CONSENTIMIENTO PREVIO. El Servicio utiliza Google Analytics 4 y Microsoft Clarity para medir el tráfico y analizar el uso del sitio: páginas vistas, procedencia del enlace, país, tipo de dispositivo y patrones de navegación. Microsoft Clarity va más allá del recuento agregado, ya que graba reproducciones de la sesión de navegación y elabora mapas de calor (sección 3.2). Ambas herramientas instalan cookies o almacenamiento equivalente en el dispositivo, de modo que no se cargan sin una aceptación previa y expresa a través del banner de cookies. Mientras no exista esa aceptación —o si la decisión es rechazarlas— no se realiza ninguna petición a dichos proveedores ni se instala cookie analítica alguna.

Aparte de estas dos herramientas, no se ejecuta en el navegador del usuario ningún otro sistema de análisis o de medición de rendimiento, ni basado en cookies ni sin cookies: no se utilizan Mixpanel, Matomo, Vercel Analytics, Vercel Speed Insights ni equivalentes. El Servicio sí emplea una herramienta de registro de errores que se ejecuta exclusivamente en sus propios servidores: no se carga en el navegador, no instala cookies ni almacenamiento en el dispositivo del usuario y, por tanto, queda fuera del ámbito de esta política. La decisión sobre las cookies analíticas puede modificarse en cualquier momento desde el enlace «Configurar cookies» del pie de página.

4.3 Cookies de publicidad / comportamentales

Son aquellas que permiten la gestión de espacios publicitarios y la creación de perfiles de usuario para mostrar publicidad personalizada.

Estado: se utilizan únicamente tras tu aceptación expresa en el aviso de cookies y solo mientras haya campañas publicitarias activas (Meta Pixel, Google Ads). Sin campañas activas o con «Rechazar», no se cargan. El detalle figura en la sección 3.5.

Conviene precisar, no obstante, que algunas de las cookies que Microsoft Clarity instala en dominios propios de Microsoft —señaladamente MUID y ANONCHK— están documentadas por el propio Microsoft como cookies que ese proveedor emplea también con finalidades publicitarias y operativas propias, al margen de la medición solicitada por el Servicio. Estas cookies solo llegan a instalarse si el usuario acepta las cookies analíticas, y su tratamiento se rige por las políticas de Microsoft.

5. Consentimiento

5.1 Base legal de cada categoría de cookies

De conformidad con el artículo 22.2 de la LSSI-CE, las cookies estrictamente necesarias para la prestación del servicio solicitado por el usuario están exentas del requisito de consentimiento previo. La propia normativa reconoce que estas cookies no requieren autorización del usuario, ya que su finalidad es puramente técnica y necesaria para el funcionamiento del servicio.

Las cookies técnicas enumeradas en la sección 3.1 se acogen a esta exención: son imprescindibles para mantener la sesión del usuario autenticado, proteger el Servicio frente a ataques y completar el acceso mediante una cuenta de Google, de modo que se instalan sin necesidad de recabar el consentimiento. Lo mismo sucede con el almacenamiento local descrito en la sección 3.3, que guarda la propia decisión sobre las cookies y las preferencias de presentación elegidas por el usuario.

El Servicio utiliza además cookies analíticas o de medición —Google Analytics 4 y Microsoft Clarity, descritas en la sección 4.2—, que no están amparadas por dicha exención. Al no ser estrictamente necesarias para la prestación del servicio, estas cookies requieren el consentimiento previo y expreso del usuario y no se cargan hasta que dicho consentimiento se presta mediante la aceptación en el banner de cookies. Mientras no exista esa aceptación —o si la decisión es rechazarlas— no se realiza ninguna petición a dichos proveedores ni se instala cookie analítica alguna.

El consentimiento es revocable en cualquier momento: la decisión sobre las cookies analíticas puede modificarse desde el enlace «Configurar cookies» del pie de página, sin que ello afecte al funcionamiento del Servicio ni a las cookies técnicas descritas en el párrafo anterior.

5.2 Banner de consentimiento de cookies

Para recabar ese consentimiento, y en cumplimiento del deber de transparencia establecido por el RGPD (Art. 5.1.a) y de las recomendaciones de la AEPD, el Servicio muestra un banner de consentimiento de cookies en la primera visita, antes de instalar ninguna cookie analítica. Este banner no es un mero aviso informativo: es el mecanismo a través del cual se presta o se deniega el consentimiento. En concreto, el banner:

• Pide, en un texto breve, permiso para las cookies de medición (Google, Microsoft y Meta) y aclara que rechazarlas no cambia nada en el funcionamiento del Servicio. El detalle de cada herramienta —Google Analytics 4 y Microsoft Clarity y, cuando hay campañas publicitarias activas, Meta Pixel y Google Ads (sección 3.5)— y de las cookies técnicas, que se instalan siempre por estar exentas conforme al artículo 22.2 de la LSSI-CE, figura en esta Política, enlazada desde el banner como «Más info».
• Ofrece dos opciones, «Aceptar» y «Rechazar», presentadas juntas, con el mismo tamaño y forma y al mismo nivel, sin casillas premarcadas: rechazar exige un solo clic, igual que aceptar.
• No carga ninguna cookie analítica ni de marketing mientras no se pulse «Aceptar»: hasta ese momento —y también si la decisión es rechazarlas— no se inserta el código de dichos proveedores ni se realiza petición alguna a sus servidores.
• Trata el rechazo como una decisión plenamente válida y la respeta: no limita ninguna funcionalidad, y el Servicio sigue siendo accesible en las mismas condiciones.
• Enlaza a la presente Política de Cookies para información detallada.
• Puede reabrirse en cualquier momento desde el enlace «Configurar cookies» del pie de página, de modo que revocar el consentimiento resulte tan sencillo como prestarlo.

6. Cookies de terceros

El Servicio sí utiliza cookies de terceros. Junto a las cookies propias de autenticación descritas en la sección 3.1, hay proveedores externos que instalan cookies —o reciben datos de navegación— en el dispositivo del usuario. Se identifican a continuación, junto con la información que reciben y la base jurídica que ampara cada uno.

6.1 Proveedores sujetos a consentimiento

Google Analytics 4 — Google. Recibe información sobre la navegación por el sitio: dirección y título de las páginas visitadas, página de procedencia, tipo de dispositivo y navegador, ubicación aproximada y un identificador seudónimo que permite distinguir visitas. El Servicio activa la anonimización de la dirección IP y, salvo que haya campañas publicitarias activas y se hayan aceptado las cookies (sección 3.5), declara denegados los usos publicitarios de la herramienta (almacenamiento publicitario, datos de usuario con fines publicitarios y personalización de anuncios).

Microsoft Clarity — Microsoft. Recibe datos de interacción con las páginas y, además del recuento de visitas, graba reproducciones de la sesión —movimientos del cursor, clics y desplazamiento— y elabora mapas de calor. Parte de sus cookies se depositan en dominios propios de Microsoft (clarity.ms y otros).

Base jurídica de ambos: el consentimiento del usuario, prestado mediante el botón «Aceptar» del banner descrito en la sección 5.2. No son cookies estrictamente necesarias y, por tanto, no se acogen a la exención del artículo 22.2 de la LSSI-CE. Mientras no se acepten —y también si se rechazan— no se carga el código de estos proveedores ni se realiza petición alguna a sus servidores. El consentimiento es revocable en todo momento desde «Configurar cookies».

6.2 Terceros vinculados a una acción del usuario

Los siguientes proveedores no intervienen en la simple navegación: únicamente se cargan cuando el usuario realiza la acción concreta que los requiere, y su finalidad es prestar el servicio solicitado.

• Stripe (pasarela de pago): su biblioteca solo se descarga cuando se inicia un proceso de pago. Stripe clasifica las cookies que instala en ese momento como estrictamente necesarias, destinadas al acceso seguro, a la navegación por el formulario y a la detección y prevención del fraude. Stripe no publica en su documentación los nombres ni los plazos concretos de esas cookies, por lo que esta política no los enumera; la referencia vigente es la política de cookies del propio proveedor.
• Google (acceso con cuenta de Google): si el usuario elige identificarse con Google, el proceso se desarrolla en los dominios de Google, que aplican sus propias cookies. Solo ocurre cuando se opta expresamente por esa vía de acceso.

6.3 Contenido de terceros incrustado en las páginas

Las fichas de subasta muestran la ubicación en un mapa y, cuando existen coordenadas suficientes, una vista de calle. Ambos elementos se incrustan mediante la API de Google Maps, por lo que el contenido se solicita a servidores de Google y este puede instalar sus propias cookies desde su dominio al cargarse.

Conviene señalarlo con claridad: este contenido no está sujeto al banner de cookies, puesto que se incrusta como parte de la información de la ficha. Solo se solicita cuando el mapa entra en pantalla al desplazarse por la página, y el usuario puede impedir estas cookies bloqueando las cookies de terceros en su navegador, con las instrucciones de la sección 7.

6.4 Terceros que el Servicio NO utiliza

No se integran en el Servicio los siguientes tipos de terceros:

• Plataformas de análisis distintas de las dos declaradas en la sección 6.1.
• Redes sociales (botones de compartir, widgets de Facebook, X, etc.).
• Tipografías o recursos servidos desde CDN de terceros: las fuentes se sirven desde el propio dominio del Servicio, sin peticiones externas.

Las herramientas de medición de campañas (Meta Pixel y Google Ads) se rigen por la sección 3.5: solo se cargan con campañas publicitarias activas y tras la aceptación de las cookies.

Los proveedores citados en esta sección son empresas que pueden tratar datos fuera del Espacio Económico Europeo. Las condiciones de dicho tratamiento, incluidas las eventuales transferencias internacionales, se rigen por las políticas de privacidad de cada proveedor y se detallan en la Política de Privacidad del Servicio.

7. Cómo gestionar las cookies

Cada categoría de cookies se gestiona de forma distinta: las analíticas, desde el banner; las técnicas y las que instala el contenido de terceros incrustado, desde el navegador.

Cookies analíticas o de medición. Solo se instalan si se han aceptado previamente en el banner descrito en la sección 5.2. La decisión puede modificarse o revocarse en cualquier momento desde el enlace «Configurar cookies» del pie de página: al rechazarlas, Google Analytics 4 y Microsoft Clarity dejan de cargarse, sin que ello limite ninguna funcionalidad ni afecte al acceso al Servicio.

Cookies técnicas estrictamente necesarias. Al estar exentas conforme al artículo 22.2 de la LSSI-CE, no se ofrecen a través del banner ni pueden desactivarse desde él. Sí es posible bloquearlas o eliminarlas desde el navegador, pero conviene tener en cuenta que bloquear las cookies técnicas del Servicio impedirá el funcionamiento correcto de la sesión de usuario (será necesario volver a identificarse en cada página).

Cookies de contenido de terceros incrustado. Las cookies que Google pueda instalar al cargarse el mapa o la vista de calle de una ficha (sección 6.3) no se gestionan desde el banner. Para impedirlas, el usuario puede activar el bloqueo de cookies de terceros en la configuración de privacidad de su navegador; el resto del Servicio seguirá funcionando con normalidad.

Instrucciones por navegador

• Google Chrome: Configuración → Privacidad y seguridad → Cookies y otros datos de sitios
• Mozilla Firefox: Opciones → Privacidad y seguridad → Cookies y datos del sitio
• Safari: Preferencias → Privacidad → Gestionar datos del sitio web
• Microsoft Edge: Configuración → Cookies y permisos del sitio → Cookies y datos almacenados

Eliminación de cookies del Servicio

Para eliminar las cookies del Servicio, puede:

1. Retirar el consentimiento analítico: desde el enlace «Configurar cookies» del pie de página se deja de cargar Google Analytics 4 y Microsoft Clarity; las cookies que ya se hubieran instalado en el dispositivo pueden borrarse después con las herramientas del navegador indicadas más arriba.
2. Cerrar sesión: la cookie de sesión (__Secure-authjs.session-token) se elimina al cerrar sesión. Las cookies de duración de sesión (__Host-authjs.csrf-token, __Secure-authjs.callback-url) se eliminan al cerrar el navegador.
3. Borrar cookies del navegador: utilice las herramientas de su navegador para eliminar las cookies asociadas al dominio del Servicio. Al borrar los datos del sitio se elimina también el almacenamiento local descrito en la sección 3.3, incluida la decisión guardada sobre las cookies analíticas, por lo que el banner volverá a mostrarse en la siguiente visita.

8. Plazo de conservación

8.1 Cookies técnicas estrictamente necesarias

8.2 Cookies analíticas o de medición

Retirar el consentimiento impide que estas cookies vuelvan a instalarse, pero no borra por sí solo las que ya estuvieran en el dispositivo: para eliminarlas hay que utilizar las herramientas del navegador indicadas en la sección 7.

8.3 Almacenamiento local

8.4 Cookies de marketing

Las cookies que puedan instalar los terceros mencionados en las secciones 6.2 y 6.3 (pasarela de pago, acceso con Google y mapas) se rigen por los plazos que determina cada proveedor, que esta política no puede fijar ni garantizar.

9. Modificaciones de esta política

El Responsable se reserva el derecho de modificar la presente Política de Cookies para adaptarla a novedades legislativas, directrices de la AEPD o cambios en el Servicio.

Las cookies analíticas descritas en las secciones 3.2 y 6.1 y las cookies de marketing de la sección 3.5 (Meta Pixel y Google Ads) se usan cuando hay campañas activas y solo se instalan tras aceptarlas con el mecanismo de consentimiento explicado en la sección 5. Si en el futuro se incorporan nuevas categorías de cookies —por ejemplo, de personalización— o nuevos proveedores dentro de las categorías ya existentes, se actualizará esta política y se recabará el consentimiento del usuario conforme al artículo 22 de la LSSI-CE antes de su instalación.

Cuando un cambio afecte de forma sustancial a las cookies sujetas a consentimiento, se solicitará de nuevo la decisión del usuario, de modo que un consentimiento prestado bajo una versión anterior de esta política no se dé por válido para las nuevas condiciones.

10. Referencias legales

• LSSI-CE — Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico. Art. 22: Derechos de los destinatarios de servicios (uso de cookies). Art. 22.2: Exención de consentimiento para cookies estrictamente necesarias.
• RGPD — Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. Art. 5.1.a: Principio de transparencia. Art. 6: Licitud del tratamiento. Art. 13: Información que debe facilitarse al interesado.
• LOPDGDD — Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
• Guía AEPD sobre el uso de las cookies — Agencia Española de Protección de Datos, actualizada en julio de 2023.
• Directiva 2002/58/CE — Directiva sobre la privacidad y las comunicaciones electrónicas (ePrivacy), transpuesta por la LSSI-CE.