Privacy when you buy a work

La privacidad cuando compras una obra · version P1

English

Version P1, of 2026-11-03. The general privacy policy of this website and of PaKi is at https://cesaryague.es/privacy-policy.html. This page adds what happens to your data when you buy a work through PaKi, the studio's digital curator.

Who is responsible

César Yagüe López, the artist, who sells his own work. His full details are in the legal notice (https://cesaryague.es/legal-notice.html). You can write to hello@cesaryague.es about anything on this page.

What the studio keeps, and when

When you ask for a quote:

• your name (and, if it is not written in Latin letters, how it is written in them), your email, your country and, where needed, your address and postal code;
• if you buy for a business: its tax number and the name its official register gives for it. The studio may also ask, by email, who represents the business and who owns it;
• if you are a private buyer in Spain: your DNI or NIE and your address, because Spanish invoicing rules require them on your invoice;
• the name of the agent that asks on your behalf, if there is one.

When you accept: your acceptance, in your words, with its date and the versions of the licence and of the terms of sale. If you are a private buyer, the box you ticked to ask for immediate delivery, with its date.

When you pay: from Stripe, which receives your transfer, the name on the account it came from, its bank's code (BIC) where Stripe provides it, the amount and the date.

If you buy as a private person, your identity document (a passport, an identity card or a residence permit):

• the image or PDF you send, stored encrypted;
• with the sale, its type, its country, its expiry date, the name on it and your year of birth;
• the country your connection came from when you sent it, worked out from your IP address. The address itself is not kept with the sale; Cloudflare's technical logs keep each request for about a week.

The number and the full date of birth you type in are checked, and not stored apart from the image. If you send the document more than once, the earlier versions are deleted when the sale is closed or ends, and only the last one, the one the sale is checked with, is kept, under the periods below. Earlier versions are kept only where they are needed for an anti-money-laundering examination of the sale or for a legal claim about it, and only for as long as that, or a legal obligation, requires. It arrives only through your private link, never through a conversation, and it never reaches PaKi through any tool. If you buy for a business, the studio asks the same of the person who buys on its behalf, and César looks at it himself.

The checks:

• whether your name is on the European Union's financial sanctions list. The list is downloaded from the European Commission and searched on the studio's side, so your name is not sent anywhere for this;
• for a business, whether its tax number is valid in the official register of its country.

The result of each check is kept with the sale.

At delivery and afterwards:

• the invoice and the certificate of authenticity;
• when your download began and whether it finished;
• every email the studio sends you about the purchase, with its text;
• if you withdraw, when you did, the refund and the corrective invoice.

The law requires your name and address for the invoice, and your tax number where the applicable invoicing rules require it. The studio needs the rest to make the sale and deliver the work, and keeps your acceptance and the checks as proof and as a precaution. Without the details your case needs, the sale cannot be made.

Why, and on what legal basis

• To prepare the sale, take your payment and deliver the work: because you ask for it, and to perform the contract (GDPR, Article 6(1)(b)).
• To issue the invoice and keep the tax records: a legal obligation (Article 6(1)(c)). Spanish invoicing rules require the buyer's address on the invoice, and the buyer's tax number in the cases they set out, such as a sale that VAT rules place in mainland Spain or the Balearic Islands, or a sale to a business that accounts for the VAT itself (Royal Decree 1619/2012, Article 6(1)(d) and (e)).
• To check the EU sanctions list: a legal obligation (Article 6(1)(c)). EU sanctions regulations forbid making funds or economic resources (assets of every kind, tangible or intangible) available to the people and entities they list; for example, Council Regulation (EU) No 269/2014, Article 2(2).
• To check who is buying, with your identity document, and by comparing your name with the name on the account the payment comes from:
  • Spanish anti-money-laundering law (Law 10/2010, Article 2(1)(r)) applies to those who trade professionally in works of art.
  • Whether it applies to an artist who sells his own work is a question the studio has put to the Spanish authority, SEPBLAC, which has not answered yet.
  • Until it answers, the studio makes these checks as a precaution, as if the law applied. Their basis is its legitimate interest in preventing fraud and money laundering (Article 6(1)(f)), weighed in writing against your rights in the studio's record of processing.
  • SEPBLAC's answer does not create the obligation, but it will make clear whether the law applies to the studio. If it does, the basis for these checks is that legal obligation (Article 6(1)(c)), and this page will say so.
• To tell César how a sale is going, to let anyone check a certificate, and to defend the sale in any dispute: the studio's legitimate interest (Article 6(1)(f)).

What is decided automatically

Before the quote, some things are checked automatically: whether a business's tax number is valid in its register, and the cases the terms of sale exclude (for example, buyers in Russia or Belarus). If one fails, PaKi says why, and you can always write to the studio.

After you reserve, nothing refuses you automatically (a reservation that is not paid in time simply expires, as the terms of sale say). If a check does not add up, the sale waits for César, who looks at it himself. When everything adds up, the sale can be closed and delivered without anyone having to press a button.

Who sees your data

• César, in the studio's panel and in the emails he receives about each step of the sale, which reach the studio's own mailbox with your details.
• Your identity document:
  • Only César is authorised to open it, with a key that only he holds.
  • The key that decrypts it is kept as a secret in the studio's Cloudflare account, with a backup in César's password manager.
  • If the studio's Cloudflare account or César's computer were ever compromised, someone could technically reach it. Both are protected, with two-step sign-in and an encrypted disk.
• Stripe receives your payment. To open the account for your transfer, it receives your name, email, country, address and tax number, and the name of your agent. It handles your payment also under its own privacy policy.
• Cloudflare keeps each sale's file: the sale, your acceptance, the checks, the invoices, the text of every email about it and the encrypted identity document. It keeps the delivery copy of the master file only while it is being delivered.
• The studio's own computer keeps a copy of each sale's file, made automatically every night on an encrypted disk. The identity document is copied still encrypted.
• Piensa Solutions (Tesys Internet S.L.U., a Spanish company of the IONOS group), the hosting provider of cesaryague.es, sends the emails about your purchase, to you and to César, and keeps César's in the studio's mailbox.
• The official registers receive a business's tax number, to check it: the European Commission's VIES, the Swiss UID register and Norway's Brønnøysund register.
• The Spanish Tax Agency receives what tax law requires about each invoice.
• Telegram carries a generic alert to César when something happens in a sale (for example, that one has been paid). The alert does not include your name, your identity document, the work, the amount or the sale's code. If you buy through a conversation with PaKi, from the moment PaKi prepares your purchase, the alerts about that conversation do not include what is written in it either. The alerts about the emails you write to PaKi never include who wrote them, their subject or what they say. Telegram receives the alert's text and information about the account and about the alert's delivery, including when it was sent. The details reach César by email.
• OpenAI, only if you or your agent buy through a conversation with PaKi, by A2A or by email. What is written in that conversation goes through OpenAI, as in any conversation, and stays in PaKi's memory of it and of your agent (see the general policy). When you buy through PaKi's MCP tools, the studio does not pass what they receive to OpenAI or keep it in PaKi's memory of conversations. Your own agent's provider may process what your agent sees, under its own privacy terms.
• Anyone who checks your certificate on its page sees the work, the date and only your initials.

When your data leaves the European Union

• Cloudflare (Cloudflare, Inc., United States): under the EU–US Data Privacy Framework, with the European Commission's standard contractual clauses as a fallback.
• Stripe: it serves Europe through Stripe Payments Europe, Limited, in Ireland. What goes to the United States goes under the EU–US Data Privacy Framework, with the standard contractual clauses as a fallback.
• OpenAI: it serves Europe through OpenAI Ireland Limited. What leaves the European Union goes under the standard contractual clauses or an adequacy decision of the European Commission.
• Telegram: the studio has not identified an adequacy decision or an equivalent safeguard for it. The studio therefore uses it, for sales, only for the generic alerts described above, without anything that identifies the buyer or the sale; the alerts about conversations with PaKi follow the rules described above.

Piensa Solutions and the studio's computer are in Spain.

How long it is kept

• A quote nobody accepts: two days, then it is deleted.
• A reservation that ends without any money moving (it expires, or is cancelled before payment):
  • the image of your identity document is deleted as soon as the reservation ends;
  • the rest, one year after it ends.

  If something in it raised a concern that had to be looked into under the anti-money-laundering law, all of it is kept like a purchase.

• A purchase, and any reservation where money moved: ten years, then it is deleted, unless a legal claim or an authority's request about it is still open.
  • This covers everything above: the sale, your acceptance, the payment, the invoices, the identity document (normally its last version, with the exceptions above), the checks, the text of every email about it, and César's alerts in the studio's mailbox.
  • The ten years count from the day the operation was completed or ended: for a purchase, usually the day the work was delivered; for a reservation, the day it ended.
  • This is the period the studio has chosen, as a precaution: the one Spanish anti-money-laundering law sets for those it applies to (Law 10/2010, Article 25). As that law provides, after five years only those in charge of the studio's internal anti-money-laundering control and, where needed, its legal defence can access it, and it remains available for any investigation by SEPBLAC or another competent authority.
• The delivery copy of the master file: only while it is being delivered. It is deleted when your download links expire, or when the reservation ends.
• The copies: whatever is deleted is deleted from the copies too, on the studio's computer.
• PaKi's memory of a conversation: as in the general policy.
• Stripe keeps what it needs under its own rules.

If SEPBLAC answers that the anti-money-laundering law does not apply to the studio, the studio will review these periods and update this page.

Your rights

Write to hello@cesaryague.es to:

• see your data, and get a copy, also in a format you can reuse;
• have it corrected if something is wrong;
• have it deleted. What tax law requires the studio to keep (the invoice and its records) cannot be deleted before its time; you will be told what that is and why;
• object to what is done on the basis of the studio's legitimate interest, including the checks and the ten years. The studio will stop unless it can demonstrate compelling legitimate grounds that override your interests, rights and freedoms, or needs the data to establish, exercise or defend legal claims. It will explain its decision to you;
• limit what is done with it while one of these requests is being looked at, or while you dispute whether your data is accurate.

You can also complain to the Spanish Data Protection Agency (AEPD, https://www.aepd.es).

Castellano

Versión P1, del 2026-11-03. La política general de esta web y de PaKi está en https://cesaryague.es/privacy-policy.html. Esta página cuenta lo que se hace con tus datos cuando compras una obra a través de PaKi, la curadora digital del estudio.

Quién es el responsable

César Yagüe López, el artista, que vende su propia obra. Sus datos completos están en el aviso legal. Para cualquier cosa de esta página, escribe a hello@cesaryague.es.

Qué guarda el estudio, y cuándo

Al pedir el presupuesto:

• tu nombre (y, si no se escribe en letras latinas, cómo se escribe en ellas), tu correo, tu país y, cuando hace falta, tu dirección y tu código postal;
• si compras para una empresa: su número fiscal y el nombre que le da su registro oficial. El estudio puede preguntarte además, por correo, quién la representa y quién es su dueño;
• si eres un particular de España: tu DNI o NIE y tu domicilio, porque las normas de facturación los piden en tu factura;
• el nombre del agente que pregunta por ti, si lo hay.

Al aceptar: tu aceptación, con tus palabras, su fecha y las versiones de la licencia y de las condiciones. Si eres un particular, la casilla que marcaste para pedir la entrega inmediata, con su fecha.

Al pagar: de Stripe, que recibe tu transferencia, el nombre de la cuenta de la que salió, el código de su banco (BIC) cuando Stripe lo da, el importe y la fecha.

Si compras como particular, tu documento de identidad (pasaporte, DNI o tarjeta de residencia):

• la imagen o el PDF que mandes, guardado cifrado;
• con la venta, su tipo, su país, cuándo caduca, el nombre que figura en él y tu año de nacimiento;
• el país desde el que te conectaste al mandarlo, sacado de tu dirección IP. La dirección misma no se guarda con la venta; los registros técnicos de Cloudflare guardan cada petición alrededor de una semana.

El número y la fecha de nacimiento completa que escribes solo se comprueban: no se guardan aparte de la imagen. Si mandas el documento más de una vez, las versiones de antes se borran cuando la venta se cierra o termina, y solo se guarda la última, con la que se comprueba la venta, con los plazos de abajo. Las de antes solo se guardan si hacen falta para un examen de la venta por la ley contra el blanqueo o para una reclamación sobre ella, y solo mientras eso, o una obligación legal, lo pida. Llega solo por tu enlace privado, nunca por una conversación, y no le llega a PaKi por ninguna herramienta. Si compras para una empresa, el estudio le pide lo mismo a la persona que compra en su nombre, y lo mira César en persona.

Las comprobaciones:

• si tu nombre está en la lista de sanciones financieras de la Unión Europea. La lista se baja de la Comisión Europea y se busca en casa, así que tu nombre no se manda a nadie para esto;
• si es una empresa, si su número fiscal es válido en el registro oficial de su país.

El resultado de cada comprobación se guarda con la venta.

En la entrega y después:

• la factura y el certificado de autenticidad;
• cuándo empezó tu descarga y si terminó;
• cada correo que el estudio te manda sobre la compra, con su texto;
• si desistes, cuándo lo hiciste, la devolución y la factura rectificativa.

La ley pide tu nombre y tu domicilio para la factura, y tu número fiscal cuando lo piden las normas de facturación que se aplican. El estudio necesita lo demás para hacer la venta y entregar la obra, y guarda tu aceptación y las comprobaciones como prueba y por precaución. Sin los datos que pide tu caso, no se puede hacer la venta.

Para qué, y con qué base legal

• Preparar la venta, cobrar y entregar la obra: porque tú lo pides, y para cumplir el contrato (RGPD, art. 6.1.b).
• Hacer la factura y llevar los libros: una obligación legal (art. 6.1.c). Las normas de facturación piden el domicilio de quien compra en la factura, y su número fiscal en los casos que señalan, como una venta que las normas del IVA sitúan en la Península o en Baleares, o una venta a una empresa que declara ella misma el IVA (Real Decreto 1619/2012, art. 6.1.d y 6.1.e).
• Mirar la lista de sanciones de la UE: una obligación legal (art. 6.1.c). Los reglamentos europeos de sanciones prohíben poner fondos o recursos económicos («los activos de todo tipo, tangibles o intangibles») a disposición de las personas y entidades de su lista; por ejemplo, el Reglamento (UE) 269/2014 del Consejo, art. 2.2.
• Comprobar quién compra, con tu documento y comparando tu nombre con el de la cuenta de la que llega el pago:
  • la ley española contra el blanqueo (Ley 10/2010, art. 2.1.r) alcanza a quienes comercian profesionalmente con obras de arte;
  • si alcanza a un artista que vende su propia obra es una pregunta que el estudio ha hecho al SEPBLAC, que aún no ha contestado;
  • mientras tanto, el estudio comprueba por precaución, como si la ley le obligara. La base es su interés legítimo en evitar el fraude y el blanqueo (art. 6.1.f), sopesado por escrito frente a tus derechos en el registro de tratamientos del estudio;
  • la respuesta del SEPBLAC no crea la obligación, pero aclarará si la ley alcanza al estudio. Si es así, la base de estas comprobaciones es esa obligación legal (art. 6.1.c), y esta página lo dirá.
• Contarle a César cómo va una venta, dejar que cualquiera compruebe un certificado y defender la venta si hay un conflicto: el interés legítimo del estudio (art. 6.1.f).

Lo que se decide solo

Antes del presupuesto se comprueban solas algunas cosas: si el número fiscal de una empresa es válido en su registro, y los casos que las condiciones dejan fuera (por ejemplo, quien compra desde Rusia o Bielorrusia). Si una falla, PaKi dice por qué, y siempre puedes escribir al estudio.

Después de reservar, nada te dice que no de forma automática (una reserva que no se paga a tiempo simplemente caduca, como dicen las condiciones). Si una comprobación no cuadra, la venta espera a César, que la mira en persona. Cuando todo cuadra, la venta puede cerrarse y entregarse sin que nadie tenga que pulsar nada.

Quién ve tus datos

• César, en el panel del estudio y en los correos que recibe sobre cada paso de la venta, que llegan con tus datos al buzón propio del estudio.
• Tu documento de identidad:
  • solo César está autorizado a abrirlo, con una llave que solo tiene él;
  • la clave que lo descifra está guardada como secreto en la cuenta de Cloudflare del estudio, con una copia en el gestor de contraseñas de César;
  • si alguna vez se rompiera la seguridad de la cuenta de Cloudflare del estudio o del ordenador de César, alguien podría llegar a él técnicamente. Las dos cosas están protegidas, con la verificación en dos pasos y un disco cifrado.
• Stripe recibe tu pago. Para abrir la cuenta de tu transferencia recibe tu nombre, tu correo, tu país, tu dirección, tu número fiscal y el nombre de tu agente. Trata tu pago también según su propia política de privacidad.
• Cloudflare guarda el expediente de cada venta: la venta, tu aceptación, las comprobaciones, las facturas, el texto de cada correo sobre ella y el documento de identidad cifrado. La copia del máster para la entrega, solo mientras se entrega.
• El ordenador del estudio guarda una copia del expediente de cada venta, hecha sola cada noche en un disco cifrado. El documento de identidad se copia cifrado.
• Piensa Solutions (Tesys Internet S.L.U., una empresa española del grupo IONOS), que aloja cesaryague.es, manda los correos de tu compra, a ti y a César, y guarda los de César en el buzón del estudio.
• Los registros oficiales reciben el número fiscal de una empresa, para comprobarlo: el VIES de la Comisión Europea, el registro UID suizo y el registro noruego de Brønnøysund.
• La Agencia Tributaria recibe de cada factura lo que pide la ley fiscal.
• Telegram le lleva a César un aviso genérico cuando pasa algo en una venta (por ejemplo, que se ha pagado una). El aviso no lleva tu nombre, ni tu documento de identidad, ni la obra, ni el importe, ni el código de la venta. Si compras conversando con PaKi, desde que PaKi prepara tu compra, los avisos de esa conversación tampoco llevan lo que se escribe en ella. Los avisos de los correos que le escribas a PaKi nunca llevan quién los escribe, ni su asunto, ni lo que dicen. Telegram recibe el texto del aviso y los datos de la cuenta y de la entrega del aviso, también cuándo se mandó. Los detalles le llegan a César por correo.
• OpenAI, solo si tú o tu agente compráis conversando con PaKi, por A2A o por correo. Lo que se escribe en esa conversación pasa por OpenAI, como cualquier conversación, y se queda en la memoria que PaKi guarda de ella y de tu agente (ver la política general). Cuando compras con las herramientas MCP de PaKi, el estudio no le pasa a OpenAI lo que reciben ni lo guarda en la memoria de las conversaciones de PaKi. El proveedor de tu propio agente puede tratar lo que tu agente ve, según sus propias condiciones de privacidad.
• Quien compruebe tu certificado en su página ve la obra, la fecha y solo tus iniciales.

Cuando tus datos salen de la Unión Europea

• Cloudflare (Cloudflare, Inc., Estados Unidos): con el Marco de Privacidad de Datos UE-EE. UU., y las cláusulas contractuales tipo de la Comisión Europea de reserva.
• Stripe: atiende Europa con Stripe Payments Europe, Limited, de Irlanda. Lo que va a Estados Unidos va con el Marco de Privacidad de Datos UE-EE. UU., y las cláusulas tipo de reserva.
• OpenAI: atiende Europa con OpenAI Ireland Limited. Lo que sale de la Unión Europea sale con las cláusulas tipo o con una decisión de adecuación de la Comisión.
• Telegram: el estudio no ha encontrado para él una decisión de adecuación ni una garantía equivalente. Por eso, para las ventas, lo usa solo para los avisos genéricos de arriba, sin nada que identifique a quien compra ni la venta; los avisos de las conversaciones con PaKi siguen las reglas de arriba.

Piensa Solutions y el ordenador del estudio están en España.

Cuánto tiempo se guarda

• Un presupuesto que nadie acepta: dos días, y se borra.
• Una reserva que termina sin que se haya movido dinero (caduca, o se cancela antes del pago):
  • la imagen de tu documento de identidad se borra en cuanto termina la reserva;
  • lo demás, un año después.

  Si algo en ella despertó una sospecha que hubo que examinar por la ley contra el blanqueo, se guarda todo como una compra.

• Una compra, y cualquier reserva en la que se movió dinero: diez años, y luego se borra, salvo que siga abierta una reclamación o una petición de una autoridad.
  • Vale para todo lo de arriba: la venta, tu aceptación, el pago, las facturas, el documento de identidad (normalmente su última versión, con las excepciones de arriba), las comprobaciones, el texto de cada correo sobre ella y los avisos de César en el buzón del estudio.
  • Los diez años cuentan desde el día en que la operación se completó o terminó: en una compra, normalmente el día en que se entregó la obra; en una reserva, el día en que terminó.
  • Es el plazo que el estudio ha elegido, por precaución: el que pone la ley española contra el blanqueo para quienes alcanza (Ley 10/2010, art. 25). Como dice esa ley, pasados cinco años solo pueden acceder a ello quienes llevan el control interno del estudio contra el blanqueo y, si hace falta, su defensa legal, y sigue a disposición de las investigaciones del SEPBLAC o de otra autoridad competente.
• La copia del máster para la entrega: solo mientras se entrega. Se borra cuando caducan tus enlaces de descarga, o cuando termina la reserva.
• Las copias: lo que se borra se borra también de las copias, en el ordenador del estudio.
• La memoria de PaKi de una conversación: como dice la política general.
• Stripe guarda lo que necesita según sus propias normas.

Si el SEPBLAC contesta que la ley contra el blanqueo no alcanza al estudio, el estudio revisará estos plazos y pondrá al día esta página.

Tus derechos

Escribe a hello@cesaryague.es para:

• ver tus datos y tener una copia, también en un formato que puedas reutilizar;
• que se corrijan si algo está mal;
• que se borren. Lo que la ley fiscal obliga a guardar (la factura y sus libros) no se puede borrar antes de su plazo; se te dirá qué es y por qué;
• oponerte a lo que se hace por el interés legítimo del estudio, también a las comprobaciones y a los diez años. El estudio para, salvo que pueda demostrar motivos legítimos imperiosos que prevalezcan sobre tus intereses, derechos y libertades, o que necesite los datos para formular, ejercer o defender reclamaciones. Te explicará su decisión;
• que se limite lo que se hace con ellos mientras se mira una de estas peticiones, o mientras discutes si tus datos son correctos.

También puedes reclamar ante la Agencia Española de Protección de Datos (AEPD, https://www.aepd.es).