Musgo is an auction application for Shopify stores. This policy explains what personal data the application handles, why, and how you can have it removed.
Musgo ("we", "the application") is software installed by a merchant into their own Shopify store to run timed auctions. We are not the seller. When you bid on an auction, your commercial relationship is with the merchant whose store you are shopping in.
In data-protection terms, the merchant is the data controller and Musgo is a data processor acting on their instructions. We process personal data only to make the auction work for that merchant, and never for our own purposes.
When you sign in to a merchant's store and place a bid, Shopify identifies you to the application. We store only what the auction mechanically requires:
| Data | Why it is needed |
|---|---|
| Shopify customer identifier | To tell bidders apart — to know whose bid is whose, to show you your own bidding history, and to stop one person bidding against themselves. |
| Email address | To send you the transactional messages the auction depends on: that you have been outbid, that you won, your invoice, and that your payment window is closing. |
| First and last name | Your initials appear in the public bid feed when you have not set a display alias, and your name appears on the invoice for a lot you win. |
| Display alias (optional) | If you set one, it replaces your initials in the public bid feed. |
| Bid amounts and timestamps | The auction record itself: what was bid, on what, and when. |
| IP address and browser user-agent | Recorded against each bid to detect bid manipulation and to resolve disputes over who placed a bid. |
| Watchlist, private notes, order and payment status | Lots you chose to follow, notes you wrote for yourself, and whether a lot you won has been invoiced and paid. |
We do not collect, store, or receive your phone number, shipping or billing address, payment card details, or browsing history. Payment is handled entirely by Shopify's checkout — card data never reaches Musgo. We do not process data about customers who have not participated in an auction, and we do not use tracking cookies or advertising pixels.
We process this data to perform the auction contract between you and the merchant, and on the merchant's legitimate interest in running a fair auction and preventing bid manipulation. We do not sell personal data, we do not share it with advertisers, and we do not use it to train machine learning models.
We use a small number of service providers ("subprocessors") to operate the application. Each is bound by contract to process data only on our instructions:
| Provider | Purpose | Location |
|---|---|---|
| Railway | Application hosting and the PostgreSQL database | United States |
| Resend | Delivery of auction notification emails | United States |
| Cloudflare | DNS, TLS termination, and the scheduled job that closes auctions | Global edge network |
Shopify is the source of the data rather than our subprocessor; your relationship with Shopify is governed by Shopify's own privacy policy. Beyond these providers, we disclose personal data only to the merchant operating the store you bid in, and where we are legally compelled to do so.
Our infrastructure is hosted in the United States. If you bid from outside the United States, your data is transferred there. Transfers are made under the standard contractual clauses included in our providers' data processing agreements.
Auction data is retained while the merchant's store continues to use Musgo, because it is the record of who bid, who won, and what was paid. Specifically:
You have the right to access the personal data we hold about you, to have it corrected, to have it erased, to restrict or object to its processing, and to receive it in a portable format. Where you live may grant you further rights; we honour requests from all bidders regardless of jurisdiction.
The fastest route is to ask the merchant whose store you bid in — Shopify provides them with a built-in control that instructs Musgo to produce or erase your data automatically, and we act on it within the timeframe Shopify requires (30 days for an access request, immediately for an erasure request). You may also write to us directly at the address in section 9, and we will coordinate with the merchant.
If you believe we have handled your data improperly, you may lodge a complaint with your local data protection authority.
If we become aware of a breach affecting personal data, we notify the affected merchant within 72 hours of confirming it, with the scope of the incident and the data involved, so that they can notify affected customers as their own obligations require.
If we change how we handle personal data, we will update this page and revise the date at the top. Material changes will be communicated to merchants using the application.
Questions or requests about this policy: privacy@musgocr.com
Musgo es una aplicación de subastas para tiendas Shopify. Esta política explica qué datos personales maneja la aplicación, para qué, y cómo podés pedir que se eliminen.
Musgo ("nosotros", "la aplicación") es un software que un comercio instala en su propia tienda Shopify para realizar subastas por tiempo. No somos el vendedor. Cuando pujás en una subasta, tu relación comercial es con el comercio en cuya tienda estás comprando.
En términos de protección de datos, el comercio es el responsable del tratamiento y Musgo es el encargado, que actúa siguiendo sus instrucciones. Tratamos datos personales únicamente para que la subasta funcione para ese comercio, nunca para fines propios.
Cuando iniciás sesión en la tienda de un comercio y hacés una puja, Shopify te identifica ante la aplicación. Guardamos solo lo que la subasta necesita para funcionar:
| Dato | Por qué se necesita |
|---|---|
| Identificador de cliente de Shopify | Para distinguir a las personas que pujan: saber de quién es cada puja, mostrarte tu propio historial, e impedir que alguien puje contra sí mismo. |
| Correo electrónico | Para enviarte los mensajes de los que depende la subasta: que te superaron, que ganaste, tu factura, y que se está venciendo la ventana de pago. |
| Nombre y apellido | Tus iniciales aparecen en el feed público de pujas cuando no configuraste un alias, y tu nombre aparece en la factura del lote que ganaste. |
| Alias público (opcional) | Si configurás uno, reemplaza tus iniciales en el feed público de pujas. |
| Montos y horas de las pujas | El registro de la subasta en sí: qué se pujó, sobre qué, y cuándo. |
| Dirección IP y navegador | Se registran junto a cada puja para detectar manipulación y resolver disputas sobre quién hizo una puja. |
| Lista de seguimiento, notas privadas, estado de orden y pago | Los lotes que elegiste seguir, las notas que escribiste para vos, y si un lote que ganaste ya fue facturado y pagado. |
No recolectamos, almacenamos ni recibimos tu número de teléfono, dirección de envío o facturación, datos de tarjeta, ni historial de navegación. El pago lo maneja íntegramente el checkout de Shopify: los datos de tarjeta nunca llegan a Musgo. No tratamos datos de clientes que no hayan participado en una subasta, y no usamos cookies de seguimiento ni píxeles publicitarios.
Tratamos estos datos para ejecutar el contrato de subasta entre vos y el comercio, y sobre la base del interés legítimo del comercio en realizar una subasta justa y prevenir manipulación de pujas. No vendemos datos personales, no los compartimos con anunciantes, y no los usamos para entrenar modelos de aprendizaje automático.
Usamos un número reducido de proveedores ("subencargados") para operar la aplicación. Cada uno está obligado por contrato a tratar los datos únicamente según nuestras instrucciones:
| Proveedor | Finalidad | Ubicación |
|---|---|---|
| Railway | Alojamiento de la aplicación y la base de datos PostgreSQL | Estados Unidos |
| Resend | Envío de los correos de notificación de la subasta | Estados Unidos |
| Cloudflare | DNS, cifrado TLS, y la tarea programada que cierra las subastas | Red global |
Shopify es la fuente de los datos, no un subencargado nuestro; tu relación con Shopify se rige por su propia política de privacidad. Fuera de estos proveedores, solo revelamos datos personales al comercio en cuya tienda pujaste, y cuando la ley nos obliga a hacerlo.
Nuestra infraestructura está alojada en Estados Unidos. Si pujás desde fuera de ese país, tus datos se transfieren allí. Las transferencias se amparan en las cláusulas contractuales tipo incluidas en los acuerdos de tratamiento de datos de nuestros proveedores.
Los datos de la subasta se conservan mientras la tienda del comercio siga usando Musgo, porque son el registro de quién pujó, quién ganó y qué se pagó. En concreto:
Tenés derecho a acceder a los datos personales que tenemos sobre vos, a que se corrijan, a que se eliminen, a restringir u oponerte a su tratamiento, y a recibirlos en un formato portable. El lugar donde vivís puede otorgarte derechos adicionales; atendemos las solicitudes de todas las personas que pujan, sin importar la jurisdicción.
La vía más rápida es pedírselo al comercio en cuya tienda pujaste: Shopify les da un control integrado que le ordena a Musgo producir o eliminar tus datos automáticamente, y actuamos dentro del plazo que Shopify exige (30 días para una solicitud de acceso, de inmediato para una de eliminación). También podés escribirnos directamente a la dirección de la sección 9 y nosotros lo coordinamos con el comercio.
Si considerás que tratamos tus datos indebidamente, podés presentar una denuncia ante la autoridad de protección de datos de tu país. En Costa Rica es la Agencia de Protección de Datos de los Habitantes (PRODHAB).
Si detectamos una brecha que afecte datos personales, notificamos al comercio afectado dentro de las 72 horas de haberla confirmado, indicando el alcance del incidente y los datos involucrados, para que pueda notificar a sus clientes según sus propias obligaciones.
Si cambiamos la forma en que manejamos datos personales, actualizaremos esta página y la fecha del encabezado. Los cambios sustanciales se comunicarán a los comercios que usan la aplicación.
Consultas o solicitudes sobre esta política: privacy@musgocr.com