Política de privacidad

Responsable del tratamiento

El responsable de los datos de tu cuenta y de contacto es [[RAZON_SOCIAL]] (NIF/CIF [[CIF]]), con domicilio en [[DOMICILIO]]. Contacto de privacidad: [[EMAIL_PRIVACIDAD]].

Cuando una empresa cliente usa DeCaRutas para emitir sus DeCAs, esa empresa es la responsable de los datos de sus conductores, autónomos y contrapartes, y DeCaRutas actúa como su encargado del tratamiento según el contrato de encargo (art. 28 RGPD) que figura en la página DPA.

Qué datos tratamos

Datos de cuenta: tu email y tu rol dentro de la empresa.

Solicitudes de acceso: si rellenas el formulario de decarutas.com/solicitud, tu nombre, tu empresa y tu email y, si los das, tu teléfono y tu mensaje.

Datos del DeCA que introduce la empresa cliente: cargador, transportista, conductor (nombre completo, documento de identidad, teléfono y email, que se usan para enviarle el DeCA), email de contacto de las contrapartes, vehículos, mercancía y trayecto.

Datos técnicos: guardamos la dirección IP y el navegador (user-agent) solo en las descargas públicas y de archivo del DeCA, en la apertura y finalización del servicio por el conductor y en los envíos del cargador. Las acciones de los usuarios con cuenta se registran con su fecha y su autor, sin dirección IP. Las direcciones IP de inicio de sesión las guarda el proveedor de autenticación (Supabase Auth) en sus propios registros.

Finalidad

Crear y gestionar tu cuenta, emitir el DeCA y permitir su consulta por la inspección y por las partes del transporte.

Enviar los emails necesarios del servicio (invitaciones, enlaces de acceso, envío del DeCA al conductor y ejemplar a la contraparte, enlace para que el cargador aporte sus datos y avisos al operador cuando el cargador los envía).

Conservar el registro de auditoría y la prueba de las descargas del DeCA, y mantener la seguridad del servicio.

Responder a las solicitudes de acceso al piloto que nos envías desde la web.

No usamos tus datos para publicidad ni los vendemos.

Base jurídica

Ejecución del contrato o de medidas precontractuales a petición tuya (art. 6.1.b RGPD) para la cuenta, el servicio y las solicitudes de acceso.

Obligación legal (art. 6.1.c RGPD): el DeCA debe poder ser exhibido a la inspección según la Orden FOM/2861/2012 y la normativa que la desarrolla, y debe conservarse el plazo legal.

Interés legítimo (art. 6.1.f RGPD) en la seguridad del servicio y en la prueba de las descargas.

Destinatarios

Quien tenga el enlace público o de archivo de un DeCA puede ver su contenido; es la finalidad del documento. Las autoridades competentes pueden requerirnos datos cuando la ley lo exija.

No cedemos tus datos a otras empresas para sus propios fines.

Encargados del tratamiento y transferencias

Para prestar el servicio usamos estos proveedores, que tratan datos por cuenta nuestra:

Supabase: base de datos, autenticación y almacenamiento de los PDF, alojados en la región eu-central-1 (Fráncfort).

Vercel: alojamiento de la aplicación, con funciones en la región fra1 (Fráncfort); Vercel sirve el contenido a través de una red global de distribución.

[[PROVEEDOR_EMAIL]]: envío de los emails del servicio.

Sentry: podemos usar un servicio de monitorización de errores, en su región de la Unión Europea, configurado para no enviar datos personales ni los enlaces con token. [[VERIFICAR_SENTRY]]

Transferencias internacionales: [[TRANSFERENCIAS]]

Plazo de conservación

Un DeCA emitido no puede borrarse antes de que acabe su plazo mínimo de conservación. El mínimo legal es de 1 año y el que aplicamos por defecto es de 2 años, contados desde la fecha del transporte o la de emisión, la que sea posterior. Ese plazo lo fijamos nosotros en el servidor y puede ampliarse a petición de la empresa cliente; no se puede reducir por debajo del mínimo legal.

La descarga pública de un DeCA se desactiva 7 días después de terminar el servicio; el documento sigue guardado durante el plazo de conservación.

Pasado el plazo mínimo, el borrado o la anonimización de los DeCAs se hace cuando la empresa cliente (responsable) nos lo pide; no existe un borrado automático. Los datos de cuenta se conservan mientras la cuenta esté activa.

Las solicitudes de acceso nos llegan por email y no se guardan en la aplicación; las conservamos el tiempo necesario para responderlas [[PLAZO_SOLICITUDES]].

Tus derechos

Puedes ejercer los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición, y a no ser objeto de decisiones automatizadas (arts. 15 a 22 RGPD) escribiendo a [[EMAIL_PRIVACIDAD]] e indicando qué derecho quieres ejercer.

Si tus datos los trata una empresa cliente como responsable (por ejemplo, eres conductor), dirígete primero a esa empresa; la ayudaremos a atender tu petición.

La supresión de un DeCA emitido no es posible antes de que acabe su plazo mínimo de conservación.

Reclamación ante la AEPD

Si crees que no tratamos bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos (AEPD), www.aepd.es.

Seguridad

Aplicamos medidas técnicas y organizativas adecuadas: conexiones cifradas, aislamiento de los datos entre empresas, control de accesos por rol, registro de auditoría y copias de seguridad cifradas. [[VERIFICAR_COPIAS_CIFRADAS]] Limitamos el número de peticiones al enlace público del DeCA. [[VERIFICAR_LIMITE_PETICIONES]]