1. Quién es quién
- Responsable del tratamiento: la empresa dada de alta en DeCA. Decide qué datos carga y para qué.
- Encargado del tratamiento: Juan Cantón Rodríguez (NIF 45492167F), Carrer de Pau Casals 19, 4º 2ª, 08213 Polinyà (Barcelona), España, bajo la marca «Francodesystems».
Este documento cubre únicamente los datos que tu empresa introduce en la herramienta. Los datos de tus usuarios y de la facturación los tratamos como responsables y se rigen por la política de privacidad.
2. Qué datos y de quién
- Categorías de interesados: clientes y cargadores de tu empresa, destinatarios de los envíos, conductores (propios o subcontratados), personas de contacto de los lugares de carga y descarga, y quien firma la conformidad de entrega.
- Categorías de datos: nombre o razón social, NIF o DNI, domicilio, teléfono, correo, matrícula asociada a un conductor, y la firma manuscrita cuando se recoge la conformidad de la entrega.
- Finalidad: emitir, versionar, conservar y poner a disposición el documento electrónico de control administrativo y, si lo usas, el albarán.
- Duración: mientras dure la relación, más el plazo de conservación legal de los documentos.
No se tratan categorías especiales del artículo 9 del RGPD. Si cargas datos que no hacen falta para emitir el documento, la decisión y la responsabilidad son tuyas.
3. A qué nos obligamos
- Tratar los datos solo siguiendo tus instrucciones documentadas, que son las acciones que ejecutas en la aplicación y en la API. No los usamos para nada nuestro: ni para entrenar modelos, ni para perfilar, ni para vender.
- Guardar secreto, y exigirlo a cualquiera que tenga acceso, también después de terminar la relación.
- Aplicar las medidas del artículo 32: cifrado en tránsito, contraseñas con hash lento, IP del registro de descargas cifrada con AES-256-GCM, aislamiento por empresa en cada consulta, huella SHA-256 por versión del documento, copias de seguridad y mínimo privilegio.
- Ayudarte a atender los derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad que te lleguen a ti. Si nos llega a nosotros una solicitud de un interesado tuyo, se la trasladamos sin responder por nuestra cuenta.
- Avisarte de una brecha de seguridad sin dilación indebida y, en todo caso, dentro de las 24 horas siguientes a que la conozcamos, con lo que sepamos para que puedas notificar a la AEPD en tus 72 horas.
- Ayudarte en la evaluación de impacto y en la consulta previa, si te hicieran falta.
- Poner a tu disposición la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, avisando con antelación y sin comprometer la seguridad de los datos de otros clientes.
4. Subencargados
Autorizas de forma general a estos subencargados, con los que tenemos firmado el contrato correspondiente:
- Hetzner Online GmbH (Alemania, UE) — servidores, base de datos y copias de seguridad. Los datos se alojan en la Unión Europea.
- Resend, Inc. (EE. UU.) — envío de los correos que salen de la aplicación. Transferencia internacional amparada en el Data Privacy Framework.
Si incorporamos o sustituimos alguno, te avisamos con treinta días de antelación y puedes oponerte; si te opones y no hay alternativa razonable, puedes resolver el contrato sin penalización.
Las herramientas de analítica y publicidad no son subencargados de este encargo: no tienen acceso a los datos que cargas, solo a la navegación por las páginas públicas y únicamente con consentimiento.
5. Al terminar
Cuando acabe la relación te devolvemos los datos en formato legible por máquina, junto con los PDF emitidos, y después los suprimimos. La excepción es lo que estemos obligados a conservar: cada documento emitido y sus versiones se guardan 13 meses desde la fecha del servicio, porque la norma de transporte lo exige y ese deber no depende de que sigas siendo cliente.
Mientras dure esa conservación los datos quedan bloqueados: no se usan para nada salvo atender un requerimiento de la administración o de un juzgado. El enlace público del QR deja de servir el documento a los 30 días del servicio, con independencia de todo lo anterior.
6. Lo que te toca a ti
- Tener base legal para cargar los datos que cargas y haber informado a esas personas. El caso normal es sencillo: son datos necesarios para ejecutar el contrato de transporte y para cumplir la obligación legal de emitir el documento.
- Incluirnos en tu registro de actividades de tratamiento como encargado, con los datos del punto 1.
- Gestionar quién entra en tu empresa dentro de la herramienta y con qué rol, y retirar el acceso a quien deje de necesitarlo.
- No compartir el enlace público de un documento más allá de a quien deba verlo.
7. Contacto
Para cualquier cosa relativa a este encargo, incluida una solicitud de auditoría o la firma de un contrato específico si tu departamento legal lo prefiere en papel: juan.canton@francodesystems.com.