Anexo de encargo del tratamiento — DeCAFacil

Última actualización: 13 de agosto de 2026 (expurgo 3→5 años). Este anexo forma parte de las Condiciones del servicio y se acepta junto con ellas al darse de alta. La versión aceptada queda registrada en la cuenta.

Por qué existe este documento

Cuando usas DeCAFacil introduces datos de otras personas y empresas: el nombre, el NIF y el domicilio de tus clientes y de los transportistas con los que trabajas, las direcciones de carga y descarga, las matrículas, el teléfono de un conductor.

Esos datos son tuyos, no nuestros. Tú decides qué se introduce y para qué; nosotros solo los guardamos y los procesamos para generarte el documento que nos pides. En el lenguaje del Reglamento General de Protección de Datos, eso significa que tú eres el responsable del tratamiento y DeCAFacil es el encargado, y el artículo 28 exige que esa relación esté regulada por escrito. Este anexo es ese contrato.

No cambia nada de lo que ya hacías. Lo que hace es dejar por escrito qué podemos y qué no podemos hacer con los datos de terceros que tú nos confías, y a qué nos comprometemos contigo.

---

1. Partes y ámbito

• Responsable del tratamiento: la persona usuaria titular de la cuenta (en adelante, «tú» o «el responsable»).
• Encargado del tratamiento: Manuel Meseguer Carrillo, con los datos identificativos del Aviso legal (en adelante, «DeCAFacil»).

Este anexo regula únicamente el tratamiento de los datos personales que tú introduces sobre terceros. No se aplica a los datos de tu propia cuenta —tu correo, tu perfil, tus datos de acceso y tu uso del servicio—, respecto de los cuales DeCAFacil actúa como responsable y no como encargado; ese tratamiento se describe en la Política de privacidad.

2. Objeto, naturaleza y finalidad del tratamiento

DeCAFacil trata los datos por tu cuenta con la única finalidad de prestarte el servicio: generar el Documento electrónico de Control Administrativo con los datos que introduces, producir el PDF y su código público, ponerlo a disposición de las partes y de la inspección durante los plazos previstos, conservarlo durante el plazo legalmente exigible, remitir las copias que solicites y mantener tu agenda de datos maestros para que no tengas que teclear lo mismo cada vez.

Las operaciones incluyen recogida, registro, estructuración, conservación, consulta, comunicación por transmisión a la contraparte que tú indiques, limitación y supresión.

3. Tipo de datos personales y categorías de interesados

Tipos de datos: nombre o razón social, NIF, domicilio, teléfono y dirección de correo electrónico de las contrapartes; direcciones de carga y descarga; matrículas de vehículos; nombre y teléfono de conductores; y los datos del artículo 6 de la Orden FOM/2861/2012 que integran cada DeCA, junto con su código público y su ciclo de vida.

Categorías de interesados: tus clientes y cargadores, los transportistas con los que operas, sus personas de contacto, y los conductores que registres.

No se tratan categorías especiales de datos (art. 9 RGPD). No debes introducirlas: los campos del servicio no están previstos para ello y hacerlo quedaría fuera de las instrucciones de este anexo.

4. Duración

Este anexo está vigente mientras tengas cuenta activa en DeCAFacil y, después, durante el tiempo en que subsistan las obligaciones de conservación descritas en el punto 9.

5. Tus obligaciones como responsable

• Determinar la finalidad y los medios del tratamiento, dentro de lo que el servicio permite.
• Contar con base jurídica para introducir los datos de terceros. En el caso ordinario esa base es la ejecución del contrato de transporte y el cumplimiento de la obligación legal de documentarlo.
• Informar a los interesados en los términos de los artículos 13 y 14 del RGPD. DeCAFacil te asiste incluyendo en el correo que se remite a la contraparte (con el enlace de descarga o el PDF, según cómo lo compartas) una referencia a este tratamiento y un enlace a esta información, pero el deber de informar es tuyo.
• Atender las solicitudes de derechos que te dirijan los interesados.
• No introducir datos innecesarios para el documento ni categorías especiales.

6. Nuestras obligaciones como encargado (art. 28.3 RGPD)

a) Tratar los datos solo siguiendo tus instrucciones documentadas. Tus instrucciones son el uso que haces del servicio a través de sus funciones: lo que introduces, lo que emites, lo que compartes y lo que borras. DeCAFacil no trata esos datos para ninguna finalidad propia. En particular, no los usa para publicidad, no los vende, no los cede a terceros con fines comerciales, no los cruza con los de otras personas usuarias y no los emplea para entrenar sistemas de inteligencia artificial. La medición del funcionamiento del servicio se realiza de forma agregada y sobre datos de uso, no sobre el contenido de tus documentos.

Si DeCAFacil entendiera que una instrucción tuya infringe la normativa de protección de datos, te lo comunicará de inmediato.

b) Confidencialidad. Las personas autorizadas para tratar estos datos están sujetas a deber de confidencialidad, de carácter indefinido y subsistente tras el fin de la relación. En la fecha de este anexo, la única persona con acceso administrativo es el titular indicado en el punto 1.

c) Medidas de seguridad (art. 32). Se aplican las descritas en el punto 9 de la Política de privacidad, que forman parte de este anexo: cifrado en tránsito, aislamiento de los datos de cada cuenta con seguridad a nivel de fila en la base de datos, acceso sin contraseñas mediante códigos de un solo uso, almacenamiento de credenciales como resumen criptográfico, limitación de tasa, registro de accesos a los documentos públicos, gestión de secretos fuera del código y copias de seguridad cifradas en tránsito hacia un sistema propio situado en España.

d) Subencargados. Autorizas de forma general el recurso a los siguientes subencargados, todos con tratamiento en el Espacio Económico Europeo:

Subencargado	Servicio	Ubicación
Hetzner Online GmbH	Alojamiento del servidor y de la base de datos	Alemania (UE)
Scaleway SAS	Envío de correo transaccional	Francia (UE)

Sustitución de subencargado (8 de agosto de 2026): Raiola Networks S.L. deja de prestar el envío de correo transaccional, sustituida por Scaleway SAS —ambos en el Espacio Económico Europeo—. DeCAFacil informará con antelación razonable de cualquier alta o sustitución de subencargado mediante la actualización de este anexo y el aviso previsto en el punto 11, y tendrás derecho a oponerte causando baja del servicio. Los subencargados quedan sujetos a las mismas obligaciones que este anexo impone a DeCAFacil.

e) Asistencia en el ejercicio de derechos. Si un interesado dirige a DeCAFacil una solicitud de acceso, rectificación, supresión, oposición, limitación o portabilidad relativa a datos que tú has introducido, DeCAFacil no la resolverá por su cuenta: te la reencaminará sin dilación indebida para que la resuelvas tú, que eres el responsable, y te prestará la asistencia técnica razonable que necesites para ello. Las funciones del propio servicio —edición y baja de fichas de la agenda, modificación de un documento emitido, descarga de tus documentos— ya te permiten atender la mayoría de las solicitudes por ti mismo.

f) Asistencia en los artículos 32 a 36. DeCAFacil te asistirá, dentro de lo razonable y con la información de que disponga, en el cumplimiento de tus obligaciones de seguridad, notificación de violaciones, evaluación de impacto y consulta previa.

Notificación de violaciones de seguridad: si se produce una violación que afecte a los datos tratados por tu cuenta, DeCAFacil te lo notificará a ti sin dilación indebida (art. 33.2) —no a la autoridad de control, que es decisión tuya— con la información de que disponga sobre la naturaleza del incidente, las categorías y el número aproximado de interesados y registros afectados, las consecuencias probables y las medidas adoptadas.

g) Supresión o devolución al terminar. Al causar baja, o al terminar la prestación del servicio, DeCAFacil suprimirá los datos tratados por tu cuenta con la excepción de los documentos DeCA y los registros asociados, que se conservan bloqueados durante los plazos legalmente exigibles conforme al punto 9. Antes de la baja puedes descargar tus documentos desde la aplicación; el plan gratuito, además, te traslada expresamente la carga de conservarlos por tu cuenta (ver el Descargo del plan gratuito).

h) Información y auditorías. DeCAFacil pondrá a tu disposición la información necesaria para demostrar el cumplimiento de estas obligaciones y permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por tu parte o por un auditor que designes. Las auditorías se acordarán con antelación razonable, se limitarán a lo necesario, no podrán comprometer la seguridad ni la confidencialidad de los datos de otras personas usuarias, y sus costes correrán a tu cargo salvo que revelen un incumplimiento.

7. Registro de actividades

DeCAFacil lleva el registro de categorías de actividades de tratamiento efectuadas por cuenta de responsables que exige el artículo 30.2 del RGPD, y te facilitará el extracto que te corresponda si lo solicitas.

8. Transferencias internacionales

No se realizan transferencias de datos fuera del Espacio Económico Europeo. Si en el futuro fuera necesario recurrir a un proveedor que trate datos fuera del EEE, se aplicarán las garantías del capítulo V del RGPD y se comunicará previamente conforme al punto 11.

9. Conservación y bloqueo

El DeCA no es un dato cualquiera: es documentación del transporte con obligación legal de conservación. Por eso, y a diferencia del resto de datos tratados por tu cuenta, no se suprime cuando tú lo pides ni cuando causas baja.

El ciclo es el siguiente:

1. Conservado. El documento se mantiene accesible con las ventanas descritas en las Condiciones y en el Descargo.
2. Bloqueado (art. 32 LOPDGDD). Cumplido el plazo de conservación de un año desde la emisión, el documento sale de la vía ordinaria de la aplicación y queda conservado únicamente a disposición de jueces, tribunales, el Ministerio Fiscal y las administraciones competentes, durante los plazos de prescripción. Puedes solicitar una copia de un documento bloqueado del que seas titular; cada acceso de ese tipo queda registrado.
3. Suprimido. Cumplidos 5 años desde la emisión —el plazo general de prescripción de las acciones personales sin plazo especial, art. 1964.2 del Código Civil—, el contenido del documento se suprime definitivamente: desaparecen el PDF y los datos de las partes, los lugares, la mercancía y las matrículas. Solo queda constancia de que el documento existió y de cuándo se suprimió, sin ningún dato personal.

En este régimen DeCAFacil no actúa solo por tu cuenta: la conservación responde además a una obligación legal propia y al interés público en el control administrativo del transporte, de modo que una instrucción tuya de supresión no puede prevalecer sobre ella.

10. Responsabilidad

Cada parte responde de sus propios incumplimientos de la normativa de protección de datos, en los términos de los artículos 82 y 83 del RGPD. La limitación de responsabilidad de las Condiciones del servicio no afecta a las responsabilidades que la normativa de protección de datos impone de forma imperativa.

11. Modificaciones

DeCAFacil podrá modificar este anexo por razones legales, técnicas o de organización del servicio. Los cambios sustanciales —en particular, el alta o la sustitución de un subencargado— se comunicarán con antelación razonable y darán lugar a una nueva versión, cuya aceptación quedará registrada en tu cuenta.

12. Contacto

Para cualquier cuestión relativa a este anexo: formulario de contacto o calidad@decafacil.es.