Política de privacidad — DeCAFacil (aplicación)

Última actualización: 16 de octubre de 2026. Cubre el tratamiento de datos en la aplicación app.decafacil.es. La newsletter de la web de captación tiene su propia política.

Es de aplicación el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y la Ley 34/2002 (LSSI-CE).

1. Responsable y doble rol

El responsable del tratamiento de los datos de la cuenta es Manuel Meseguer Carrillo (autónomo), con los datos de contacto del Aviso legal. No existe delegado de protección de datos al no concurrir los supuestos del art. 37 RGPD; para cualquier cuestión: calidad@decafacil.es.

DeCAFacil interviene con un doble rol según el dato:

• Responsable respecto de los datos de la cuenta de la persona usuaria (email, perfil, datos de acceso, uso del servicio).
• Encargado del tratamiento (art. 28 RGPD) respecto del contenido de los DeCA y de los datos maestros que la persona usuaria introduce sobre sus contrapartes (nombre, NIF, direcciones, matrículas, etc.). Esos datos se tratan por cuenta y bajo las instrucciones de la persona usuaria, que es la responsable de ese tratamiento y de contar con base jurídica para introducir los datos de terceros.

Las condiciones de ese encargo —instrucciones, confidencialidad, medidas de seguridad, subencargados, asistencia en el ejercicio de derechos y en la notificación de brechas, y qué ocurre con los datos al terminar— se regulan en el Anexo de encargo del tratamiento, que forma parte de las Condiciones del servicio y se acepta al darse de alta.

2. Datos que tratamos

Como responsable (cuenta de la persona usuaria):

• Email (identidad de acceso) y fecha de verificación.
• Datos de perfil que prellenan su parte en la emisión: nombre o razón social, NIF, teléfono y domicilio; rol por defecto (cargador/transportista).
• Datos técnicos de acceso: códigos/enlaces de un solo uso (guardados solo como hash), sesiones (token guardado como hash, fechas de uso), dirección IP y fecha/hora de emisión de los códigos, como prueba y prevención de abusos.
• Aceptación de las condiciones: versión aceptada y fecha.
• Solicitud de alta por correo (a partir de oct-2026): cuando escribes a la dirección de altas de DeCAFacil para habilitar tu acceso, guardamos tu dirección de correo (la del remitente), la fecha, el identificador técnico del mensaje, el resultado de la comprobación de autenticidad del remitente (si la firma del dominio es válida y a qué dominio corresponde) y, si la solicitud la abriste desde la web, un código de un solo uso (guardado como hash) y tu dirección IP. No guardamos el contenido del mensaje, sus enlaces ni sus adjuntos, y no contestamos a ese correo.
• Eventos técnicos de uso del servicio (ver punto 6).
• Registro de accesos a la URL pública de cada documento (ver punto 6 bis): dirección IP, navegador y enlace de procedencia de quien abre el código QR.

Como encargado (contenido introducido por la persona usuaria):

• Datos maestros de clientes, transportistas, direcciones habituales, vehículos y conductor.
• Contenido de cada DeCA (datos del art. 6 de la Orden FOM/2861/2012: partes intervinientes con nombre/NIF/domicilio, lugares de carga y descarga, mercancía, matrículas, fechas), su código público y su ciclo de vida.

No se solicitan categorías especiales de datos. Facilitar el email es voluntario, pero sin él no es posible usar el servicio.

3. Finalidades y bases jurídicas

Finalidad	Base jurídica
Alta, autenticación y gestión de la cuenta	Ejecución del contrato de prestación del servicio (art. 6.1.b RGPD)
Recibir y tramitar la solicitud de alta que la persona envía por correo a la dirección de altas, y comprobar que la dirección de origen es auténtica	Medidas precontractuales a petición de la persona interesada (art. 6.1.b RGPD) e interés legítimo en evitar suplantaciones y envíos a direcciones inexistentes (art. 6.1.f RGPD)
Generar, almacenar, compartir y conservar los DeCA y los maestros por cuenta de la persona usuaria	Encargo de tratamiento por cuenta del responsable-usuario (art. 28 RGPD); la base jurídica del tratamiento la aporta la persona usuaria
Enviar el DeCA en PDF por email a la propia persona usuaria y, a la contraparte, un enlace de descarga (o el PDF, si se comparte expresamente)	Ejecución del contrato de transporte documentado — comunicación transaccional, no comercial (art. 6.1.b RGPD; fuera del art. 21 LSSI)
Conservar los DeCA durante los plazos legales del transporte y atender inspecciones	Obligación legal e interés público en el control administrativo del transporte (arts. 6.1.c y 6.1.e RGPD)
Registrar prueba de acceso/consentimiento y prevenir abusos	Interés legítimo y, en su caso, obligación legal (arts. 6.1.f y 6.1.c RGPD)
Medición agregada del uso del servicio	Interés legítimo (art. 6.1.f RGPD), sin perfilado individual

No se adoptan decisiones automatizadas con efectos jurídicos ni se elaboran perfiles individuales.

4. Conservación, régimen «conservar no borrar» y bloqueo

Los datos de la cuenta se conservan mientras la cuenta esté activa y, tras la baja, únicamente lo mínimo para acreditar la relación y atender responsabilidades durante los plazos de prescripción aplicables.

Los DeCA siguen un régimen de «apartar, no borrar» por su valor probatorio y las obligaciones de conservación del transporte:

• Documento conservado (año 1): el documento se conserva y su acceso depende del plan; en el plan gratuito, con las ventanas descritas en las Condiciones y el Descargo.
• Bloqueo (art. 32 LOPDGDD): cumplido un año desde la emisión, el documento queda bloqueado: sale de la vía ordinaria de la aplicación —deja de aparecer en el listado y de poder descargarse desde la cuenta (salvo para las cuentas con el plan Pro activo, que mantienen el acceso a sus propios documentos hasta la supresión)— y se conserva únicamente a disposición de jueces, tribunales, el Ministerio Fiscal y las administraciones competentes, durante los plazos de prescripción. La persona titular puede solicitar una copia de un documento bloqueado a través del formulario de contacto; esa entrega es lícita y cada acceso de ese tipo queda registrado.
• Supresión (expurgo): cumplidos dieciocho meses desde la emisión, el contenido del documento se suprime definitivamente: se borra el PDF y se vacían los datos de las partes, los lugares de carga y descarga, la mercancía y las matrículas, así como los datos técnicos de los accesos que se hubieran registrado. Se conserva únicamente el registro de que ese documento existió, con su código, sus fechas y la constancia de cuándo se suprimió — información que ya no permite identificar a nadie y que es la prueba de que la supresión se hizo.

Este plazo de conservación es una decisión de conservación que supera el mínimo de un año exigido por la normativa del transporte en un 50 %: dieciocho meses desde la emisión, en aplicación del principio de limitación del plazo (art. 5.1.e RGPD). Ese margen de seis meses cubre los retrasos y las comprobaciones habituales sin conservar los datos más tiempo del necesario.

Otros plazos concretos:

Dato	Conservación
Códigos y enlaces de acceso (login_token, guardados como hash, con la IP del intento)	30 días desde su emisión, luego se borran
Registro de actividad sobre los datos de tu cuenta (quién creó, editó, dio de baja, finalizó o anuló un dato o documento, con la fecha, la IP y el navegador desde los que se hizo)	1 año desde cada acción, luego se borra. Sirve para que el titular de la cuenta pueda saber qué persona de su equipo realizó una acción
Solicitud de alta por correo (tabla de prealtas)	Una solicitud abierta en la web sin correo recibido: 1 día. Una solicitud aprobada que no se completa: 7 días de vigencia y 30 días más antes de borrarse. Una solicitud rechazada o ya utilizada: 30 días
Correo recibido en el buzón de altas, ya tramitado	30 días en una carpeta de procesados y después se borra del buzón
Sesiones iniciadas	Hasta su caducidad o revocación (28 días deslizantes: cada uso renueva el plazo, y una sesión sin usar durante 28 días caduca sola)
Registro de accesos a la URL pública del QR	Ver punto 6 bis; los ligados a un documento se vacían con su expurgo
Datos de la agenda (contrapartes, direcciones, vehículos, conductores)	Mientras la persona usuaria los mantenga; la baja de una ficha la retira del servicio

5. Destinatarios y encargados del tratamiento

Los datos no se venden ni se ceden a terceros con fines comerciales. Además de la contraparte de cada operación (que recibe un enlace de descarga del DeCA, o el PDF si la persona usuaria lo comparte expresamente, cuando lo indica), intervienen proveedores como encargados del tratamiento. El alojamiento y el correo están en el Espacio Económico Europeo; la verificación anti-abuso del acceso la presta Cloudflare (Estados Unidos):

• Alojamiento y almacenamiento (VPS): Hetzner (Alemania, UE).
• Envío de email transaccional: Scaleway (Francia, UE)
• Verificación anti-abuso del acceso (Cloudflare Turnstile): Cloudflare, Inc. (EE. UU.). Al abrir la pantalla de acceso, tu navegador carga un componente de Cloudflare, que recibe tu dirección IP y datos técnicos del navegador; al enviar el formulario, comunicamos a Cloudflare el resultado de la verificación y tu IP para validarla. Base jurídica: interés legítimo en la seguridad del servicio y la prevención de abusos y accesos automatizados (art. 6.1.f RGPD). La transferencia a Estados Unidos se ampara en el Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación) o, en su defecto, en cláusulas contractuales tipo. No se envía a Cloudflare ningún dato de los DeCA ni de tu agenda.

Los DeCA pueden ser puestos a disposición de las autoridades competentes en materia de transporte y de protección de datos cuando exista obligación legal. Salvo lo indicado para Cloudflare, si algún proveedor tratara datos fuera del EEE, se aplicarían las garantías del capítulo V del RGPD y se actualizaría esta política.

6. Medición de uso

Se registran eventos técnicos del uso del servicio (por ejemplo, emisión, finalización, compartición y descargas de la URL pública) para medir el funcionamiento y el embudo del servicio de forma agregada. Estos datos no se usan para elaborar perfiles individuales ni para publicidad. En unos pocos eventos (cambio de email del titular, envío de una copia por correo e informes), el registro incluye datos personales como el correo, la dirección IP o el destino de la copia, con fines de seguridad y de trazabilidad; esos datos se suprimen al darte de baja y, en todo caso, a los 365 días, y solo se conserva el evento sin ellos.

6 bis. Registro de accesos al código QR

La normativa del transporte obliga a que el código QR del DeCA lleve directamente a la descarga del documento, sin identificación previa ni página intermedia. Ese enlace es por tanto público mientras está activo, y por seguridad y trazabilidad se registra cada petición: fecha y hora, código solicitado, resultado, dirección IP, navegador y enlace de procedencia.

Este registro tiene base en el interés legítimo (art. 6.1.f RGPD) en la seguridad de un documento servido sin autenticación y en poder acreditar quién accedió a él —lo que beneficia también a las partes del transporte—. No se usa para identificar personas ni para publicidad, y por la propia exigencia normativa no es posible mostrar información previa a quien escanea el código, lo que se suple con esta publicación (art. 14.5.b RGPD).

Conservación: los registros ligados a un documento se conservan mientras dure la conservación de ese documento; los que corresponden a códigos inexistentes (escaneos erróneos, rastreadores automáticos), un máximo de 2 años.

7. Cookies

La aplicación usa una cookie técnica de sesión (HttpOnly) estrictamente necesaria para mantener la sesión iniciada; no requiere consentimiento (art. 22.2 LSSI). La verificación anti-abuso de Cloudflare (Turnstile) guarda además en tu navegador una cookie técnica de verificación del dispositivo y datos en localStorage y sessionStorage del dominio challenges.cloudflare.com; se usan solo para distinguir personas de robots, son estrictamente necesarios para la seguridad del acceso y también están exentos. No se usan cookies de analítica ni publicitarias de terceros.

8. Derechos de las personas

Las personas usuarias pueden ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad a través del formulario de contacto o escribiendo a calidad@decafacil.es. Las contrapartes cuyos datos figuren en un DeCA deben dirigir sus solicitudes, en primer término, a la persona usuaria que emitió el documento (responsable de ese tratamiento). Si se dirigen a DeCAFacil, la solicitud se reencamina a esa persona usuaria sin dilación indebida y se le presta la asistencia técnica razonable, en los términos del Anexo de encargo del tratamiento. Se puede reclamar ante la Agencia Española de Protección de Datos (https://www.aepd.es). El ejercicio de estos derechos se entiende sin perjuicio de las obligaciones legales de conservación del DeCA.

Baja de cuenta (autoservicio). Desde «Mis Datos» dentro de la aplicación, la persona usuaria puede darse de baja en cualquier momento, previa descarga de sus documentos, marcando que ha entendido el alcance de la baja y pulsando el botón correspondiente. Al hacerlo se eliminan de inmediato su agenda (clientes, transportistas, direcciones y vehículos guardados), sus sesiones y sus datos personales de perfil (nombre, NIF, teléfono, domicilio); la cuenta deja de poder usarse. Los DeCA que se hubieran emitido se conservan por la obligación legal ya descrita en el apartado 4 y el enlace público del código QR permanece activo solo durante su plazo (7 días desde el fin del servicio), pero dejan de ser gestionables desde la cuenta dada de baja.

Registro de bajas voluntarias. Cuando la persona titular de una cuenta se da de baja, su dirección de correo, la fecha y el motivo quedan anotados en un registro interno, sin relación con ningún otro dato de la cuenta, con la única finalidad de dejar constancia de la baja (interés legítimo en llevar un histórico de altas y bajas, art. 6.1.f RGPD). Este registro no impide volver a crear una cuenta, iniciar sesión, ser invitada a un equipo ni ser titular de otra cuenta. Puede solicitarse su supresión a través del formulario de contacto. La baja de una persona que no es titular (miembro de un equipo) elimina únicamente su acceso a esa cuenta y no genera ningún registro de este tipo.

9. Seguridad

Se aplican medidas técnicas y organizativas apropiadas: cifrado TLS, aislamiento de datos por cuenta (con seguridad a nivel de fila en la base de datos), acceso sin contraseñas mediante códigos de un solo uso, almacenamiento de tokens como hash, registro de los accesos a los documentos bloqueados, limitación de tasa frente a abusos y separación de la configuración sensible en variables de entorno.

Copias de seguridad. Se realizan copias diarias de las bases de datos y de los documentos almacenados. Además de la copia que reside en el propio servidor, existe una copia externa en un sistema de almacenamiento propio situado en España, a la que se accede exclusivamente por un túnel cifrado y con credenciales dedicadas. Esa copia no implica ninguna cesión a terceros ni transferencia internacional: es un medio propio del responsable, sujeto a las mismas medidas de control de acceso.

9.1. Violaciones de la seguridad de los datos

El deber de notificación se desdobla igual que los roles del punto 1:

• Como responsable (datos de la cuenta): si se produjera una violación de la seguridad de los datos personales, se notificará a la Agencia Española de Protección de Datos sin dilación indebida y, a más tardar, en el plazo de 72 horas desde que se tenga constancia de ella, salvo que sea improbable que suponga un riesgo para los derechos y libertades de las personas (art. 33 RGPD). Cuando la violación entrañe un alto riesgo para esos derechos y libertades, se comunicará además a las personas afectadas sin dilación indebida (art. 34 RGPD).
• Como encargado (contenido de los DeCA y datos maestros de las contrapartes): la violación se notificará a la persona usuaria —que es la responsable de ese tratamiento— sin dilación indebida (art. 33.2 RGPD), para que sea ella quien valore la comunicación a la autoridad de control y a las personas afectadas. DeCAFacil prestará la asistencia razonable que precise para ello.

En ambos casos se documentará internamente cualquier violación, sus efectos y las medidas correctoras adoptadas, esté o no sujeta a notificación.

10. Cambios

Esta política podrá actualizarse por cambios legales, técnicos o del servicio. La versión vigente estará siempre publicada con su fecha de última actualización.