Anexo de Encargo del Tratamiento — DeCAbina

Fecha de entrada en vigor: 2026-08-17 · Última actualización: 2026-10-01 · Versión: 1.1

0. Por qué existe este documento y a quién obliga

Cuando usas DeCAbina hay dos tratamientos de datos personales, con dos responsables distintos, y confundirlos es el error que este anexo evita:

Esos terceros no son clientes nuestros y no nos han dado sus datos: te los han dado a ti, o los has recogido tú para cumplir el art. 6 de la Orden FOM/2861/2012. Tú decides qué se emite, a nombre de quién y a quién se le envía. Eso te convierte en responsable del tratamiento y a nosotros en encargado, y el art. 28(3) RGPD exige que esa relación esté por escrito.

Este anexo forma parte de los Términos del Servicio y se acepta con ellos, en soporte electrónico, que es la forma que el art. 28(9) admite expresamente. No hay que firmarlo aparte, y tampoco hace falta pedirlo: publicado y versionado es más comprobable que un PDF que circula por correo.

1. Objeto, duración, naturaleza y finalidad (art. 28(3), encabezado)

• Objeto: el tratamiento de datos personales de terceros necesario para emitir, entregar, rectificar, custodiar y exportar el documento electrónico de control administrativo (DeCA), y para las funciones accesorias de la aplicación (agenda de contrapartes, recepciones, avisos).
• Duración: mientras tengas cuenta activa, más los plazos de conservación de la §7.
• Naturaleza y finalidad: tratamiento por cuenta ajena, con la única finalidad de prestarte el Servicio. Nunca para finalidades propias nuestras, y en particular jamás para publicidad, elaboración de perfiles, entrenamiento de modelos ni venta o cesión a terceros.
• Tipos de datos personales: identificativos y de contacto profesional —razón social y NIF (personal cuando la parte es autónomo), domicilio, correo, teléfono— nombre y DNI de quien firma una recepción, nombre del conductor, matrículas, origen y destino, y la traza de quién hizo cada cambio y cuándo. La lista campo por campo está en la Política de Privacidad §4.
• Categorías de interesados: tu personal y tus conductores, las personas de contacto de tus cargadores, transportistas y destinatarios, y quien recibe la mercancía.
• Categorías especiales (art. 9): ninguna. El Servicio no está diseñado para tratarlas y no debes introducirlas en un campo libre.

2. Solo bajo tus instrucciones documentadas (art. 28(3)(a))

Tratamos esos datos únicamente siguiendo tus instrucciones documentadas, que son: estos Términos, este anexo, la configuración que eliges en la aplicación y las acciones que ejecutas en ella. Emitir un documento, invitar a una contraparte o enviar una copia por un canal son instrucciones tuyas.

Si creemos que una instrucción tuya infringe el RGPD o la LOPDGDD, te lo diremos antes de ejecutarla (art. 28(3), último párrafo). Y si la ley nos obliga a tratar los datos de otro modo, te informaremos antes, salvo que esa misma ley lo prohíba.

No transferimos los datos fuera del Espacio Económico Europeo por iniciativa propia. Nuestros subencargados y sus garantías están en la Política de Privacidad §§7 y 8.

3. Confidencialidad (art. 28(3)(b))

Quien accede a estos datos por nuestra parte está sujeto a deber de confidencialidad, por contrato o por obligación legal, y ese deber sobrevive al fin de la relación. El acceso está limitado a quien lo necesita para operar o dar soporte al Servicio.

4. Seguridad (art. 28(3)(c), art. 32)

Aplicamos las medidas técnicas y organizativas del art. 32, descritas en la Política de Privacidad §13. En resumen y sin promesas que no podamos sostener: cifrado en tránsito (TLS), contraseñas con Argon2id, control de acceso por empresa y por rol, registro append-only de las acciones sensibles, copias de seguridad, y minimización deliberada de lo que se publica en el enlace público de un DeCA.

El enlace público merece un párrafo propio, porque es la medida que más se malinterpreta: la Resolución de 5 de junio de 2026 exige que la URL descargue el documento sin credenciales y sin interacción, así que ese fichero es, de hecho, una publicación. Lo que hacemos con eso es limitar qué lleva dentro —el contenido del art. 6 y, cuando asignas conductores a un DeCA, sus nombres, que salen impresos en él; nunca un teléfono ni un precio—, usar un token no adivinable de al menos 128 bits, marcar la respuesta `noindex` y permitir la desactivación de la descarga a los siete días naturales del fin del servicio. El análisis completo está en `docs/RIESGO-URL-PUBLICA.md` del repositorio.

5. Subencargados (art. 28(2) y (4))

Nos autorizas de forma general a recurrir a subencargados, con estas condiciones:

1. La lista vigente se publica en la Política de Privacidad §7 y sale de un único fichero del código, no de una redacción a mano: lo que ahí se publica es lo que el despliegue usa, y la compilación falla si dejan de coincidir. 2. A cada subencargado le imponemos las mismas obligaciones de este anexo, y respondemos ante ti de su incumplimiento. 3. Antes de incorporar o sustituir a uno te lo comunicaremos con al menos 30 días de antelación, y podrás oponerte por motivos razonables; si no llegamos a una solución, puedes resolver la suscripción sin penalización y con la exportación completa de la §7.

6. Asistencia (art. 28(3)(d), (e) y (f))

• Derechos de los interesados (arts. 15-22). El Servicio te da por sí mismo las herramientas para atenderlos —acceso, rectificación y borrado de contrapartes, conductores y recepciones, y exportación completa—, y donde no llegue, te asistiremos en lo razonable. Si un tercero nos escribe a nosotros directamente, no le contestamos por ti: te lo remitimos sin demora, porque el responsable eres tú.
• Brechas de seguridad (art. 33(2)). Te notificaremos sin dilación indebida y, como máximo, en 48 horas desde que la conozcamos, con lo que sepamos: qué ha pasado, a qué datos y a cuántos interesados afecta, consecuencias probables y medidas tomadas. Las 48 horas son nuestras a propósito: tu plazo con la Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid — www.aepd.es es de 72 y no puede empezar cuando ya va mediado.
• Arts. 32 a 36. Te asistiremos en la seguridad, en las notificaciones a interesados y, si procede, en una evaluación de impacto y en la consulta previa, con la información que tenemos.

7. Devolución o supresión al terminar (art. 28(3)(g))

Al terminar la prestación eliges: te devolvemos los datos o los suprimimos. La exportación completa —los PDF y el índice en CSV, más tus datos estructurados— está disponible en todo momento y también al cancelar, sin coste y sin pedirla por correo (Términos §8.1).

Con una excepción que no es nuestra: el documento de control y las facturas tienen plazos legales propios —al menos un año por el art. 9 de la Orden FOM/2861/2012, y los plazos fiscales para las facturas— y la obligación de conservarlos es tuya. Por eso no los borramos con la cuenta: hacerlo te dejaría a ti sin poder cumplir. Lo que sí hacemos es dejar de usarlos para cualquier otra cosa.

8. Información y auditoría (art. 28(3)(h))

Pondremos a tu disposición la información necesaria para demostrar el cumplimiento de este anexo y permitiremos auditorías, incluidas inspecciones, realizadas por ti o por un auditor que designes, con aviso razonable, en horario laboral, sin comprometer la seguridad ni los datos de otros clientes, y una vez al año salvo que una brecha o un requerimiento de la autoridad exijan otra. Para la mayoría de las preguntas, esta página, la Política de Privacidad y el registro público del código responden antes y mejor que una visita.

9. Responsabilidad, ley aplicable y contacto

En caso de contradicción entre este anexo y los Términos del Servicio en materia de protección de datos, prevalece este anexo. Se rige por el RGPD, la LOPDGDD y la ley española, con la jurisdicción pactada en los Términos §12.

Responsable de este anexo por nuestra parte: Javier Alejandro Quintana Hernández, Calle Toledo, 9, 2.º A, 28901 Getafe (Madrid) — privacidad@qualvant.com.