Política de privacidad
Quién trata los datos que pasan por VEGTAM, con qué finalidad, durante cuánto tiempo y qué puede hacer usted al respecto. Se distingue entre los datos de quien visita o contrata este servicio y los datos que las empresas clientes introducen en la aplicación, que no son nuestros.
Responsable del tratamiento
ADS, Anàlisi/Disseny de Soft, S.L.U. · NIF B17353459 · Carretera de les Tries, 109B, 17800 Olot (Girona) · teléfono 972 26 14 46 · vegtam@adssl.com. Para todo lo relacionado con protección de datos, el delegado de protección de datos atiende en dpo@adssl.com y en la misma dirección postal.
Responsable y encargado del tratamiento
Por un lado somos responsables del tratamiento de los datos de quien nos escribe, contrata el servicio o tiene una cuenta: identificación, contacto, facturación y registros de acceso. Por otro, de los datos que la empresa cliente introduce en la aplicación —conductores, terceros, centros, vehículos y el contenido de cada DeCA— somos únicamente encargados del tratamiento: el responsable es la empresa cliente, que decide qué datos incorpora y para qué. Esta relación se regula mediante el contrato de encargo que exige el artículo 28 del RGPD, y sin sus instrucciones no hacemos ningún otro uso de ellos.
Finalidades del tratamiento
Atender las consultas que recibimos; dar de alta y mantener las cuentas; prestar el servicio contratado, es decir emitir, versionar, custodiar y publicar los documentos de control administrativo; cumplir las obligaciones fiscales, contables y de conservación documental; garantizar la seguridad del servicio mediante registros de acceso y de acciones; y, si usted lo acepta, medir de forma agregada las visitas a la web.
Base jurídica del tratamiento
La ejecución del contrato y las gestiones previas a petición suya (artículo 6.1.b del RGPD); el cumplimiento de obligaciones legales, sobre todo fiscales y las propias de la documentación de control del transporte (artículo 6.1.c); el interés legítimo en mantener la seguridad del servicio y en poder acreditar quién ha hecho cada cosa sobre un documento (artículo 6.1.f); y el consentimiento, que puede retirar cuando quiera, para las cookies analíticas y para las comunicaciones comerciales (artículo 6.1.a).
Categorías de datos tratados
Como responsables: nombre, empresa, cargo, correo, teléfono, datos de facturación, credenciales de la cuenta y registros técnicos de acceso —dirección IP, fecha y hora, navegador—. Como encargados, los que decida la empresa cliente: datos identificativos y de contacto de conductores y de terceros, identificación fiscal, matrículas, ubicaciones de origen y de destino y el contenido de cada envío. No se tratan categorías especiales de datos ni se toman decisiones automatizadas con efectos jurídicos.
Plazo de conservación
Los datos de la cuenta y de la relación comercial, mientras dure y después bloqueados durante los plazos de prescripción: cuatro años para las obligaciones fiscales y seis para los libros y la documentación mercantil. Los DeCA emitidos y su historial de versiones se conservan durante el plazo que exige la normativa de transporte, porque justifican ante la inspección un servicio ya realizado. Los registros técnicos de acceso, doce meses. Al darse de baja puede llevarse los PDF y el historial antes de que se borren.
Acceso público al documento mediante código QR
Cada DeCA emitido tiene una dirección propia con un identificador largo generado al azar, que es la que lleva el código QR. Quien la tiene puede ver y descargar la versión vigente del documento, que contiene datos del transporte y, si la empresa cliente los ha introducido, el nombre del conductor y las matrículas. Es así porque la norma exige que el documento pueda mostrarse al agente que lo requiera sin depender de la cobertura. La dirección no se indexa en los buscadores, no puede adivinarse, deja de funcionar al terminar el plazo previsto y, cuando el servicio se finaliza o se anula, se cierra a los pocos días.
Destinatarios y encargados del tratamiento
No se venden ni se ceden a nadie con fines comerciales. Acceden a ellos los proveedores necesarios para prestar el servicio, todos con contrato de encargado: el alojamiento del servidor, situado en la Unión Europea, el servicio de correo que envía los avisos y el de notificaciones al móvil. Si acepta las cookies analíticas, Google Ireland Limited. También se comunican a la Administración tributaria, a los juzgados y a las fuerzas y cuerpos de seguridad cuando la ley lo exige, y a los agentes de la autoridad que escanean el código QR de un documento en un control.
Transferencias internacionales
No están previstas. Los servidores del servicio están en la Unión Europea. En el caso de la herramienta de analítica, el tratamiento se ampara en las cláusulas contractuales tipo aprobadas por la Comisión Europea y en el marco de protección de datos entre la Unión Europea y los Estados Unidos.
Medidas de seguridad
Comunicaciones cifradas con HTTPS; contraseñas guardadas con funciones de derivación y nunca en claro; separación estricta de los datos de cada empresa cliente dentro del sistema; control de acceso por perfiles; copias de seguridad periódicas; y un historial que deja constancia de quién ha creado, modificado, emitido, enviado, finalizado o anulado cada documento. Se revisa periódicamente que todo ello siga siendo eficaz.
Derechos de las personas interesadas
Puede solicitar el acceso a sus datos, rectificarlos, suprimirlos, limitar u oponerse al tratamiento, pedir su portabilidad y retirar el consentimiento que hubiera dado. Basta con escribir a dpo@adssl.com acreditando su identidad. Si los datos son de un conductor o de un tercero de una empresa cliente, quien debe responder es esa empresa, por ser la responsable; si la petición nos llega a nosotros, se la trasladamos de inmediato y se lo comunicamos.
Reclamación ante la autoridad de control
Si considera que el tratamiento no se ajusta a la normativa, puede dirigirse primero al delegado de protección de datos y, en todo caso, presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es) o, si procede, ante la Autoritat Catalana de Protecció de Dades (apdcat.gencat.cat).