Política de privacidad

Esta página describe qué datos personales trata WebDeca, con qué finalidad, durante cuánto tiempo y a quién se comunican. Aplica tanto al acceso del personal de transporte (identificador + PIN de su empresa), al panel de administración (email + contraseña) y a quien consulta un DECA abriendo su código QR.

1. Responsable del tratamiento

Aplika Puerto Software S.L.
Registro Mercantil de Cádiz, Tomo 1740, Folio 158, Hoja CA-29796, Inscripción 1ª
CIF: B11815180
Domicilio: Calle Marina de Guerra, 15, El Puerto de Santa María (Cádiz)
Contacto: administracion@aplikasoftware.com

2. Datos que se tratan

WebDeca trata datos de dos tipos de personas, según cómo se use:

Personal de transporte (acceso con identificador + PIN de empresa)

• El acceso en sí no identifica a la persona: el identificador es el CIF de la empresa y el PIN es común a todos sus conductores, no individual.
• Al generar o corregir un DECA se tratan los datos que la ley exige que contenga el documento: nombre y NIF del cargador y, si procede, del transportista efectivo; nombre y DNI del conductor; lugar de origen y destino; naturaleza y peso de la mercancía; matrícula del vehículo y, si procede, del remolque; fecha del transporte; autorización especial de circulación y observaciones, cuando aplique.
• Dirección IP y user-agent del navegador en cada intento de acceso (correcto o fallido), para la protección contra accesos por fuerza bruta. El PIN nunca se guarda en texto plano — solo su hash, ni siquiera en el registro de intentos.
• Dirección IP y user-agent del navegador también al generar o corregir un DECA (una por versión), para poder trazar desde qué dispositivo se hizo cada cambio — no hay cuenta individual del conductor, así que es la referencia más cercana a "quién" sin crear una identidad que no existe.
• Correo electrónico del conductor, solo si se indica de forma voluntaria al generar el vale (o lo aporta el ERP de la empresa), con la única finalidad de enviarle ese DECA (número de vale, código QR y enlace de verificación). No se usa para ningún otro fin. Se conserva junto al vale; si se desmarca la opción al corregir el vale, se elimina. Si el proveedor de correo informa de que esa dirección no existe o rechaza los mensajes, la dirección se guarda aparte 12 meses (sin datos del vale) solo para avisar de que se revise la próxima vez que se escriba, y después se elimina.
• Para facilitar volver a un vale reciente sin apuntar el número, el navegador guarda en su propio almacenamiento local (no en nuestros servidores) los últimos vales que ese mismo dispositivo ha creado o corregido. No se comparte entre dispositivos ni entre conductores.

Personas que consultan un DECA abriendo su código QR (inspección, cargador, destinatario…)

• No hace falta cuenta ni identificarse para consultar un DECA. Cuando alguien abre el código QR, WebDeca anota únicamente: el DECA y la versión consultada, la fecha y la hora (al minuto), el resultado de la consulta (documento mostrado, anulado o fuera de plazo) y el país y la región aproximados desde los que se consulta, que Cloudflare deduce de la conexión.
• No se guarda la dirección IP, la localidad, las coordenadas, el navegador ni el dispositivo, ni se usan cookies ni identificadores para reconocer a quien consulta. Dos consultas del mismo DECA no se pueden relacionar con una misma persona.
• Para servir el documento, la infraestructura de Cloudflare recibe técnicamente la petición del visitante (incluida su IP), como cualquier servicio web; WebDeca no la recoge ni la almacena en sus registros.

Formulario de contacto y WhatsApp

• Nombre, email, empresa (opcional) y mensaje que usted escriba en el formulario de contacto, o su número de teléfono y mensajes si nos escribe por WhatsApp, para responder a su consulta o solicitud de alta.

Personal de administración (panel /admin y /superadmin)

• Nombre, email y contraseña (hash) de las cuentas del panel.
• Registro de auditoría de acciones sensibles (rotar PIN, rotar el token de integración con el ERP, bloquear/activar una empresa, cambiar el estado de un DECA), con quién la hizo y cuándo.

3. Finalidad y base jurídica

• Generar el DECA (documento de control administrativo del transporte): cumplimiento de una obligación legal — disposición transitoria octava de la Ley 9/2025 de Movilidad Sostenible y Orden FOM/2861/2012 (art. 6.1.c RGPD).
• Prevenir accesos fraudulentos (registro de intentos, bloqueo temporal por fuerza bruta, protección antibot Cloudflare Turnstile): interés legítimo en la seguridad del servicio (art. 6.1.f RGPD).
• Trazabilidad de las consultas del QR: permitir a la empresa que emitió el DECA comprobar cuándo y desde qué región se ha consultado su documento (por ejemplo, ante una inspección), y obtener estadísticas generales de uso del servicio. Interés legítimo (art. 6.1.f RGPD), con los datos reducidos al mínimo indicado arriba.
• Prestar el servicio a la empresa cliente (cuentas del panel, integración con su ERP): ejecución del contrato con esa empresa (art. 6.1.b RGPD).

4. Conservación

• El DECA (documento PDF con código QR y los datos que contiene) se conserva un mínimo de 1 año, conforme a la normativa de transporte, accesible para su verificación e inspección durante ese plazo.
• Los registros de seguridad se eliminan automáticamente al cumplirse estos plazos: los intentos de acceso fallidos a los 90 días y los correctos a los 180 días (incluyen dirección IP y user-agent); los accesos al panel de administración (correo e IP) a los 180 días; y el resto del registro de auditoría de acciones a los 2 años. Los bloqueos temporales por fuerza bruta caducan por sí solos.
• Las consultas del código QR (fecha y hora, versión, resultado, país y región) se conservan 12 meses y después se eliminan automáticamente.
• Las cuentas del panel de administración se conservan mientras la persona siga teniendo acceso autorizado.

5. Destinatarios

• Aplika S3 — sistema propio de Aplika Puerto Software S.L. donde se almacena el PDF del DECA y se gestiona su verificación por código QR. No es un tercero ajeno: es la misma entidad responsable de Web DECA.
• Proveedor de hosting — Dinahosting, donde se aloja la aplicación, la base de datos y el almacenamiento documental.
• Cloudflare, Inc. — (a) Turnstile, protección antibot de la pantalla de acceso del conductor: Cloudflare recibe la IP, datos técnicos del navegador y la interacción con el widget para validar que la petición no es automatizada; (b) R2 y Workers, donde se almacenan copias del PDF del DECA y su índice de verificación (bucket en jurisdicción UE) para que el código QR siga resolviendo aunque el servidor principal no esté disponible; el Worker que atiende la consulta del QR recibe la petición del visitante y comunica a WebDeca solo el código, el resultado, el país y la región (no la IP). Cloudflare actúa como encargado del tratamiento; al ser una empresa estadounidense, las transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. y/o cláusulas contractuales tipo.
• WhatsApp (Meta) — WebDeca ofrece un botón de contacto por WhatsApp. Es un simple enlace: no se carga nada de WhatsApp en la página ni se envía información suya hasta que usted lo pulsa. Si escribe, su número de teléfono y el contenido de los mensajes los trata WhatsApp según su propia política, y los usamos únicamente para atender su consulta (base jurídica: su consentimiento / medidas precontractuales, art. 6.1.a y 6.1.b RGPD). Igualmente, el botón «Compartir por WhatsApp» de un vale abre WhatsApp en su propio dispositivo; el envío lo hace usted, WebDeca no envía nada a WhatsApp.
• Cuando una empresa usa la importación de vales desde su ERP, los datos del DECA los envía el propio ERP de esa empresa a WebDeca — no al revés. WebDeca no envía datos al ERP salvo el resultado (procesado / error) de esa importación.
• No se ceden datos a terceros con fines comerciales ni publicitarios.

6. Derechos

Puede ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad escribiendo a administracion@aplikasoftware.com.