DecaFirmade Fran<code>systemsVolver
Legal

Política de privacidad

Qué datos tratamos, para qué, cuánto tiempo y cómo ejercer tus derechos, conforme al RGPD (UE 2016/679) y la LOPDGDD (LO 3/2018).

Última actualización: 6 de noviembre de 2026

Antes de empezar: aquí hay dos cosas distintas

DeCA trata datos personales en dos papeles muy diferentes y conviene separarlos desde el principio, porque los derechos se ejercen en sitios distintos:

  • Como responsables tratamos los datos de quien visita la web, se da de alta y usa la aplicación: tu nombre, tu correo, tu empresa. De eso va esta política.
  • Como encargados tratamos los datos que tu empresa carga en la herramienta (sus clientes, sus conductores, los destinatarios de cada envío). Ahí la responsable es tu empresa y nosotros solo ejecutamos sus instrucciones: las condiciones están en el encargo de tratamiento.

Si eres conductor, cliente o destinatario y aparece tu nombre en un documento, quien tiene que atenderte es la empresa que lo emitió. Si no sabes cuál es, escríbenos y te decimos a quién dirigirte.

1. Responsable del tratamiento

  • Responsable: Juan Cantón Rodríguez, profesional autónomo, que opera bajo la marca «Francodesystems».
  • NIF: 45492167F
  • Domicilio: Carrer de Pau Casals 19, 4º 2ª, 08213 Polinyà (Barcelona), España
  • Correo: hola@decafirma.com

No hay Delegado de Protección de Datos designado porque la actividad no encaja en los supuestos del artículo 37 del RGPD. Para cualquier consulta sobre privacidad, el correo de arriba.

2. Qué datos tratamos como responsables

  • Alta y cuenta: tu nombre, tu correo, la contraseña (guardada cifrada con un algoritmo de hash lento, nunca en claro) y los datos de la empresa que das de alta: razón social y NIF. Si entras con Google, en vez de la contraseña: el identificador de tu cuenta de Google, tu nombre y tu correo, que Google nos da solo cuando tú lo eliges. No recibimos tu contraseña de Google ni nada más de tu cuenta.
  • Tu móvil, si lo dejas al dar de alta tu empresa: es opcional y lo usamos para llamarte o escribirte si necesitas ayuda para empezar. Las novedades de DecaFirma te llegan al correo o a ese móvil salvo que digas que no (ver abajo).
  • Invitaciones: el correo de la persona a la que invitas a tu empresa, y el nombre que ella misma introduce al aceptar.
  • Facturación y cobro: los datos fiscales necesarios para emitir la factura del servicio, el correo al que la mandamos y, de cada pago, el importe, la fecha y si fue con tarjeta o domiciliación. El número de la tarjeta y la cuenta bancaria los recoge y los guarda Mollie: nosotros no los guardamos.
  • Registro de descargas del QR: cada vez que alguien abre el enlace público de un documento guardamos la fecha, la versión servida, el navegador y la dirección IP cifrada (AES-256-GCM). La IP en claro no queda escrita en ningún sitio. Sirve para poder demostrar que el documento estuvo disponible y para detectar un uso anómalo del enlace.
  • Programa de invitaciones: guardamos qué empresa te recomendó y los meses ganados. A quien te invitó le mostramos tu nombre comercial (o tu nombre, si eres autónomo), tu fecha de alta y tu estado en el servicio, para que sepa si su invitación cuenta. No le mostramos tu correo ni tus documentos.
  • Decabot: la pregunta que escribes al asistente y el contexto de la pantalla en la que estás se envían a Anthropic, PBC, que genera la respuesta. Con el Decabot con acciones, además, los datos de tu empresa que haga falta mirar para lo que pides (documentos, clientes, sitios, camiones o personas del equipo, siempre dentro de lo que tú puedes ver) y lo que le pides que prepare. Anthropic no lo usa para entrenar sus modelos. Guardamos las conversaciones mientras tu cuenta esté activa y las borramos cuando te das de baja.
  • Foto del albarán: si usas «Desde foto», la imagen (o el PDF) se envía a Google, con su servicio Gemini de pago, para leer los datos del envío; si en ese momento no está disponible, a Anthropic, PBC. Los mensajes y los PDF con texto los lee Anthropic. No guardamos la imagen, y ni Google ni Anthropic la usan para entrenar ni mejorar sus modelos. Solo apuntamos que se hizo una lectura y lo que costó.
  • Procedencia del alta: la campaña de la que llegas (parámetros utm, gclid y la página de entrada), guardada junto con el alta para saber qué anuncios funcionan.
  • Soporte: lo que nos cuentes por correo.
  • Analítica y medición publicitaria: páginas vistas, dispositivo e IP truncada vía Google Analytics 4, la señal de conversión hacia Google Ads cuando alguien se da de alta tras un anuncio y, si aceptas marketing, el píxel de OpenAI para medir los anuncios en ChatGPT. El script de Google se carga siempre, pero sin tu consentimiento no escribe cookies ni identificadores; solo envía señales técnicas sin identificarte (tipo de evento, navegador) que Google usa para estimar resultados de forma agregada. El píxel de OpenAI ni se carga sin tu consentimiento. En las páginas públicas, además, Ahrefs Web Analytics cuenta visitas de forma agregada, sin cookies, sin identificadores y sin guardar tu IP.

No pedimos categorías especiales de datos ni datos de menores. El DNI de un conductor, cuando se carga, es un dato que aporta tu empresa y se rige por el encargo de tratamiento, no por esta política. Lo mismo vale para las imágenes y documentos que se suben a un porte (la carta de porte, la hoja firmada, el ticket de báscula o lo que la oficina adjunta para el conductor): son datos que carga tu empresa como responsable y se rigen por el encargo de tratamiento. No confundir con la «foto del albarán» de «Desde foto», que se usa para leer los datos y no se guarda.

3. Para qué

  • Darte de alta, identificarte y mantener tu sesión.
  • Prestar el servicio contratado y facturarlo.
  • Avisarte de lo que afecta a tu cuenta: fin del primer mes gratis, invitaciones, cambios en las condiciones.
  • Atender el soporte y cumplir nuestras obligaciones fiscales y contables.
  • Llamarte o escribirte si nos dejaste tu móvil y necesitas ayuda para empezar.
  • Mandarte de vez en cuando novedades y ofertas de DecaFirma (no de otras empresas) por correo o WhatsApp, salvo que digas que no: al darte de alta, en Configuración o con el enlace de baja que lleva cada mensaje.
  • Acreditar la disponibilidad del documento público y detectar accesos anómalos al enlace del QR.
  • Gestionar el programa de invitaciones: saber quién te recomendó, calcular los meses ganados y enseñarle a quien invita si su invitación cuenta.
  • Responder a lo que preguntas al Decabot.
  • Leer la foto del albarán que subes para rellenarte el formulario.
  • Saber qué campañas traen altas, con la procedencia que se guarda al darte de alta.
  • Medir qué anuncios traen clientes: con cookies e identificadores solo si lo consientes, por categorías; sin ellos, solo con las señales técnicas agregadas que se describen arriba.

No hacemos envíos comerciales automatizados, no vendemos datos y no tomamos decisiones automatizadas con efectos jurídicos sobre ti.

4. Base legal

  • Ejecución del contrato (art. 6.1.b RGPD): la cuenta, el servicio, los avisos operativos, la facturación, el Decabot y la ayuda por teléfono si dejas tu móvil, que son parte del servicio. También el programa de invitaciones: la base son sus reglas, que aceptas al usar el código.
  • Obligación legal (art. 6.1.c RGPD): las obligaciones fiscales y contables, y la conservación del documento que impone la normativa de transporte.
  • Interés legítimo (art. 6.1.f RGPD): la seguridad de la plataforma y el registro cifrado de accesos al enlace público. Hemos ponderado que ese registro, con la IP cifrada y un plazo corto, es lo menos invasivo que permite cumplir la finalidad. También guardar la procedencia del alta, un dato mínimo que no se usa para perfilarte, y contar las visitas a las páginas públicas con Ahrefs Web Analytics, sin cookies ni identificadores.
  • Novedades a clientes (art. 21.2 LSSI y art. 6.1.f RGPD): si das de alta tu empresa te avisamos de que te escribiremos con novedades de DecaFirma, parecidas al servicio que ya usas, y puedes decir que no en ese momento, en Configuración o en cada mensaje, sin coste. Usamos tu nombre, tu correo, tu móvil y el nombre y el estado de tu cuenta para mandarte lo que te sirve.
  • Consentimiento (art. 6.1.a RGPD): analítica y medición publicitaria, que puedes retirar cuando quieras desde el banner, y las novedades y ofertas por WhatsApp o correo si nos diste el sí tú (art. 21.1 LSSI), que puedes retirar en Configuración, en cada mensaje o escribiéndonos. Ninguna de las dos retiradas tiene efectos retroactivos.

5. Cuánto tiempo

  • Cuenta activa: mientras la empresa sea cliente y, después, durante el plazo de prescripción de las acciones civiles, mercantiles y fiscales (hasta 6 años en lo que afecta a facturación).
  • Cuentas que no llegan a usarse: acabado el primer mes gratis, una cuenta del plan gratis sin ningún documento con validez y en la que nadie entra en 30 días se borra.
  • Documentos emitidos y sus versiones: 13 meses desde la fecha del servicio, por obligación legal.
  • Enlace público del QR: deja de servir el documento a los 30 días del servicio.
  • Registro de descargas: 12 meses.
  • Conversaciones con el Decabot: mientras la cuenta esté activa; se borran al darte de baja.
  • Fotos del albarán: no se conservan; se descartan en cuanto se leen.
  • Logs técnicos: 90 días.

6. Quién más toca estos datos

No cedemos datos con fines comerciales. Sí usamos proveedores que actúan como encargados del tratamiento (art. 28 RGPD), con su contrato firmado, y que acceden solo para prestarnos el servicio:

  • Hetzner Online GmbH (Alemania, UE): servidores y base de datos. Todo el alojamiento está en la Unión Europea.
  • Resend, Inc. (EE. UU.): envío de los correos transaccionales (verificación, invitaciones, avisos).
  • Anthropic, PBC (EE. UU.): genera las respuestas del Decabot (con los datos que mira el Decabot con acciones) y lee los mensajes y los PDF que subes para rellenar un envío, y las fotos del albarán cuando Google no está disponible. Borra lo que le mandamos como mucho a los 30 días, salvo que sus sistemas lo marquen por un uso prohibido o lo pida la ley, y no lo usa para entrenar sus modelos. La transferencia a EE. UU. va con las cláusulas contractuales tipo de la Comisión Europea.
  • Google Cloud EMEA Limited (Irlanda, UE), con el servicio Gemini de pago: lee las fotos del albarán que subes. Google no usa las imágenes ni las respuestas para entrenar ni mejorar sus modelos; las guarda 55 días solo para detectar usos prohibidos y después las borra. Puede haber transferencias a Google LLC (EE. UU.), con las cláusulas contractuales tipo de la Comisión Europea.
  • Holded Technologies, S.L. (España): facturación del servicio.
  • Sendinblue SAS (Brevo) (Francia, UE): envío de las novedades por correo a quien puede recibirlas. Recibe tu nombre, tu correo y el nombre y el estado de tu cuenta; quien se da de baja sale de su lista.
  • Mollie B.V. (Países Bajos, UE): cobro de los planes con tarjeta o por domiciliación SEPA, y de sus renovaciones. Trata los datos de la tarjeta y de la cuenta bancaria, y como entidad de pago regulada también es responsable de lo que la ley le obliga a comprobar y conservar.
  • Google Ireland Limited (Irlanda, UE): Google Analytics 4 y Google Ads. Puede haber transferencias a Google LLC (EE. UU.). Y, si eliges «Continuar con Google», el inicio de sesión: Google nos confirma tu nombre y tu correo.
  • OpenAI OpCo, LLC (EE. UU.): medición de los anuncios en ChatGPT, solo si aceptas marketing.
  • Ahrefs Pte. Ltd. (Singapur): estadística agregada de visitas a las páginas públicas, sin cookies ni datos que te identifiquen.

Las transferencias a Estados Unidos están amparadas en el Marco de Privacidad de Datos UE-EE. UU. o, en su defecto, en cláusulas contractuales tipo.

Además, cuando usas el botón de enviar por WhatsApp abrimos tu propia aplicación con el mensaje escrito: el envío lo haces tú desde tu cuenta y nosotros no intermediamos ni guardamos esa conversación.

Directorio de empresas. La razón social, el CIF y el domicilio de las empresas que los clientes dan de alta pueden mostrarse a otras cuentas de DecaFirma al buscar, salvo que esa cuenta lo desactive. Solo personas jurídicas: ningún dato de personas físicas (DNI o NIE, teléfonos, correos o contactos) forma parte de él.

Consejero de seguridad (ADR). Si una empresa da acceso a su consejero de seguridad para el transporte de mercancías peligrosas, ese consejero ve, sin poder cambiarlos, los documentos de transporte de mercancías peligrosas de la empresa y el DeCA o el CMR que acompañan (con los datos de las partes, el vehículo y el conductor que llevan impresos). No ve nada más de la cuenta. Lo decide y lo retira la empresa cuando quiera, y el consejero los trata para cumplir su función (RD 97/2014).

7. Tus derechos

Puedes ejercer en cualquier momento los derechos de:

  • acceso a tus datos;
  • rectificación de los inexactos;
  • supresión, con el límite de lo que estemos obligados a conservar;
  • limitación del tratamiento;
  • oposición;
  • portabilidad;
  • retirada del consentimiento, sin efectos retroactivos.

Escribe a hola@decafirma.com indicando qué derecho ejerces y acreditando tu identidad. Te respondemos en un mes como máximo. Si crees que no lo hacemos bien, puedes reclamar ante la Agencia Española de Protección de Datos.

8. Seguridad

  • Cifrado en tránsito (HTTPS/TLS) en todo el sitio, incluido el enlace público del QR.
  • Contraseñas guardadas con hash lento, nunca reversibles.
  • Direcciones IP del registro de descargas cifradas con AES-256-GCM.
  • Separación estricta por empresa: cada consulta filtra por la empresa de la sesión, de modo que no es posible ver documentos de otra.
  • Huella SHA-256 de cada versión del documento, para detectar cualquier alteración.
  • Copias de seguridad y principio de mínimo privilegio en las cuentas internas.

9. Cambios

Podemos actualizar esta política para adaptarla a cambios normativos o a funcionalidades nuevas. La versión vigente es la publicada aquí, con la fecha de arriba. Si el cambio es relevante, te avisamos por correo.