Política de privacidad

Última actualización: 30 de agosto de 2026

1. Antes de nada: quién responde de tus datos

E-DeCA es una plataforma que utilizan varias empresas de transporte, cada una con sus propios datos separados de los del resto. Por eso conviene distinguir dos situaciones:

• Si tu empresa es Gruas Bonet, S.A., el responsable del tratamiento de tus datos es Gruas Bonet, S.A. y te aplica esta política completa.
• Si trabajas para otra empresa que usa E-DeCA (como usuario de oficina o como conductor), el responsable del tratamiento de tus datos es tu propia empresa, que es quien decide qué datos introduce y para qué. Gruas Bonet, S.A. actúa únicamente como encargado del tratamiento: presta el servicio técnico y trata esos datos siguiendo las instrucciones de tu empresa, en virtud del contrato de encargo previsto en el artículo 28 del RGPD. Para ejercer tus derechos debes dirigirte a tu empresa; si nos escribes a nosotros, trasladaremos tu solicitud a quien corresponda.

Lo que se describe en los apartados 3 a 5 (qué datos hay, para qué y cuánto duran) es común a ambos casos, porque viene determinado por el funcionamiento de la aplicación y por la normativa de transporte. Lo que cambia es quién responde de ellos.

2. Responsable del tratamiento

Responsable	Gruas Bonet, S.A.
NIF / CIF	A46293460
Domicilio	Avenida Europa, s/n, 46026 Horno de Alcedo, Valencia
Correo electrónico	privacidad@e-deca.es
Teléfono	963 76 59 59
Delegado de Protección de Datos	No se ha designado, al no concurrir ninguno de los supuestos del artículo 37 del RGPD.

3. Qué datos tratamos y de quién

3.1. Personas usuarias del panel de gestión (oficina)

• Dirección de correo electrónico, que es también el identificador de acceso.
• Nombre completo, si se ha rellenado.
• Contraseña, almacenada siempre mediante función resumen; nunca en claro y nunca recuperable.
• Perfil de acceso (administrador o usuario) y empresa a la que pertenece.
• Estado de la cuenta: activa o bloqueada, y número de intentos fallidos de acceso.
• Trazabilidad de la actividad: qué persona creó o modificó cada documento DeCA y en qué fecha y hora, y qué persona generó cada versión del PDF y por qué motivo.

3.2. Conductores

• Los mismos datos de cuenta del punto anterior: correo, nombre completo, contraseña cifrada, empresa y estado de la cuenta.
• Transportista al que está adscrito dentro de la empresa.
• Documentos DeCA que se le asignan y, a través de ellos: matrículas del vehículo tractor y del remolque, fecha del transporte, y origen, destino, naturaleza de la mercancía y peso de cada envío.

Estos últimos son datos de la operación de transporte, no del conductor, pero al quedar asociados a la persona que la realiza permiten conocer qué portes ha hecho y entre qué localidades, por lo que se tratan como datos personales suyos.

3.3. Datos de transportistas

Las fichas de transportistas recogen razón social, NIF y domicilio. Cuando el transportista es un empresario individual (autónomo), esos datos son datos personales y quedan igualmente amparados por esta política.

3.4. Registros técnicos y de seguridad

• Registros del servidor web, que incluyen la dirección IP, la fecha y hora, la dirección solicitada y el navegador utilizado.
• Cola y registro de los avisos por correo enviados por la aplicación: destinatario, asunto, contenido del aviso, fecha de envío e incidencias.
• Registro de los enlaces de restablecimiento de contraseña emitidos: correo de la persona afectada, correo de quien lo solicitó, fecha de emisión y fecha de uso. Se conserva aunque la cuenta se elimine después, precisamente para dejar constancia de quién actuó sobre quién.
• Accesos temporales generados por un conductor para una inspección: identificador del acceso, conductor y fecha de caducidad.

3.5. Datos que la aplicación NO trata

Para evitar equívocos, se hace constar expresamente que E-DeCA no recoge:

• Documento nacional de identidad ni número de permiso de conducir de los conductores.
• Geolocalización ni seguimiento de vehículos o personas. Los campos de origen y destino son los puntos consignados en el documento de control, introducidos manualmente en la oficina; la aplicación no accede en ningún momento a la ubicación del dispositivo.
• Teléfonos, datos bancarios ni información de pago.
• Categorías especiales de datos del artículo 9 del RGPD (salud, afiliación sindical, etc.).
• Datos con fines publicitarios, comerciales o de elaboración de perfiles.

El documento DeCA incluye un campo de observaciones de texto libre y un campo de importe. Las personas usuarias deben abstenerse de introducir en ellos datos personales que no sean estrictamente necesarios para el transporte.

4. Para qué se usan los datos y con qué base jurídica

Finalidad	Base jurídica (art. 6 RGPD)	Detalle
Emitir, conservar y poner a disposición el documento de control administrativo (DeCA)	Cumplimiento de una obligación legal (art. 6.1.c)	Ley 16/1987, de Ordenación de los Transportes Terrestres, su reglamento de desarrollo y la Orden FOM/2861/2012, que regula el documento de control administrativo en el transporte de mercancías por carretera.
Exhibir el documento ante los agentes de la autoridad durante una inspección, mediante enlace público o código QR temporal	Cumplimiento de una obligación legal (art. 6.1.c)	El conductor debe poder acreditar el documento durante el transporte. El código QR de inspección caduca a los quince minutos y el enlace público del documento deja de funcionar al finalizar el servicio.
Dar de alta cuentas y controlar el acceso a la aplicación	Ejecución de un contrato (art. 6.1.b) y obligación legal	Deriva de la relación laboral o mercantil entre la persona usuaria y su empresa, y del contrato de prestación del servicio entre esa empresa y el titular de la plataforma.
Enviar avisos por correo relacionados con el servicio (emisión de un DeCA, restablecimiento de contraseña)	Ejecución de un contrato (art. 6.1.b)	Son correos estrictamente operativos dirigidos a personas usuarias de la aplicación. No se envían comunicaciones comerciales.
Garantizar la seguridad, la trazabilidad y el correcto funcionamiento del servicio	Interés legítimo (art. 6.1.f) y artículo 32 del RGPD	Registros de acceso, control de intentos fallidos, límite de peticiones y constancia de los restablecimientos de contraseña. El interés legítimo consiste en proteger las cuentas y los documentos frente a accesos no autorizados; se ha valorado que no prevalecen sobre él los derechos de las personas afectadas, al tratarse de datos mínimos y de uso interno.

No se tratan datos para ninguna finalidad distinta de las anteriores. Si en el futuro se quisiera dar otro uso a los datos, se informaría previamente y, cuando procediera, se recabaría el consentimiento.

5. Cuánto tiempo se conservan los datos

Dato	Plazo
Documentos DeCA, envíos y versiones en PDF	Un año desde la fecha del transporte. Este plazo cubre la finalidad para la que se genera el documento: su exhibición y acreditación durante el transporte y en el periodo posterior en que resulta razonable que pueda requerirse. Transcurrido, se suprime. Este plazo es independiente del que pueda aplicar a la documentación contable o mercantil relacionada con el mismo transporte (por ejemplo, facturas), que se rige por sus propias obligaciones de conservación.
Cuentas de usuarios de oficina y de conductores	Mientras la persona conserve el alta. Tras la baja, la cuenta se suprime o se bloquea, quedando los datos a disposición de jueces, tribunales y administraciones competentes durante los plazos de prescripción.
Trazas de creación y modificación de documentos	El mismo plazo que el documento al que se refieren, del que forman parte.
Registro de enlaces de restablecimiento de contraseña	Un año desde su emisión. Es un registro de seguridad y su valor decae con el tiempo.
Cola y registro de avisos por correo	Un año desde el envío.
Accesos temporales de inspección	Caducan a los quince minutos de generarse. El registro del acceso se conserva un año.
Registros del servidor web (dirección IP)	Un año.

6. A quién se comunican los datos

No se ceden datos a terceros, salvo en los siguientes casos:

• Agentes de la autoridad y administraciones competentes, en el marco de una inspección de transporte o cuando exista obligación legal de facilitarlos. Es la finalidad misma del documento de control.
• Jueces y tribunales, cuando así lo requieran.
• Otras empresas usuarias de la plataforma: nunca. La aplicación separa los datos por empresa, de modo que ninguna puede ver los documentos, transportistas, vehículos ni usuarios de otra.

Encargados del tratamiento

Prestan servicios que implican acceso a datos personales, con contrato firmado conforme al artículo 28 del RGPD:

Proveedor	Servicio	Observaciones
Hostinger International Ltd. (Chipre)	Correo electrónico saliente (servidor SMTP del dominio)	Se utiliza únicamente para entregar los avisos de la aplicación. Transitan por él la dirección del destinatario y el contenido del aviso.

La aplicación y la base de datos se alojan en servidores propios situados en las instalaciones de Gruas Bonet, S.A. No interviene ningún proveedor de alojamiento externo ni ningún servicio de analítica, publicidad o seguimiento.

7. Transferencias internacionales

No se realizan transferencias de datos fuera del Espacio Económico Europeo. El único proveedor con acceso a datos personales es Hostinger International Ltd., con sede en Chipre, Estado miembro de la Unión Europea, por lo que el tratamiento se realiza íntegramente dentro del EEE.

8. Derechos de las personas interesadas

Puedes ejercer en cualquier momento los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar el consentimiento cuando el tratamiento se base en él.

Para ejercerlos, escribe a privacidad@e-deca.es o a Avenida Europa, s/n, 46026 Horno de Alcedo, Valencia, indicando el derecho que ejercitas y acompañando copia de un documento que acredite tu identidad. La solicitud se responderá en el plazo máximo de un mes.

Recuerda lo indicado en el apartado 1: si trabajas para una empresa usuaria distinta de Gruas Bonet, S.A., el responsable de tus datos es tu propia empresa y es a ella a quien debes dirigirte.

Si consideras que el tratamiento no se ajusta a la normativa, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan, 6, 28001 Madrid — www.aepd.es).

9. Medidas de seguridad

Se aplican las medidas técnicas y organizativas del artículo 32 del RGPD, adecuadas al riesgo del tratamiento. Entre otras:

• Todo el tráfico viaja cifrado mediante HTTPS con certificado válido.
• Las contraseñas se almacenan mediante función resumen con sal; no son legibles ni recuperables, y se exige una longitud mínima de diez caracteres.
• Bloqueo automático de la cuenta tras varios intentos fallidos de acceso, y límite de peticiones por minuto en los puntos de acceso públicos.
• Separación estricta de los datos de cada empresa usuaria.
• Los enlaces públicos de descarga usan identificadores aleatorios no adivinables, caducan al finalizar el servicio y pueden desactivarse manualmente.
• Los códigos QR de inspección caducan a los quince minutos y los genera el propio conductor, ya autenticado.
• Las sesiones caducan a las doce horas, tanto en el panel de gestión como en la aplicación del conductor.
• Toda emisión de un enlace de restablecimiento de contraseña por parte del operador de la plataforma queda registrada.
• Los servidores se encuentran en instalaciones propias, sin exposición pública de la base de datos ni de los ficheros PDF.

10. Decisiones automatizadas y menores de edad

No se adoptan decisiones automatizadas ni se elaboran perfiles con efectos jurídicos sobre las personas afectadas. El servicio está dirigido exclusivamente a profesionales y no se dirige a menores de edad.

11. Cambios en esta política

Esta política puede actualizarse para adaptarse a cambios normativos o al funcionamiento de la aplicación. La versión vigente será siempre la publicada en esta dirección, con indicación de su fecha de actualización. Los cambios relevantes se comunicarán a las personas usuarias.