Política de privacidad

1. Dos papeles distintos

Conviene distinguirlos desde el principio, porque de ello dependen los derechos que puede ejercer y ante quién:

• Acrilonia, S.L. es responsable del tratamiento de los datos de las personas que se dan de alta y utilizan la aplicación: la cuenta, la empresa contratante, la facturación y el soporte.
• Acrilonia, S.L. es encargado del tratamiento de los datos que cada empresa introduce en la aplicación para trabajar: sus clientes, sus conductores y el contenido de los documentos que emite. De esos datos la responsable es la empresa usuaria, y Decamio sólo los trata siguiendo sus instrucciones, en los términos del anexo de las condiciones de contratación.

Si usted es cliente, conductor o destinatario de una empresa que utiliza Decamio y quiere ejercer sus derechos, diríjase a esa empresa. Si nos escribe a nosotros, trasladaremos su solicitud sin demora.

2. Responsable

Responsable

Acrilonia, S.L. — NIF B72748023

Domicilio

Av. Virgen de las Angustias, 2. BQ 3. 4ºB

Contacto

info@acrilonia.com

3. Datos que se tratan y para qué

3.1 Cuenta de usuario y empresa contratante

Datos	Finalidad	Base jurídica
Nombre y apellidos, correo electrónico, contraseña (guardada cifrada de forma irreversible), rol y estado de la cuenta	Crear y mantener la cuenta, autenticar el acceso, confirmar la dirección de correo y recuperar la contraseña	Ejecución del contrato (art. 6.1.b RGPD)
Razón social, NIF, domicilio, teléfono, correo y número de autorización de la empresa	Identificar al obligado que emite cada documento, imprimir sus datos en el documento y facturar la suscripción	Ejecución del contrato y obligación legal (arts. 6.1.b y 6.1.c RGPD)
Plan contratado, identificadores de cliente y suscripción de la pasarela de pago, facturas emitidas y su estado	Cobrar la suscripción, emitir la factura y conservarla	Ejecución del contrato y obligación legal fiscal
Dirección IP, identificador de sesión y datos del navegador; registro de accesos y de las acciones realizadas en la aplicación	Seguridad, prevención de abusos y altas en cadena, y trazabilidad de quién emite, modifica o anula cada documento	Interés legítimo en la seguridad del servicio y obligación legal de trazabilidad (arts. 6.1.f y 6.1.c RGPD)
Datos del servidor de correo propio de la empresa: servidor, usuario y contraseña (guardada cifrada)	Enviar los documentos desde la propia dirección de la empresa, si así lo configura	Ejecución del contrato
Contenido de las consultas de soporte	Atender la consulta y dejar constancia de su resolución	Ejecución del contrato e interés legítimo en acreditar la atención prestada
Registro de las sesiones de soporte: fecha, persona de soporte que la abre, usuario afectado, dirección IP y motivo	Dejar constancia de cada acceso del personal de soporte a una cuenta y poder rendir cuentas de él ante el cliente	Ejecución del contrato e interés legítimo en la trazabilidad de los accesos (arts. 6.1.b y 6.1.f RGPD)

No se toman decisiones automatizadas con efectos jurídicos ni se elabora ningún perfil. Los límites del plan se aplican por un cómputo objetivo de documentos emitidos, no por una valoración de la persona.

3.2 Datos que introduce la empresa usuaria

En este apartado Acrilonia, S.L. actúa como encargado. Se tratan, por cuenta de la empresa usuaria: datos identificativos y de contacto de sus clientes, cargadores y destinatarios; nombre, identificador fiscal y teléfono de sus conductores; matrículas de sus vehículos; y el contenido de cada documento, incluidos origen, destino, naturaleza de la mercancía y personas intervinientes. La finalidad es únicamente emitir, custodiar, enviar y poner a disposición esos documentos.

3.3 Quien consulta un documento por el código QR

Al abrir la dirección pública de un documento se registran la fecha, la dirección IP y el navegador utilizado. Sirve para acreditar que el documento estuvo disponible ante una inspección y para detectar intentos de rastreo masivo. La base jurídica es el interés legítimo en la seguridad y en la trazabilidad del acceso. Esa página no instala cookies.

3.4 Acceso del personal de soporte a la cuenta

Hay averías que sólo se ven desde dentro de la cuenta que las sufre. Para resolverlas, el personal autorizado de Acrilonia, S.L. puede abrir una sesión de soporte: entrar en la aplicación viendo las mismas pantallas que el usuario afectado. No hace falta que él haga nada ni que su trabajo se interrumpa, y nunca se le pide la contraseña, que además nadie puede consultar porque se guarda cifrada de forma irreversible.

Esa sesión está acotada:

• Es de sólo lectura. No permite emitir, modificar ni anular documentos, enviar correos, cambiar datos ni contratar o cancelar nada en nombre del cliente.
• Queda registrada con la fecha, la persona de soporte, el usuario afectado y el motivo, y esa anotación aparece en el registro de actividad de la propia empresa, que puede consultarla cuando quiera desde su pantalla de auditoría.
• Sólo se abre para atender una incidencia o una solicitud de soporte, o para verificar un fallo detectado en el servicio. Nunca para explorar datos sin motivo.
• Quien la utiliza está sujeto a un deber de confidencialidad indefinido.

La base jurídica es la ejecución del contrato (art. 6.1.b RGPD) y el interés legítimo en mantener el servicio en funcionamiento (art. 6.1.f). Respecto de los datos que la empresa usuaria introduce para trabajar, este acceso se realiza en calidad de encargado del tratamiento y siguiendo sus instrucciones, en los términos del anexo de las condiciones de contratación.

4. Cuánto tiempo se conservan

• Documentos emitidos y sus datos: durante el periodo de conservación configurado por la empresa, con un mínimo de 24 meses desde su emisión, que supera el año exigido por la normativa de transporte. Su dirección pública sigue respondiendo durante todo ese periodo, aunque el documento se haya anulado.
• Datos de la cuenta y de la empresa: mientras la cuenta esté activa y, después, durante los plazos de prescripción de las acciones derivadas del contrato.
• Facturación: cuatro años a efectos fiscales y seis años a efectos mercantiles, contados según su normativa.
• Registros de acceso y de actividad: el tiempo necesario para las finalidades de seguridad y trazabilidad descritas, y en todo caso durante la conservación del documento al que se refieren.
• El identificador fiscal de una empresa que ya ha emitido documentos no se libera aunque se cause baja: es lo que impide que se reutilice para abrir cuentas nuevas y lo que mantiene la correspondencia con los documentos ya emitidos.

5. A quién se comunican

No se venden ni se ceden datos con fines publicitarios. Sólo acceden a ellos los proveedores necesarios para prestar el servicio, todos con contrato de encargado del tratamiento:

Proveedor	Para qué	Dónde trata los datos
IONOS CLOUD, S.L.U.	Alojamiento del servidor, la base de datos y las copias de seguridad	Unión Europea
Stripe Payments Europe, Ltd.	Cobro de las suscripciones y custodia de los datos de la tarjeta	Irlanda, con acceso desde Estados Unidos Cláusulas contractuales tipo de la Comisión Europea y Marco de Privacidad de Datos UE-EE. UU.
acrifactu	Emisión de las facturas de la suscripción y su remisión a la AEAT (VERI*FACTU)	España
1&1 IONOS España, S.L.U.	Buzón desde el que se envían los documentos por cuenta del cliente y los avisos de la cuenta	Unión Europea

Además, los datos se comunican a la Agencia Estatal de Administración Tributaria en lo relativo a las facturas de la suscripción, conforme al Real Decreto 1007/2023 y al sistema VERI*FACTU, y a Juzgados, Tribunales y administraciones públicas cuando exista obligación legal de hacerlo.

Salvo que la empresa usuaria configure su propio servidor, los documentos se envían desde un buzón de Acrilonia, S.L., por cuenta y en nombre de la empresa usuaria, que figura identificada en el remitente y en el pie del mensaje. El proveedor de ese buzón, indicado en la tabla anterior, trata los datos incluidos en el envío como subencargado. No se conservan copias de los mensajes en el buzón: la constancia del envío queda en la aplicación, separada por empresa.

Si la empresa usuaria configura su propio servidor de correo, los envíos de documentos salen por ese servidor y su proveedor de correo tratará los datos incluidos en el mensaje.

6. Transferencias internacionales

Los datos se alojan en la Unión Europea. La única transferencia fuera del Espacio Económico Europeo es la que puede realizar la pasarela de pago hacia Estados Unidos para el tratamiento del cobro; está amparada por las cláusulas contractuales tipo aprobadas por la Comisión Europea y por el Marco de Privacidad de Datos UE-EE. UU. Puede solicitar copia de las garantías escribiendo a info@acrilonia.com.

7. Seguridad

Se aplican medidas técnicas y organizativas proporcionadas al riesgo, entre ellas: cifrado del tráfico con TLS; contraseñas guardadas mediante funciones de derivación irreversibles; cifrado de las credenciales del servidor de correo de cada empresa; aislamiento de los datos de cada empresa, de modo que una consulta sin empresa en contexto falla en lugar de devolver datos ajenos; control de acceso por roles; registro de las modificaciones con motivo obligatorio; copias de seguridad periódicas; huella sha256 de cada documento para poder acreditar su integridad; y sesiones de soporte limitadas a la lectura, con motivo obligatorio y anotadas en el registro de actividad de la empresa afectada.

8. Sus derechos

Puede ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, así como retirar el consentimiento cuando el tratamiento se base en él, escribiendo a info@acrilonia.com o por correo postal a Av. Virgen de las Angustias, 2. BQ 3. 4ºB, indicando el derecho que ejerce y acompañando un documento que acredite su identidad.

La respuesta se dará en el plazo de un mes, prorrogable por dos meses más si la solicitud lo requiere. Algunos derechos tienen límites: no se puede suprimir un documento cuya conservación exige la normativa de transporte, ni una factura dentro de su plazo fiscal.

Si considera que sus derechos no han sido debidamente atendidos, puede presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es, C/ Jorge Juan 6, 28001 Madrid).

9. Obligación de facilitar los datos

Los datos marcados como obligatorios en los formularios son necesarios para prestar el servicio: sin ellos no es posible crear la cuenta ni emitir documentos válidos. En particular, sin el identificador fiscal de la empresa no se puede emitir ningún documento, aunque sí seguir consultando y descargando los ya emitidos.

10. Datos de terceros que usted introduce

Al dar de alta clientes, conductores o destinatarios, la empresa usuaria garantiza que está legitimada para tratar esos datos y que ha informado a esas personas conforme al artículo 14 del RGPD. Acrilonia, S.L. no responde del incumplimiento de esta obligación.

11. Cambios en esta política

Esta política puede actualizarse. Si el cambio afecta de forma sustancial al tratamiento, se avisará por correo electrónico o desde la propia aplicación con antelación razonable. La versión vigente es la publicada aquí, con la fecha que consta al principio.