Política de Privacidad

1. Responsable del tratamiento

Un matiz importante sobre los documentos de transporte. TrazaQR no es responsable de los datos personales que cada empresa cliente introduce en sus documentos de control (DeCA). En esos datos, la empresa cliente es la responsable y TrazaQR actúa como encargada por su cuenta. Ver apartado 5.2.

2. Qué datos tratamos

No tratamos datos especialmente protegidos (salud, ideología, origen racial u otros del art. 9 RGPD).

3. Finalidades y base jurídica

Puede solicitar información sobre la ponderación de intereses realizada en los tratamientos basados en interés legítimo escribiendo a info@trazaqr.com.

4. Plazos de conservación

• Documentos de Control Digital (DeCA): mínimo 1 año desde la fecha de entrega o descarga prevista, conforme al art. 9 de la Orden FOM/2861/2012 consolidada. Después, según las instrucciones de la empresa cliente responsable.
• Datos de cuenta: durante la vigencia del contrato y los plazos de prescripción legal aplicables.
• Datos de facturación: 6 años (Código de Comercio) y 4 años a efectos fiscales.
• Registros de acceso: 12 meses.
• Eventos de acceso y registro: los datos identificativos se conservan un máximo de 90 días. Transcurrido ese plazo se anonimizan de forma irreversible la dirección de correo y cualquier dato personal del detalle del evento, conservándose únicamente información estadística no identificativa.
• Contactos profesionales (prospección B2B): máximo 12 meses desde la última interacción comercial relevante. Si el interesado se opone o solicita no ser contactado, cesa toda prospección de inmediato y se conserva únicamente el dato mínimo imprescindible para respetar esa oposición, separado del resto y sin utilizarlo para ninguna otra finalidad.

5. Destinatarios y transferencias

5.1 Encargados del tratamiento de TrazaQR

Para los tratamientos en los que TrazaQR es responsable (apartados 1 a 4), intervienen los siguientes proveedores, todos con garantías adecuadas:

TrazaQR puede recurrir además a prestadores de servicios técnicos y de copia de seguridad, sujetos a contrato de encargo del tratamiento y a deber de confidencialidad.

No cedemos datos a terceros con fines comerciales ni publicitarios.

5.2 Cadena de encargo de los datos del DeCA

En los datos que cada empresa cliente introduce en sus documentos de control, la cadena es la siguiente:

Los subencargados que intervienen en el tratamiento de esos datos son, de los relacionados en el apartado 5.1:

Los demás proveedores del apartado 5.1 no tratan datos del DeCA: Stripe interviene únicamente en los pagos, Cloudflare en la protección de los formularios públicos, Google en la analítica y medición publicitaria consentidas, Meta en la medición publicitaria consentida y Hostinger en el DNS y el correo corporativo.

Esta relación, junto con la del apartado 5.1, es la relación vigente y única de subencargados. Cualquier incorporación o sustitución se comunica a los Clientes por correo electrónico con 15 días naturales de antelación y se refleja simultáneamente en este apartado, con derecho de oposición en los términos de la cláusula 11.b.6 de los Términos y Condiciones.

5.3 Verificación pública del DeCA

Los datos del Documento Electrónico de Control Administrativo son accesibles públicamente a través del código QR o del código del documento, conforme a la normativa de transporte, aplicando una selección mínima de campos. Esta accesibilidad es inherente a la naturaleza legal del documento y necesaria para el cumplimiento normativo.

6. Medidas de seguridad

• Cifrado en tránsito: HTTPS/TLS en todas las comunicaciones.
• Cifrado en reposo: base de datos cifrada por el proveedor.
• Control de acceso: aislamiento a nivel de fila en la base de datos — cada empresa accede únicamente a sus propios datos.
• Autenticación: tokens con rotación y protección anti-repetición.
• Separación de perfiles administrativos: las funciones técnicas y las comerciales tienen permisos distintos, aplicados en la base de datos y no solo en la interfaz.
• Huella de integridad: SHA-256 calculada sobre los datos del documento en cada emisión o regeneración, con registro histórico de cada versión.
• Registro de auditoría de las operaciones sobre entidades clave, no modificable.
• Cabeceras de seguridad HTTP y política de seguridad de contenido restrictiva en la aplicación.
• Protección anti-bots en registro y comprobación de NIF.
• Copias de seguridad: backups automáticos del proveedor de base de datos, copias CSV diarias en OneDrive y copia semanal separada para continuidad y recuperación.

7. Derechos de los interesados

Puede ejercer los siguientes derechos escribiendo a info@trazaqr.com, indicando el derecho que desea ejercer:

• Acceso: conocer qué datos personales tratamos.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: solicitar la eliminación de los datos, salvo cuando exista obligación legal de conservarlos (como el DeCA durante 1 año).
• Limitación: restringir el tratamiento en determinadas circunstancias.
• Portabilidad: recibir los datos en formato estructurado y legible por máquina.
• Oposición: oponerse al tratamiento basado en interés legítimo. En el caso de la prospección comercial, la oposición es incondicionada (art. 21.2 RGPD): basta con solicitarlo para que cesen los contactos.

Acreditación de identidad: no es necesario enviar copia del DNI. Si la solicitud se realiza desde la dirección de correo asociada a la cuenta o al contacto, esa circunstancia basta para identificar al solicitante. Únicamente cuando existan dudas razonables sobre la identidad se solicitará información adicional, y siempre la mínima imprescindible (art. 12.6 RGPD).

Responderemos en el plazo máximo de un mes. Si considera que sus derechos no han sido atendidos, puede reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

Si sus datos figuran en un documento de control (DeCA), el responsable es la empresa que lo emitió. Puede dirigirse a nosotros y le indicaremos a quién corresponde atender su solicitud, o trasladaremos la petición a esa empresa.

8. Origen de los datos cuando no nos los facilita usted

Cuando tratamos datos de contacto profesional que no hemos obtenido directamente del interesado —prospección comercial B2B— se lo comunicamos en el primer contacto que le dirigimos y, en todo caso, dentro del mes siguiente a la obtención de sus datos, conforme al art. 14 RGPD, informándole de:

• la identidad del responsable y sus datos de contacto;
• la finalidad (gestión comercial y prospección B2B) y la base jurídica (interés legítimo);
• las categorías de datos tratados (datos profesionales de contacto);
• el origen concreto de los datos (por ejemplo, un perfil profesional público, un referido o un partner);
• los destinatarios, el plazo de conservación (12 meses desde la última interacción relevante) y sus derechos, incluido el de oposición y el de reclamar ante la AEPD.

Solo tratamos datos del ámbito profesional. No recabamos ni conservamos información ajena a esa esfera.

9. Cookies

La aplicación app.trazaqr.com utiliza almacenamiento técnico necesario para el funcionamiento de la sesión de usuario (autenticación) y analítica sin cookies de Vercel. Si usted acepta las categorías opcionales, también se activan Google Analytics, el píxel de Meta y Google Ads.

En trazaqr.com y app.trazaqr.com, Google Analytics 4 (Google Ireland Ltd. / Google LLC) solo se activa tras aceptar las estadísticas. El píxel de Meta (Meta Platforms Ireland Ltd. / Meta Platforms Inc.) y Google Ads (Google Ireland Ltd. / Google LLC) solo se activan tras aceptar la medición publicitaria. Las cookies opcionales son:

• _ga — distingue visitantes de forma seudonimizada. Duración: 2 años.
• _ga_M9CX3LKYQ5 — mantiene el estado de la sesión de análisis. Duración: 2 años.
• _fbp — distingue navegadores para medir resultados publicitarios. Duración: hasta 3 meses.
• _fbc — asocia una visita con el clic en un anuncio, cuando procede. Duración: hasta 3 meses.
• _gcl_au y _gcl_aw — miden visitas y registros procedentes de anuncios de Google, cuando proceda. Duración: según la configuración de Google.

Finalidades: estadísticas de uso y medición de anuncios y registros. Base jurídica: su consentimiento separado para cada categoría (art. 6.1.a RGPD). No enviamos a estas etiquetas el email, el NIF ni el contenido de los DeCA.

Puede cambiar o retirar ambas elecciones en cualquier momento desde Política de Cookies, o borrando las cookies desde su navegador.

10. Menores de edad

TrazaQR Transporte es un servicio profesional B2B destinado exclusivamente a empresas y autónomos. No está dirigido a menores de 14 años ni recopila conscientemente datos de menores.

11. Modificaciones

Podemos actualizar esta política para adaptarla a cambios normativos o del servicio. Las modificaciones relevantes se comunicarán por email a los usuarios registrados con al menos 15 días de antelación. La versión vigente estará siempre disponible en https://trazaqr.com/privacidad.

Cambio de responsable (20/09/2026). Con efectos desde esa fecha, la responsabilidad del tratamiento corresponde a la persona identificada en el apartado 1. Los datos tratados con anterioridad se conservan íntegramente y su tratamiento continúa en las mismas condiciones, finalidades y plazos.

12. Contacto y Delegado de Protección de Datos

Para cualquier consulta sobre privacidad o ejercicio de derechos: info@trazaqr.com

No resulta obligatorio designar un Delegado de Protección de Datos conforme al art. 37 RGPD, al no concurrir ninguno de los supuestos previstos en dicho artículo. El responsable asume directamente las funciones de supervisión del cumplimiento en materia de protección de datos.