Versión 2.9 · Última actualización: 30 de septiembre de 2026. Añade la medición de nuestros anuncios en Google, que solo ocurre si aceptas sus cookies en el aviso de la web: no hace falta que vuelvas a aceptar nada, porque ese tratamiento se te explica y se te pide en el propio aviso. La versión 2.8 puso a Apple como encargado del tratamiento para las notificaciones push del iPhone, como Google, porque el texto de cada aviso puede nombrar a la empresa y el trayecto; la versión 2.7 decía que Apple actuaba con su propia política también para eso. El inicio de sesión con Apple no cambia. Acompaña a los Términos 1.8, que se aceptan de nuevo. La versión 2.7 corrigió el porqué del plazo de 7 años de los documentos (la ley da 1 año, 2 si hay dolo, para reclamar por el transporte); el plazo no cambió.
El resto de esta página lo cuenta con detalle.
Esta política explica qué datos personales trata DeCMR, para qué, con qué base, con quién se comparten, cuánto tiempo se conservan y qué derechos tienes. Está escrita para cumplir los artículos 13 y 14 del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018.
PB2M Technologies SL, NIF B93917672, Ronda del Ingenioso Hidalgo 30, P 5-1, 28034 Madrid (Registro Mercantil de Madrid, hoja M-894796). Contacto para protección de datos: privacy@pb2mtech.com. No tenemos delegado de protección de datos porque la ley no nos lo exige; revisaremos esa decisión si crecemos.
Cuando una empresa cliente introduce en un documento los datos de sus conductores, de sus clientes o de la contraparte, esa empresa es la responsable de esos datos y nosotros los tratamos por su cuenta como encargados, con el contrato de encargo que forma parte de nuestros Términos (Anexo C). Si tus datos aparecen en un documento porque los puso una empresa, esa empresa es tu primer punto de contacto; nosotros te ayudaremos igualmente.
| Tratamiento | Datos | Finalidad | Base jurídica | Conservación |
|---|---|---|---|---|
| Tu cuenta | Correo, contraseña (guardada como hash), identificador de usuario, identidad de Google o de Apple si entras con ellos (identificador y correo, que con Apple puede ser una dirección de reenvío de Apple), empresa y rol, dispositivo para notificaciones | Darte de alta, identificarte y gestionar tu cuenta y tus empresas | Ejecución del contrato (art. 6.1.b) | Mientras la cuenta esté activa; al cerrarla se borra |
| Facturación | Razón social o nombre, NIF/CIF, domicilio fiscal, correo, plan e importes. No guardamos tu tarjeta: la gestiona Stripe | Cobrar la suscripción y emitir facturas | Contrato (6.1.b) y obligación legal fiscal y mercantil (6.1.c) | Facturas: 6 años (art. 30 del Código de Comercio), aunque cierres la cuenta |
| Contenido de los documentos | Datos de las partes del transporte (razón social, NIF, domicilio, teléfono, correo), del conductor (nombre y NIF), matrículas, mercancía, lugares, fechas, precio y condiciones | Generar, custodiar, exhibir y firmar el documento de control y la carta de porte que la ley exige a la empresa cliente | Obligación legal de la empresa cliente (Orden FOM/2861/2012, Ley 15/2009, Convenio CMR); nosotros actuamos como encargados | 7 años desde cada versión del documento. La ley obliga a la empresa a conservarlo al menos 1 año (Orden FOM/2861/2012, art. 9; Ley 15/2009, art. 10 bis.6), y el Código de Comercio (art. 30) a guardar los justificantes de su negocio 6 años desde el último asiento de sus libros. Los 7 años son el plazo que fijan los Términos (cláusula 5 bis.1), por encima de esos dos |
| Exhibición pública por código QR | El PDF del documento | Que la Guardia Civil y la Inspección puedan descargarlo sin credenciales durante el transporte, como exige la Resolución de 5 de junio de 2026 | Obligación legal de la empresa cliente (6.1.c) | La dirección responde desde 2 días antes de la carga hasta 8 días después del fin previsto del servicio; después deja de responder |
| Evidencia de cada firma | Nombre y apellidos y documento de identidad (DNI, NIE, o pasaporte o documento nacional de otro país, con el país que lo expidió) de la persona que firma, que van dentro del certificado de su firma y son extraíbles del fichero PDF por quien disponga de la dirección del código QR mientras esté activa o del ejemplar que recibe cada parte; NIF y razón social de la parte en cuyo nombre firma; rol declarados; canal por el que firmas (sesión o código de un solo uso); dirección IP y navegador; hora; firma electrónica y certificado; trazo manuscrito (como imagen: coordenadas, sin presión ni velocidad); lugar de la firma, solo si lo activas; aceptación de condiciones; reservas | Que la firma sea una firma electrónica avanzada y pueda defenderse si alguien la impugna (art. 326 de la Ley de Enjuiciamiento Civil) | Contrato con el firmante (6.1.b) e interés legítimo en la integridad probatoria (6.1.f); el lugar de la firma, tu consentimiento (6.1.a) | 7 años desde la firma. La IP y el navegador nunca se publican; el trazo y, si lo activaste, el lugar, se muestran en el documento |
| Avisos de apertura y de firma | Rol y razón social declarada, hora del acto, trayecto del documento | Que el emisor y las demás partes sepan si abriste el enlace y si firmaste (acuse) | Contrato de transporte documentado (6.1.b) e interés legítimo de las partes (6.1.f), ponderado en nuestra evaluación de impacto | 90 días en el buzón; el token de notificaciones, 60 días sin uso |
| Programa de referidos | El correo del invitado en forma de huella irreversible (HMAC), fecha y crédito | Atribuir el crédito y evitar el fraude por reutilizar direcciones | Condiciones del programa (6.1.b) e interés legítimo antifraude (6.1.f) | Mientras exista el programa; revisamos su necesidad cada año |
| Aviso de lanzamiento («avísame» en la web) | Correo | Escribirte cuando la app esté disponible | Tu consentimiento (6.1.a), revocable | 1 año, o antes si nos lo pides |
| Correos del servicio | Correo y contenido del aviso (invitaciones, códigos de un solo uso, avisos de firma, copia final del documento, recordatorios de conservación y de cobro) | Prestar el servicio | Contrato (6.1.b) | Registro de entrega: 7 años como evidencia; rebotes: 90 días |
| Vinculación del móvil del conductor | Dirección IP y tipo de móvil (la identificación que el propio móvil envía en la petición) en el momento de vincularlo, quién de la empresa creó la invitación y si el enlace llegó por correo o lo compartió la empresa | Saber qué móvil tiene acceso a los documentos de cada empresa y detectar vinculaciones no autorizadas | Interés legítimo en la seguridad del acceso (6.1.f; considerando 49 del RGPD) | Mientras el vínculo exista y 7 años después, como evidencia de quién tuvo acceso a los documentos. Solo se registra al vincular, nunca en cada uso |
| Hitos de la telemática del vehículo (solo si tu empresa la conecta) | Matrícula, tipo de hito (carga, descarga, paso por una zona o aviso de posición), hora, sistema de origen, nombre de la zona si lo hay y documento al que se refiere. Sin coordenadas | Anotar la carga y la descarga en el documento y mostrar su seguimiento | La empresa cliente es la responsable; nosotros actuamos como encargados | 90 días |
| Medición de nuestros anuncios (solo si aceptas las cookies de anuncios) | Identificador del clic en el anuncio (gclid), cookies _gcl_* y, en la petición a Google, tu dirección IP y tu navegador | Saber si llegaste desde uno de nuestros anuncios y si te diste de alta o contrataste un plan (sin importes ni datos de pago) | Tu consentimiento (art. 6.1.a RGPD y art. 22.2 de la Ley 34/2002), que puedes retirar en «Configurar cookies» | Las cookies, 90 días; lo que recibe Google, según su propia política (Google es responsable independiente, ver el apartado 4) |
| Registro de tu elección de cookies | Un identificador aleatorio que genera tu navegador y que no asociamos a ti ni a tu cuenta (un dato seudónimo, no anónimo: considerandos 26 y 30 del RGPD), si aceptaste o rechazaste, la versión de la Política de Cookies y la fecha. Sin dirección IP ni navegador | Poder demostrar que pedimos el consentimiento como exigen la ley y la política de Google | Obligación legal de poder demostrar el consentimiento (art. 7.1 RGPD, art. 6.1.c) | 24 meses |
| Registros de visitas a la web y a los enlaces | Dirección IP, navegador, dirección completa de la página con sus parámetros (lo que incluye el identificador del clic, gclid, si llegaste desde un anuncio) y hora de cada visita a decmr.com, incluida la apertura de un enlace de firma o del código QR | Seguridad del servicio y prevención de abusos | Interés legítimo en la seguridad (6.1.f) | 30 días |
| Registros de funcionamiento del servicio | Identificadores de cuenta, de empresa y de documento, lo que se hizo y los errores; en algunos casos, un correo o un NIF. No guardan la dirección IP | Detectar y arreglar fallos y proteger el servicio | Interés legítimo en la seguridad y el buen funcionamiento (6.1.f) | 90 días |
| Registro de accesos a los documentos | Cada vez que se guarda o se lee el PDF de un documento: la hora y, cuando lo descarga una persona (por ejemplo, un agente que abre el código QR), su dirección IP y su navegador | Poder demostrar quién accedió a cada documento y responder a un incidente o a un requerimiento | Interés legítimo en la custodia y la seguridad de los documentos (6.1.f) | 400 días |
| Soporte y derechos | Lo que nos escribas | Atenderte y acreditar la respuesta | Contrato y obligación legal (art. 12 RGPD) | 3 años |
La empresa que emite el documento nos ha dado tu correo o tu teléfono para que puedas firmarlo (es lo que la ley llama datos no obtenidos del interesado, art. 14 RGPD). Te lo decimos en el propio mensaje y en la página de firma. Al abrir el enlace guardamos la hora; al firmar, la hora, tu dirección IP y tu navegador como evidencia de la firma. Aparte, como cualquier visita a nuestras páginas, la apertura queda 30 días en los registros de visitas (ver la tabla). Avisamos a quien creó el documento y a las empresas del transporte de que has abierto el enlace y de que has firmado. Tu trazo se muestra en el documento. Puedes ejercer tus derechos con nosotros o con la empresa que te invitó.
Para emitir tu certificado de firma te pedimos además tu nombre, tus apellidos y tu documento de identidad (DNI o NIE; o, si no los tienes, tu pasaporte o documento nacional de otro país, con el país que lo expidió), y sin tu documento no es posible firmar, ni por el enlace ni desde la app o el panel: un certificado que solo lleva un nombre no distingue a dos personas homónimas, y entonces la firma no acreditaría quién firmó. Esos datos los tecleas tú (art. 13 RGPD, a diferencia del contacto). La base es la ejecución de las Condiciones del Firmante que aceptas antes de firmar (art. 6.1.b) y, para conservarlos, nuestro interés legítimo en la integridad probatoria (art. 6.1.f). No se imprimen en el documento, pero viajan dentro del certificado, que se adjunta al fichero PDF para que un perito pueda verificar la firma: quien tenga la dirección del código QR mientras esté activa, o el ejemplar que recibe cada parte, puede extraerlos del fichero. Se conservan siete años y, al ir dentro de una firma, no se pueden reescribir: si algo es inexacto lo corregimos con una declaración adicional (art. 16) y podemos limitar el tratamiento mientras se comprueba (art. 18).
Tu nombre y tu NIF figuran en el documento de control porque la normativa de transporte lo exige a tu empresa, y el documento se puede descargar sin credenciales durante el transporte por mandato legal. Lo limitamos en el tiempo (ver la tabla) y la dirección no es adivinable ni aparece en buscadores. La empresa que te da de alta está obligada a informarte de ello.
Para usar la app no necesitas cuenta: basta con vincular tu móvil con el enlace o el código que te manda tu empresa. Al vincularlo registramos la dirección IP, el tipo de móvil que el propio teléfono indica en la petición, quién de tu empresa te invitó y si el enlace te llegó por correo. No leemos nada más de tu teléfono y no lo volvemos a registrar cada vez que abres un documento; lo usamos solo para la seguridad del acceso, nunca para saber dónde estás o qué haces.
Guardamos tu firma manuscrita como una imagen (una lista de coordenadas), sin presión, velocidad ni ningún rasgo dinámico, y no la comparamos con nada para identificarte: lo que te identifica es tu firma electrónica, a la que el trazo queda unido. Por eso no lo tratamos como dato biométrico de categoría especial. Aun así, te lo explicamos antes de firmar.
No vendemos datos. Usamos estos proveedores; salvo Apple en el inicio de sesión con Apple y Google en la medición de anuncios, que actúan con su propia política de privacidad, tratan datos por nuestra cuenta con contratos del art. 28 RGPD:
_gcl_*, tu dirección IP y tu navegador para medir si llegaste desde uno de nuestros anuncios. En esto Google no es encargado nuestro: es responsable independiente y trata esos datos con su propia política (policies.google.com/technologies/ads).Comunicamos datos a autoridades (Inspección de Transporte, Guardia Civil, juzgados, AEPD) cuando la ley lo exige, y a las demás partes de cada documento, que ven el documento y los avisos porque son parte del contrato que documenta.
En la Unión Europea (regiones de AWS de España e Irlanda), salvo lo indicado para Google, Stripe y Apple. Cuando hay transferencia a Estados Unidos, Google (también la medición de Google Ads, si la aceptas) y Stripe se amparan en la decisión de adecuación del Marco de Privacidad de Datos UE-EE.UU., con cláusulas contractuales tipo como respaldo, y Apple en cláusulas contractuales tipo. Si esa decisión dejara de ser válida, dejaríamos de usar el proveedor o aplicaríamos otra garantía antes de seguir.
Los plazos están en la tabla del apartado 3. La regla general para los documentos y su evidencia es 7 años. Es el plazo que fijan los Términos (cláusula 5 bis.1), por encima de lo que exige la ley: la normativa de transporte obliga a la empresa a conservar los documentos al menos 1 año, y el Código de Comercio (art. 30) a guardar los justificantes de su negocio 6 años desde el último asiento de sus libros. Las reclamaciones por el propio transporte prescriben antes: en 1 año, o en 2 si hay dolo (art. 79 de la Ley 15/2009); en el transporte internacional, en 1 año, o en 3 si hay dolo (art. 32 del Convenio CMR). Los documentos ya emitidos se conservan aunque cierres tu cuenta, porque la ley obliga a la empresa a conservarlos y la evidencia de las firmas de las demás partes no es solo tuya. Al cerrar la cuenta te decimos exactamente qué se conserva y por qué.
Cifrado en tránsito y en reposo, claves de firma que solo existen en tu dispositivo, autoridad de certificación en un módulo de seguridad de hardware, aislamiento por empresa, copias de seguridad diarias, registro de accesos y un procedimiento escrito de gestión de incidentes con notificación a las autoridades en 24 y 72 horas y a ti cuando el riesgo sea alto.
Puedes ejercer los derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad, y retirar el consentimiento cuando esa sea la base, escribiendo a privacy@pb2mtech.com desde el correo de tu cuenta o indicando cómo comprobamos que eres tú. Respondemos en un mes. Desde la app y el panel puedes exportar todos tus documentos y su evidencia y cerrar tu cuenta sin pedir nada a nadie. Si crees que no hemos atendido bien tus derechos, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).
Hay datos que no podemos borrar mientras dure su plazo: los documentos de transporte y la prueba de sus firmas (7 años desde cada versión) y las facturas (6 años). No los usamos para nada más. Los documentos siguen al alcance de las demás partes de cada documento, que también tienen derecho a ellos, y de las autoridades que los pidan; las facturas quedan bloqueadas (art. 32 de la Ley Orgánica 3/2018), solo a disposición de las autoridades. Los datos que van dentro de una firma ya hecha —tu nombre y documento en el certificado, el trazo y, si lo activaste, el lugar— no se pueden borrar ni reescribir sin romper la firma: si algo es inexacto, lo corregimos con una declaración adicional.
El servicio se dirige a empresas y profesionales. No tratamos a sabiendas datos de menores de 18 años.
Cada versión de esta política se publica con su número y su fecha. Si un cambio afecta a los datos que tratamos, a para qué los usamos o a tus derechos, te lo mostraremos en el panel y en la app, que no te dejarán seguir usándolos hasta que lo aceptes; si no estás de acuerdo, puedes darte de baja cerrando tu cuenta. Un tratamiento nuevo que solo ocurre si lo consientes en ese momento —como las cookies de anuncios— se te explica y se te pide en el propio aviso, sin bloquear la app ni el panel. Las correcciones de redacción o de erratas y los cambios de datos de contacto se publican con número y fecha nuevos sin pedirte nada.