Política de Privacidad

1. Responsable del tratamiento

El responsable del tratamiento de los datos personales recogidos a través de porteo.app es Porteo Tech, S.L., con CIF B-XXXXXXXX, domicilio en España y correo de contacto info@porteo.app.

2. Datos que recogemos

Recogemos los siguientes datos en función de cómo interactúas con la plataforma:

• Datos de registro: nombre de la empresa, correo electrónico y contraseña (almacenada en forma de hash).
• Datos de identidad de los usuarios de la cuenta: nombre y apellidos de cada persona con acceso a la cuenta. Los recoge el administrador de la cuenta al invitarla, o la propia persona la primera vez que entra. Se usan para identificar quién crea cada transporte dentro de la cuenta.
• Datos de los documentos: datos del cargador, transportista y destinatario incluidos en los documentos de transporte (nombre, NIF, dirección, matrícula, descripción de mercancía).
• Datos de firma: imagen de la firma manuscrita digitalizada, dirección IP, user-agent del dispositivo y timestamp en el momento de la firma.
• Datos biométricos del trazo de la firma (categoría especial, Art. 9 RGPD): cuando el documento se firma con firma electrónica avanzada, se registra cómo se dibuja la firma —el recorrido y el ritmo del trazo—, no solo el dibujo resultante. Se explica en detalle en el apartado 2 bis.
• Datos de ubicación: coordenadas GPS del conductor cuando activa voluntariamente el seguimiento durante el transporte.
• Datos de pago: procesados íntegramente por Stripe. Porteo no almacena datos de tarjeta.

2 bis. Datos biométricos de la firma

Cuando un documento se firma con firma electrónica avanzada, el componente de firma no guarda solo el dibujo: registra también cómo se ha trazado (el recorrido del trazo y su evolución en el tiempo). Esa información es un dato biométrico y, como tal, una categoría especial de datos del Art. 9 RGPD. Afecta a quien firma —cargador, conductor o destinatario—, tenga o no cuenta en Porteo.

• Qué se captura: los datos biométricos del trazo de tu firma, junto con la propia imagen de la firma.
• Para qué: vincular la firma de forma única a quien la traza, que es lo que permite que el documento tenga validez de firma electrónica avanzada (Reglamento eIDAS, UE 910/2014) y sirva como prueba si la firma se discute.
• Base legal: tu consentimiento explícito (Art. 9.2.a RGPD). Se te pide con una casilla propia, sin marcar de antemano, en la pantalla anterior a la firma: hasta que no la marcas no se abre el panel de firma ni se captura nada. Ese consentimiento queda registrado junto a la firma, con su fecha y hora.
• Quién los trata: Porteo Tech, S.L. como responsable y Edatalia como encargado del tratamiento, en su condición de proveedor del servicio de firma.
• Cómo se protegen: los datos biométricos se transmiten al proveedor de firma por conexión cifrada y quedan incrustados dentro del propio documento firmado. Porteo no conserva una copia aparte ni los registra en sus trazas. No se usan para ninguna otra finalidad, no se ceden a terceros distintos de los indicados en el apartado 5 y no se emplean para identificarte en otros contextos.
• Si no lo prestas: no podrás firmar el documento por esta vía, y hoy Porteo no ofrece otra forma de firmar dentro de la plataforma. Ponte en contacto con quien te envió el enlace para acordar cómo formalizar la entrega fuera de Porteo.
• Retirada: puedes retirar el consentimiento en cualquier momento escribiendo a info@porteo.app. La retirada surte efecto hacia el futuro y no afecta a la licitud del tratamiento anterior. Los documentos ya firmados no pueden alterarse sin invalidar las firmas que contienen, por lo que su conservación se rige por el apartado 4.

3. Finalidad y base legal

• Ejecución del contrato (Art. 6.1.b RGPD): creación, firma y verificación de documentos de transporte.
• Cumplimiento de obligación legal (Art. 6.1.c RGPD): conservación de documentos conforme al ROTT y la normativa de transporte.
• Interés legítimo (Art. 6.1.f RGPD): mejora del servicio, seguridad de la plataforma y comunicaciones operativas.
• Consentimiento (Art. 6.1.a RGPD): comunicaciones comerciales y cookies no esenciales.
• Consentimiento explícito (Art. 9.2.a RGPD): tratamiento de los datos biométricos del trazo de la firma, en los términos del apartado 2 bis.

4. Conservación de los datos

Los documentos de transporte y sus metadatos de firma se conservan durante 5 años desde la fecha de emisión, en línea con los plazos de conservación establecidos por la normativa de transporte y contabilidad. Los datos de cuenta se conservan mientras la cuenta esté activa. Tras la baja, se eliminan en un plazo máximo de 90 días salvo obligación legal de conservación.

Los datos biométricos del trazo van incrustados dentro del documento firmado, de modo que se conservan durante el mismo plazo que el documento al que pertenecen y no en un archivo aparte. No existe una copia adicional de esos datos fuera del documento.

5. Destinatarios

Los datos pueden ser comunicados a:

• Supabase Inc. — proveedor de base de datos y almacenamiento (servidores en la UE).
• Vercel Inc. — proveedor de hosting.
• Stripe Inc. — procesamiento de pagos.
• Resend — envío de correos operativos.
• Meta Platforms — envío de los enlaces de firma y avisos por WhatsApp (nombre, teléfono y referencia del documento).
• LabsMobile — envío de los enlaces de firma por SMS, cuando la cuenta activa ese canal (teléfono y referencia del documento). Proveedor español.
• Edatalia — servicio de firma electrónica avanzada. Trata el documento que se va a firmar y los datos biométricos del trazo de quien lo firma, para generar el documento firmado.
• Autoridades competentes — cuando sea exigido por ley (Guardia Civil, Inspección de Transporte).

Todos los proveedores cuentan con garantías adecuadas de protección de datos (cláusulas contractuales tipo u otro mecanismo válido).

6. Derechos del interesado

Puedes ejercer los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición escribiendo a info@porteo.app con asunto "Derechos RGPD" adjuntando copia de tu documento de identidad. Tienes derecho a presentar reclamación ante la Agencia Española de Protección de Datos (aepd.es) si consideras que el tratamiento no es conforme.

Si has firmado un documento con firma electrónica avanzada, puedes además retirar en cualquier momento el consentimiento al tratamiento de los datos biométricos de tu trazo, en los términos del apartado 2 bis.

Sobre el nombre y los apellidos de los usuarios de una cuenta: una vez guardados, la propia persona no puede modificarlos desde su perfil, porque identifican quién ha creado cada documento de transporte. Puede corregirlos el administrador de la cuenta desde la pantalla de Equipo, y en cualquier otro caso se corrigen escribiendo a info@porteo.app.

7. Transferencias internacionales

Algunos proveedores (Vercel, Stripe, Meta) pueden procesar datos fuera del Espacio Económico Europeo. Estas transferencias se amparan en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea o en decisiones de adecuación vigentes.

Los datos biométricos de la firma se comunican a Edatalia para generar el documento firmado. Esa comunicación se rige por el contrato de encargo del tratamiento y, en la medida en que suponga una transferencia fuera del Espacio Económico Europeo, por las garantías indicadas en el párrafo anterior.

8. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas: cifrado TLS en tránsito, cifrado en reposo en la base de datos, políticas de acceso con privilegio mínimo (RLS), autenticación segura y auditoría de accesos.

Los datos biométricos de la firma reciben un tratamiento reforzado por su condición de categoría especial: solo se recogen si quien firma lo ha consentido de forma explícita, se transmiten al proveedor de firma por conexión cifrada y quedan incrustados únicamente dentro del documento firmado, sujetos a los mismos controles de acceso que el resto de documentos. Porteo no los guarda en un repositorio aparte, no los registra en sus trazas y no los consulta en la operativa ordinaria.

9. Cambios en esta política

Notificaremos cambios significativos por correo electrónico con al menos 15 días de antelación. El uso continuado de la plataforma tras esa fecha implica la aceptación de la política actualizada.