Política de privacidad — ASG Mobile y portal DeCA

1. Responsables del tratamiento y contacto #

Según los datos de que se trate, el responsable del tratamiento es ASGTRANS o la empresa cliente que los aporta:

• Cada empresa cliente es la responsable de los datos que introduce o envía para su propia actividad: sus DeCA y hojas de ruta, con las partes, los vehículos y los conductores; sus importaciones, su libreta de direcciones y sus DeCA externos; las confirmaciones de entrega de sus conductores; los conductores y usuarios que da de alta, y los datos de las tarjetas de conductor que sus conductores envían a la plataforma DAC. ASGTRANS trata esos datos por cuenta de la empresa, como su encargado del tratamiento (artículo 28 del Reglamento General de Protección de Datos, RGPD), según sus instrucciones y el contrato que las une.
• ASGTRANS es la responsable de los datos que trata por su propia cuenta para prestar el servicio: las cuentas de usuario y el acceso; la seguridad del servicio (los registros del servidor, el registro de auditoría, los límites de uso y los informes de errores); el registro de las instalaciones de la aplicación y de las consultas en carretera; los correos de servicio, y la descarga pública de cada DeCA mediante su código QR, que exige la Resolución de 5 de junio de 2026.

Si usted es conductor o trabaja para una empresa cliente, es su empresa quien debe informarle de cómo trata sus datos. Esta política describe qué hace el servicio con ellos, y la empresa puede remitirle a ella.

ASGTRANS — Asesoría y Servicios Globales al Transporte, S.L., con CIF B50953165 y domicilio en Polígono Industrial Ciudad del Transporte, Edificio Somport, local 56, 50820 San Juan de Mozarrifar (Zaragoza), España. Puede escribirnos sobre esta política o sobre sus datos a lopd@asgtrans.com, o por correo postal al domicilio indicado.

Desarrolla y opera ASG Mobile y el portal DeCA por cuenta de ASGTRANS UAB Sistemium (Vilna, Lituania), como encargado del tratamiento de ASGTRANS y, para los datos de las empresas clientes, como subencargado.

2. A qué se aplica esta política #

Esta política se aplica a:

• ASG Mobile, la aplicación para Android e iOS, en sus dos partes:
  • DAC: la descarga de la tarjeta de conductor del tacógrafo y su envío a la plataforma DAC de ASGTRANS, y el acceso de las empresas clientes a esa plataforma;
  • DeCA: la consulta en carretera de los DeCA en curso, la creación y modificación de DeCA desde un teléfono vinculado a una empresa, las copias para consultar sin conexión y la confirmación de entrega;
• el portal DeCA (deca.asgtrans.com), donde las empresas clientes crean y gestionan sus Documentos Electrónicos de Control Administrativo (DeCA);
• la interfaz de programación (API) del DeCA, que usan los sistemas de las empresas clientes;
• la descarga pública de cada DeCA mediante su código QR, que exige la Resolución de 5 de junio de 2026.

No se aplica a la web asgtrans.com ni a la relación comercial con ASGTRANS, que se rigen por nuestra política de privacidad general.

3. Qué datos tratamos y de dónde proceden #

No tratamos categorías especiales de datos, como los de salud.

3.1 ASG Mobile: la parte DAC

• Tarjeta de conductor. La aplicación lee el archivo de la tarjeta de conductor (.ddd o .tgd) con un lector conectado al teléfono, o lo toma de un archivo que usted elige. El archivo contiene lo que fija la normativa europea del tacógrafo: la identificación del conductor (número de tarjeta, nombre y fecha de nacimiento), sus actividades de conducción, descanso y trabajo, los vehículos utilizados, los lugares de inicio y fin de cada jornada, y los incidentes y fallos registrados.
• Envío. Cuando el archivo se lee de una tarjeta, la aplicación no lo guarda en el teléfono; cuando se elige un archivo del teléfono, el selector de archivos del sistema puede dejar una copia temporal. En ambos casos la aplicación lo envía al servidor del DeCA, que lo remite a la plataforma DAC de ASGTRANS. El servidor guarda el archivo un máximo de 7 días, mientras completa el envío, y un registro del envío con el número de tarjeta y el nombre del archivo.
• Acceso de las empresas clientes. Una empresa cliente accede con el usuario y la contraseña de su cuenta DAC. La contraseña no se guarda en el teléfono; solo un identificador de sesión, en el almacén seguro del sistema (Llavero en iOS, Keystore en Android), hasta que se cierra la sesión. Desde la aplicación, la empresa consulta sus conductores, sus informes de actividad y las infracciones detectadas, y puede dar de alta o modificar conductores (nombre, apellidos, DNI/NIE, número de tarjeta, fecha de nacimiento y correo electrónico). Estos datos se guardan en la plataforma DAC de ASGTRANS (portal.asgtrans.com), que los conserva cinco años.

3.2 ASG Mobile: la parte DeCA

• Registro de la instalación. La primera vez que se usa una función del DeCA, la aplicación se registra en el servidor y recibe un identificador de instalación. Para registrarse solo envía el sistema (Android o iOS), su propia versión y el identificador de la aplicación.
• Consulta en carretera. Para localizar sus DeCA en curso, el conductor introduce su NIF, el NIF o CIF de la empresa y la matrícula. La aplicación los envía al servidor, que devuelve los documentos que coinciden con los tres. Para impedir abusos, el servidor guarda cada consulta durante 30 días, con esos tres datos y la dirección IP solo como resúmenes criptográficos irreversibles. Cuando la consulta encuentra documentos, anota además en el registro de auditoría la dirección IP y el identificador del dispositivo o navegador (User-Agent).
• Datos recordados en el teléfono. Tras una consulta con resultados, la aplicación recuerda en el teléfono esos tres datos para el siguiente viaje, y guarda copias de los documentos para consultarlos sin conexión. Las copias de los DeCA de mercancías no contienen el NIF del conductor; las de las hojas de ruta de viajeros contienen su nombre y su NIF, porque el documento los incluye. «Olvidar mis datos» borra los datos recordados, las hojas de ruta guardadas y las confirmaciones de entrega pendientes. Las copias de los DeCA de mercancías se sustituyen en cada consulta y se borran al desinstalar la aplicación.
• Teléfono vinculado a una empresa. Una empresa puede vincular un teléfono con un código de un solo uso. El servidor guarda el vínculo: la instalación, el nombre que la empresa da al teléfono y las fechas de vinculación y desvinculación. El registro de auditoría anota cada vinculación y desvinculación con la dirección IP y el User-Agent.
• Creación y modificación de DeCA desde el teléfono. Un teléfono vinculado puede crear y modificar los DeCA de su empresa, con los datos del apartado 3.3. El registro de auditoría guarda qué teléfono lo hizo, desde qué dirección IP, y el NIF del conductor del documento.
• Libreta de direcciones. Al escribir el nombre o el NIF de una parte, la aplicación envía el texto escrito al servidor para sugerir coincidencias de la libreta de direcciones de la empresa (apartado 3.3).
• Confirmación de entrega. Al entregar la mercancía, el conductor puede fotografiar el albarán firmado: hasta tres fotografías, tomadas con la cámara, nunca desde la galería. Pueden mostrar el nombre, la firma y el sello de quienes reciben la mercancía. La aplicación elimina de las fotografías sus metadatos, incluida cualquier ubicación, y el servidor vuelve a eliminarlos al recibirlas. Se envían con la fecha y la hora, el NIF del conductor y la matrícula de la consulta, el envío confirmado y la instalación. Hasta que el servidor las recibe, esperan en el teléfono, excluidas de las copias de seguridad; una vez recibidas, se borran del teléfono. En el portal solo las ven los administradores de la empresa y el superadministrador de ASGTRANS. Nunca forman parte del PDF del DeCA ni se pueden obtener con su código QR.
• Permisos. La aplicación usa la cámara, para las fotografías de entrega, y en Android el puerto USB, para el lector de tarjetas. No accede a la ubicación, los contactos, el micrófono ni la galería de fotos.

3.3 El portal DeCA y la API

• Cuentas de usuario. De cada usuario guardamos su correo electrónico, su nombre, su empresa, su función, su idioma, la fecha de su último acceso y los intentos fallidos de acceso. La contraseña se guarda solo como resumen criptográfico irreversible. Los datos los aportan el propio usuario o quien lo invita: el administrador de su empresa o ASGTRANS. Las cuentas no se eliminan: cuando dejan de necesitarse, un administrador las desactiva.

• Datos del DeCA. La empresa que emite un DeCA introduce sus datos a mano, importando una hoja de cálculo, desde sus sistemas mediante la API o desde un teléfono vinculado:

  • las partes (en las mercancías, el cargador contractual y el transportista efectivo; en las hojas de ruta, el transportista y el contratante): nombre o razón social, NIF o CIF y, en las mercancías, el domicilio. Si una parte es un empresario individual, son datos de una persona física;
  • los envíos: origen, destino, mercancía y fechas;
  • las matrículas del vehículo y, en su caso, del remolque, y las observaciones;
  • el NIF del conductor, que la normativa obliga a registrar. En el PDF de un DeCA de mercancías nunca se imprime; en el de una hoja de ruta de viajeros se imprimen el nombre y el NIF del conductor;
  • el historial de modificaciones, con los valores anteriores y el motivo de cada cambio, como exige la normativa;
  • el usuario que crea o modifica cada documento.

  El NIF del conductor lo ven los usuarios de la empresa con acceso a sus documentos, el personal de ASGTRANS que presta el servicio y los sistemas de la empresa mediante sus claves de API.

• Importaciones. Las filas de una hoja de cálculo importada se guardan tal como se importaron, NIF del conductor incluido.

• Libreta de direcciones. Nombre, NIF o CIF y domicilio de las contrapartes de la empresa, tomados de sus propios documentos o guardados por sus usuarios.

• Registro de auditoría. Quién hizo cada operación relevante (crear, modificar o anular un documento, vincular un teléfono, ver una fotografía de entrega…), cuándo, desde qué dirección IP y con qué dispositivo o navegador. Lo consultan los administradores de la empresa y el personal de ASGTRANS.

• Claves de API. El nombre, el prefijo y la fecha del último uso de cada clave; la clave en sí se guarda solo como resumen.

• Correos electrónicos. El portal envía las invitaciones, con la guía rápida, los enlaces para restablecer la contraseña y los avisos de cambio de dirección, a la anterior y a la nueva. Guardamos durante 90 días un registro de cada envío: destinatario, tipo y resultado. Si un correo no se entrega, el aviso técnico llega también a UAB Sistemium y al contacto técnico de ASGTRANS.

3.4 La descarga pública del DeCA

• Quien tenga el código QR o el enlace de un DeCA puede descargar su PDF sin identificarse, como exige la Resolución de 5 de junio de 2026 para que las autoridades puedan comprobarlo en carretera. La empresa que lo emite comparte el código o el enlace con el conductor y con las demás partes del transporte.
• El enlace funciona durante el servicio y, por defecto, hasta 14 días después de que termine (ASGTRANS puede fijar para cada empresa un plazo de entre 7 y 30 días); si el documento se anula, deja de funcionar en el acto. Después, solo pueden consultarlo los usuarios de la empresa.
• El PDF de un DeCA de mercancías muestra las partes, los envíos, las matrículas y el historial de cambios; nunca el NIF del conductor ni el usuario que lo emitió. El PDF de una hoja de ruta de viajeros muestra el nombre y el NIF del conductor.
• Contamos cuántas veces se descarga cada documento y cuándo fue la última vez.

3.5 Datos técnicos

• Registros del servidor. Como cualquier servidor web, el del DeCA anota cada petición: la dirección IP, la fecha y la hora, la dirección solicitada sin sus términos de búsqueda, el resultado y el User-Agent.
• Informes de errores. Cuando ASG Mobile o el servidor sufren un error, se envía un informe técnico a Sentry para diagnosticarlo: el error, la versión de la aplicación, el modelo y el sistema del teléfono, un identificador aleatorio de la instalación y, en una muestra de las operaciones, cuánto tardaron. Los informes no incluyen nombres, NIF, matrículas, contraseñas ni el contenido de las peticiones, y no guardamos la dirección IP del usuario. En los informes de las versiones de la aplicación anteriores a la 0.7.29, Sentry puede deducir de la conexión del teléfono una ubicación aproximada (el país o la ciudad).
• ASG Mobile no incluye herramientas de analítica, de publicidad ni de seguimiento.

4. Para qué tratamos los datos y con qué base jurídica #

Los datos de un DeCA son obligatorios por ley: sin ellos no puede emitirse. Los de una cuenta son necesarios para usar el portal.

Para los datos que aporta una empresa cliente, las bases de la tabla son las de esa empresa como responsable; ASGTRANS los trata como su encargado.

Ningún tratamiento se basa en el consentimiento. Puede oponerse a los que se basan en el interés legítimo (apartado 8). No tomamos decisiones automatizadas sobre las personas ni elaboramos perfiles.

5. Destinatarios y encargados del tratamiento #

• UAB Sistemium (Lituania), encargado del tratamiento de ASGTRANS y, para los datos de las empresas clientes, subencargado, desarrolla, mantiene y opera el servicio.
• Amazon Web Services aloja el servicio en la cuenta de ASGTRANS, en su región de España; los correos se envían desde su región de Irlanda.
• Functional Software, Inc. (Sentry) recibe los informes de errores (apartado 3.5) y los aloja en su región de la Unión Europea, en Alemania.
• Las autoridades de inspección del transporte descargan el DeCA mediante su código QR. Comunicaremos datos a otras autoridades o a los tribunales solo cuando una ley lo exija.
• Apple y Google distribuyen la aplicación en sus tiendas y tratan los datos de su propia relación con usted como responsables independientes, según sus políticas.

Todos los proveedores que tratan datos por nuestra cuenta lo hacen bajo un contrato de encargo (artículo 28 del RGPD) que les obliga a protegerlos como describe esta política. No vendemos datos ni los cedemos con fines publicitarios.

6. Transferencias internacionales #

Los datos se alojan en el Espacio Económico Europeo: en España (el servicio), Irlanda (el correo electrónico) y Alemania (los informes de errores). UAB Sistemium los trata desde Lituania. Amazon Web Services y Sentry pertenecen a grupos con sede en Estados Unidos; si se accediera a los datos desde allí, la transferencia se ampararía en el Marco de Privacidad de Datos UE-EE. UU. o en las cláusulas contractuales tipo de la Comisión Europea.

7. Cuánto tiempo conservamos los datos #

Conservamos los documentos y los demás datos mientras la empresa cliente use el servicio, con los plazos mínimos que exija la ley. Cuando una empresa deja el servicio, ASGTRANS conserva los datos que la ley obliga a conservar y ordena su supresión cuando terminan esos plazos.

8. Sus derechos #

Puede ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad ante el responsable de sus datos (apartado 1):

• Si sus datos figuran en los documentos o en la plataforma DAC de una empresa cliente, por ejemplo como conductor o como parte de un DeCA, diríjase a esa empresa. Si nos escribe a nosotros, le trasladaremos su solicitud y la ayudaremos a atenderla.
• Para los datos que ASGTRANS trata por su propia cuenta, escríbanos a lopd@asgtrans.com o por correo postal al domicilio del apartado 1, con una copia de un documento que acredite su identidad. Le responderemos en el plazo de un mes.

Algunos datos no pueden suprimirse mientras la ley obliga a conservarlos; por ejemplo, un DeCA durante su plazo legal de conservación.

En el teléfono, usted mismo puede borrar sus datos: con «Olvidar mis datos», en la consulta del DeCA; cerrando la sesión DAC; o desinstalando la aplicación.

Si considera que no hemos atendido sus derechos, puede presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es; C/ Jorge Juan, 6, 28001 Madrid).

9. Seguridad #

• Las comunicaciones van cifradas (HTTPS con TLS 1.2 o superior), y los datos se guardan cifrados en los servidores.
• Las contraseñas se guardan solo como resúmenes criptográficos irreversibles.
• Cada empresa ve solo sus propios documentos y, dentro de ella, cada usuario lo que su función permite. El NIF del conductor nunca se imprime en el PDF de un DeCA de mercancías, y las fotografías de entrega solo las ven los administradores de la empresa y el superadministrador de ASGTRANS.
• En el teléfono, las credenciales se guardan en el almacén seguro del sistema, y los datos del DeCA no se incluyen en las copias de seguridad.
• Un registro de auditoría anota quién crea o modifica cada documento.

10. Cookies y almacenamiento local #

El portal DeCA usa una sola cookie, deca_refresh, que mantiene abierta su sesión durante un máximo de 30 días y solo se envía al propio portal. Guarda además en su navegador cuatro datos: que tiene una sesión abierta, el idioma, el tema (claro u oscuro) y, para el personal de ASGTRANS, la empresa con la que trabaja. Son técnicos y estrictamente necesarios para el servicio que usted solicita, por lo que no requieren su consentimiento (artículo 22.2 de la Ley 34/2002, LSSI-CE). El portal no usa cookies de analítica ni de publicidad, ni carga contenido de terceros, y estas páginas tampoco.

ASG Mobile no usa cookies. Guarda en el teléfono lo que indica el apartado 3: el identificador de la sesión DAC, el de la instalación, los datos recordados de la consulta, las copias de los documentos y las confirmaciones de entrega pendientes.

11. Cambios en esta política #

Al principio de esta página figuran su versión y la fecha de su última actualización. Si cambiamos algo importante, lo avisaremos en el portal y en la aplicación.