Política de Privacidad

1. Responsable del tratamiento

El responsable del tratamiento de tus datos personales es Daniel Arechavala Millán (en adelante, "nosotros", "FlotaFácil" o "el Servicio"), con NIF 47284652X y domicilio en Calle Monte Sinaí 1, 28981 Parla (Madrid), España.

Canal de contacto para asuntos de privacidad: privacidad@flotafacil.es. Para el resto de cuestiones puedes escribirnos a contacto@flotafacil.es.

2. Doble rol: responsable y encargado del tratamiento

FlotaFácil trata datos personales en dos figuras distintas:

• Como responsable: de los datos de las personas que abren cuenta y usan directamente la plataforma (administradores, gestores, conductores que inician sesión). Esta política cubre ese tratamiento.
• Como encargado:de los datos de terceros que un cliente empresa introduce en su cuenta —t í picamente sus propios conductores, sus vehículos, sus gastos. En ese caso el cliente empresa es el responsable y FlotaFácil actúa por cuenta suya, limitándose a lo que dicta el contrato de encargo (ver Términos de Servicio).

3. Datos que tratamos

Tratamos únicamente los datos que tú (o tu empresa) introducís en la plataforma y los estrictamente necesarios para operarla. Por categoría:

4. Bases legales y finalidades

Cada categoría de datos se trata sobre una base legal concreta del art. 6 RGPD:

5. Si eres una empresa cliente: tus conductores

Cuando una empresa da de alta a sus conductores dentro de FlotaFácil, esa empresa es la responsable del tratamiento de los datos de sus trabajadores (nombre, DNI, carnet, contacto) y FlotaFácil actúa como encargado, limitándose a alojar y procesar esos datos para prestar el servicio. El marco del encargo se rige por los Términos de Servicio y el DPA subyacente con cada subencargado (ver sección 8).

La empresa cliente es quien debe:

• Informar a cada conductor de que sus datos personales se están tratando en FlotaFácil (cláusula informativa laboral).
• Recabar las bases legales aplicables (normalmente contrato laboral + interés legítimo empresarial).
• Atender los derechos ARSOPL que ejerza el conductor frente a la propia empresa.

6. GPS y control de vehículos (art. 89 LOPDGDD)

FlotaFácil puede registrar la geolocalización en tiempo real de los vehículos de la flota cuando la empresa cliente activa esta funcionalidad. Este tratamiento tiene un régimen específico conforme al art. 89 de la LOPDGDD:

• Aviso previo: la empresa cliente debe informar de manera expresa, clara e inequívoca a los conductores, antes de activar el GPS, sobre la finalidad, los datos que se van a tratar, los destinatarios y los derechos que les asisten.
• Finalidad limitada: los datos solo se tratan para el control laboral del vehículo durante la jornada, nunca para monitorizar al trabajador fuera del horario.
• Proporcionalidad: la precisión, frecuencia de muestreo y retención están limitadas a lo necesario.
• Retención: el histórico de posiciones se conserva un máximo de 90 días desde su registro, salvo que una obligación legal exija conservarlo más tiempo (p. ej. investigación de un siniestro).
• Desactivación: el conductor puede desactivar el envío de GPS desde su propio dispositivo en los periodos de descanso.

7. Plazos de conservación

Terminados los plazos anteriores, los datos se suprimen o anonimizan. Los datos ligados a obligaciones fiscales y contables se conservan bloqueados durante el plazo restante de prescripción de responsabilidades.

8. Destinatarios y subencargados

Compartimos datos con proveedores tecnológicos estrictamente necesarios para operar el servicio. Todos firman (o tienen suscritas) cláusulas de encargado del tratamiento (DPA) con las garantías del art. 28 RGPD:

No vendemos, alquilamos ni cedemos tus datos personales a terceros con fines comerciales. Solo podríamos comunicarlos a autoridades públicas cuando una obligación legal o un requerimiento judicial nos lo exija.

9. Transferencias internacionales

Algunos de nuestros subencargados almacenan datos en Estados Unidos (Vercel, Resend) o realizan transferencias puntuales (Stripe, Google). Todas esas transferencias están cubiertas por:

• Cláusulas contractuales tipo (SCCs) aprobadas por la Comisión Europea.
• Adhesión de los proveedores al EU-US Data Privacy Framework cuando resulta aplicable.
• Medidas técnicas adicionales (cifrado en tránsito y en reposo, separación lógica por organización).

10. Tus derechos

Como usuario del servicio tienes, conforme al RGPD y la LOPDGDD, los siguientes derechos:

• Acceso: solicitar una copia de todos los datos personales que tenemos sobre ti.
• Rectificación: corregir datos inexactos o incompletos.
• Supresión: solicitar la eliminación de tus datos (derecho al olvido).
• Oposición: oponerte al tratamiento basado en interés legítimo.
• Portabilidad: recibir tus datos en formato estructurado (JSON o CSV).
• Limitación: pedir que bloqueemos el uso de tus datos en determinadas circunstancias.
• Retirada del consentimiento: en cualquier momento, sin efectos retroactivos, desde el propio banner de cookies o desde los ajustes de notificaciones.

Para ejercerlos escríbenos a privacidad@flotafacil.es adjuntando un documento que acredite tu identidad (DNI o equivalente). Responderemos en un plazo máximo de un mes, prorrogable a dos meses si la complejidad lo justifica.

Si consideras que no hemos atendido correctamente tu solicitud puedes presentar una reclamación ante la Agencia Española de Protección de Datos (aepd.es).

11. Medidas de seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo del tratamiento, entre ellas:

• Cifrado en tránsito mediante TLS 1.3 y HSTS con subdominios y preload.
• Cifrado en reposo para datos sensibles: contraseñas con bcrypt cost 12, secretos TOTP con AES-256-GCM, códigos de recuperación con bcrypt.
• Aislamiento multi-tenant: cada consulta filtra pororganization_idde modo que ningún usuario accede a datos de otra empresa.
• Segundo factor (TOTP) disponible para todos los roles.
• Bloqueo temporal de cuenta tras 5 intentos fallidos durante 10 minutos.
• Registro de auditoría de acciones sensibles (creación, edición, eliminación de entidades, cambios de permisos).
• Política de contraseñas: 10 caracteres mínimos, rechazo de contraseñas comunes, con detección y re-hash transparente al iniciar sesión si el hash antiguo era más débil.
• Content Security Policy, cabeceras HSTS, X-Frame-Options, referrer-policy restrictiva y subida de ficheros con verificación de magic bytes.
• Backups automáticos diarios mediante un endpoint protegido por secreto rotable.

12. Decisiones automatizadas y perfilado

FlotaFácil no adopta decisiones que produzcan efectos jurídicos significativos sobre los usuarios de forma automatizada y no realiza perfilado con esos efectos. Las alertas y notificaciones automáticas (vencimientos, mantenimientos, recordatorios) son avisos informativos que el usuario puede ignorar.

13. Delegado de Protección de Datos

FlotaFácil no ha designado Delegado de Protección de Datos (DPO). No concurre ninguno de los supuestos del art. 37 RGPD: no es una autoridad pública, no realiza observación sistemática a gran escala ni trata datos sensibles a gran escala. Todas las consultas de privacidad se gestionan directamente por el responsable del tratamiento a través de privacidad@flotafacil.es.

14. Menores de edad

FlotaFácil es un servicio B2B dirigido a empresas. No está pensado para menores de edad y no solicitamos ni tratamos datos de menores de 14 años (umbral del art. 7 LOPDGDD).

15. Cambios en esta política

Podemos actualizar esta política para reflejar cambios en la plataforma o en el marco normativo. Si los cambios son significativos (nuevas finalidades o subencargados) te lo notificaremos por email o con un aviso dentro de la aplicación antes de que entren en vigor. La fecha de la última actualización aparece al principio.