Política de privacidad

Última actualización: 25 de mayo de 2026.

En esta página explicamos qué datos personales recoge Recua, para qué los usamos, con quién los compartimos, cuánto los guardamos y cómo puedes ejercer tus derechos sobre ellos. Está pensada tanto para conductores que usan la app móvil como para las empresas de transporte que contratan el servicio.

1. Responsable del tratamiento

• Titular: Jose Miguel Casas Pagan (autónomo, España).
• Producto: Recua — software de gestión de transporte y e-CMR.
• Contacto: hola@recua.app.

Si tienes una duda sobre esta política o quieres ejercer un derecho (ver sección 7), escríbeme a ese correo. Respondo personalmente en menos de 24 horas laborables.

2. Qué datos recogemos

Recua trata los siguientes datos personales:

| Dato | Origen | Quién lo introduce | |---|---|---| | Nombre del conductor | Cuenta de empresa | El administrador de la empresa transportista | | Código + PIN del conductor | Generado por la app | Automático | | Token de sesión (JWT) | Generado al hacer login | Automático | | Localización GPS precisa | Móvil del conductor | El sistema operativo, mientras hay un porte activo | | Fotos | Cámara del móvil | El conductor, durante la carga / entrega | | Firma manuscrita | Pantalla táctil | El cargador, conductor y destinatario, al firmar el e-CMR | | Nombre, dirección, CIF, email y teléfono de la empresa | Registro | El administrador de la empresa | | Nombre, dirección, email, teléfono y sello de los clientes (cargadores y destinatarios) | Catálogo | El administrador de la empresa | | Matrículas de los vehículos | Catálogo | El administrador de la empresa | | Datos del e-CMR / Contrato Nacional | Formulario | El conductor o el administrador |

No recogemos datos biométricos identificadores (huella, cara, iris), ni datos de salud, ni opiniones políticas, ni religiosas, ni de orientación sexual. La firma manuscrita es un trazo gráfico, no un identificador biométrico.

3. Para qué los usamos

Los datos se tratan para:

• Cumplir el contrato de transporte entre la empresa transportista y sus clientes (emitir el e-CMR / Contrato Nacional LCTTM, firmarlo electrónicamente y entregar el POD).
• Trazabilidad legal, según el Real Decreto 1211/1990 (ROTT, art. 222) que obliga a conservar los documentos de control durante cinco años, y el Reglamento UE 2020/1056 sobre información electrónica relativa al transporte de mercancías (eFTI).
• Localización del vehículo durante el porte, para que la oficina sepa dónde está la mercancía y pueda dar respuesta a sus clientes y resolver incidencias. Posicionamiento aproximadamente cada 60 segundos. La localización solo se recoge mientras hay un porte activo (estados cargando, en_transito, descargando). Cuando el porte termina, el seguimiento se detiene automáticamente. Antes de la primera captura, la app móvil del conductor muestra un aviso expreso explicando qué se registra y durante cuánto tiempo, conforme al art. 20.3 del Estatuto de los Trabajadores y a la Guía AEPD 2022 sobre dispositivos de geolocalización en el ámbito laboral. Los registros se borran automáticamente a los 90 días desde su captura.
• Notificaciones operativas: cuando se firma una entrega enviamos por email al cliente cargador y destinatario el POD (Proof of Delivery) en PDF si tienen email registrado.
• Soporte y mantenimiento del producto: si nos escribes, usaremos tus datos de contacto para responderte.

4. Base legal

• Ejecución de contrato (art. 6.1.b RGPD) — para la práctica totalidad del tratamiento: emitir el documento de porte, firmar, entregar el POD.
• Obligación legal (art. 6.1.c RGPD) — para conservar los datos durante el plazo exigido por la normativa de transporte (ROTT art. 222).
• Interés legítimo (art. 6.1.f RGPD) — para la trazabilidad operativa de la flota y la seguridad de la entrega.

5. Con quién compartimos los datos

Recua usa los siguientes proveedores de servicios técnicos. Todos ellos tratan datos como encargados del tratamiento y están obligados por contrato a respetar la confidencialidad y aplicar medidas de seguridad equivalentes a las de Recua.

| Proveedor | Para qué | Ubicación de los datos | |---|---|---| | Supabase (Postgres + Auth + Storage) | Base de datos principal y almacenamiento de fotos | Unión Europea (Frankfurt, eu-central-1) | | Vercel | Hosting del frontend y APIs serverless | Unión Europea (París, cdg1) | | Resend | Envío de emails transaccionales (POD a clientes, recuperación de contraseña) | Estados Unidos (EU-US DPF) | | Stripe | Procesamiento de pagos de la suscripción de la empresa transportista | Estados Unidos (EU-US DPF). Solo se le envían datos de facturación de la empresa, nunca datos del conductor | | Sentry | Telemetría de errores técnicos del backend y la web. Se aplican filtros automáticos para descartar tokens, PIN y firmas antes de enviar | Estados Unidos (EU-US DPF) | | Twilio | Envío opcional de SMS para firma pública del cargador o destinatario cuando no tienen email | Estados Unidos (EU-US DPF) | | Anthropic | OCR opcional de cartas de porte y tickets cuando la empresa lo activa expresamente | Estados Unidos (EU-US DPF, sin uso para entrenamiento) | | Cloudflare | DNS, CDN y túnel para el motor de rutas Valhalla autohospedado | Red global de borde | | OpenFreeMap (tiles OSM) | Mapas vectoriales gratuitos | Solo recibe la coordenada del tile pedido, no recibe quién la pide | | Valhalla autohospedado | Cálculo de rutas para camión sobre infraestructura propia | Servidor en España (LAN del titular), accesible solo por túnel Cloudflare. Solo recibe origen y destino del porte | | Google LLC (FCM) | Notificaciones push a la app del conductor | Estados Unidos (EU-US DPF) | | Google Play Services | Geolocalización (FusedLocationProviderClient) | El SDK corre en el móvil; Recua no envía la ubicación a Google, solo la recibe del sistema operativo |

No compartimos datos con anunciantes, redes publicitarias ni brokers de datos. Recua no vende datos ni los usa para crear perfiles publicitarios.

6. Cuánto tiempo guardamos los datos

| Dato | Plazo de conservación | |---|---| | Datos del e-CMR / Contrato Nacional | 5 años desde la entrega (ROTT art. 222) | | Firmas asociadas al porte | 5 años (forman parte del documento) | | Fotos asociadas al porte | 5 años (anexo del documento) | | Trazas GPS de localización (porte_pings) | 90 días desde su captura. Pasado ese plazo, se eliminan automáticamente cada día por un job programado en la base de datos. La traza ya no estará disponible para la oficina | | Facturas y documentos fiscales | 6 años (Código de Comercio art. 30; en cumplimiento del plazo más amplio entre LGT art. 70 y Código de Comercio) | | Datos de la cuenta del conductor | Mientras esté activo. Cuando el administrador lo desactiva, su nombre permanece únicamente asociado a los portes históricos por trazabilidad legal; ya no puede iniciar sesión | | Datos de la cuenta de la empresa | Mientras la empresa sea cliente. Tras cancelar, se conservan 5 años los portes emitidos (obligación legal) y el resto se elimina | | Logs técnicos | 12 meses | | Tickets de soporte por email | 2 años |

7. Tus derechos

Tienes los siguientes derechos sobre tus datos personales (arts. 15-22 RGPD):

• Acceso: pedir una copia de los datos que tenemos sobre ti.
• Rectificación: corregir datos inexactos.
• Supresión ("derecho al olvido"): pedir que borremos tus datos, con las limitaciones de la obligación legal de conservación.
• Limitación: pedir que dejemos de tratarlos temporalmente.
• Oposición: oponerte a un tratamiento basado en interés legítimo.
• Portabilidad: recibir tus datos en formato estructurado (JSON) para llevarlos a otro proveedor.
• No ser objeto de decisiones automatizadas: Recua no toma decisiones automatizadas con efectos jurídicos.

Cómo ejercerlos: escribe a hola@recua.app desde el email asociado a tu cuenta. Te identificaremos y responderemos en menos de 30 días.

Si consideras que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

8. Cómo se cierra una cuenta

Conductores

Como conductor puedes borrar tu cuenta de tres maneras:

1. Desde la app (recomendado): abre Recua, ve a Mi cuenta → Eliminar mi cuenta, introduce tu PIN actual y escribe BORRAR para confirmar. Tu cuenta se anonimiza al instante.
2. Pidiéndoselo al administrador de tu empresa: él puede desactivar tu cuenta desde el panel.
3. Desde la página pública recua.app/borrar-cuenta si has perdido el móvil o no recuerdas el PIN.

Cuando tu cuenta se anonimiza (cualquiera de las tres vías):

• Pierdes el acceso a la app inmediatamente.
• Se borran: PIN, código de acceso, email, teléfono, DNI, vencimientos (carnet, CAP, ADR, tacógrafo), notas internas y tokens de notificaciones push.
• Tu nombre permanece asociado a los portes que firmaste, porque la ley de transporte exige saber qué conductor hizo cada porte durante 5 años (ROTT art. 222 / Convenio CMR).

Empresas transportistas

Desde Cuenta → Solicitar borrado en el panel de administración, o por email a hola@recua.app. Eliminamos tus datos de cuenta y configuración en menos de 30 días, manteniendo los portes históricos durante 5 años (obligación legal). Recibirás una copia de tus datos en JSON antes del borrado si la pides.

9. Seguridad

• Cifrado en tránsito: TLS 1.2+ en todas las conexiones.
• Cifrado en reposo: Supabase cifra la base de datos y el Storage.
• Acceso al backend: con Row Level Security (RLS) de Postgres, cada empresa solo puede ver sus propios datos. Imposible que un cliente de Recua acceda a portes de otra empresa.
• Tokens de sesión: firmados con HMAC SHA-256 con secreto rotable.
• Backups: diarios, retenidos 7 días, cifrados en reposo.
• Logs: separados de los datos personales identificables.

10. Cookies y almacenamiento local

Recua usa solo cookies funcionales estrictamente necesarias para el funcionamiento del servicio:

• sb-access-token, sb-refresh-token: sesión de Supabase Auth (administradores).
• conductor_session: sesión HMAC firmada (conductor web, MVP legado).
• recua_prefs: preferencias de UI no identificables.

No usamos cookies de tracking, analítica de terceros ni publicidad. Por eso no mostramos banner de cookies — la directiva ePrivacy solo lo exige para cookies no esenciales.

En la app Android no hay cookies; la sesión se guarda en DataStore local cifrado por el sistema.

11. Menores

Recua es una herramienta profesional para empresas de transporte. No está dirigida a menores de edad y no recogemos datos de ellos conscientemente. Si crees que un menor nos ha facilitado datos, contacta con nosotros y los eliminaremos.

12. Cambios en esta política

Si actualizamos esta política, te avisaremos:

• A los administradores de empresas: por email a la dirección registrada.
• A los conductores: con un aviso al iniciar sesión la primera vez tras el cambio.

La fecha de la última actualización aparece al principio de esta página.

13. Contacto

Jose Miguel Casas Pagan Email: hola@recua.app Dominio: recua.app País: España