Política de privacidad

Responsable del tratamiento

SAVA LOGISTIC SRL (sociedad rumana, CUI RO27317524), que opera en España a través de su establecimiento permanente con NIF W0661358B, con domicilio en Castellar del Vallès, Barcelona (España). Contacto en materia de protección de datos: administracion@savaexpress.com.

Finalidades

• Gestionar el acceso al portal (cuenta, autenticación y seguridad).
• Gestión documental de proveedores: recepción y validación de certificados, cartas de porte (CMR), packing lists, atestados y demás documentación exigible para la contratación y el pago.
• Gestión administrativa y de facturación de la relación comercial (pedidos, expediciones, facturas y pagos).
• Control de cumplimiento (compliance), prevención del fraude y seguridad del servicio (registro de accesos y acciones, análisis antimalware).
• Atender los avisos de fallo que envíes con el botón del portal: guardamos tu comentario, la captura de la pantalla que veías y, si la haces, la grabación, para analizar el problema.

Base jurídica

La ejecución de la relación contractual o precontractual con el proveedor o cliente (art. 6.1.b RGPD); el cumplimiento de obligaciones legales que incumben al responsable, en particular fiscales, de Seguridad Social, de subcontratación y de transporte —incluida la exigencia del certificado del artículo 43.1.f de la Ley 58/2003, General Tributaria— (art. 6.1.c, reforzado por el interés legítimo del art. 6.1.f); y el interés legítimo del responsable en el control de cumplimiento y la prevención del fraude (art. 6.1.f), previa ponderación.

Datos tratados

Datos identificativos y de contacto de las personas de la empresa usuaria (nombre, correo electrónico, cargo, teléfono); credenciales de acceso; registros técnicos (dirección IP, fecha/hora, acciones); y los datos contenidos en la documentación aportada (firmas y sellos en las cartas de porte, datos bancarios de la empresa, matrículas, y datos de conductores tales como nombre y, en su caso, documento de identidad o número de licencia).

Origen de los datos de conductores

Los datos de conductores que figuran en las cartas de porte y packing lists son aportados por la empresa proveedora. Respecto de dichos datos, SAVA y el proveedor actúan como responsables independientes. El proveedor se obliga a informar a sus conductores del tratamiento que SAVA realiza conforme a la presente política, que se pone a disposición pública a estos efectos.

Destinatarios y encargados del tratamiento

No se ceden datos a terceros salvo obligación legal (administraciones tributarias y de la Seguridad Social, autoridades de transporte).

Tratan datos por cuenta de SAVA, con los contratos exigidos por el artículo 28 RGPD, estos proveedores: Hostinger (el servidor del portal, en Fráncfort, Alemania); Supabase (la base de datos y el archivo de documentos, alojados en Fráncfort, Alemania); Google (el correo electrónico de SAVA, por el que llegan y salen documentos y avisos); RunPod (los servidores, situados en la Unión Europea y el Espacio Económico Europeo, en los que funciona la inteligencia artificial propia de SAVA que lee los documentos en los que figuran personas —cartas de porte (CMR), órdenes de carga, documentos de conductores y de vehículos— para clasificarlos y proponer sus datos, que valida una persona); Anthropic (la inteligencia artificial que lee sólo documentos de empresa, como las facturas de los proveedores —la de un empresario individual lleva su nombre y su NIF—, con la misma validación); ZeroBounce (la comprobación de que una dirección de correo existe antes de escribir a ella); y Twilio (la comprobación de que un número de teléfono es válido).

Si la inteligencia artificial propia de SAVA no puede leer un documento con datos de personas, se reintenta y, si no, lo introduce a mano una persona de SAVA: nunca se envía a otra inteligencia artificial. SAVA mantiene sus sistemas con ayuda de herramientas de inteligencia artificial (Claude, de Anthropic) con una regla escrita: esas sesiones no tratan datos de personas.

Los avisos internos al personal de SAVA sobre la actividad del portal (qué documento se ha subido y de qué empresa) se envían por Telegram, servicio de mensajería de Telegram Messenger Inc., sin el nombre del usuario (sólo qué ha pasado, de qué empresa y un enlace al panel) y nunca con documentos de identidad, teléfonos ni direcciones de correo; quién lo hizo sólo se ve en el panel de SAVA.

Transferencias internacionales

Los datos se guardan en la Unión Europea (Fráncfort, Alemania), pero pueden salir del Espacio Económico Europeo, o ser accesibles desde fuera, en los casos siguientes. Puede solicitarse una copia de las garantías escribiendo a administracion@savaexpress.com.

• RunPod, Inc. (Estados Unidos) presta los servidores en los que funciona la inteligencia artificial propia de SAVA. SAVA sólo usa centros de datos de la Unión Europea y el Espacio Económico Europeo (Chequia, Francia, Países Bajos, Rumanía, Suecia, Islandia y Noruega), pero RunPod, como empresa de Estados Unidos, puede acceder a ellos desde allí. RunPod no está adherida al Marco de Privacidad de Datos UE-EE. UU. Garantía: las cláusulas contractuales tipo aprobadas por la Comisión Europea (art. 46.2.c RGPD, módulo 2), incluidas en su acuerdo de tratamiento de datos.
• Anthropic (Estados Unidos) lee los documentos de empresa, como las facturas de los proveedores, para clasificarlos y proponer sus datos. No está adherida al Marco de Privacidad de Datos UE-EE. UU. Garantía: las cláusulas contractuales tipo aprobadas por la Comisión Europea (art. 46.2.c RGPD), incluidas en el acuerdo de tratamiento de datos de Anthropic. Anthropic no usa estos datos para entrenar sus modelos y los borra en un plazo de 30 días como máximo.
• Supabase Pte. Ltd. (Singapur), que presta la base de datos, puede acceder a ella desde fuera del Espacio Económico Europeo para darle soporte. Garantía: las cláusulas contractuales tipo incluidas en su acuerdo de tratamiento de datos.
• Google LLC (Estados Unidos), por el correo electrónico, ZeroBounce (Estados Unidos), por la comprobación de direcciones de correo, y Twilio Inc. (Estados Unidos), por la comprobación de números de teléfono, están adheridas al Marco de Privacidad de Datos UE-EE. UU., declarado adecuado por la Comisión Europea el 10 de julio de 2023.
• Telegram Messenger Inc., por los avisos internos, tiene su sede fuera del Espacio Económico Europeo y guarda los datos de los usuarios del EEE en los Países Bajos. No recibe el nombre del usuario del portal ni ningún otro dato suyo.

Conservación

La documentación fiscal, laboral y de transporte se conserva durante seis años, conforme a las obligaciones mercantiles (art. 30 del Código de Comercio) y fiscales. Los registros de acceso y auditoría se conservan mientras sean necesarios para acreditar la integridad del sistema. Las cuentas dadas de baja se desactivan de inmediato; sus acciones históricas permanecen en el registro de auditoría. Las capturas y grabaciones de los avisos de fallo se borran a los 90 días de cerrarse el aviso; el comentario se conserva como registro de la incidencia.

Derechos

Puede ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad escribiendo a administracion@savaexpress.com. Asimismo, puede reclamar ante la autoridad de control competente (Agencia Española de Protección de Datos —AEPD— en España, o la ANSPDCP en Rumanía).