» Política de Privacidad

AUTOPISTAS DEL ATLÁNTICO CESA (en adelante, AUDASA) pone a disposición de los usuarios de la página web (en adelante, también el Sitio Web) la presente Política de Privacidad con la finalidad de ofrecer información sobre cómo tratamos sus datos personales y protegemos su privacidad e información.

AUDASA solicita al usuario que dedique unos minutos a leer con detenimiento la presente Política de Privacidad.

Introducción.

La presente Política de Privacidad resulta de aplicación:

1.- A la página web de AUDASA, puesta a disposición del público en la URL www.audasa.es, así como a las interacciones que el usuario realiza con AUDASA a través de dicha página web o de las aplicaciones alojadas en la misma propiedad de AUDASA. El acceso a través de la web de AUDASA de aplicaciones de terceros se regirá por el contenido dispuesto en el aviso de privacidad de estos últimos.

2.- Al tratamiento de datos de carácter personal que pudieran derivarse del tránsito por la autopista de peaje de la que AUDASA es concesionaria (p.ej. pago de peajes, videovigilancia, accidentes de tráfico, etc).

3.- Al tratamiento de datos de carácter personal que pudiera derivarse por consentimiento expreso del interesado o por iniciativa de un tercero distinto al interesado. En este último caso será obligación de dicho tercero, informar al interesado puntualmente y previo al tratamiento de datos de carácter personal que sea necesario, del alcance y contenido de esta Política de Privacidad.

AUDASA podrá modificar esta Política de Privacidad cuando resulte necesario. En caso de introducirse modificaciones, se lo comunicaremos a través de la página web o bien por otros medios, con la finalidad de que pueda conocer las nuevas condiciones de Privacidad. El hecho de continuar haciendo uso de las funcionalidades puestas a disposición por AUDASA después de haberle notificado las referidas modificaciones supondrá que está de acuerdo con las mismas, salvo para los supuestos en los que sea necesario su consentimiento expreso.

¿Quién es el Responsable del tratamiento de sus datos personales?

El responsable del tratamiento es AUDASA, con CIF A15020522 y con domicilio social en Madrid.

AUDASA informa a los usuarios de la web de que existe un contrato de Corresponsabilidad en el tratamiento de los datos de carácter personal firmado entre las empresas del Grupo Itínere.

AUDASA ha nombrado formalmente un Delegado de Protección de Datos Personales y además tiene habilitado el siguiente canal de comunicación: dpd@grupoitinere.com

Corresponsabilidad e Interés Legítimo en el Ámbito del Grupo Empresarial:

Le informamos de que las distintas sociedades concesionarias y de servicios que integran el Grupo Itínere (en adelante, e indistintamente, las “Sociedades del Grupo”), actúan como Corresponsables del Tratamiento respecto a determinadas actividades de gestión administrativa, soporte comercial, recursos humanos y explotación operativa interna. A tal efecto, las Sociedades del Grupo han suscrito un Acuerdo de Corresponsabilidad, de conformidad con lo dispuesto en el artículo 26 del Reglamento General de Protección de Datos (RGPD), cuyo contenido esencial se detalla a continuación:

Objeto del Acuerdo: Regular la responsabilidad conjunta sobre los datos personales tratados para garantizar una gestión unificada, eficiente y segura dentro de la infraestructura tecnológica y operativa compartida del Grupo.
Distribución de Obligaciones: Se ha determinado que la matriz corporativa centraliza la implantación, mantenimiento y supervisión de las medidas de seguridad técnicas y organizativas, así como la gestión global del Delegado de Protección de Datos (DPO). Por su parte, cada sociedad concesionaria individual sigue siendo responsable directa del tratamiento diario de los datos directamente vinculados a la explotación de sus respectivas infraestructuras viales y contratos locales.
Base de Legitimación (Interés Legítimo): La comunicación e intercambio interno de sus datos entre las Sociedades del Grupo se fundamenta en el interés legítimo del Responsable (de conformidad con el Artículo 6.1.f) del RGPD y el Considerando 48 del mismo texto legal). Este tratamiento responde al interés legítimo que ostenta el Grupo Itínere para la transmisión de datos personales dentro del grupo empresarial con fines administrativos internos, optimización de recursos, centralización de sistemas informáticos y la gestión integrada de la atención al cliente o usuario. Se ha realizado una ponderación previa que garantiza que este tratamiento no afecta de forma negativa a sus derechos y libertades fundamentales.
Atención a los Interesados: Independientemente de los términos del acuerdo, usted podrá ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y el derecho a oponerse al tratamiento por interés legítimo ante cualquiera de los Corresponsables. No obstante, para agilizar su solicitud, el Grupo ha habilitado un canal único y centralizado de atención a través de la dirección de correo electrónico de nuestro Delegado de Protección de Datos: dpd@grupoitinere.com.

Sociedades del Grupo incluidas en el Acuerdo de Corresponsabilidad y sus Domicilios Sociales:

Forman parte de este tratamiento conjunto e intercambio de datos basado en el interés legítimo corporativo son:

Itínere Infraestructuras, S.A. (Matriz del Grupo), con domicilio social en calle Capuchinos de Basurto, nº 6, Planta 4ª, 48013 Bilbao (Bizkaia). NIF: A28200392.
Ena Infraestructuras S.A.U, con domicilio social en Madrid (28020), C/ poeta Joan Maragall, 1 – 11ª planta, 28020 Madrid. NIF: A28920965.
Autopistas del Atlántico Concesionaria Española, S.A.U. (AUDASA), con domicilio social en calle Poeta Joan Maragall, nº 1, Planta 11ª, 28020 Madrid. NIF: A15020522.
Autopista Concesionaria Astur-Leonesa, S.A.U. (AUCALSA), con domicilio social en calle Poeta Joan Maragall, nº 1, Planta 11ª, 28020 Madrid). NIF: A28415784.
Autopistas de Navarra, S.A. (AUDENASA), con domicilio social en Autopista AP-15, Km 83 Sur, 31192 Tajonar (Navarra). NIF: A31038771.
Autoestradas de Galicia, Autopistas de Galicia, Concesionaria de la Xunta de Galicia, S.A.U., con domicilio social en calle Alfredo Vicenti, nº 13, Planta 2ª, 15004 A Coruña. NIF: A15508856.
Gestión de Infraestructuras Viarias de Bizkaia – Bizkaiko Bide Azpiegituren Kudeaketa, S.A. (GESBISA), con domicilio social en calle Capuchinos de Basurto, nº 6, Planta 4ª, 48013 Bilbao (Bizkaia). NIF: A05354279.

¿Con qué finalidad tratamos sus datos personales?

Los datos personales que sean facilitados por los usuarios de la presente página web y/o de la autopista de la que esta sociedad es concesionaria, serán tratados por AUDASA para garantizar el contacto y gestión de usuarios de los sitios web, es decir, los datos personales de los usuarios que contactan con AUDASA a través de cualquiera de los canales de contacto puestos a su disposición, serán tratados con la finalidad de gestionar dicho contacto, atender las solicitudes recibidas a través de los mismos, prestar los servicios requeridos o proporcionar la información solicitada por el usuario.

¿Qué datos son tratados por AUDASA y de qué fuentes proceden?

I. PROCEDENCIA DE LOS DATOS Y CANALES DE CAPTACIÓN

Los datos de carácter personal objeto de tratamiento por parte de las sociedades del Grupo ITÍNERE se integran en los sistemas de información corporativos a través de un ecosistema multicanal diversificado, clasificado en las siguientes fuentes de procedencia:

1. Fuentes de Aportación Directa (Suministradas por el propio interesado):

Canales Digitales Integrados: Datos facilitados mediante la cumplimentación de formularios de contacto, portales de empleo, portales de licitación de proveedores y plataformas de atención al cliente/usuario que pudieran estar alojadas en los dominios web de AUDASA.
Canales de Cumplimiento y Gobernanza: Datos aportados a través del Sistema Interno de Información (Canal ético/denuncias) formalmente designado ante el Ministerio de Justicia, incluyendo declaraciones, testimonios y documentación adjunta.
Canales de Comunicación Directa: Información remitida mediante comunicaciones postales, correspondencia electrónica corporativa, llamadas telefónicas centralizadas o cualquier otra vía habilitada de interacción institucional.

2. Fuentes de Generación Automática e Interacción Tecnológica:

Metadatos de Navegación y Auditoría Digital: Datos derivados de la navegación por los entornos web del Grupo, incluyendo identificadores únicos, registros de actividad (logs), uso de cookies operativas y analíticas, mapas de calor de comportamiento y secciones visitadas.
Datos de Conectividad e Infraestructura: Direcciones IP públicas, datos de telemetría del dispositivo, sistemas operativos y geolocalización técnica estimada necesarios para la seguridad perimetral de los activos digitales.

3. Fuentes Derivadas de la Relación Jurídica y Contractual:

Gestión del Ciclo de Vida del Usuario/Cliente: Datos generados de forma orgánica como consecuencia del desarrollo, tramitación, mantenimiento, facturación y auditoría de la relación contractual, precontractual o comercial entablada entre el interesado y cualquiera de las empresas del Grupo.

4. Fuentes Indirectas y de Terceros:

Representación Legal y Terceras Personas: Datos recabados cuando el usuario aporta información de contacto o identificación de terceros (empleados de proveedores, avalistas, beneficiarios, representantes legales o personas de contacto corporativas), asumiendo el aportante la obligación legal de haber informado y obtenido el consentimiento previo de dichos titulares.

II. TAXONOMÍA Y TIPOLOGÍA DE DATOS PERSONALES OBJETO DE TRATAMIENTO

En función de la naturaleza de la relación (usuario web, cliente, contratista, proveedor o informante) y del principio de minimización de datos, AUDASA trata las siguientes categorías de información:

Datos Identificativos y de Contacto: Nombre, apellidos, número de documento oficial de identidad (DNI/NIE/Pasaporte), dirección postal (fiscal y de facturación), número de teléfono corporativo o personal, dirección de correo electrónico, firma manuscrita o electrónica, credenciales de acceso a portales corporativos y, en su caso, imagen fotográfica o registros biométricos/videovigilancia por razones de seguridad en las infraestructuras.
Datos de Características Personales y Circunstancias Sociales: Edad, fecha de nacimiento, sexo, nacionalidad, idioma de preferencia y datos profesionales/académicos (en el caso de candidatos a procesos de selección o representantes de contratas y proveedores).
Datos de Navegación, Comportamiento Digital y Preferencias: Dirección IP origen, historial de interacción en las plataformas web de la firma, preferencias de configuración consentidas (como el uso de cookies), ID de sesión y parámetros de rendimiento del navegador.
Datos de Transacciones Financieras y de Negocio: Datos bancarios (número de cuenta/IBAN), detalles de facturación, historial de pagos, contratos vinculados y datos económico-financieros necesarios para la debida diligencia de terceras partes (KYC).
Datos de Cumplimiento Normativo (Categorías Especiales / Alta Sensibilidad): Datos estrictamente necesarios asociados a la investigación de denuncias en el marco del Sistema Interno de Información (que en casos excepcionales y de acuerdo con la Ley 2/2023, podrían revelar datos de naturaleza penal, infracciones administrativas o datos de especial sensibilidad bajo rigurosas medidas de seguridad).

¿Cuál es la legitimación legal para el tratamiento de sus datos por parte de AUDASA?

AUDASA trata los datos de carácter personal facilitados por los usuarios de este sitio web de conformidad con lo dispuesto en el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD).

Las bases jurídicas que legitiman los diferentes tratamientos se aplican en función de la naturaleza de la interacción que el usuario entable con la firma:

Ejecución de la relación jurídica y atención de solicitudes (Art. 6.1.b del RGPD): El tratamiento de los datos personales asociados a la finalidad de “Contacto y gestión de los usuarios del sitio web” se fundamenta estrictamente en la gestión y tramitación de la relación entablada a petición del propio interesado. Esto incluye el procesamiento de su consulta, la resolución de las peticiones de información, el mantenimiento del contacto directo entre las partes y, en su caso, la prestación y correcta ejecución del servicio o la medida precontractual que el usuario hubiera solicitado formalmente.
Cumplimiento de obligaciones legales aplicables (Art. 6.1.c del RGPD): En aquellos supuestos en los que el usuario haga uso de los espacios habilitados para el cumplimiento normativo (como la formulación de comunicaciones a través del Sistema Interno de Información / Canal Ético formalmente designado ante el Ministerio de Justicia), la base legitimadora principal será el cumplimiento de las obligaciones legales imperativas impuestas al Grupo por la Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.
Consentimiento explícito e informado (Art. 6.1.a del RGPD): El tratamiento de datos derivado del almacenamiento y lectura de cookies no esenciales (analíticas o de personalización), así como la remisión voluntaria de currículums a través de los portales de empleo puestos a disposición por el Grupo, se basará de manera inequívoca en la manifestación de voluntad libre, específica y afirmativa del usuario al aceptar dichas opciones.
Interés legítimo corporativo (Art. 6.1.f del RGPD): El tratamiento de datos de navegación técnicos (como el registro de direcciones IP o metadatos de conectividad) se legitima en el interés legítimo del Grupo por garantizar la seguridad perimetral de sus activos digitales, prevenir fraudes, corregir errores técnicos de la plataforma y asegurar la correcta funcionalidad del sitio web.

¿A quién se comunican sus datos?

AUDASA informa a los usuarios que los tratamientos de datos personales informados en la presente Política de Privacidad no implican la realización de cesiones de sus datos a terceros.

¿Por cuánto tiempo conservamos sus datos?

AUDASA conservará sus datos personales durante el tiempo necesario para la prestación del servicio solicitado y / o para alcanzar la finalidad de tratamiento perseguida. Posteriormente, siempre que el usuario no haya ejercicio su derecho de supresión, sus datos serán conservados durante los plazos legales que en cada caso resulten de aplicación, teniendo en cuenta la tipología de datos, así como la finalidad del tratamiento.

¿Qué datos personales debe facilitarnos en cada caso?

AUDASA informa a los usuarios que, cuando los datos personales sean recabados a través de un formulario puesto a disposición a través de nuestra página web, será necesario que el usuario aporte, al menos, aquellos datos marcados con un asterisco (*). En caso de no suministrar al menos tales datos, considerados como necesarios, AUDASA no podrá gestionar la prestación del servicio o atender la consulta o reclamación formulada por el usuario.

¿Qué debe garantizarnos al aportar sus datos de carácter personal?

El usuario garantiza que los datos que aporte son verdaderos, exactos, completos y se encuentran actualizados, siendo responsable de cualquier daño o perjuicio, directo o indirecto, que pudiera ocasionarse como consecuencia del incumplimiento de tal obligación.

En caso de que el usuario aporte datos pertenecientes a un tercero, garantiza que ha informado a dicho tercero de la totalidad de aspectos contenidos en la presente Política de Privacidad y obtenido su consentimiento para facilitarnos sus datos para la finalidad de tratamiento de que se trate. Todo ello, con carácter previo al suministro de datos de un tercero a través de cualesquiera de nuestras páginas web.

AUDASA le informa que, para aportar sus datos personales, de cualquier modo, a través de nuestra página web, debe ser mayor de 16 años de edad. El usuario que proporciona datos personales mediante la presente página web declara y garantiza ser mayor de 16 años, responsabilizándose enteramente de tal declaración

¿Qué medidas adoptamos para proteger sus datos personales?

En respuesta a la preocupación de AUDASA por garantizar la seguridad y confidencialidad de sus datos, se han adoptado los niveles de seguridad requeridos para la protección de los datos personales y se han instalado los medios técnicos a su alcance para evitar la pérdida, mal uso, alteración, acceso no autorizado y robo de los datos personales facilitados a través del Sitio Web. En todo caso, debe tener en consideración que las medidas de seguridad en Internet no son inexpugnables.

¿Cuáles son sus derechos sobre sus datos personales?

AUDASA le informa que tiene derecho a acceder a sus datos personales y obtener confirmation sobre cómo se están tratando dichos datos. Asimismo, tiene derecho a solicitar la rectificación de los datos inexactos o, en su caso, solicitar su supresión cuando, entre otros motivos, los datos ya no sean necesarios para los fines que hayan sido recabados por AUDASA.

En determinadas circunstancias, podrá solicitar la limitación del tratamiento de sus datos, en cuyo caso AUDASA únicamente los conservará para el ejercicio o la defensa de las posibles reclamaciones.

Asimismo, también en determinadas circunstancias, usted podrá oponerse al tratamiento de sus datos personales con la finalidad informada por AUDASA. En ese caso, AUDASA cesará en el tratamiento de los datos personales, salvo que concurran motivos legítimos, o para garantizar el ejercicio o la defensa de posibles reclamaciones.

Por último, usted podrá solicitar el derecho a la portabilidad y obtener para sí mismo o para otro prestador de servicios determinada información derivada de la relación formalizada con nosotros.

Tales derechos podrán ser ejercidos a través de los siguientes canales, identificando en su solicitud la referencia “PROTECCION DE DATOS”:

Escrito dirigido a Autopistas del Atlántico Concesionaria Española, S.A.U. (AUDASA), con domicilio social en calle Poeta Joan Maragall, nº 1, Planta 11ª, 28020 Madrid., a la atención del Delegado de Protección de Datos.
Mediante escrito dirigido al Delegado de Protección de Datos a la dirección de correo electrónico dpd@grupoitinere.com

En ambos supuestos, se exige acreditar la identidad de la persona que ejerce sus derechos, mediante el envío de copia de su DNI, NIE, Pasaporte o documento equivalente, por las dos caras o, en su caso, igual medio de identificación que utilizó para darse de alta en el servicio correspondiente o documento equivalente.

AUDASA le facilitará la información solicitada en el plazo máximo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes.

Podrá presentar reclamación ante la Autoridad de Control competente en materia de protección de datos. No obstante, en primera instancia, podrá presentar reclamación ante el Delegado de Protección de Datos, quien resolverá la reclamación en el plazo máximo de dos meses.

V. 23/10/2026

PRIVACY POLICY

AUTOPISTAS DEL ATLÁNTICO CESA (hereinafter, AUDASA) hereby provides users of the website (hereinafter, also referred to as the Website) with this Privacy Policy, for the purpose of providing information on how we process your personal data and protect your privacy and information.

AUDASA kindly requests that the user takes a few minutes to read this Privacy Policy carefully.

INTRODUCTION

This Privacy Policy applies:

1.- To the AUDASA website, made available to the public at the URL www.audasa.es, as well as to any interactions the user carries out with AUDASA through the said website or the applications hosted on it owned by AUDASA. Access to third-party applications via the AUDASA website shall be governed by the provisions of their privacy notice.

2.- To the processing of personal data that might be derived from transit on the toll highway for which AUDASA holds the concession (e.g., toll payment, video surveillance, traffic accidents, etc.).

3.- To the processing of personal data that might be derived from the express consent of the data subject or on the initiative of a third party other than the data subject. In the latter case, it shall be the obligation of said third party to inform the data subject in a timely manner and prior to the necessary processing of personal data, of the scope and content of this Privacy Policy.

AUDASA may modify this Privacy Policy whenever necessary. In the event that modifications are introduced, we will notify you through the website or via other means, so that you may become acquainted with the updated Privacy conditions. Continuing to use the features made available by AUDASA after having been notified of the aforementioned modifications shall imply your agreement to them, except in those instances where your express consent is legally required.

WHO IS THE DATA CONTROLLER FOR YOUR PERSONAL DATA?

The Data Controller is AUDASA, holder of Tax Identification Number (CIF) A15020522, with its registered office in Madrid.

AUDASA informs website users of the existence of a Joint Controllership agreement for the processing of personal data entered into among the companies of the Itínere Group.

AUDASA has formally appointed a Data Protection Officer (DPO) and has also enabled the following dedicated communication channel: dpd@grupoitinere.com.

Joint Controllership and Legitimate Interest within the Corporate Group:

Please be informed that the various concession and service companies comprising the Itínere Group (hereinafter, and interchangeably, the “Group Companies”) act as Joint Data Controllers with respect to certain administrative management, commercial support, human resources, and internal operational activities. To this end, the Group Companies have entered into a Joint Controllership Agreement, pursuant to the provisions of Article 26 of the General Data Protection Regulation (GDPR), the essential content of which is detailed below:

Purpose of the Agreement: To regulate joint responsibility over the personal data processed in order to ensure unified, efficient, and secure management within the Group’s shared technological and operational infrastructure.
Allocation of Obligations: It has been determined that the corporate parent company centralises the implementation, maintenance, and supervision of technical and organisational security measures, as well as the global management of the Data Protection Officer (DPO). Conversely, each individual concession company remains directly responsible for the day-to-day processing of data directly linked to the operation of its respective road infrastructures and local contracts.
Lawful Basis (Legitimate Interest): The internal communication and exchange of your data between the Group Companies is based on the legitimate interest of the Controller (pursuant to Article 6(1)(f) of the GDPR and Recital 48 of the same legal text). This processing fulfills the legitimate interest held by the Itínere Group for the transmission of personal data within the business group for internal administrative purposes, resource optimisation, centralisation of IT systems, and the integrated management of customer or user services. A prior balancing test has been conducted to guarantee that this processing does not adversely affect your fundamental rights and freedoms.
Data Subject Requests: Irrespective of the terms of the agreement, you may exercise your rights of access, rectification, erasure (right to be forgotten), restriction of processing, data portability, objection, and the right to object to processing based on legitimate interest before any of the Joint Controllers. However, to expedite your request, the Group has set up a single, centralised point of contact via our Data Protection Officer’s email address: dpd@grupoitinere.com.

Group Companies included in the Joint Controllership Agreement and their Registered Offices:

The entities that take part in this joint processing and data exchange based on corporate legitimate interest are:

Itínere Infraestructuras, S.A. (Group Parent), with registered office at calle Capuchinos de Basurto, nº 6, Planta 4ª, 48013 Bilbao (Bizkaia). NIF number: A28200392.
Ena Infraestructuras S.A.U, with registered office at calle Poeta Joan Maragall, nº 1, Planta 11ª, 28020 Madrid. NIF number: A28920965.
Autopistas del Atlántico Concesionaria Española, S.A.U. (AUDASA), with registered office at calle Poeta Joan Maragall, nº 1, Planta 11ª, 28020 Madrid. NIF number: A15020522.
Autopista Concesionaria Astur-Leonesa, S.A.U. (AUCALSA), with registered office at calle Poeta Joan Maragall, nº 1, Planta 11ª, 28020 Madrid. NIF number: A28415784.
Autopistas de Navarra, S.A. (AUDENASA), with registered office at Autopista AP-15, Km 83 Sur, 31192 Tajonar (Navarra). NIF number: A31038771.
Autoestradas de Galicia, Autopistas de Galicia, Concesionaria de la Xunta de Galicia, S.A.U., with registered office at calle Alfredo Vicenti, nº 13, Planta 2ª, 15004 A Coruña. NIF number: A15508856.
Gestión de Infraestructuras Viarias de Bizkaia – Bizkaiko Bide Azpiegituren Kudeaketa, S.A. (GESBISA), with registered office at calle Capuchinos de Basurto, nº 6, Planta 4ª, 48013 Bilbao (Bizkaia). NIF number: A05354279.

FOR WHAT PURPOSE DO WE PROCESS YOUR PERSONAL DATA?

Personal data provided by users of this website and/or the highway for which this company holds the concession will be processed by AUDASA to ensure user contact and website management. That is to say, the personal data of users who contact AUDASA through any of the communication channels made available will be processed for the purpose of managing said contact, attending to requests received through them, rendering the required services, or providing the information requested by the user.

WHAT DATA IS PROCESSED BY AUDASA AND FROM WHICH SOURCES DOES IT ORIGINATE?

I. DATA ORIGIN AND COLLECTION CHANNELS

The personal data subject to processing by the companies of the ITÍNERE Group is integrated into the corporate information systems through a diversified multichannel ecosystem, classified into the following sources of origin:

1. Direct Provision Sources (Supplied directly by the data subject):

Integrated Digital Channels: Data provided by completing contact forms, employment portals, provider bidding/tendering portals, and customer/user service platforms hosted on the web domains of AUDASA.
Compliance and Governance Channels: Data provided through the Internal Information System (Whistleblowing/Ethics Channel) formally designated before the Ministry of Justice, including statements, testimonies, and enclosed documentation.
Direct Communication Channels: Information submitted via postal communications, corporate electronic correspondence, centralised telephone calls, or any other enabled channel for institutional interaction.

2. Automated Generation and Technological Interaction Sources:

Browsing Metadata and Digital Audit: Data derived from browsing the Group’s web environments, including unique identifiers, activity logs, operational and analytical cookie usage, behavioural heatmaps, and visited sections.
Connectivity and Infrastructure Data: Public IP addresses, device telemetry data, operating systems, and estimated technical geolocation necessary for the perimeter security of digital assets.

3. Sources Derived from Legal and Contractual Relationships:

User/Customer Lifecycle Management: Data generated organically as a consequence of the development, processing, maintenance, billing, and auditing of the contractual, precontractual, or commercial relationship established between the data subject and any company of the Group.

4. Indirect and Third-Party Sources:

Legal Representation and Third Parties: Data collected when the user provides contact or identification information of third parties (employees of providers/suppliers, guarantors, beneficiaries, legal representatives, or corporate contact persons). The providing party assumes the legal obligation to have informed and obtained the prior consent of the said data subjects.

II. TAXONOMY AND TYPOLOGY OF PERSONAL DATA SUBJECT TO PROCESSING

Depending on the nature of the relationship (website user, customer, contractor, provider/supplier, or whistleinformer) and in accordance with the data minimisation principle, AUDASA processes the following categories of information:

Identification and Contact Data: First name, surname, official identity document number (DNI/NIE/Passport), postal address (fiscal and billing address), corporate or personal telephone number, email address, handwritten or electronic signature, access credentials for corporate portals and, where applicable, photographic image or biometric/video surveillance records for security reasons within the infrastructures.
Personal Characteristics and Social Circumstances Data: Age, date of birth, sex, nationality, preferred language, and professional/academic data (in the case of candidates for recruitment processes or representatives of contractors and providers/suppliers).
Browsing, Digital Behaviour, and Preferences Data: Origin IP address, interaction history on the firm’s web platforms, consented configuration preferences (such as the use of cookies), session ID, and browser performance parameters.
Financial and Business Transaction Data: Banking data (account number/IBAN), billing details, payment history, linked contracts, and economic-financial data required for third-party due diligence (KYC).
Regulatory Compliance Data (Special Categories / High Sensitivity): Data strictly necessary associated with the investigation of reports within the framework of the Internal Information System (which in exceptional cases and in accordance with Law 2/2023, could reveal data of a criminal nature, administrative infractions, or data of special sensitivity under rigorous security measures).

WHAT IS THE LAWFUL BASIS FOR THE PROCESSING OF YOUR DATA BY AUDASA?

AUDASA processes the personal data provided by the users of this website in accordance with the provisions of the General Data Protection Regulation (GDPR) and the Organic Law on the Protection of Personal Data and Guarantee of Digital Rights (LOPDGDD).

The lawful bases that legitimize the different processing activities are applied depending on the nature of the interaction that the user establishes with the firm:

Performance of a legal relationship and handling of requests (Art. 6.1.b of the GDPR): The processing of personal data associated with the purpose of “Contact and management of website users” is strictly based on the management and processing of the relationship established at the request of the data subject. This includes the handling of their enquiry, the resolution of requests for information, the maintenance of direct contact between the parties and, where applicable, the provision and correct execution of the service or the pre-contractual measure that the user had formally requested.
Compliance with applicable legal obligations (Art. 6.1.c of the GDPR): In those cases where the user makes use of the spaces provided for regulatory compliance (such as the submission of disclosures through the Internal Information System / Whistleblowing Channel formally designated before the Ministry of Justice), the primary lawful basis will be compliance with the mandatory legal obligations imposed on the Group by Law 2/2023, regulating the protection of persons who report on regulatory infractions and the fight against corruption.
Explicit and informed consent (Art. 6.1.a of the GDPR): The processing of data derived from the storage and reading of non-essential cookies (analytical or personalisation cookies), as well as the voluntary submission of CVs/résumés through the employment portals made available by the Group, shall be unequivocally based on the free, specific, and affirmative expression of the user’s will when accepting such options.
Corporate legitimate interest (Art. 6.1.f of the GDPR): The processing of technical browsing data (such as the logging of IP addresses or connectivity metadata) is legitimised by the Group’s legitimate interest in guaranteeing the perimetric security of its digital assets, preventing fraud, correcting platform technical errors, and ensuring the correct functionality of the website.

TO WHOM IS YOUR DATA COMMUNICATED?

AUDASA hereby informs users that the processing of personal data disclosed in this Privacy Policy does not involve the communication or transfer of their data to third-party entities.

FOR HOW LONG DO WE RETAIN YOUR DATA?

AUDASA will retain your personal data for the period necessary to render the requested service and/or to achieve the pursued processing purpose.

Subsequently, provided that the user has not exercised their right to erasure, their data will be retained for the statutory limitation periods applicable in each case, taking into account the typology of the data as well as the purpose of the processing.

WHAT PERSONAL DATA MUST YOU PROVIDE US WITH IN EACH CASE?

AUDASA informs users that when personal data is collected via a form made available through our website, it will be necessary for the user to provide at least those data marked with an asterisk (*). Failure to supply at least such data, which are deemed mandatory, will prevent AUDASA from managing the provision of the service or attending to the enquiry or claim submitted by the user.

WHAT MUST YOU GUARANTEE WHEN PROVIDING YOUR PERSONAL DATA?

The user guarantees that the data provided are true, accurate, complete, and up to date, and shall be held liable for any direct or indirect damage or harm that might be caused as a consequence of breaching such an obligation.

In the event that the user provides data belonging to a third party, they guarantee that they have informed the said third party of all the aspects contained within this Privacy Policy and have obtained their consent to provide us with their data for the relevant processing purpose. All of the above must be carried out prior to supplying third-party data through any of our websites.

AUDASA informs you that, in order to provide your personal data in any manner through our website, you must be over 16 years of age. Any user who provides data via this website declares and guarantees that they are over 16 years of age, accepting full responsibility for such a declaration.

WHAT MEASURES DO WE ADOPT TO PROTECT YOUR PERSONAL DATA?

In response to AUDASA’s commitment to guaranteeing the security and confidentiality of your data, the security levels required for the protection of personal data have been adopted, and the technical means within its reach have been installed to prevent the loss, misuse, alteration, unauthorised access, and theft of the personal data provided through the Website. Nonetheless, you must bear in mind that security measures on the Internet are not impregnable.

WHAT ARE YOUR RIGHTS REGARDING YOUR PERSONAL DATA?

AUDASA informs you that you have the right to access your personal data and obtain confirmation as to how such data are being processed. Likewise, you have the right to request the rectification of inaccurate data or, where applicable, request its erasure when, among other reasons, the data are no longer necessary for the purposes for which they were collected by AUDASA.

Under certain circumstances, you may request the restriction of the processing of your data, in which case AUDASA will only retain them for the establishment, exercise, or defence of potential claims.

Furthermore, also under certain circumstances, you may object to the processing of your personal data for the purpose informed by AUDASA. In that case, AUDASA will cease processing the personal data, unless compelling legitimate grounds concur, or to guarantee the establishment, exercise, or defence of potential claims.

Lastly, you may request the right to data portability and obtain for yourself or for another service provider certain information derived from the relationship formalised with us.

Such rights may be exercised through the following channels, identifying the reference “DATA PROTECTION” in your request:

By writing to Autopistas del Atlántico Concesionaria Española, S.A.U. (AUDASA), with registered office at calle Poeta Joan Maragall, nº 1, Planta 11ª, 28020 Madrid, for the attention of the Data Protection Officer.
By writing to the Data Protection Officer at the email address dpd@grupoitinere.com.

In both instances, proof of identity of the person exercising their rights is required by sending a copy of both sides of their DNI, NIE, Passport, or equivalent document, or, where applicable, the same means of identification used to sign up for the corresponding service or equivalent document.

AUDASA will provide the requested information within a maximum period of one month from receipt of the request. Said period may be extended by a further two months if necessary, taking into account the complexity and the number of requests.

You may lodge a complaint with the competent Supervisory Authority regarding data protection matters. Nevertheless, in the first instance, you may submit a complaint to the Data Protection Officer, who will resolve the matter within a maximum period of dos meses.

V. 23/10/2026