POLÍTICA DE PRIVACIDAD Y TRATAMIENTO DE DATOS PERSONALES DE OPERAHQ
Versión: Borrador 1.0
Fecha de entrada en vigor: 2026-10-20
Última actualización: 2026-10-20
Responsable indicado para esta política: Midaria S.A.S.
País: República de Colombia
Correo para privacidad y asuntos legales: admin@midaria.com
NIT: 901754079-5
Domicilio del responsable: Carrera 56 #169a-65, Bogotá, D.C.
Dirección para notificaciones: admin@midaria.com
1. Introducción
Midaria S.A.S. (en adelante, «Midaria») reconoce la importancia de proteger los datos personales tratados mediante OperaHQ y de informar a los titulares sobre las finalidades, condiciones y derechos asociados a su tratamiento.
Esta Política de Privacidad describe el tratamiento de datos personales en el marco de la plataforma OperaHQ, su sitio web, la gestión de cuentas, la prestación de servicios SaaS, la atención de solicitudes y las operaciones comerciales relacionadas.
El tratamiento se realizará conforme a la Ley 1581 de 2012, sus normas reglamentarias y las demás disposiciones colombianas aplicables.
Esta política deberá leerse junto con los Términos y Condiciones de OperaHQ y, cuando corresponda, con los acuerdos de tratamiento de datos celebrados entre Midaria y las firmas clientes.
2. Identificación del responsable y distribución de responsabilidades
Responsable identificado para esta política: Midaria S.A.S.
Correo de contacto: admin@midaria.com
NIT y domicilio: 901754079-5 / Carrera 56 #169a-65, Bogotá, D.C.
Midaria será responsable del tratamiento cuando determine las finalidades y los medios del tratamiento de datos relacionados con sus propias actividades, como la administración de cuentas, la relación comercial, la seguridad del servicio, la facturación y la atención de solicitudes.
Cuando una Firma utilice OperaHQ para gestionar datos personales de sus clientes, empleados, proveedores u otros titulares, esa Firma normalmente determinará las finalidades de dicho tratamiento y actuará como responsable respecto de esas actividades.
En esos casos, Midaria podrá actuar como encargado del tratamiento cuando procese los datos por cuenta de la Firma y conforme a sus instrucciones.
La calificación de cada parte dependerá de las actividades efectivamente realizadas y no exclusivamente de las denominaciones empleadas en este documento.
Las firmas clientes deberán disponer de sus propios avisos de privacidad, autorizaciones, bases jurídicas y procedimientos para atender los derechos de los titulares cuando sean responsables del tratamiento.
3. Alcance
Esta política se aplica a los datos personales tratados en relación con:
a. El sitio web y los formularios de contacto de OperaHQ.
b. El registro, autenticación y administración de cuentas.
c. La contratación y gestión de suscripciones.
d. La gestión de usuarios, firmas y clientes dentro de la plataforma.
e. La administración de trabajos, tareas, requisitos, documentos y entregables.
f. El soporte, la seguridad, la prevención del fraude y la resolución de incidentes.
g. El funcionamiento de las herramientas de inteligencia artificial.
h. La comunicación con usuarios y clientes.
i. La atención de consultas, reclamos y solicitudes relacionadas con datos personales.
Esta política no sustituye los compromisos específicos que deban acordarse con un Cliente empresarial en un contrato de tratamiento de datos.
4. Categorías de datos que podemos tratar
Según el uso de OperaHQ y las funciones habilitadas, pueden tratarse las siguientes categorías:
4.1. Datos de cuenta e identificación
- Nombre y apellidos.
- Correo electrónico.
- Identificadores internos de usuario.
- Datos de autenticación y estado de la cuenta.
- Firma u organización a la que pertenece el usuario.
- Roles, permisos y membresías.
- Información proporcionada durante el registro o el soporte.
Las contraseñas, cuando se gestionen mediante credenciales locales, deberán protegerse mediante mecanismos de seguridad apropiados. No se publicarán contraseñas ni secretos de autenticación en esta política.
4.2. Datos comerciales y de suscripción
- Plan contratado.
- Estado de la suscripción.
- Historial de operaciones de facturación.
- Referencias de pago y datos de conciliación.
- Créditos de IA asignados y consumidos.
- Solicitudes de soporte relacionadas con compras y pagos.
Los datos completos de tarjetas u otros instrumentos de pago serán tratados conforme al flujo y al proveedor de pagos que intervenga. No se afirma que Midaria almacene o no almacene datos completos de tarjetas sin verificar previamente la integración efectiva.
4.3. Datos de actividad y seguridad
Podemos tratar registros de acceso y actividad, marcas de tiempo, identificadores técnicos, cambios de estado, operaciones relevantes, registros de errores y datos necesarios para investigar incidentes de seguridad.
El alcance de estos registros depende de las capacidades efectivamente implementadas. No todas las acciones o eventos necesariamente generan un registro de auditoría.
4.4. Datos de clientes de las firmas
Una Firma puede incorporar datos de las personas naturales o jurídicas con las que trabaja, incluyendo, según el caso:
- Nombres, identificaciones y datos de contacto.
- Información empresarial, tributaria y contable.
- NIT y datos asociados a obligaciones tributarias.
- Información sobre responsabilidades, regímenes, períodos y vencimientos.
- Documentos, requisitos, soportes y entregables.
- Información operativa vinculada a trabajos y tareas.
- Datos de representantes, contactos, empleados o proveedores.
La Firma debe limitar la información incorporada a la necesaria para la finalidad legítima del proceso y contar con una base jurídica válida para su tratamiento.
4.5. Contenido de documentos y comunicaciones
Los documentos, comentarios, requisitos, entregables y demás contenidos que se introduzcan en OperaHQ pueden contener datos personales o información confidencial.
La naturaleza de los datos dependerá del contenido aportado por los usuarios. Una Firma no debe cargar información que no esté autorizada a tratar o divulgar.
4.6. Datos relacionados con inteligencia artificial
Al utilizar funciones de IA, se pueden procesar instrucciones, preguntas, fragmentos de documentos, contexto de trabajos y otros datos necesarios para producir el resultado solicitado.
Los datos efectivamente enviados al proveedor de IA dependen de la implementación y del contexto de cada función.
El hecho de que OperaHQ mantenga registros de consumo, modelos, tokens o costos no significa que todos los prompts, respuestas o documentos se almacenen en esos registros. Tampoco permite concluir que esos contenidos no sean almacenados por un proveedor externo.
5. Finalidades del tratamiento
Midaria podrá tratar datos personales para las siguientes finalidades, cuando exista una base jurídica válida:
- Crear, autenticar, mantener y administrar cuentas de usuario.
- Asociar usuarios con firmas y gestionar membresías y permisos.
- Prestar las funcionalidades contratadas de OperaHQ.
- Gestionar trabajos, tareas, requisitos, documentos, entregables y registros operativos por cuenta de las firmas clientes.
- Administrar suscripciones, pagos, conciliaciones, créditos de IA y solicitudes comerciales.
- Prestar soporte técnico y responder consultas o reclamaciones.
- Detectar, investigar y prevenir accesos no autorizados, fraude, abuso y vulnerabilidades.
- Mantener, diagnosticar y mejorar la estabilidad y seguridad del servicio.
- Procesar solicitudes enviadas a funciones de inteligencia artificial.
- Cumplir obligaciones legales, regulatorias, tributarias, contables o requerimientos de autoridades competentes.
- Gestionar el ejercicio de los derechos de los titulares.
- Comunicar cambios relevantes del servicio, avisos operativos y cuestiones relacionadas con cuentas o suscripciones.
- Enviar comunicaciones comerciales cuando exista una base jurídica válida y se respeten las preferencias y derechos aplicables.
Midaria no utilizará los datos de los clientes de una Firma para finalidades propias incompatibles con las instrucciones y condiciones que rijan el tratamiento.
Cualquier uso adicional que requiera una autorización o información específica será tratado conforme a la normativa aplicable.
6. Base jurídica y autorizaciones
El tratamiento se realizará sobre una base jurídica válida según su finalidad y las circunstancias concretas, incluyendo, cuando corresponda:
- La autorización previa, expresa e informada del titular.
- La ejecución de una relación contractual o de medidas relacionadas con ella, cuando resulte jurídicamente aplicable.
- El cumplimiento de obligaciones legales.
- Los demás supuestos legalmente autorizados.
La creación de una cuenta o la aceptación de un contrato no sustituye automáticamente todas las autorizaciones que puedan ser necesarias para tratar los datos de terceros.
Cuando una Firma incorpore datos de sus clientes, será responsable de determinar y documentar la base jurídica correspondiente, obtener las autorizaciones que resulten necesarias y proporcionar los avisos que le correspondan.
Cuando Midaria actúe como encargada, tratará los datos dentro del alcance autorizado y de las instrucciones aplicables, sujeto a las obligaciones legales que le correspondan directamente.
7. Inteligencia artificial y proveedores tecnológicos
OperaHQ puede utilizar servicios externos de inteligencia artificial para generar respuestas, asistir en tareas, analizar información o producir borradores.
Según la función utilizada, los datos necesarios para la solicitud podrán transmitirse al proveedor correspondiente para su procesamiento.
El proveedor, el país de procesamiento, las condiciones de retención, las opciones de exclusión del entrenamiento y los mecanismos de transferencia internacional deberán verificarse en las condiciones efectivamente contratadas.
Midaria no afirmará que todos los proveedores de IA eliminan inmediatamente los datos, que no conservan registros o que nunca los utilizan para mejorar sus servicios sin contar con documentación suficiente que lo respalde.
Cuando se determine que el tratamiento requiere información adicional, autorización o medidas contractuales específicas, estas deberán implementarse antes de habilitar el flujo correspondiente.
Los usuarios deberán evitar incluir datos personales, confidenciales o sensibles que no sean necesarios para la consulta.
8. Proveedores, encargados y terceros
Para prestar OperaHQ, Midaria puede apoyarse en proveedores de infraestructura, alojamiento, bases de datos, almacenamiento, correo electrónico, monitorización, pagos, inteligencia artificial y soporte técnico.
La infraestructura de OperaHQ contempla servicios de alojamiento y componentes de procesamiento de datos, incluidos servicios de DigitalOcean, PostgreSQL y Redis. La lista definitiva de proveedores y los servicios que intervienen en cada tratamiento deberá confirmarse antes de publicar esta política.
Los proveedores podrán tratar datos en calidad de encargados, responsables independientes u otra condición que corresponda a sus actividades y contratos.
Midaria limitará el acceso de los proveedores a lo necesario para las finalidades correspondientes y adoptará las medidas contractuales y organizativas exigibles.
Los proveedores de pagos podrán recibir los datos necesarios para procesar operaciones, prevenir fraude, verificar transacciones y gestionar reclamaciones.
La política pública no constituye una lista exhaustiva de subencargados hasta que se complete el inventario de proveedores, sus funciones y sus ubicaciones.
Pendiente antes de publicar: identificar los proveedores activos, sus funciones, las categorías de datos que reciben, los países de tratamiento y los enlaces a sus políticas pertinentes.
9. Separación entre firmas y acceso a la información
OperaHQ está diseñado para mantener separada la información asociada a diferentes firmas mediante contextos organizacionales, membresías, autenticación y controles de autorización.
Los usuarios solo deben acceder a información para la que tengan autorización. Una Firma no adquiere derechos sobre la información de otra Firma por utilizar la misma plataforma.
Cada Firma administra sus propios usuarios y debe conceder permisos de manera responsable.
Midaria aplica o desarrollará, según el estado de cada componente, medidas técnicas y organizativas para reducir el riesgo de acceso indebido. La efectividad de esos controles debe evaluarse mediante pruebas y revisiones técnicas periódicas.
La separación organizacional no debe confundirse con una garantía de confidencialidad por tarea, cliente o asignación individual. El alcance de los permisos depende de la funcionalidad efectivamente implementada.
En caso de acceso indebido o incidente que afecte datos personales, Midaria gestionará el incidente de acuerdo con sus procedimientos y las obligaciones legales aplicables, incluyendo las notificaciones que correspondan.
10. Seguridad de la información
Midaria adoptará medidas técnicas, humanas y administrativas razonables para proteger los datos personales frente a pérdida, alteración, consulta, uso o acceso no autorizado.
Según el componente y la configuración efectiva, esas medidas pueden incluir:
- Autenticación y gestión de permisos.
- Separación del contexto organizacional.
- Validación de solicitudes y controles de autorización.
- Protección de comunicaciones mediante mecanismos de transporte seguro.
- Restricción de accesos operativos.
- Registros de actividad y mecanismos de investigación.
- Gestión de errores, actualizaciones y vulnerabilidades.
- Copias de seguridad y procedimientos de recuperación, cuando estén configurados.
- Controles sobre el procesamiento de pagos y eventos recibidos de proveedores.
La enumeración anterior describe categorías de medidas y no certifica que todas se encuentren activas, sean exhaustivas o tengan un alcance idéntico en todos los entornos.
Ningún sistema puede garantizar seguridad absoluta. Midaria procurará prevenir, detectar, investigar y gestionar incidentes conforme a sus obligaciones y capacidades.
11. Conservación de los datos
Los datos se conservarán durante el tiempo necesario para cumplir las finalidades autorizadas, prestar el servicio, atender obligaciones legales, resolver controversias y mantener los registros que deban preservarse.
Los períodos concretos pueden variar según la categoría de datos, la relación contractual, las obligaciones legales, las instrucciones de la Firma y las necesidades legítimas de seguridad.
Cuando una Firma actúe como responsable, deberá indicar las instrucciones de conservación y eliminación que correspondan a los datos tratados por su cuenta, en la medida prevista contractualmente y permitida por la ley.
La terminación de una cuenta no implica necesariamente la eliminación instantánea de todos los datos de producción, registros legales o copias de seguridad.
Pendiente de definición antes de publicar: plazos específicos de conservación por categoría, plazo de acceso tras la cancelación, período de exportación y ciclo de eliminación de respaldos.
12. Eliminación, exportación y devolución
Los titulares podrán ejercer sus derechos de supresión en los términos previstos por la ley. Las solicitudes se evaluarán atendiendo a las obligaciones de conservación, la existencia de una base jurídica vigente y los derechos de terceros.
Cuando Midaria actúe como encargada de una Firma, las solicitudes sobre datos de sus clientes podrán requerir instrucciones del responsable, salvo que exista una obligación legal directa que exija otra actuación.
Las posibilidades de exportar o devolver información dependerán de las funciones habilitadas y del acuerdo con la Firma.
Cuando sea aplicable, Midaria definirá mecanismos para devolver, exportar, suprimir o restringir el tratamiento al finalizar el servicio, considerando los datos operativos, los registros sujetos a conservación y las copias de respaldo.
La eliminación podrá no ser inmediata cuando existan obligaciones legales, controversias pendientes, razones legítimas de seguridad u otras excepciones previstas por la normativa aplicable.
13. Derechos de los titulares
Conforme a la legislación colombiana, los titulares podrán ejercer los derechos que les correspondan, entre ellos:
a. Conocer, actualizar y rectificar sus datos personales.
b. Solicitar prueba de la autorización cuando esta sea exigible.
c. Ser informados sobre el uso dado a sus datos.
d. Presentar consultas y reclamos relacionados con el tratamiento.
e. Solicitar la revocación de la autorización o la supresión de datos cuando legalmente proceda.
f. Acceder gratuitamente a sus datos personales en los casos previstos por la ley.
g. Acudir ante la Superintendencia de Industria y Comercio, una vez agotados los requisitos de procedibilidad que correspondan.
Estos derechos se ejercerán sin perjuicio de las excepciones legales y de los derechos de terceros.
Cuando los datos hayan sido incorporados por una Firma, el titular podrá necesitar dirigir su solicitud a esa Firma, que será responsable de determinar las actuaciones procedentes respecto de sus propios tratamientos. Midaria colaborará cuando corresponda según su función y las instrucciones aplicables.
14. Procedimiento para consultas y reclamos
Las consultas, reclamos y solicitudes relacionados con datos personales podrán enviarse a:
Correo electrónico: admin@midaria.com
Asunto sugerido: Protección de datos personales — OperaHQ.
La solicitud deberá permitir identificar al titular o a su representante, describir claramente el derecho que pretende ejercer y aportar la información necesaria para localizar los datos, sin requerir información excesiva.
Si la solicitud se refiere a datos tratados por cuenta de una Firma, Midaria podrá remitirla o solicitar instrucciones al responsable correspondiente, cuando proceda.
Las consultas y reclamos se atenderán dentro de los términos legales aplicables. Si una solicitud está incompleta o requiere información adicional, se actuará conforme al procedimiento legal correspondiente.
Midaria podrá solicitar medidas razonables de verificación de identidad para evitar divulgar datos a personas no autorizadas.
Dirección física para radicación: Carrera 56 #169a-65, Bogotá, D.C.
15. Datos sensibles y datos de menores
OperaHQ puede recibir información que, por su naturaleza o contexto, requiera protección especial. Una Firma debe evaluar si es necesario incorporar datos sensibles y evitar su tratamiento cuando no exista una finalidad legítima y una base jurídica adecuada.
Cuando resulte aplicable, el tratamiento de datos sensibles estará sujeto a las condiciones, autorizaciones y garantías previstas por la ley.
OperaHQ no está concebido para recopilar deliberadamente datos de menores sin una finalidad legítima y sin observar las exigencias legales especiales aplicables. Si una Firma necesita tratar datos de menores, deberá verificar previamente la legalidad del tratamiento y adoptar las salvaguardas correspondientes.
16. Transferencias y transmisiones internacionales
Algunos proveedores de infraestructura, pagos o inteligencia artificial pueden procesar datos fuera de Colombia.
Cuando se produzca una transmisión o transferencia internacional, Midaria evaluará y aplicará las condiciones, autorizaciones, excepciones, garantías contractuales y demás requisitos que establezca la normativa colombiana aplicable.
La ubicación del proveedor comercial no determina por sí sola el país en el que se almacenan o procesan todos los datos.
La lista de países y proveedores que intervienen en cada flujo deberá completarse con base en la arquitectura real y en los contratos vigentes.
Pendiente antes de publicar: inventario de ubicaciones de alojamiento y procesamiento, mecanismos de transmisión internacional y documentación contractual de proveedores.
17. Cookies, analítica y tecnologías similares
El sitio web y la plataforma podrán utilizar cookies u otras tecnologías necesarias para autenticación, seguridad, funcionamiento, preferencias o medición, según la configuración efectiva.
Las cookies estrictamente necesarias para proporcionar una función solicitada se tratarán de acuerdo con su finalidad. Cualquier tecnología adicional que requiera consentimiento o información específica se gestionará conforme a la normativa aplicable.
Pendiente de verificación: inventario real de cookies, analítica, píxeles, herramientas de seguimiento, finalidades, períodos de conservación y mecanismo para gestionar preferencias. No se afirma en este borrador que OperaHQ utilice herramientas publicitarias o de seguimiento específicas.
18. Comunicaciones
Midaria podrá enviar comunicaciones necesarias para gestionar cuentas, seguridad, pagos, cambios contractuales, soporte y funcionamiento del servicio.
Las comunicaciones comerciales se tratarán de acuerdo con la base jurídica aplicable y las preferencias del titular. Cuando corresponda, se facilitará un mecanismo para dejar de recibir comunicaciones comerciales sin afectar mensajes esenciales del servicio o comunicaciones exigidas por la ley.
La configuración de notificaciones dentro de OperaHQ dependerá de las funciones disponibles y no sustituye los derechos legales de los titulares.
19. Información de pagos
Los pagos de OperaHQ pueden procesarse a través de proveedores habilitados, que podrán tratar datos personales y transaccionales conforme a sus propias condiciones y obligaciones.
Midaria podrá conservar referencias, estados, importes, moneda, identificadores de transacción y datos necesarios para conciliar pagos, administrar suscripciones y atender reclamaciones.
Los datos que reciba cada proveedor dependerán del método de pago y de la integración utilizada.
La información sobre el tratamiento de datos de tarjetas, los datos bancarios, la facturación electrónica y los mecanismos de prevención de fraude deberá corresponder al flujo real de cada proveedor.
20. Modificaciones de esta política
Midaria podrá actualizar esta política cuando cambien las funcionalidades, los proveedores, las finalidades del tratamiento, los requisitos legales o las medidas de seguridad.
La versión vigente se publicará en el canal oficial que se defina para OperaHQ, indicando la fecha de actualización.
Cuando un cambio requiera una nueva autorización o una comunicación especial, Midaria adoptará el procedimiento legal correspondiente.
21. Contacto y autoridad de protección de datos
Para consultas, solicitudes o reclamaciones relacionadas con esta política:
Midaria S.A.S.
Correo: admin@midaria.com
NIT: 901754079-5
Domicilio: Carrera 56 #169a-65, Bogotá, D.C.
Dirección para notificaciones: admin@midaria.com.
La autoridad colombiana competente en materia de protección de datos personales es la Superintendencia de Industria y Comercio, de acuerdo con sus atribuciones legales.
22. Entrada en vigor
Esta política entrará en vigor en la fecha que se indique en su publicación oficial.