Política de Tratamiento de Datos Personales
Versión 2026.08 — en vigencia desde el 1 de septiembre de 2026
Política adoptada conforme a la Ley 1581 de 2012, al Decreto 1074 de 2015 y demás normas concordantes.
1. Responsable del tratamiento
Markai Studio di Carlos Ortega Via Marco Emilio Lepido 2, 42122 Reggio Emilia (RE), Italia P.IVA 03133020358 Correo para el ejercicio de derechos: privacy@onderaai.it
El Responsable está domiciliado en Italia y presta el Servicio en Colombia a través del sitio onderaai.it/co. Al tratar datos de titulares ubicados en Colombia, aplica esta Política y la normativa colombiana de protección de datos.
2. A quiénes aplica
- Los Clientes del servicio OnderaAI, es decir, los restaurantes y establecimientos que lo contratan, y las personas naturales que actúan por ellos.
- Los visitantes del sitio.
- Los Consumidores finales que consultan un menú digital publicado con OnderaAI, únicamente respecto de datos técnicos de navegación.
Cuando el Cliente ingresa en el Servicio datos personales de terceros —por ejemplo, los de sus colaboradores— el Cliente actúa como Responsable y Markai Studio como Encargado del tratamiento.
3. Datos que tratamos y para qué
3.1 Registro y gestión de la cuenta
Datos: nombre, nombre del establecimiento, correo electrónico, contraseña cifrada, foto de perfil si se aporta, identificador de la cuenta de Google si se accede por ese medio. Finalidad: crear y administrar la cuenta, autenticar al usuario, prestar el Servicio y brindar soporte.
3.2 Datos de facturación
Datos: razón social o nombre, dirección, NIT o documento de identidad, datos de las transacciones. Finalidad: facturación y cumplimiento de obligaciones contables y tributarias.
3.3 Contenidos ingresados en el Servicio
Datos: nombres y descripciones de platos, ingredientes, alérgenos, precios, imágenes, logo, información del establecimiento y los datos personales que el Cliente decida ingresar en las herramientas organizativas. Finalidad: prestar las funcionalidades del Servicio y publicar el menú digital.
3.4 Contenidos sometidos a las funciones de inteligencia artificial
Datos: textos ingresados, solicitudes al asistente, comandos de voz e imágenes cargadas. Finalidad: prestar las funciones de generación y modificación de textos e imágenes solicitadas por el Cliente. Precisiones: estos contenidos no se utilizan para entrenar modelos de inteligencia artificial. Los comandos de voz se tratan únicamente para transcribirlos a texto y no se conservan más allá del tiempo necesario para esa operación. Recomendamos no incluir datos personales innecesarios en las solicitudes al asistente.
3.5 Datos técnicos y de navegación
Datos: dirección IP, tipo de dispositivo y navegador, páginas consultadas, fecha y hora de acceso, registros de la aplicación. Finalidad: funcionamiento y seguridad de la plataforma, diagnóstico y prevención de abusos.
3.6 Datos estadísticos
Datos: datos de uso agregados recogidos con herramientas de analítica. Finalidad: medir el uso y mejorar el Servicio. Se recogen previa autorización otorgada mediante el aviso de cookies, revocable en cualquier momento.
3.7 Comunicaciones
Datos: correo electrónico. Finalidad: comunicaciones sobre el funcionamiento del Servicio, cambios contractuales y facturación —necesarias mientras exista la relación—; y comunicaciones comerciales sobre servicios similares, a las que el titular puede oponerse en cualquier momento.
4. Autorización
El tratamiento se realiza con la autorización previa, expresa e informada del titular, otorgada al aceptar esta Política durante el registro o al marcar la casilla correspondiente en los formularios del sitio.
El suministro de los datos indicados en los numerales 3.1, 3.2 y 3.3 es necesario para celebrar y ejecutar el contrato: sin ellos no es posible prestar el Servicio. El suministro de los datos del numeral 3.6 es facultativo.
No se recogen datos sensibles. Tampoco se recogen datos de niñas, niños y adolescentes.
5. Encargados del tratamiento
Para prestar el Servicio, el Responsable se apoya en los siguientes proveedores, que actúan como Encargados del tratamiento:
| Proveedor | Entidad jurídica | Finalidad | Ubicación |
|---|---|---|---|
| OpenAI | OpenAI Ireland Ltd. (Irlanda) | Generación y edición de textos e imágenes, transcripción de voz | Irlanda, con posibles transferencias a Estados Unidos |
| Supabase | Supabase Pte. Ltd (Singapur) | Base de datos y almacenamiento de archivos | Infraestructura en Europa (eu-west-1); entidad con sede en Singapur |
| Vercel | Vercel Inc. (Estados Unidos) | Alojamiento y entrega de la aplicación | Red distribuida |
| Stripe | Stripe Payments Europe, Ltd. (Irlanda) | Procesamiento de pagos | Irlanda, con transferencias dentro del grupo |
También pueden acceder a los datos, en lo que les corresponda, el asesor contable del Responsable y las autoridades competentes cuando la ley lo exija.
La lista actualizada de proveedores está disponible solicitándola al correo indicado en el numeral 1.
6. Transferencias y transmisiones internacionales
Los datos se tratan fuera de Colombia, principalmente en Europa y en Estados Unidos, según lo indicado en el numeral 5.
Estas transferencias y transmisiones internacionales se realizan con la autorización del titular, otorgada al aceptar esta Política, y bajo contratos de transmisión de datos con cada Encargado que incorporan garantías de protección equivalentes a las exigidas por la normativa colombiana, conforme a los artículos 26 y 27 de la Ley 1581 de 2012 y al Decreto 1074 de 2015.
Al aceptar esta Política, el titular autoriza expresamente dichas transferencias y transmisiones.
7. Tiempo de conservación
| Categoría | Conservación |
|---|---|
| Datos de la cuenta y contenidos | Durante la vigencia del contrato y noventa días después de su terminación |
| Datos de facturación y soportes contables | Por el término que exija la normativa contable y tributaria aplicable |
| Registros técnicos y de seguridad | Hasta doce meses |
| Datos estadísticos | Según lo indicado en la política de cookies |
| Comandos de voz | Solo el tiempo técnico necesario para la transcripción |
Vencidos esos plazos los datos se eliminan o se anonimizan de forma irreversible.
8. Decisiones automatizadas
El Responsable no adopta decisiones exclusivamente automatizadas que produzcan efectos jurídicos sobre el titular o lo afecten de manera significativa.
Los sistemas de inteligencia artificial del Servicio producen contenidos que son una propuesta y que en todo caso requieren la confirmación del Cliente antes de publicarse.
9. Transparencia sobre el uso de inteligencia artificial
El Responsable informa que:
- el asistente del panel de gestión es un sistema de inteligencia artificial, no una persona;
- las imágenes generadas o modificadas por el Servicio llevan una marca en formato legible por máquina que señala su origen artificial;
- el Servicio conserva registro interno de los contenidos de texto generados automáticamente.
10. Derechos del titular
Conforme al artículo 8 de la Ley 1581 de 2012, el titular puede:
- Conocer, actualizar y rectificar sus datos personales;
- Solicitar prueba de la autorización otorgada;
- Ser informado sobre el uso que se ha dado a sus datos;
- Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la ley;
- Revocar la autorización y solicitar la supresión de los datos, cuando no exista un deber legal o contractual que lo impida;
- Acceder gratuitamente a sus datos personales.
Cómo ejercerlos
Las consultas se atienden en un término máximo de diez días hábiles, prorrogable por cinco días hábiles más.
Los reclamos se atienden en un término máximo de quince días hábiles, prorrogable por ocho días hábiles más. Si el reclamo resulta incompleto, se requerirá al interesado dentro de los cinco días siguientes para que lo subsane; transcurridos dos meses sin respuesta, se entenderá desistido.
Las solicitudes se envían al correo indicado en el numeral 1, señalando el nombre del titular, la descripción de los hechos y los datos de contacto.
El titular puede acudir a la Superintendencia de Industria y Comercio únicamente después de haber agotado el trámite de consulta o reclamo ante el Responsable.
11. Medidas de seguridad
El Responsable adopta medidas técnicas, humanas y administrativas razonables para proteger los datos, entre ellas: cifrado de las comunicaciones en tránsito, cifrado de contraseñas, control de accesos por roles, aislamiento de datos por cliente a nivel de base de datos, registro de accesos, copias de seguridad periódicas y selección de proveedores con medidas de seguridad adecuadas.
12. Cookies
El uso de cookies y tecnologías similares se describe en la Política de Cookies, disponible en el sitio.
13. Vigencia y modificaciones
Esta Política rige desde el 1 de septiembre de 2026 y permanece vigente mientras el Responsable trate datos personales.
Las modificaciones sustanciales se comunican a los titulares con antelación razonable al correo electrónico asociado a la cuenta. Cada versión se identifica con un número y una fecha de entrada en vigencia.
Las bases de datos se conservarán mientras exista la finalidad que justifica el tratamiento y por los plazos legales aplicables.
Markai Studio di Carlos Ortega — Reggio Emilia, Italia — P.IVA 03133020358 Versión 2026.08 — en vigencia desde el 1 de septiembre de 2026