Política de Tratamiento de Datos Personales

Esta Política aplica indistintamente a los servicios FirmaPDF (firmapdf.app) y MiCarpeta (micarpeta.app), operados por el mismo Responsable identificado arriba. Las referencias a «la Plataforma» comprenden ambos servicios.

La presente Política se fundamenta en las siguientes disposiciones legales vigentes en Colombia:

• Ley 1581 de 2012: Disposiciones generales para la protección de datos personales.
• Decreto 1377 de 2013: Reglamenta parcialmente la Ley 1581 de 2012.
• Decreto Único Reglamentario 1074 de 2015, Libro 2, Parte 2, Título 2, Capítulo 25.
• Circular Externa 002 de 2015 de la Superintendencia de Industria y Comercio (SIC).
• Ley 527 de 1999: Comercio electrónico y firma electrónica.

Para efectos de la presente Política, se adoptan las siguientes definiciones conforme al artículo 3 de la Ley 1581 de 2012:

Consentimiento previo, expreso e informado del Titular para llevar a cabo el Tratamiento de datos personales.

Conjunto organizado de datos personales que sea objeto de Tratamiento.

Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

Aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar discriminación (origen racial, orientación sexual, datos de salud, biométricos, entre otros).

Persona natural o jurídica que realiza el Tratamiento de datos personales por cuenta del Responsable.

Persona natural o jurídica que decide sobre la base de datos y/o el Tratamiento: Jairo Alexander Rodríguez Peña, quien opera las marcas FirmaPDF y MiCarpeta (en adelante, «la Plataforma»).

Persona natural cuyos datos personales sean objeto de Tratamiento (usuario registrado o firmante de documentos).

Cualquier operación sobre datos personales: recolección, almacenamiento, uso, circulación, supresión, entre otras.

FirmaPDF garantiza el respeto de los principios establecidos en el artículo 4 de la Ley 1581 de 2012:

Verificación biométrica de identidad. Cuando el firmante opta por verificar su identidad, FirmaPDF utiliza un proveedor de verificación (Didit) que realiza un cotejo biométrico facial contra su documento de identidad. Los datos biométricos son datos sensibles conforme al artículo 5 de la Ley 1581 de 2012: su entrega es facultativa y requiere una autorización expresa y reforzada, que se solicita en el mismo flujo, de forma separada, antes de iniciar la verificación. FirmaPDF no almacena las imágenes ni las plantillas biométricas; conserva únicamente el resultado de la verificación (aprobado/rechazado) y los datos del documento validado. Ningún tratamiento de datos sensibles es requisito para usar las demás funciones de la plataforma.

Salvo lo anterior, FirmaPDF no recopila datos sensibles de manera intencional. En caso de que los documentos cargados por el usuario contengan datos sensibles de terceros (datos de salud, información financiera, datos biométricos, etc.), el usuario asume la responsabilidad de contar con las autorizaciones correspondientes de los titulares de dichos datos.

FirmaPDF no recopila ni trata datos de menores de 18 años. El servicio está dirigido exclusivamente a personas mayores de edad.

Para algunas funciones, FirmaPDF procesa el contenido de los documentos del usuario mediante un proveedor de inteligencia artificial (Anthropic, PBC — EE.UU.). En concreto: (i) la lectura automática de facturas y recibos para extraer datos como el valor a pagar y la fecha de vencimiento (por ejemplo, para recordatorios y consultas), únicamente cuando esos datos no pueden obtenerse del texto del documento; y (ii), cuando el usuario lo solicita, responder preguntas sobre el contenido de sus documentos.

En estos casos, el contenido del documento (o la imagen de la página necesaria) se envía al proveedor exclusivamente para generar el resultado solicitado. El proveedor actúa como Encargado del Tratamiento bajo obligación contractual de confidencialidad y seguridad, y no utiliza el contenido para entrenar sus modelos. FirmaPDF solo conserva el resultado (p. ej. el valor y la fecha detectados), no el contenido enviado. Si el documento contiene datos de terceros, el usuario es responsable de contar con su autorización, conforme al numeral 5.2 y a la sección 13.

Los datos personales recopilados por FirmaPDF serán tratados para las siguientes finalidades específicas, legítimas y previamente informadas:

• Crear, verificar y gestionar la cuenta del usuario en la plataforma.
• Autenticar al usuario mediante Google OAuth 2.0 o Magic Link.
• Prestar el servicio de edición, almacenamiento y firma digital de documentos PDF.
• Enviar notificaciones transaccionales: solicitudes de firma, magic links, confirmaciones de pago.
• Generar y conservar el registro de auditoría legal e inmutable del proceso de firma digital (Ley 527 de 1999).
• Procesar pagos de créditos de firma a través de la pasarela Wompi.
• Operar el agente de WhatsApp para acceso a documentos (únicamente si el usuario registra su número).
• Leer automáticamente facturas y recibos (valor y vencimiento) y responder preguntas sobre documentos, mediante un proveedor de inteligencia artificial (ver numeral 5.4).
• Elaborar estadísticas internas agregadas para la mejora del servicio.
• Cumplir obligaciones legales, tributarias y reglamentarias aplicables.
• Prevenir, detectar y gestionar actividades fraudulentas o ilegales.

La autorización del Titular para el tratamiento de sus datos personales se obtiene de manera previa, expresa e informada a través de los siguientes mecanismos:

• Aceptación de la presente Política durante el proceso de registro en la plataforma.
• Para firmantes de documentos (terceros): aceptación expresa del consentimiento en el flujo de firma digital, mediante un paso específico de consentimiento informado.

El Titular puede revocar su autorización en cualquier momento, salvo que exista una obligación legal de conservar los datos. Para ejercer este derecho, el Titular deberá dirigirse al correo [email protected]. La revocación puede implicar la imposibilidad de seguir prestando el servicio.

Conforme al artículo 8 de la Ley 1581 de 2012, los Titulares de datos personales tienen los siguientes derechos:

Conocer los datos personales que FirmaPDF tiene sobre usted, su origen, uso y el tratamiento que se les ha dado.

Actualizar sus datos personales en cualquier momento desde la sección de perfil de la plataforma.

Solicitar la corrección de datos personales inexactos, incompletos o desactualizados.

Solicitar la eliminación de sus datos personales cuando: (i) no sean necesarios para la finalidad para la cual fueron recopilados; (ii) haya revocado la autorización; o (iii) sean utilizados en contravención de la Ley 1581 de 2012. Este derecho no aplica cuando FirmaPDF tenga la obligación legal de conservar los datos.

Retirar el consentimiento otorgado para el tratamiento, salvo que exista obligación legal o contractual de mantener los datos.

Obtener copia de la autorización otorgada al inicio del tratamiento.

Ser informado sobre el uso que se ha dado a sus datos personales previa solicitud.

Presentar quejas y reclamos ante la Superintendencia de Industria y Comercio (SIC) cuando considere que FirmaPDF ha infringido las disposiciones de la Ley 1581 de 2012, una vez agotado el trámite de consulta o reclamo ante FirmaPDF.

El Titular o su representante legal deberá dirigir su solicitud escrita al correo electrónico [email protected], indicando:

• Nombre completo del Titular.
• Descripción precisa del derecho que desea ejercer.
• Correo electrónico de la cuenta registrada en FirmaPDF.
• Documentos que acrediten la representación legal (si aplica).

• El Titular presenta la solicitud al correo [email protected].
• FirmaPDF confirma la recepción dentro de los 2 días hábiles siguientes.
• Si la solicitud está incompleta, FirmaPDF solicitará información adicional. El Titular tendrá 5 días hábiles para completarla.
• FirmaPDF dará respuesta dentro de los plazos legales establecidos.
• Si el reclamo no puede resolverse directamente, el Titular podrá acudir ante la SIC.

FirmaPDF realiza transferencia internacional de datos únicamente en los casos listados a continuación, con proveedores que cuentan con niveles de protección adecuados:

FirmaPDF podrá transmitir datos a encargados del tratamiento ubicados en Colombia únicamente para la prestación del servicio contratado, quienes estarán obligados contractualmente a guardar la debida reserva y confidencialidad.

FirmaPDF implementa las siguientes medidas de seguridad técnicas, administrativas y físicas para la protección de los datos personales:

• Cifrado AES-256-GCM de todos los documentos PDF almacenados (Envelope Encryption).
• Comunicaciones cifradas mediante HTTPS/TLS 1.2 y 1.3.
• HSTS habilitado con directiva includeSubDomains; preload.
• Integridad de documentos firmados garantizada mediante hash SHA-256.
• Rate limiting en rutas de autenticación (5 intentos/min, 20/hora, 50/día).
• Cookies de sesión con atributos Secure, HttpOnly y SameSite=Lax.
• Validación de titularidad del servidor en cada operación de acceso a datos.
• Base de datos PostgreSQL con conexión cifrada.

• Acceso a datos restringido por roles y estrictamente necesario para la función.
• Confidencialidad contractual con todos los colaboradores y proveedores.
• Gestión de credenciales mediante variables de entorno (nunca en código fuente).

Al momento de eliminación de cuenta, FirmaPDF procede a la supresión definitiva de todos los datos del Titular, excepto aquellos que deba conservar por obligación legal o regulatoria.

Cuando un usuario de FirmaPDF envía una solicitud de firma a un tercero, FirmaPDF actúa como responsable del tratamiento de los datos del firmante (correo electrónico, nombre, IP, fecha y hora de la firma y, si el firmante opta por verificar su identidad, el resultado de la verificación biométrica descrita en el numeral 5.2) exclusivamente para los siguientes fines:

• Entregar la solicitud de firma al firmante.
• Registrar el consentimiento expreso del firmante durante el proceso de firma.
• Generar la trazabilidad legal e inmutable del proceso de firma.

El firmante recibe información clara sobre el tratamiento de sus datos en el mismo flujo de firma, antes de dar su consentimiento. El usuario que envía la solicitud de firma es responsable de contar con autorización de los datos de terceros que incluya en los documentos.

La presente Política de Tratamiento de Datos Personales corresponde a la versión 2026-08-19 y entra en vigor el 19 de agosto de 2026, publicada en los sitios web firmapdf.app y micarpeta.app; permanecerá vigente, junto con las bases de datos que regula, hasta su modificación o revocación por parte del Responsable. La versión aquí indicada es la que se registra como prueba de la autorización otorgada por cada Titular.

FirmaPDF se reserva el derecho de actualizar esta Política en cualquier momento para adaptarla a cambios normativos o del servicio. Las modificaciones serán informadas al Titular con un mínimo de 10 días hábiles de anticipación mediante aviso en la plataforma y/o correo electrónico.

La Superintendencia de Industria y Comercio (SIC), a través de la Delegatura para la Protección de Datos Personales, es la entidad encargada de velar por el cumplimiento de la Ley 1581 de 2012 en Colombia.