Acuerdo de Tratamiento de Datos (DPA)

1. Objeto y alcance del Acuerdo

El presente Acuerdo de Tratamiento de Datos (en adelante, "DPA") regula el tratamiento de los datos personales de los clientes finales del programa de fidelidad gestionado por Inversiones RM S.A.S., identificada con NIT 901778029-0, con domicilio en Bucaramanga, Santander, Colombia (en adelante, "Punsel" o el "Encargado"), por encargo del cliente empresarial B2B contratante del Servicio (en adelante, el "Responsable" o el "Cliente B2B").

Este DPA aplica desde la activación del Servicio para el Cliente B2B y se mantiene vigente durante toda la duración del contrato principal, así como durante los periodos de retención posteriores establecidos en la sección 8. Las cláusulas relativas a confidencialidad y auditoría subsisten a la terminación.

Naturaleza y marco normativo. Este Acuerdo es el contrato de transmisión a que se refiere el artículo 25 del Decreto 1377 de 2013. Se rige además por la Ley 1581 de 2012 —en particular sus artículos 3 (definiciones), 4 (principios rectores), 14 y 15 (consultas y reclamos), 18 (deberes de los Encargados) y 26 (transferencias)— y por los artículos 3, 11, 24, 26 y 27 del mismo Decreto 1377 de 2013.

2. Roles de las partes

Conforme a la Ley 1581 de 2012 y al Decreto 1377 de 2013:

• Punsel actúa como encargado del tratamiento (data processor): procesa los datos personales de los titulares conforme a las instrucciones documentadas del Responsable y a los términos de este DPA. Se entienden comprendidas dentro de esas instrucciones las operaciones necesarias para prestar el Servicio contratado, incluidas las de soporte, mantenimiento y operación de la plataforma descritas en la sección 5. La configuración que el Cliente B2B realiza en el panel y el uso que hace del Servicio son igualmente instrucciones suyas: definen el alcance del tratamiento y las actividades que Punsel ejecuta por su cuenta —qué programa opera, qué campos recolecta de sus titulares, a quién comunica y con qué frecuencia—.
• El Cliente B2B actúa como responsable del tratamiento (data controller): determina las finalidades y los medios del tratamiento, obtiene la autorización previa e informada de los titulares (clientes finales) y mantiene la comunicación directa con ellos.
• Los titulares son las personas naturales inscritas en el programa de fidelidad del Cliente B2B.

Los terceros de la sección 4 no tienen todos el mismo rol. La mayoría trata los datos por cuenta de Punsel y actúa, a su vez, como encargado. Pero las billeteras digitales reciben los datos como transferencia: conservan la tarjeta con sus propios términos y su propia retención, y no actúan bajo instrucciones de Punsel. La pasarela de pagos es un Responsable independiente sobre los datos del medio de pago. Y Cloudflare, Inc. recibe por transferencia, como responsable, la parte de los datos de red y de las señales de la verificación anti-robot que usa para proteger su red y mejorar sus servicios. El Anexo de Subencargados publica la calificación de cada envío, con su fundamento, y es la única fuente de ese reparto.

Por qué importa la distinción y no es una sutileza. Sobre lo que se trata por cuenta de Punsel, el Cliente conserva el control y Punsel responde ante él por las instrucciones que ejecuta. Sobre lo transferido, en cambio, Punsel no puede prometer lo que el destinatario hará ni por cuánto tiempo lo conservará. Declarar que todos son encargados sujetos a las mismas obligaciones sería más cómodo, y sería inexacto.

Qué se obliga Punsel respecto de sus subencargados. Punsel se obliga a vincular a cada subencargado mediante términos contractuales de protección de datos no menos protectores que los de este Acuerdo, incluida la aceptación de los adendos de tratamiento de datos que esos proveedores publican. Es una obligación de Punsel frente al Responsable, y su incumplimiento se rige por el régimen de responsabilidad del numeral 8 de los Términos y Condiciones. ⚠️ Lo que esta cláusula no hace es asumir responsabilidad ilimitada por los actos de un subencargado: eso contradiría ese mismo régimen y sería una promesa que este Acuerdo no puede sostener.

3. Datos personales tratados

Categorías de datos personales tratados por Punsel por encargo del Responsable, en relación con los clientes finales del programa de fidelidad:

• Identificadores: nombre, correo electrónico, teléfono.
• Datos transaccionales de fidelidad: puntos acumulados y redimidos, historial de visitas, premios obtenidos.
• Datos opcionales: el día y el mes del cumpleaños —sin el año— y tipo de dispositivo (iOS o Android).
• Registro de consentimientos: fecha y hora de la autorización de tratamiento otorgada por el titular, de su declaración de mayoría de edad (sección 10) y, cuando la haya otorgado, de su autorización separada para recibir comunicaciones comerciales del Responsable. De las dos primeras se conserva además la versión y la huella del texto mostrado; de la autorización comercial sólo la fecha y la hora. Punsel únicamente incluye a un titular en un envío comercial cuando esa autorización consta registrada.

Categorías de titulares. Los datos anteriores corresponden a cuatro poblaciones: los clientes finales inscritos en el programa de fidelidad del Responsable; los usuarios autorizados del Cliente B2B que operan el panel; la persona que contrata el Servicio en nombre del Cliente B2B; y los destinatarios de las campañas de correo que el Responsable configura. Cada categoría se trata cuando el programa lo configure: la enumeración describe la configuración máxima posible del Servicio y no afirma que todo Responsable recolecte todos esos datos.

Las finalidades las fija el Responsable. Punsel trata los datos únicamente para las finalidades que el Cliente B2B determina y declara en su propia política de tratamiento, y se compromete a operar bajo ella. La Política de Tratamiento de Datos Personales de Punsel describe cómo se ejecuta materialmente ese tratamiento dentro de la plataforma; no sustituye ni desplaza la política del Responsable.

Punsel se obliga además a tratar los datos conforme a la finalidad autorizada por los titulares y por la ley, y con sujeción a los principios rectores del artículo 4 de la Ley 1581 de 2012: legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad. Las obligaciones que Punsel asume directamente frente al titular —y que no puede declinar remitiéndolo al Responsable— están en la sección 7.

Datos agregados y anonimizados. Punsel puede producir y usar información agregada y anonimizada sobre el uso de la plataforma para operarla y mejorarla. Esa reserva excluye expresamente los datos que trata por encargo del Cliente B2B, que no se usan para fines propios de Punsel salvo autorización escrita del Responsable. La agregación se produce sobre conjuntos que nunca describen a un titular individual y de los que no es posible reconstruirlo. ⚠️ La ley colombiana no define la anonimización ni conoce la figura de la seudonimización, de modo que la carga de acreditar esa irreversibilidad es de Punsel, no del Responsable.

Duración del tratamiento: por toda la vigencia del contrato principal y por los periodos de retención posteriores establecidos para cumplimiento de obligaciones legales (sección 8).

4. Subencargados (subprocesadores)

Punsel podrá recurrir a subencargados (subprocesadores) para la prestación del Servicio. Sólo lo hace cuando la función es necesaria para prestarlo y no puede resolverse con infraestructura propia, y cada subencargado recibe únicamente los datos que su función requiere.

La relación vigente de subencargados se publica en el Anexo de Subencargados, que forma parte integrante de este DPA y detalla, para cada uno, el país, el rol y el dato concreto que recibe. Ese anexo es la única fuente de la relación: este Acuerdo no la transcribe, para que una corrección no pueda quedar publicada a medias en unos documentos y no en otros. El mismo anexo es el que incorporan la sección 6 de la Política de Privacidad y la sección 9 de la Política de Tratamiento de Datos, de modo que los tres documentos describen una sola relación y no tres copias que hay que sincronizar a mano.

Los cambios materiales en la lista de subprocesadores serán notificados al Cliente B2B con un preaviso mínimo de treinta (30) días calendario. El Cliente B2B podrá objetar la incorporación de un nuevo subprocesador dentro de los quince (15) días calendario siguientes a la notificación; en tal caso las partes acordarán de buena fe una solución alternativa. Si no se alcanza una solución, el Cliente B2B puede terminar la relación en los términos del numeral 9 de los Términos y Condiciones, absteniéndose del pago siguiente; no hay devolución prorrateada del período ya pagado.

5. Medidas de seguridad técnicas y organizativas

Punsel implementa, mantiene y supervisa las siguientes medidas técnicas y organizativas para la protección de los datos personales tratados. La enumeración de esta sección, junto con el Anexo Técnico de Seguridad, es un compromiso concreto y no una fórmula genérica; lo que la sección agrega más abajo es una válvula de actualización, no un recorte:

• Cifrado en tránsito: TLS 1.2 o superior en todo el trayecto, con TLS 1.3 disponible en el borde para los clientes que lo soportan.
• Cifrado en reposo: las columnas sensibles se cifran en la capa de aplicación con un algoritmo de cifrado autenticado de 256 bits, con la clave custodiada fuera de la base de datos.
• Contraseñas: función de derivación de claves resistente a ataques por hardware.
• Sesiones: credenciales de corta duración, renovación con revocación y control de acceso por roles.
• Registro de auditoría: registro de sólo inserción en base de datos relacional, con retención mínima de dos (2) años por finalidad de seguridad propia.
• Respaldos: cifrados y fuera del servidor, con retención escalonada de 30 días / 6 meses / 2 años, y copias previas a cada actualización de la base, con el mismo tope de dos (2) años.
• Acceso administrativo: acceso a la infraestructura restringido a personal autorizado mediante credenciales criptográficas y controles contra accesos no autorizados; los servicios de datos no están expuestos a internet.
• Acceso del personal de Punsel a los datos del Responsable: el personal autorizado de Punsel —a través del rol de administración de la plataforma— puede acceder a los datos de cualquier Cliente B2B, tanto en consulta como en modificación, y hacerlo por iniciativa propia cuando resulte necesario para el soporte y la operación del Servicio, sin requerir una solicitud previa del Responsable. Las operaciones que ese personal ejecuta sobre los datos del Responsable quedan registradas en el audit log descrito en esta misma sección, con la retención mínima de dos (2) años allí indicada. El Responsable puede solicitar el detalle de esos registros al canal [email protected].

Anexo Técnico de Seguridad. El detalle técnico vigente de cada medida —algoritmos y parámetros— está en el Anexo Técnico de Seguridad, versión 1.0 del 24 de octubre de 2026, que forma parte integrante de este Acuerdo y es exigible en los mismos términos que esta sección. Se entrega sin costo al Cliente B2B que lo solicite por escrito a [email protected], por medio de su representante legal o de una persona con rol de propietario de la cuenta, dentro de los diez (10) días hábiles siguientes a la solicitud.

Actualización de las medidas, con piso. Punsel puede actualizar o modificar las medidas anteriores para incorporar mejoras técnicas o responder a amenazas nuevas, siempre que el cambio no implique una disminución material del nivel de seguridad durante el período de suscripción vigente del Cliente B2B. Sin esta cláusula, cualquier ajuste técnico incumpliría el Acuerdo tal como está escrito; con ella, la enumeración de arriba y el Anexo Técnico de Seguridad siguen siendo exigibles y sólo pueden moverse hacia arriba.

Requerimientos de autoridad. Si una autoridad requiere a Punsel datos del Cliente B2B o de sus titulares, Punsel se obliga a notificárselo al Cliente B2B salvo que la ley se lo prohíba, a entregar únicamente lo estrictamente requerido y a impugnar los requerimientos desproporcionados o carentes de fundamento. ⚠️ Estos tres compromisos los asume Punsel: ninguna norma se los impone, y se publican para que el Responsable sepa con qué cuenta.

6. Notificación de incidentes de seguridad

En caso de que Punsel tenga conocimiento de un incidente de seguridad que afecte la confidencialidad, integridad o disponibilidad de los datos personales tratados por encargo del Cliente B2B, Punsel notificará al Cliente B2B en un plazo no mayor a 72 horas contadas desde el momento en que tenga conocimiento efectivo del incidente.

La notificación incluirá, como mínimo:

• naturaleza del incidente y vector de la afectación,
• categorías y volumen aproximado de datos personales afectados,
• medidas adoptadas o propuestas para contener el incidente,
• punto de contacto para coordinación adicional.

Los dos reportes son independientes, y no uno la consecuencia del otro. El artículo 18 literal k de la Ley 1581 de 2012 impone el reporte a la Superintendencia de Industria y Comercio (SIC) al Encargado, y la misma ley se lo impone por separado al Responsable. Son deberes autónomos de una ley estatutaria y no se reasignan por contrato: Punsel reporta por su cuenta y además notifica al Cliente B2B para que éste cumpla el suyo. Si el incidente ocurre y Punsel no reporta, responde Punsel aunque el Cliente B2B sí haya reportado.

Son también dos relojes distintos, y conviene no confundirlos. Las 72 horas del primer párrafo son una obligación contractual que Punsel asume frente al Cliente B2B; no son un plazo legal. El plazo ante la SIC es de quince (15) días hábiles contados desde que el incidente se detecta y se pone en conocimiento del área encargada de atenderlo, y corre por igual para el Responsable y para el Encargado.

7. Asistencia en derechos de los titulares

Punsel asistirá razonablemente al Cliente B2B para responder dentro de los plazos legales (artículos 14 y 15 de la Ley 1581) a las solicitudes de los titulares que ejerzan los derechos previstos en el artículo 8 de la misma ley: acceso, conocimiento, actualización, rectificación, supresión, revocatoria de la autorización y solicitud de prueba de la autorización otorgada.

El Cliente B2B, en su condición de Responsable, mantiene el control y la responsabilidad final sobre la respuesta al titular.

Eso no convierte a Punsel en un intermediario del Cliente. La Ley 1581 de 2012 permite al titular dirigirse al Responsable o al Encargado —usa esa disyunción en sus artículos 8, 14, 15, 16 y 18, sin ventanilla única ni orden de prelación—, y su artículo 18 impone al Encargado deberes propios: garantizar al titular, en todo tiempo, el ejercicio efectivo del habeas data, y tramitar las consultas y los reclamos que le formule. Punsel los asume frente al titular y no puede declinarlos remitiéndolo al Cliente.

Por eso [email protected]no es un canal interno: es el buzón al que puede escribir tanto el Cliente B2B —para coordinar una respuesta— como cualquier titular, de forma directa. Los plazos, la forma de contar cada uno y el traslado al Responsable cuando la resolución le corresponda a él están publicados en el Procedimiento PQRS.

Plazo de asistencia. Cuando para responderle a un titular el Cliente B2B necesite información que sólo Punsel tiene, Punsel se la entrega dentro de los cinco (5) días hábiles siguientes a la solicitud. El plazo se mide contra el que la ley le da al Responsable —diez o quince días hábiles según el carril, conforme al Procedimiento PQRS—: el compromiso de Punsel vence bastante antes para que el Responsable alcance a cumplir el suyo.

Ese plazo cubre la ENTREGA de información, y sólo eso. El Servicio no dispone hoy de una función que rectifique o suprima a un titular concreto: esas dos operaciones se ejecutan de forma manual y sin plazo comprometido. Se dice acá en vez de dejarlo implícito, por el mismo criterio con el que esta sección declara su frontera más abajo: acotar el compromiso a lo que tiene mecanismo es lo que impide publicar una garantía vacía.

Qué NO compromete esta sección, y se dice en vez de insinuarlo. Punsel no responde por el Cliente cuando éste no responde: no existe hoy una respuesta subsidiaria automática ni un mecanismo que bloquee cautelarmente el tratamiento comercial de un titular concreto mientras su solicitud se resuelve. Lo que sí existe es lo descrito arriba: la recepción directa, el trámite y el traslado dentro de su término. Declarar más sería publicar una garantía sin mecanismo.

8. Terminación del contrato y devolución de datos

A la terminación del contrato principal, por cualquier causa, Punsel ejecutará el siguiente procedimiento:

• (a) Entrega: el Cliente B2B dispondrá de noventa (90) días calendario contados desde la terminación efectiva para solicitar una copia de los datos personales tratados, escribiendo a [email protected]. El Servicio no dispone de una función de exportación ni de descarga masiva de datos y no se compromete un formato de archivo determinado: la copia se elabora de forma manual a partir de la solicitud escrita del Cliente B2B, con un plazo de respuesta de hasta quince (15) días calendario. La eliminación se ejecuta a partir del día ciento treinta y cinco (135) calendario contados desde el hecho que la origina —la baja de la cuenta solicitada por el Cliente B2B o el fin de la cobertura vigente—, y no desde la terminación del contrato, que es un momento distinto, conforme a la sección 9 de los Términos y Condiciones y a la Política de Retención y Supresión de Datos. Esa fecha es el primer día en que la eliminación puede ejecutarse, no una fecha máxima comprometida. La ejecución admite dos causas de suspensión, en los términos de esa misma Política: una solicitud en trámite cuyo plazo legal de respuesta vence después de esa fecha, con un tope de cuarenta y cinco (45) días calendario contados desde esa misma fecha, y una factura pendiente de cargar de un cobro efectivo del Cliente B2B, sin tope de días, que depende de un acto de Punsel y no del Cliente B2B.
• (b) Destrucción segura: la eliminación se ejecuta por anonimización irreversible de los datos personales en los sistemas productivos, no antes de la fecha indicada en el literal anterior y conforme al calendario descrito en la Política de Retención y Supresión de Datos, que detalla qué se elimina, qué se conserva y qué límites tiene la propagación a terceros. Las copias de respaldo se depuran en su propio ciclo de retención (sección 5), de modo que la eliminación puede tardar más en alcanzarlas.
• (c) Certificado: emitirá un certificado de destrucción de datos a solicitud escrita del Cliente B2B.
• (d) Información que subsiste a la eliminación: no se destruye ningún dato cuya conservación una norma imponga —la información contable de pagos y suscripciones y los soportes tributarios asociados—, ni aquel cuya conservación responde a una finalidad propia de Punsel. Los dos motivos son distintos: por el primero subsiste lo contable; por el segundo subsisten, entre otros, el registro de auditoría —un mínimo de dos (2) años, por finalidad de seguridad propia—, el historial de acumulaciones y redenciones del programa —seudonimizado y sin nombre, correo ni teléfono— y la lista de direcciones que solicitaron no recibir comunicaciones, que se conserva precisamente para no volver a contactarlas. La enumeración completa, con el motivo de cada caso, está en la Política de Retención y Supresión de Datos.

9. Derechos de auditoría

El Cliente B2B podrá solicitar a Punsel una auditoría del cumplimiento de las obligaciones del presente DPA, con un preaviso mínimo de treinta (30) días calendario y máximo una vez al año (salvo incidente material previo). Los costos de la auditoría serán a cargo del Cliente B2B, incluyendo los honorarios del auditor independiente y los recursos internos de Punsel dedicados al ejercicio.

Certificaciones de terceros — declaración honesta: Punsel no cuenta actualmente con certificaciones formales del tipo SOC 2 o ISO 27001. Cuando estas certificaciones sean obtenidas, Punsel podrá ofrecer el reporte de auditoría correspondiente como evidencia alternativa válida del cumplimiento, lo cual eximirá al Cliente B2B de ejercer su derecho de auditoría in situ salvo causa justificada.

Límites de la auditoría. El ejercicio está sujeto a las limitaciones razonables destinadas a proteger la seguridad, la confidencialidad y la disponibilidad de los sistemas de Punsel y los datos de los demás Clientes B2B. La plataforma es compartida: ninguna auditoría puede alcanzar información de un Cliente distinto del que la solicita.

Pruebas de intrusión — condiciones. Una auditoría puede incluir pruebas técnicas sobre el Servicio únicamente con la aprobación escrita previa de Punsel, que no está obligada a concederla. Aprobada, la prueba se sujeta a estas condiciones: preaviso con alcance y metodología; alcance y fechas pactados por escrito; sin denegación de servicio ni pruebas de estrés o carga; sin intentar acceder a datos de otros Clientes; sin interrupción del Servicio; sin ingeniería social, phishing ni pruebas de seguridad física; hallazgos entregados a Punsel de forma confidencial y vulnerabilidades reportadas sin demora. Punsel se reserva monitorear la prueba y suspenderla o terminarla si se aparta de lo pactado o compromete la operación.

Toda la información obtenida durante una auditoría queda sujeta a las obligaciones de confidencialidad del contrato principal y de este DPA, las cuales subsisten a la terminación.

10. Menores de edad

Las obligaciones del artículo 7 de la Ley 1581 de 2012 y del artículo 12 del Decreto 1377 de 2013 recaen sobre el Responsable, que es quien determina las finalidades del tratamiento y mantiene la relación con el titular. El Servicio no está dirigido a menores de edad.

Punsel aporta un único control: el formulario público de registro exige que la persona marque una casilla propia, obligatoria y desmarcada por defecto, en la que declara ser mayor de edad, y conserva la constancia de esa declaración con su fecha, su versión y la huella del texto. Ese control no verifica la edad de nadie: Punsel no solicita documento de identidad, no comprueba la edad por ningún otro medio y no recolecta el año de nacimiento (sección 3), de modo que no puede deducirla. Punsel no ofrece hoy ningún mecanismo para recoger la autorización del representante legal que exige el artículo 12 citado.

En consecuencia, si el Responsable advierte o es informado de que un titular es menor de edad, debe instruir su supresión por los canales de la sección 7. Punsel la ejecuta como cualquier otra instrucción documentada del Responsable.