Política de Privacidad
1. Responsable del tratamiento
Inversiones RM S.A.S., identificada con NIT 901778029-0, con domicilio en Bucaramanga, Santander, Colombia, es la responsable del tratamiento de los datos personales de sus clientes empresariales (B2B) —incluidos los de sus representantes legales y usuarios autorizados de la cuenta— y de los visitantes del sitio web punsel.co.
Respecto de los clientes finales inscritos en un programa de fidelidad, Punsel no es responsable del tratamiento: actúa como encargado del tratamiento por cuenta del negocio que opera el programa, que es el responsable frente a esos titulares. El detalle se encuentra en la Política de Tratamiento de Datos Personales, enlazada en la sección 2.
El canal oficial de contacto del Delegado de Protección de Datos (DPO) para consultas, reclamos y ejercicio de derechos es: [email protected]. El teléfono de Inversiones RM S.A.S. es +57 317 893 5421.
2. Datos recolectados
Cuenta de empresa cliente (B2B): nombre legal, NIT, datos de contacto (correo electrónico, teléfono opcional) y datos del representante legal o usuarios autorizados de la cuenta.
Clientes finales del programa de fidelidad del cliente B2B: el detalle completo de las categorías, finalidades y derechos sobre los datos de los clientes finales del programa loyalty se encuentra en la Política de Tratamiento de Datos Personales, conforme Ley 1581/2012 y Decreto 1377/2013.
Datos de uso de la plataforma: registros (logs) que incluyen dirección IP, agente de usuario (user-agent), marcas temporales (timestamps), eventos técnicos de error y métricas anonimizadas de uso. Las finalidades para las que se tratan son las enumeradas en la sección 3.
3. Finalidad del tratamiento
Los datos personales se tratan con las siguientes finalidades:
- Provisión del Servicio: operación de la plataforma loyalty, habilitación del panel de administración, emisión del pase digital al cliente final, soporte y atención al cliente B2B, la participación del negocio en el Programa de Referidos entre negocios (sección 11 de los Términos) y el envío del resumen mensual de su programa a las personas de su equipo que el propietario elija o, mientras no haya elegido a nadie o todas las elegidas se hayan dado de baja, a las personas con rol de propietario (hasta tres), que pueden darse de baja de él.
- Cumplimiento legal y regulatorio: facturación, contabilidad, retención de comprobantes, atención de requerimientos de autoridad competente y cumplimiento del régimen de Habeas Data (Ley 1581/2012 y Decreto 1377/2013).
- Analítica agregada de producto: medición de uso anonimizada para mejora del Servicio.
- Seguridad y prevención del abuso: control de la frecuencia de las peticiones, verificación anti-robot del formulario público de registro de negocios, bloqueo temporal del acceso tras intentos fallidos de autenticación, registro de auditoría de las operaciones sensibles de la cuenta y el control antifraude del Programa de Referidos, que revisa la coincidencia de datos de identificación o de contacto entre el negocio que refiere y el referido. Para ello se tratan la dirección IP, el agente de usuario y los datos de contacto descritos en la sección 2, y, en la verificación anti-robot, las señales técnicas de la conexión que el navegador le entrega a Cloudflare (sección 6).
No se construyen perfiles, puntajes ni categorías inferidas sobre los titulares. El negocio accede al historial de transacciones de sus clientes como parte de la operación del programa.
4. Derechos del titular
Conforme al artículo 8 de la Ley 1581 de 2012, el titular de los datos personales tiene derecho a:
- Conocer, actualizar y rectificar sus datos personales.
- Solicitar prueba de la autorización otorgada para el tratamiento de sus datos.
- Ser informado, previa solicitud, sobre el uso que se le ha dado a sus datos personales.
- Revocar la autorización y/o solicitar la supresión de los datos cuando no se respeten los principios, derechos y garantías constitucionales y legales.
- Acceder de forma gratuita a sus datos personales.
- Presentar quejas ante la Superintendencia de Industria y Comercio (SIC) por infracción a la Ley 1581 de 2012.
El procedimiento detallado de ejercicio de estos derechos, los plazos legales aplicables (Art. 14 y 15 Ley 1581) y los canales de atención están descritos en la Política de Tratamiento de Datos Personales.
5. Seguridad de la información
Punsel aplica medidas técnicas y organizativas para proteger los datos personales contra acceso no autorizado, alteración, divulgación o destrucción. Las medidas técnicas incluyen, sin limitarse a:
- Cifrado en tránsito: TLS 1.2 o superior en todo el trayecto, con TLS 1.3 disponible en el borde para los clientes que lo soportan.
- Cifrado en reposo: las columnas sensibles se cifran en la capa de aplicación con un algoritmo de cifrado autenticado de 256 bits, con la clave custodiada fuera de la base de datos.
- Contraseñas: nunca se almacenan en texto plano; se protegen con una función de derivación de claves resistente a ataques por hardware.
- Sesiones: credenciales de corta duración, renovación con revocación y control de acceso por roles.
- Registro de auditoría: registro de sólo inserción en base de datos relacional, con retención mínima de dos (2) años por finalidad de seguridad propia.
- Respaldos: cifrados y fuera del servidor, con retención escalonada de 30 días / 6 meses / 2 años.
6. Transferencias internacionales de datos
Algunos de los terceros que reciben datos operan centros de datos en Estados Unidos. No todos tienen el mismo rol: la mayoría trata los datos por cuenta de Punsel, como subencargados; las billeteras digitales los reciben por transferencia —con finalidades y retención propias, sin actuar bajo instrucciones de Punsel—; la pasarela de pagos es un Responsable independiente; y Cloudflare, Inc. recibe por transferencia, como responsable, la parte de los datos de red y de las señales de la verificación anti-robot que usa para proteger su red y mejorar sus servicios. La calificación de cada envío, con su fundamento, está en el anexo que se cita abajo. Esa transferencia alcanza a los usuarios de las cuentas de negocio y a los visitantes del sitio, incluidos quienes cargan el formulario de inscripción de un programa sin llegar a inscribirse. Conforme a la Circular Externa 005 de 2017 de la Superintendencia de Industria y Comercio (SIC), Estados Unidos es considerado país con nivel adecuado de protección de datos personales.
La relación vigente de subencargados se publica en el Anexo de Subencargados, que indica para cada uno el país, el rol y el dato concreto que recibe. Ese anexo es la única fuente de la relación: esta política no la transcribe, para que una corrección no pueda quedar publicada a medias en unos documentos y no en otros.
No todos los subencargados implican una operación internacional. La pasarela de pagos Wompi — Bancolombia S.A. es una entidad colombiana y el tratamiento que realiza ocurre en Colombia, de modo que no constituye una transferencia internacional ni se ampara en la Circular citada. Figura en el anexo por completitud, para que el listado describa la totalidad de los terceros que reciben datos y no sólo los que están en el exterior.
8. Retención de datos
Este numeral resume los plazos de conservación. El régimen completo —qué se elimina exactamente, qué se conserva pese a la eliminación y por qué, los límites de propagación a terceros y cómo pedir una copia o la supresión anticipada— se publica en la Política de Retención y Supresión de Datos, que forma parte integrante de esta política.
La retención se organiza en dos niveles: un nivel operativo, que se elimina cuando la cuenta deja de estar vigente, y un nivel que no se elimina con ella. Dentro de este segundo nivel, la información contable se conserva porque una obligación legal lo exige (Decreto 1377 de 2013, artículos 9 y 11); el registro de auditoría y la lista de direcciones que pidieron no recibir nuestros correos se conservan por finalidad propia de Punsel —la seguridad de la plataforma y el respeto de esa misma solicitud—, no por un deber legal de conservación.
Nivel operativo — se elimina:
- Datos de la cuenta de empresa y de los clientes finales registrados en sus programas de fidelidad: se conservan mientras la cuenta esté vigente. Cuando el Cliente elimina su cuenta, o cuando el plan vence y la cuenta queda sin cobertura vigente, la eliminación o anonimización de los datos personales asociados se ejecuta a partir del día 135 calendario contados desde ese hecho. Esa fecha es el primer día en que la eliminación puede ejecutarse, no una fecha máxima comprometida. La ejecución admite dos causas de suspensión, en los términos de la Política de Retención y Supresión de Datos: una solicitud en trámite cuyo plazo legal de respuesta vence después de esa fecha, con un tope de 45 días calendario contados desde esa misma fecha, y una factura pendiente de cargar de un cobro efectivo del Cliente, sin tope de días, que depende de un acto de Punsel y no del Cliente. Hasta el día 90 el Cliente puede solicitar una copia de la información escribiendo a [email protected], con un plazo de respuesta de hasta 15 días calendario; el margen de 45 días entre el día 90 y el día 135 es el que permite atender una solicitud presentada el último día antes de que la eliminación corra. Antes de ejecutarla se envían tres avisos por correo electrónico a las personas con rol de propietario activas en el negocio. Una vez ejecutada, la eliminación no se puede deshacer.
- Registros operacionales (logs): treinta (30) días.
Segundo nivel — no se elimina con la cuenta:
- Información contable de pagos y suscripciones: se conserva por obligación legal durante los plazos que la ley exige, incluso después de que los datos operativos se hayan eliminado.
- Audit log de cumplimiento (Habeas Data): mínimo dos (2) años, por finalidad de seguridad propia.
- Lista de direcciones que solicitaron no recibir nuestros correos: se conserva precisamente para no volver a contactarlas.
Copias de respaldo: 30 días (copias diarias) + 6 meses (semanales) + 2 años (mensuales), y las copias previas a cada actualización de la base, con el mismo tope de dos (2) años. Las copias se depuran en su propio ciclo, de modo que la eliminación puede tardar más en alcanzarlas; un dato restaurado desde una copia vuelve a quedar sujeto a la eliminación descrita en este numeral.
9. Cambios a esta política
Los cambios sustanciales a la presente Política de Privacidad serán notificados con un preaviso mínimo de quince (15) días calendario a la dirección de correo electrónico registrada.
Los cambios menores o aclaratorios serán publicados directamente en esta página, con actualización del campo "Actualizado el" del encabezado. El uso continuado del Servicio con posterioridad a la publicación de cualquier cambio constituye aceptación tácita del mismo.