Política de Retención y Supresión de Datos

1. Marco normativo y criterio: por qué existe un plazo

Esta política declara por cuánto tiempo Inversiones RM S.A.S. («Punsel») conserva cada categoría de dato, qué se elimina cuando ese tiempo se agota, qué se conserva pese a ello porque una obligación legal lo exige, y cómo se avisa antes de eliminar. Es el documento al que remiten la sección 9 de los Términos y Condiciones y la sección 8 del Acuerdo de Tratamiento de Datos (DPA).

Qué exige la ley colombiana. El artículo 11 del Decreto 1377 de 2013 no fija un número: establece un estándar de razonabilidad — los datos se conservan por el «tiempo razonable y necesario» para la finalidad que justificó su recolección, atendiendo a los aspectos administrativos, contables, fiscales, jurídicos e históricos aplicables. Lo exigible, por lo tanto, no es un plazo concreto sino que el plazo esté declarado y sea justificable. El numeral 6 del artículo 13 del mismo decreto obliga además a informar el período de vigencia de la base de datos, y el artículo 9 aclara que la supresión no procede cuando el titular tiene un deber legal o contractual de permanecer en ella.

Dos niveles. Punsel organiza la retención en dos niveles con reglas distintas, porque los datos que los componen responden a obligaciones distintas:

• Nivel 1 — datos personales operativos. Los datos de los clientes finales inscritos en los programas de fidelidad y los datos identificantes de la cuenta del Cliente. Se eliminan cuando la cuenta deja de estar vigente, en el plazo de la sección 3.
• Nivel 2 — soportes contables y tributarios. Los comprobantes de pago y de suscripción. Se conservan durante los plazos que la ley exige, aunque el nivel 1 ya se haya eliminado (sección 8).

Ámbito temporal. Esta política se aplica a los hechos generadores descritos en la sección 2 que hayan ocurrido a partir del 14 de julio de 2026, fecha de puesta en funcionamiento del Servicio con Clientes. No quedan cuentas fuera de su alcance.

2. Cuándo empieza a correr el plazo

El plazo de la sección 3 empieza a correr desde uno de estos dos hechos, y sólo desde uno de ellos. Los dos no se comportan igual, y la diferencia importa:

• (a) La cobertura del plan venció y no se renovó. El plazo corre desde la fecha en que la cuenta quedó sin cobertura vigente. Es reversible: si la cuenta recupera cobertura vigente antes del día 90 —por un pago, por un crédito de referido o por una cortesía—, la eliminación no se ejecuta, se cancela sola y el Cliente no tiene que avisar nada.
• (b) El Cliente eliminó su cuenta. El plazo corre desde la fecha de esa solicitud. No es reversible: una vez pedida la eliminación de la cuenta, ningún hecho posterior —incluido un pago o una cobertura que siguiera vigente— detiene el plazo. El Servicio no dispone de un trámite de reactivación de cuentas eliminadas.

Mientras el plazo corre, la cuenta permanece en modo de solo lectura en el supuesto (a): los datos siguen ahí y el Cliente conserva el acceso para consultarlos.

3. Nivel 1 — plazo de conservación y ventana de ejecución

Contados desde el hecho generador de la sección 2, en días calendario:

Por qué la ventana y no una fecha única. El margen de 17 días entre el día 90 y el día 107 no es holgura administrativa: es lo que vuelve cumplible la promesa anterior. Una solicitud presentada el último día de la ventana se responde, como muy tarde, el día 105 — antes de que se elimine nada. Declarar el día 90 y ejecutar el 107 sin decirlo dejaría 17 días de retención no informada, que es justamente lo que el numeral 6 del artículo 13 del Decreto 1377 de 2013 obliga a declarar.

Período de vigencia de la base de datos (nivel 1). Para los datos personales operativos, el período de vigencia de la base de datos es el que resulta de esta sección: mientras la cuenta esté vigente y, tras el hecho generador, hasta la ejecución de la eliminación dentro de la ventana declarada. El período aplicable al nivel 2 se declara en la sección 8.

4. Qué se elimina exactamente

La eliminación se ejecuta por anonimización irreversible: los campos que identifican a una persona se sobrescriben con valores neutros que no permiten reconstruir el original ni cruzarlo con ninguna otra base. Alcanza, entre otros, a:

• Los clientes finales inscritos en los programas de fidelidad del Cliente: nombre, correo electrónico, teléfono, fecha de nacimiento y tipo de dispositivo.
• Sus tarjetas de fidelidad digitales, que dejan de funcionar, y los dispositivos Apple que las tenían registradas para recibir actualizaciones.
• Los destinatarios de las campañas de correo del programa.
• Las sucursales del negocio y las invitaciones de equipo pendientes o consumidas.
• Las sesiones y los tokens de acceso, de recuperación de contraseña y de baja del resumen mensual de métricas.
• El nombre y la identidad visual del negocio —razón social mostrada, logotipo, colores, datos de contacto públicos, redes sociales y ubicación—, que se reemplazan por valores neutros. La página pública de registro del programa deja de estar disponible.
• El usuario propio del Cliente, únicamente si no participa en ningún otro negocio dentro de Punsel. Una cuenta de usuario es global: si la misma persona administra otro negocio, su usuario se conserva y lo que se elimina es su vínculo con el negocio purgado.

Fuera de la base de datos. El archivo del pase de Apple Wallet de cada tarjeta —que lleva impreso el nombre del titular— se borra del almacenamiento de objetos. El objeto correspondiente de Google Wallet se retira con el límite que declara la sección 7.

Frente a los clientes finales el Responsable es el Cliente, no Punsel: Punsel trata esos datos por encargo suyo. Si el Cliente necesita conservarlos o informar a sus clientes finales, debe hacerlo antes de la fecha de eliminación.

5. Qué no se elimina, y por qué

La eliminación del nivel 1 no alcanza a la información que se enumera a continuación. La enumeración describe lo que se conserva y el motivo de cada caso; no pretende ser exhaustiva.

• El registro de auditoría de cumplimiento. Se conserva por un mínimo de dos (2) años en cumplimiento del literal b del artículo 17 de la Ley 1581 de 2012, que obliga al responsable a conservar la prueba de la autorización y de la actividad sobre los datos. Es un registro de sólo inserción: no se edita ni se borra. Incluye la dirección IP y el identificador del navegador desde los que se realizó cada operación en el panel de administración.
• La información contable y de suscripción. Los pagos, las suscripciones, los períodos de cortesía otorgados y los créditos del programa de referidos. Se conservan por las razones y durante los plazos de la sección 8.
• El historial de operaciones del programa. Las acumulaciones y las redenciones de puntos son registros de sólo inserción. Tras la eliminación conservan el importe, la fecha y los identificadores internos —ya seudonimizados— de la tarjeta y del cliente final, sin nombre, sin correo electrónico y sin teléfono: sostienen la trazabilidad contable de un programa de fidelidad sin identificar a nadie.
• La lista de direcciones que pidieron no recibir nuestros correos. Sobrevive deliberadamente: eliminarla sería rehabilitar el envío a quien pidió no ser contactado. Además no almacena la dirección de correo, sino una huella criptográfica de ella, que permite reconocerla si vuelve a aparecer pero no leerla ni reconstruirla.
• El identificador de la dirección pública del programa. El texto corto que el negocio eligió para su enlace de registro se conserva. Es un dato elegido por el negocio y no un dato del titular, y conservarlo cumple dos funciones: impide que esa dirección se reasigne a otro negocio y permite que quien abra un enlace ya distribuido reciba una respuesta correcta en vez de una página inexistente.

El fundamento jurídico de esta sección es el artículo 9 del Decreto 1377 de 2013, desarrollado en la sección 9 de este documento.

6. Copias de respaldo: ciclo propio

Punsel mantiene copias de respaldo cifradas de la base de datos con un ciclo de retención propio: 30 días de copias diarias, 6 meses de copias semanales y 2 años de copias mensuales.

Qué significa esto para la eliminación. Las copias de respaldo se depuran en su propio ciclo, de modo que la eliminación puede tardar más en alcanzarlas que a los sistemas en producción. Un dato que se restaure desde una copia de respaldo queda nuevamente sujeto a la eliminación descrita en esta política. Omitir este matiz volvería falsa a la política entera: una copia de seguridad no se puede reescribir selectivamente sin destruir su integridad y, con ella, su utilidad ante un incidente.

7. Límites declarados: qué no se propaga a terceros

La eliminación no tiene el mismo alcance en todos los servicios de terceros que intervienen en la prestación. Punsel declara estos límites en lugar de omitirlos:

• Google Wallet. El objeto de la tarjeta se desactiva en los servidores de Google, de modo que deja de funcionar y de recibir actualizaciones. Punsel no puede garantizar su borrado de la infraestructura de Google: la interfaz disponible permite cambiar su estado, no suprimirlo. El objeto no contiene el nombre ni el correo del cliente final.
  Además, la plantilla del programa que Punsel publicó en Google —que lleva el nombre comercial del negocio y su logotipo— no se retira ni se neutraliza: la supresión alcanza a los objetos de cada cliente, no a esa plantilla. Son datos del negocio, no del cliente final, pero se declaran acá porque sobreviven a la eliminación.
• Almacenamiento de objetos. El archivo del pase de Apple Wallet sí se borra. En cambio, el logotipo del negocio, las imágenes del diseño de la tarjeta y las imágenes usadas en campañas de marketing no se borran: son material gráfico del negocio y no contienen datos personales del titular.
• Copias de respaldo. Con el alcance y el desfase que describe la sección 6.
• Proveedor de correo electrónico. Los mensajes ya entregados permanecen en el buzón de su destinatario y en los registros de entrega del proveedor conforme a los plazos de éste. La relación completa de terceros y de los datos que recibe cada uno se publica en el Anexo de Subencargados.

8. Nivel 2 — soportes contables y tributarios

Los comprobantes de los pagos y de las suscripciones son soportes contables y tributarios de Inversiones RM S.A.S., y su conservación no depende de la vigencia de la cuenta ni de la voluntad del Cliente. Se conservan durante los plazos que la ley exige, conforme al artículo 60 del Código de Comercio y al artículo 28 de la Ley 962 de 2005 —conservación de los libros y papeles del comerciante— y al artículo 632 del Estatuto Tributario, que ordena conservar las informaciones y pruebas relacionadas con la determinación de los impuestos.

Estos soportes identifican a Inversiones RM S.A.S. y a su contraparte contractual —el Cliente— y contienen el importe, el plan, el período facturado y la referencia de la transacción. No contienen los datos personales de los clientes finales del programa de fidelidad, que pertenecen al nivel 1 y se eliminan conforme a la sección 3. Del instrumento de pago utilizado, Punsel no conserva ningún dato: la pasarela de pagos es quien lo procesa.

Período de vigencia de la base de datos (nivel 2). El de los plazos legales citados en esta sección, contados conforme a las reglas de cada norma. Punsel no fija en esta política un plazo distinto ni más corto que el que la ley le impone.

9. Datos que se conservan aunque el titular pida la supresión

El titular puede solicitar en cualquier momento la supresión de sus datos, por el canal de la sección 11. Esa solicitud no procede, conforme al artículo 9 del Decreto 1377 de 2013, cuando el titular tenga un deber legal o contractual de permanecer en la base de datos, cuando la eliminación obstaculice actuaciones judiciales o administrativas vinculadas a obligaciones fiscales, o cuando los datos sean necesarios para proteger los intereses jurídicamente tutelados del titular o para cumplir una obligación legalmente adquirida. El artículo 11 del mismo decreto ordena, en el mismo sentido, atender los aspectos contables, fiscales y jurídicos al fijar el tiempo de conservación.

Esa es la razón por la que la información de la sección 5 sobrevive a la eliminación. Punsel no la conserva por conveniencia operativa: la conserva porque no puede eliminarla sin incumplir otra obligación. En todo lo demás, la solicitud de supresión se atiende conforme a los plazos de la sección 11.

10. Avisos previos: un compromiso voluntario

Antes de ejecutar la eliminación, Punsel envía tres avisos por correo electrónico a las personas con rol de propietario activas en el negocio, en los días 30, 60 y 85 contados desde el hecho generador de la sección 2. Cada aviso identifica el negocio, la fecha del hecho, la ventana de eliminación y el canal para solicitar una copia.

Tres precisiones, para que el compromiso no se lea por encima de lo que es:

• No hay aviso en el momento del hecho. El primer correo de esta serie es el del día 30. Entre el hecho generador y ese día el Servicio no envía ninguna comunicación específica sobre la eliminación.
• Los avisos van al Cliente, no a sus clientes finales. Punsel no comunica esta eliminación a los clientes finales inscritos en el programa: frente a ellos el Responsable del tratamiento es el negocio, y es a éste a quien corresponde informarles si lo estima necesario.
• No existe un deber legal de preaviso. Ni la Ley 1581 de 2012 ni el Decreto 1377 de 2013 obligan a anunciar la supresión antes de ejecutarla. Punsel asume estos tres avisos como un compromiso voluntario, y lo declara como tal para no presentar como obligación legal algo que no lo es.

Que un aviso no llegue —por una dirección de correo que ya no existe, por un buzón lleno o porque el negocio no tiene ninguna persona con rol de propietario activa— no suspende ni prorroga el plazo: el deber legal de suprimir no puede quedar condicionado a la entrega de una comunicación voluntaria.

11. Cómo pedir una copia y cómo pedir la supresión anticipada

Son dos canales distintos porque atienden dos derechos distintos, con plazos distintos. Conviene no confundirlos:

• Copia de la información de la cuenta. El Cliente puede solicitarla hasta el día 90 escribiendo a [email protected] desde la dirección de correo registrada en la cuenta. El plazo de respuesta es de hasta 15 días calendario. El Servicio no dispone de una función de exportación ni de descarga masiva de datos y no se compromete un formato de archivo determinado: la copia se elabora de forma manual a partir de la solicitud escrita. Una solicitud presentada después del día 90 está fuera de plazo y no alcanza a atenderse antes de la eliminación.
• Derechos del titular —consulta, actualización, rectificación, revocatoria de la autorización y supresión anticipada—. Se ejercen ante [email protected], conforme al procedimiento y a los plazos publicados en la página de PQRS: 15 días hábiles para peticiones generales, 10 días hábiles para consultas —prorrogables por 5 días hábiles más— y 15 días hábiles para reclamos —prorrogables por 8 días hábiles más—.

El cliente final inscrito en el programa de fidelidad de un negocio puede dirigir su solicitud a ese negocio, que es el Responsable del tratamiento de sus datos, o a la dirección de Habeas Data indicada arriba; en este segundo caso Punsel la tramita en su condición de encargado y la traslada al Responsable cuando corresponda. El detalle de esta distribución de roles está en la sección 2 del DPA y en la Política de Privacidad.