Política de Retención y Supresión de Datos

1. Marco normativo y criterio: por qué existe un plazo

Esta política declara por cuánto tiempo Inversiones RM S.A.S. («Punsel») conserva cada categoría de dato, qué se elimina cuando ese tiempo se agota, qué se conserva pese a ello —los soportes contables por una obligación legal, y otros registros por una finalidad propia—, y cómo se avisa antes de eliminar. Es el documento al que remiten la sección 9 de los Términos y Condiciones y la sección 8 del Acuerdo de Tratamiento de Datos (DPA).

Qué exige la ley colombiana. El artículo 11 del Decreto 1377 de 2013 no fija un número: establece un estándar de razonabilidad — los datos se conservan por el «tiempo razonable y necesario» para la finalidad que justificó su recolección, atendiendo a los aspectos administrativos, contables, fiscales, jurídicos e históricos aplicables. Lo exigible, por lo tanto, no es un plazo concreto sino que el plazo esté declarado y sea justificable. El numeral 6 del artículo 13 del mismo decreto obliga además a informar el período de vigencia de la base de datos, y el artículo 9 aclara que la supresión no procede cuando el titular tiene un deber legal o contractual de permanecer en ella.

Dos niveles. Punsel organiza la retención en dos niveles con reglas distintas, porque los datos que los componen responden a obligaciones distintas:

• Nivel 1 — datos personales operativos. Los datos de los clientes finales inscritos en los programas de fidelidad y los datos identificantes de la cuenta del Cliente. Se eliminan cuando la cuenta deja de estar vigente, en el plazo de la sección 3.
• Nivel 2 — soportes contables y tributarios. Los comprobantes de pago y de suscripción. Se conservan durante los plazos que la ley exige, aunque el nivel 1 ya se haya eliminado (sección 8).

Ámbito temporal. Esta política se aplica a los hechos generadores descritos en la sección 2 que hayan ocurrido a partir del 14 de julio de 2026, fecha de puesta en funcionamiento del Servicio con Clientes. No quedan cuentas fuera de su alcance.

2. Cuándo empieza a correr el plazo

El plazo de la sección 3 empieza a correr desde uno de estos dos hechos, y sólo desde uno de ellos. Los dos no se comportan igual, y la diferencia importa:

• (a) La cobertura del plan venció y no se renovó. El plazo corre desde la fecha en que la cuenta quedó sin cobertura vigente. Es reversible: si la cuenta recupera cobertura vigente antes del día 90 —por un pago, por un crédito de referido o por una cortesía—, la eliminación no se ejecuta, se cancela sola y el Cliente no tiene que avisar nada.
• (b) El Cliente eliminó su cuenta. El plazo corre desde la fecha de esa solicitud. No es reversible: una vez pedida la eliminación de la cuenta, ningún hecho posterior —incluido un pago o una cobertura que siguiera vigente— detiene el plazo. El Servicio no dispone de un trámite de reactivación de cuentas eliminadas.

Mientras el plazo corre, la cuenta permanece en modo de solo lectura en el supuesto (a): los datos siguen ahí y el Cliente conserva el acceso para consultarlos.

3. Nivel 1 — plazo de conservación y ventana de ejecución

Contados desde el hecho generador de la sección 2, en días calendario:

Por qué el día 90 no es el día de la eliminación. El margen de 45 días entre el día 90 y el día 135 no es holgura administrativa: es lo que vuelve cumplible la promesa anterior. Una solicitud de copia presentada el último día de la ventana se responde, como muy tarde, el día 105 — antes de que se elimine nada; y una solicitud de las que trata la sección 11, aun con la prórroga que la ley admite, también alcanza a atenderse dentro de ese margen. Declarar el día 90 y ejecutar el 135 sin decirlo dejaría 45 días de retención no informada, que es justamente lo que el numeral 6 del artículo 13 del Decreto 1377 de 2013 obliga a declarar.

Por qué el día 135 se declara como un mínimo y no como un plazo cerrado. La eliminación se ejecuta a partir del día 135. Punsel garantiza que nada se elimine antes de ese día, y ése es el compromiso que asume; en cambio no compromete una fecha máxima, porque la ejecución no es instantánea y su momento exacto depende del volumen de cuentas pendientes. Declarar una ventana cerrada sería declarar un techo que ningún mecanismo impone.

Suspensión por una solicitud en trámite. Si antes de que la eliminación se ejecute Punsel recibe, por los canales publicados en la sección 11, una solicitud del Cliente o de un titular cuyo plazo legal de respuesta —incluidas las prórrogas que la ley admite— vence después del día 135, la eliminación queda suspendida hasta que ese trámite concluya. La suspensión existe para poder atender la solicitud: sin ella, el plazo de respuesta y la fecha de eliminación se cruzarían, y Punsel tendría que elegir entre incumplir uno u otro.

La otra causa: una factura pendiente de cargar. Cuando el Cliente registró al menos un cobro efectivo y su factura todavía no está cargada, la eliminación no se ejecuta hasta que lo esté; el motivo está en la sección 8. A diferencia de la causa anterior, ésta no tiene tope de días y depende de un acto de Punsel, no del Cliente. Tampoco cancela nada: la cuenta conserva su fecha y sus avisos, y la eliminación procede desde donde estaba apenas la copia se carga. Las cuentas sin ningún cobro efectivo no quedan alcanzadas.

La suspensión por una solicitud en trámite tiene cuatro límites que Punsel no se reserva la facultad de ampliar. Termina apenas concluye el trámite, sin esperar a que se agote ningún plazo. No puede prolongar la eliminación más allá de 45 días calendario contados desde el día 135 —un tope que no depende de la buena voluntad de nadie: la suspensión no puede superar 45 días en ningún caso—. Una misma solicitud suspende una sola vez: solicitudes sucesivas sobre el mismo objeto no reinician el conteo. Y no habilita ningún otro tratamiento: no reactiva la cuenta, no amplía el plazo para pedir la copia de la sección 3 y no permite usar los datos para nada distinto de atender esa solicitud.

Período de vigencia de la base de datos (nivel 1). Para los datos personales operativos, el período de vigencia de la base de datos es el que resulta de esta sección: mientras la cuenta esté vigente y, tras el hecho generador, hasta la ejecución de la eliminación dentro de la ventana declarada. El período aplicable al nivel 2 se declara en la sección 8.

4. Qué se elimina exactamente

La eliminación se ejecuta por anonimización irreversible: los campos que identifican a una persona se sobrescriben con valores neutros que no permiten reconstruir el original ni cruzarlo con ninguna otra base. Alcanza, entre otros, a:

• Los clientes finales inscritos en los programas de fidelidad del Cliente: nombre, correo electrónico, teléfono, el día y el mes del cumpleaños —sin el año— y tipo de dispositivo.
• Sus tarjetas de fidelidad digitales, que dejan de funcionar, y los dispositivos Apple que las tenían registradas para recibir actualizaciones.
• Los destinatarios de las campañas de correo del programa.
• Las sucursales del negocio y las invitaciones de equipo pendientes o consumidas.
• Las sesiones y los tokens de acceso, de recuperación de contraseña y de baja del resumen mensual de métricas.
• El nombre y la identidad visual del negocio —razón social mostrada, logotipo, colores, datos de contacto públicos, redes sociales y ubicación—, que se reemplazan por valores neutros. La página pública de registro del programa deja de estar disponible.
• El usuario propio del Cliente, únicamente si no participa en ningún otro negocio dentro de Punsel. Una cuenta de usuario es global: si la misma persona administra otro negocio, su usuario se conserva y lo que se elimina es su vínculo con el negocio purgado.

Fuera de la base de datos. El archivo del pase de Apple Wallet de cada tarjeta —que lleva impreso el nombre del titular— se borra del almacenamiento de objetos, y con él la imagen de cabecera que el negocio haya subido para personalizar su correo de bienvenida. El objeto correspondiente de Google Wallet se retira con el límite que declara la sección 7.

Frente a los clientes finales el Responsable es el Cliente, no Punsel: Punsel trata esos datos por encargo suyo. Si el Cliente necesita conservarlos o informar a sus clientes finales, debe hacerlo antes de la fecha de eliminación.

5. Qué no se elimina, y por qué

La eliminación del nivel 1 no alcanza a la información que se enumera a continuación. La enumeración describe lo que se conserva y el motivo de cada caso; no pretende ser exhaustiva.

• La correspondencia de una petición, queja o reclamo. Se conserva por cinco (5) años desde la respuesta, para acreditar que la solicitud se atendió y cubrir el término durante el cual pueden ejercerse o discutirse las acciones correspondientes. No vive dentro del Servicio: está en el correo corporativo, de modo que la eliminación que describe esta política no la alcanza y su supresión es un trabajo manual. El detalle está en el Procedimiento PQRS.
• El registro de auditoría de cumplimiento. Se conserva por un mínimo de dos (2) años, por finalidad de seguridad propia. Es un registro de sólo inserción: no se edita ni se borra. Incluye la dirección IP y el identificador del navegador desde los que se realizó cada operación, y no sólo las del panel de administración: también las de las páginas públicas —el registro de un cliente final, la descarga de su pase, la baja de nuestros correos y los intentos de acceso—. Los dos campos quedan vacíos, en cambio, en las operaciones que el sistema ejecuta por sí solo, sin que intervenga una persona.
• Las constancias de aceptación. Cada vez que alguien acepta un documento legal de Punsel —la política de privacidad, la política de tratamiento de datos, los términos del servicio, el acuerdo de tratamiento de datos—, acepta una autorización que pide el servicio para activar una función o declara ser mayor de edad, queda una constancia con la fecha y hora, la versión y la huella del texto que se le mostró y el identificador de la persona. Los términos y condiciones del programa de cada negocio funcionan distinto: la pantalla de inscripción los muestra y no hay casilla que marcar, así que la constancia dice que se mostró esa versión, no que se aceptó. La autorización para recibir comunicaciones comerciales no es una de ellas: se guarda con su fecha y hora junto al registro del cliente final. Sobrevive porque es la prueba de que el tratamiento fue lícito, y en la declaración de mayoría de edad es la única defensa posible si más adelante alguien alega que era menor. A diferencia del registro de auditoría, la dirección IP y el identificador del navegador de estas constancias sí se neutralizan: identifican a la persona y no acreditan qué fue lo aceptado. El plazo aplicable es de diez (10) años y el mecanismo que lo ejecute todavía no existe: hoy no se borran nunca, y la base de datos tiene revocado sobre ellas el permiso de borrado. Queda escrito para que el plazo sea una obligación pendiente y no una promesa cumplida.
• La información contable y de suscripción. Los pagos, las suscripciones, los períodos de cortesía otorgados y los créditos del programa de referidos, y la copia de la factura electrónica de cada cobro. Se conservan por las razones y durante los plazos de la sección 8.
• El historial de operaciones del programa. Las acumulaciones y las redenciones de puntos son registros de sólo inserción. Tras la eliminación conservan el importe, la fecha y los identificadores internos —ya seudonimizados— de la tarjeta y del cliente final, sin nombre, sin correo electrónico y sin teléfono: sostienen la trazabilidad contable de un programa de fidelidad sin identificar a nadie.
• La lista de direcciones que pidieron no recibir nuestros correos. Sobrevive deliberadamente: eliminarla sería rehabilitar el envío a quien pidió no ser contactado. Además no almacena la dirección de correo, sino un dato derivado de ella que permite reconocerla si vuelve a aparecer pero no leerla ni reconstruirla.
• El identificador de la dirección pública del programa se reemplaza, y queda bloqueado. El texto corto que el negocio eligió para su enlace de registro no se conserva: se sustituye por un valor neutro, porque se deriva del nombre comercial y conservarlo permitiría reconocer al negocio eliminado a partir de los registros contables que sí subsisten. El texto original queda registrado en una lista interna cuyo único uso es impedir que esa dirección se reasigne a otro negocio: un enlace ya distribuido nunca llevará a un negocio distinto del original. A cambio, ese enlace deja de resolver y responde como una página inexistente.

Los fundamentos de esta sección no son uno solo. La información contable y de suscripción se conserva por una obligación legal, en los términos del artículo 9 del Decreto 1377 de 2013 —desarrollado en la sección 9 de este documento— y por los plazos de la sección 8. Lo demás se conserva por una finalidad propia: el registro de auditoría por seguridad, las constancias de aceptación por su valor probatorio, el historial de operaciones —ya seudonimizado— por trazabilidad, la lista de bajas para no volver a contactar a quien pidió no serlo, y el identificador de la dirección pública para que un enlace ya distribuido no lleve nunca a otro negocio. Que esos registros no se puedan editar ni borrar es una restricción que Punsel se impuso sobre su propia base de datos.

6. Copias de respaldo: ciclo propio

Punsel mantiene copias de respaldo cifradas de la base de datos con un ciclo de retención propio: 30 días de copias diarias, 6 meses de copias semanales y 2 años de copias mensuales, y las copias previas a cada actualización de la base, con el mismo tope de dos (2) años.

Qué significa esto para la eliminación. Las copias de respaldo se depuran en su propio ciclo, de modo que la eliminación puede tardar más en alcanzarlas que a los sistemas en producción. Un dato que se restaure desde una copia de respaldo queda nuevamente sujeto a la eliminación descrita en esta política. Omitir este matiz volvería falsa a la política entera: una copia de seguridad no se puede reescribir selectivamente sin destruir su integridad y, con ella, su utilidad ante un incidente.

7. Límites declarados: qué no se propaga a terceros

La eliminación no tiene el mismo alcance en todos los servicios de terceros que intervienen en la prestación. Punsel declara estos límites en lugar de omitirlos:

• Google Wallet. El objeto de la tarjeta se desactiva en los servidores de Google, de modo que deja de funcionar y de recibir actualizaciones. Punsel no puede garantizar su borrado de la infraestructura de Google: la interfaz disponible permite cambiar su estado, no suprimirlo. El objeto no contiene el nombre ni el correo del cliente final.
  Además, la plantilla del programa que Punsel publicó en Google —que lleva el nombre comercial del negocio y su logotipo— no se retira ni se neutraliza: la supresión alcanza a los objetos de cada cliente, no a esa plantilla. Son datos del negocio, no del cliente final, pero se declaran acá porque sobreviven a la eliminación.
• Almacenamiento de objetos. El archivo del pase de Apple Wallet sí se borra, y también la imagen de cabecera que el negocio haya subido para personalizar su correo de bienvenida. En cambio, el logotipo del negocio, las imágenes del diseño de la tarjeta y las imágenes usadas en campañas de marketing no se borran: son material gráfico del negocio. Nada de lo que sobrevive en este almacenamiento contiene datos personales del titular.
• Copias de respaldo. Con el alcance y el desfase que describe la sección 6.
• Red de distribución y verificación anti-robot. La parte de los datos de red y de las señales de la verificación anti-robot que Cloudflare, Inc. trata como responsable —entre ellas, la dirección IP— no la alcanza la eliminación, y Punsel no tiene constancia de por cuánto tiempo la conserva ese proveedor.
• Proveedor de correo electrónico. Los mensajes ya entregados permanecen en el buzón de su destinatario y en los registros de entrega del proveedor, y Punsel no tiene constancia de por cuánto tiempo los conserva ese proveedor. La relación completa de terceros y de los datos que recibe cada uno se publica en el Anexo de Subencargados.

8. Nivel 2 — soportes contables y tributarios

Qué conserva Punsel en su propia base. De cada pago y de cada suscripción queda un registro de la operación: el importe, la moneda, el plan, la periodicidad, el período de suscripción que cubre, su estado, sus fechas y la referencia con la que la pasarela de pagos la identifica. Es soporte contable y tributario de Inversiones RM S.A.S., de modo que su conservación no depende de la vigencia de la cuenta ni de la voluntad del Cliente: se conserva durante los plazos que la ley exige, conforme al artículo 60 del Código de Comercio y al artículo 28 de la Ley 962 de 2005 —conservación de los libros y papeles del comerciante— y al artículo 632 del Estatuto Tributario, que ordena conservar las informaciones y pruebas relacionadas con la determinación de los impuestos. La eliminación de la sección 4 no lo borra: es una de las familias que enumera la sección 5.

Qué no contienen esos registros. No contienen los datos personales de los clientes finales del programa de fidelidad, que pertenecen al nivel 1 y se eliminan conforme a la sección 3. Tampoco contienen el nombre, el correo electrónico, el teléfono ni la dirección del Cliente ni de la persona que realizó el pago. Del instrumento con el que se pagó —número de tarjeta, cuenta o credenciales— Punsel no conserva ningún dato: se captura directamente en el entorno de la pasarela de pagos y no transita por los sistemas de Punsel. Sí queda registrado el tipo de medio de pago que la pasarela informa —por ejemplo, tarjeta, PSE o Nequi—, que se usa para la conciliación contable.

Tras la eliminación, el registro queda desvinculado. El registro de la operación no guarda por sí mismo la identidad del Cliente: la toma, por referencia, de la ficha del negocio. Ejecutada la eliminación de la sección 4, esa ficha deja de identificarlo —la razón social mostrada se reemplaza por un valor neutro; el logotipo, los colores, los datos de contacto públicos, las redes sociales y la ubicación quedan vacíos; y el identificador de la dirección pública del programa se sustituye, conforme a la sección 5—, de modo que una consulta sobre la información contable no devuelve la identidad del negocio al que corresponde.

Los importes no se modifican. La desvinculación alcanza a la identidad, nunca a las cifras: el importe, la moneda, el plan, el período y las fechas se conservan exactamente como quedaron registrados. Alterarlos destruiría el soporte contable que la ley obliga a conservar y falsearía los reportes agregados de ventas que Punsel elabora a partir de ellos, que es la segunda razón por la que este registro sobrevive a la eliminación.

Factura electrónica de venta. Su expedición y su transmisión a la Dirección de Impuestos y Aduanas Nacionales (DIAN) se tramitarán por un proveedor tecnológico externo y no ocurren acá; a la fecha de esta versión ese servicio todavía no está en operación, y cuando lo esté el proveedor se incorporará al Anexo de Subencargados. La conservación sí ocurre acá: Punsel guarda una copia en un contenedor privado, bajo su control y con el proveedor declarado en ese mismo Anexo, como soporte probatorio y contable. Sobrevive a la eliminación de la sección 4 por diseño: es el documento que conserva la identificación del contribuyente que exige el artículo 617 del Estatuto Tributario cuando la ficha del negocio deja de identificarlo, y por eso su carga es condición previa para eliminar a un Cliente que registró algún cobro efectivo. El plazo aplicable es de diez (10) años contados desde la fecha de cada comprobante —o el superior que resulte exigible por una obligación tributaria o legal aplicable—, y el mecanismo que lo ejecute todavía no existe: hoy esas copias no se borran nunca. Queda escrito para que el plazo sea una obligación pendiente y no una promesa cumplida.

Período de vigencia de la base de datos (nivel 2). Mientras el registro de la operación siga asociado a un Cliente identificable, el que resulta de los plazos legales citados en esta sección, contados conforme a las reglas de cada norma; Punsel no fija en esta política un plazo distinto ni más corto que el que la ley le impone. Ejecutada la eliminación de la sección 4, el registro queda desvinculado en los términos de esta sección y se conserva sin plazo, como cifra contable e insumo de los reportes agregados. La copia de la factura es la excepción y se rige por lo dicho arriba: no queda desvinculada —esa es su razón de ser— y su plazo sí está declarado. Anunciar acá una fecha de destrucción para esas cifras sería declarar algo que Punsel no hace y que la ley tampoco le exige.

9. Datos que se conservan aunque el titular pida la supresión

El titular puede solicitar en cualquier momento la supresión de sus datos, por el canal de la sección 11. Esa solicitud no procede, conforme al artículo 9 del Decreto 1377 de 2013, cuando el titular tenga un deber legal o contractual de permanecer en la base de datos, cuando la eliminación obstaculice actuaciones judiciales o administrativas vinculadas a obligaciones fiscales, o cuando los datos sean necesarios para proteger los intereses jurídicamente tutelados del titular o para cumplir una obligación legalmente adquirida. El artículo 11 del mismo decreto ordena, en el mismo sentido, atender los aspectos contables, fiscales y jurídicos al fijar el tiempo de conservación.

Esa es la razón por la que sobrevive la información contable y de suscripción de la sección 5: Punsel no puede eliminarla sin incumplir una obligación legal. El resto de lo que esa sección enumera sobrevive por otro motivo —una finalidad propia, descrita ahí mismo— y no porque una norma lo imponga: el registro de auditoría responde a la seguridad, y la lista de direcciones que pidieron no recibir nuestros correos existe precisamente para honrar esa petición, de modo que eliminarla sería rehabilitar el envío a quien pidió no ser contactado. En todo lo demás, la solicitud de supresión se atiende conforme a los plazos de la sección 11.

10. Avisos previos: un compromiso voluntario

Antes de ejecutar la eliminación, Punsel envía tres avisos por correo electrónico a las personas con rol de propietario activas en el negocio, en los días 30, 60 y 85 contados desde el hecho generador de la sección 2. Cada aviso identifica el negocio, la fecha del hecho, la ventana de eliminación y el canal para solicitar una copia.

Tres precisiones, para que el compromiso no se lea por encima de lo que es:

• No hay aviso en el momento del hecho. El primer correo de esta serie es el del día 30. Entre el hecho generador y ese día el Servicio no envía ninguna comunicación específica sobre la eliminación.
• Los avisos van al Cliente, no a sus clientes finales. Punsel no comunica esta eliminación a los clientes finales inscritos en el programa: frente a ellos el Responsable del tratamiento es el negocio, y es a éste a quien corresponde informarles si lo estima necesario.
• No existe un deber legal de preaviso. Ni la Ley 1581 de 2012 ni el Decreto 1377 de 2013 obligan a anunciar la supresión antes de ejecutarla. Punsel asume estos tres avisos como un compromiso voluntario, y lo declara como tal para no presentar como obligación legal algo que no lo es.

Que un aviso no llegue —por una dirección de correo que ya no existe, por un buzón lleno o porque el negocio no tiene ninguna persona con rol de propietario activa— no suspende ni prorroga el plazo: el deber legal de suprimir no puede quedar condicionado a la entrega de una comunicación voluntaria. Las únicas causas por las que este plazo se suspende son las dos descritas en la sección 3 —una solicitud en trámite y una factura pendiente de cargar—, y cada una opera por sí misma, no por el aviso.

11. Cómo pedir una copia y cómo pedir la supresión anticipada

Son dos canales distintos porque atienden dos derechos distintos, con plazos distintos. Conviene no confundirlos:

• Copia de la información de la cuenta. El Cliente puede solicitarla hasta el día 90 escribiendo a [email protected] desde la dirección de correo registrada en la cuenta. El plazo de respuesta es de hasta 15 días calendario. El Servicio no dispone de una función de exportación ni de descarga masiva de datos y no se compromete un formato de archivo determinado: la copia se elabora de forma manual a partir de la solicitud escrita. Una solicitud presentada después del día 90 está fuera de plazo y no alcanza a atenderse antes de la eliminación.
• Derechos del titular —consulta, actualización, rectificación, revocatoria de la autorización y supresión anticipada—. Se ejercen ante [email protected], conforme al procedimiento publicado en la página de PQRS.

El plazo de respuesta depende del carril al que corresponda la solicitud, y no del buzón al que se dirija. La página de PQRS los declara así:

• Consulta sobre datos personales: 10 días hábiles, prorrogables por 5 días hábiles más.
• Reclamo sobre datos personales: 15 días hábiles, prorrogables por 8 días hábiles más.
• Reclamación sobre la plataforma Punsel: 15 días hábiles, sin prórroga, y la respuesta se acompaña de las pruebas en que se sustenta.
• Reclamación sobre el programa de fidelidad: 15 días hábiles, sin prórroga, y la respuesta se acompaña de las pruebas en que se sustenta. La responde el negocio donde el titular se registró, que es quien crea y ofrece el programa.

Traslado cuando no nos corresponde resolver: cuando la solicitud debe resolverla el negocio, Punsel se la traslada en un término máximo de dos (2) días hábiles y le informa al titular a quién y cuándo.

El día desde el que se cuenta no es el mismo en todos los carriles: la consulta corre desde la fecha de recibo, el reclamo desde el día siguiente, y la reclamación de consumo desde la recepción. Cada uno con su cómputo está en la página de PQRS.

El cliente final inscrito en el programa de fidelidad de un negocio puede dirigir su solicitud a ese negocio, que es el Responsable del tratamiento de sus datos, o a la dirección de Habeas Data indicada arriba; en este segundo caso Punsel la tramita en su condición de encargado y la traslada al Responsable cuando corresponda. El detalle de esta distribución de roles está en la sección 2 del DPA y en la Política de Privacidad.