Anexo de Subencargados
1. Qué es este anexo y qué documentos lo incorporan
Este anexo publica la relación vigente de los terceros que reciben o conservan datos personales con ocasión de la prestación del Servicio. La mayoría lo hace por cuenta de Punsel, como subencargados (también llamados subprocesadores); otros los reciben con finalidades propias, y la sección 2 califica cada envío. Para cada uno se indica el país, la función que cumple y qué dato concreto recibe.
Qué significa «titular» en este anexo. Titular es la persona natural a la que se refieren los datos personales (artículo 3 de la Ley 1581 de 2012). En el Servicio hay dos grupos distintos y este anexo los nombra por separado siempre que la diferencia importe: los clientes finales, que se inscriben en el programa de fidelidad de un negocio y cuyos datos Punsel trata por encargo de ese negocio —que es el Responsable—, y los usuarios del Cliente B2B, las personas que administran o atienden el negocio dentro del panel. Cuando una fila de la tabla se refiere a uno solo de los dos grupos, lo dice con ese nombre y no con la palabra «titular».
Es la única fuente. Los siguientes documentos incorporan esta relación por remisión y no la transcriben, de modo que una corrección se hace en un solo lugar y no puede quedar a medias:
- La sección 4 del Acuerdo de Tratamiento de Datos (DPA).
- La sección 6 de la Política de Privacidad.
- La sección 9 de la Política de Tratamiento de Datos Personales.
Criterio de selección. Punsel sólo recurre a un subencargado cuando la función es necesaria para prestar el Servicio y no puede resolverse con infraestructura propia (alojamiento, entrega de correo, distribución de las tarjetas en las billeteras digitales, cobro de la suscripción y diagnóstico de errores). Cada uno recibe únicamente los datos que su función requiere; el detalle está en la sección 2.
2. Relación vigente de subencargados
A la fecha indicada en el encabezado de este documento, Punsel utiliza siete (7) proveedores. La tabla los desglosa en doce (12) filas: el proveedor de red aporta seis, porque presta cinco funciones diferenciadas y la de red se publica en dos filas, una por cada calificación. Cada función expone los datos de una forma distinta: agruparlas bajo una sola calificación describiría mal a cuatro de ellas.
Cómo leer la columna «Calificación». No es una etiqueta administrativa: decide qué régimen legal se aplica a cada envío.
- Transmisión — el proveedor trata los datos por cuenta de Punsel y bajo sus instrucciones, sin finalidades propias sobre ellos. Se rige por el contrato de transmisión del artículo 25 del Decreto 1377 de 2013.
- Transmisión de datos cifrados — igual que la anterior, con una diferencia que importa: lo que el proveedor recibe está cifrado y él no tiene la clave. Se declara como categoría propia y no como «datos no personales»: el estándar colombiano de determinabilidad no contempla una exención expresa por cifrado, y afirmar la propiedad fuerte sería prometer de más.
- Transferencia — el destinatario trata los datos con finalidades y retención propias, no bajo instrucciones de Punsel. Se rige por el artículo 26 de la Ley 1581 de 2012, y aquí se ampara en que el país de destino está declarado de nivel adecuado.
- Responsable independiente — el destinatario decide por sí mismo sobre el tratamiento, y responde de él frente al titular.
Lo que esta tabla todavía NO acredita, y se dice en vez de simularlo. El artículo 25 exige que la transmisión conste en un contrato, y el artículo 26 exige un instrumento para la transferencia cuando no hay nivel adecuado. Punsel opera con los términos y acuerdos de tratamiento estándar de cada proveedor, aceptados al contratar el servicio, pero no conserva constancia de la versión ni de la fecha de cada uno, de modo que este documento no publica ese dato. Publicar una referencia contractual que no se puede acreditar sería peor que declarar el hueco. La acreditación de cada instrumento queda pendiente y se incorporará a esta tabla cuando exista. El acuerdo de tratamiento de datos de Cloudflare cubre sólo lo que trata como encargado; la parte que trata como responsable —la de la fila de seguridad propia de la red y la de mejora de Turnstile— se rige por su propia política de privacidad y no la cubre ese acuerdo.
| Proveedor | País | Rol | Qué dato recibe | Calificación | Fundamento |
|---|---|---|---|---|---|
| Hetzner Online GmbH | Alemania — datacenter en Estados Unidos | Infraestructura de cómputo y almacenamiento de la plataforma. | La base de datos alojada en esta infraestructura constituye el registro principal de los datos personales tratados por encargo del Cliente B2B. Los demás subencargados de esta lista reciben o conservan copias parciales, en el alcance descrito para cada uno; en particular, las copias de respaldo cifradas de la base de datos se guardan fuera de esta infraestructura, en Cloudflare R2. | Transmisión | Artículo 25 del Decreto 1377 de 2013: trata los datos por cuenta de Punsel, sin finalidades propias sobre ellos. |
| Cloudflare, Inc. — red (CDN y DNS) | Estados Unidos | Red de distribución de contenido y DNS autoritativo. | La totalidad del tráfico HTTP del Servicio atraviesa este borde, que termina la conexión del navegador y abre una conexión cifrada independiente hacia la infraestructura de Punsel. En consecuencia, procesa no sólo la dirección IP del visitante, sino también el contenido de las peticiones y de las respuestas, incluidos los datos personales que el titular introduce en los formularios. | Transmisión | Artículo 25 del Decreto 1377 de 2013, para el contenido que transita por su red y para los registros de tráfico que pone a disposición de Punsel. Se califica así porque ve el contenido en claro: al terminar la conexión cifrada, esta función excede el simple paso de paquetes y expone datos personales. |
| Cloudflare, Inc. — red: seguridad propia y mejora de sus servicios | Estados Unidos | Protección de su red y de sus clientes frente a actividad maliciosa, y mejora de sus servicios. Es una finalidad propia de Cloudflare. | De toda persona que se conecta al sitio público, al panel o a la API, datos de red, entre ellos la dirección IP, los datos de enrutamiento del tráfico y la información de configuración del sistema. Incluye a los clientes finales cuando se inscriben, cuando descargan su pase y cuando Apple Wallet pide una actualización. | Transferencia | Artículo 26 de la Ley 1581 de 2012, con el nivel adecuado de la sección 3. Cloudflare se declara responsable de los datos personales de quienes visitan los sitios de sus clientes, salvo los registros que pone a disposición del cliente y el contenido que transita por su red (Política de Privacidad de Cloudflare, vigente desde el 4 de noviembre de 2025, sección 6). Cloudflare no publica por cuánto tiempo conserva esos datos. |
| Cloudflare, Inc. — almacenamiento de objetos (R2) | Estados Unidos | Almacenamiento de archivos del Servicio. | Residen aquí los archivos .pkpass de Apple Wallet, las imágenes de marca del negocio y de sus programas —incluida la cabecera de su correo de bienvenida— y las de las campañas de marketing. El pase contiene datos del titular —entre ellos su nombre—, de modo que almacenarlo es un tratamiento pleno y no un simple depósito de archivos. | Transmisión | Artículo 25 del Decreto 1377 de 2013: los pases se conservan en claro y por cuenta de Punsel. |
| Cloudflare, Inc. — almacenamiento de facturas (R2) | Estados Unidos | Almacenamiento de la copia de la factura electrónica de venta que Punsel expide al Cliente. | Recibe el documento electrónico, un archivo con formato PDF que contiene los datos de identificación del adquirente y del emisor y el detalle de la operación. Se guarda en un contenedor privado, sin dirección pública: la descarga la intermedia el propio Servicio. Es el único de estos contenedores cuyo contenido sobrevive por diseño a la eliminación de la cuenta, en los términos de la sección 8 de la Política de Retención. | Transmisión | Artículo 25 del Decreto 1377 de 2013: el documento se conserva en claro y por cuenta de Punsel. |
| Cloudflare, Inc. — copias de respaldo (R2) | Estados Unidos | Almacenamiento de las copias de respaldo de la base de datos. | Las copias se cifran antes de salir de la infraestructura de Punsel, con una clave que el proveedor no tiene; para el proveedor, el contenido es un archivo opaco. | Transmisión de datos cifrados | Artículo 25 del Decreto 1377 de 2013, con la salvedad de la columna anterior. No se declara «dato no personal»: el estándar colombiano de determinabilidad no contempla una exención expresa por cifrado. |
| Cloudflare, Inc. — verificación anti-robot (Turnstile) | Estados Unidos | Verificación anti-robot de los formularios públicos de registro de clientes finales y de registro de negocios. | Al cargar el formulario, el navegador del visitante le entrega señales técnicas de su conexión, entre ellas la dirección IP, la huella de la conexión cifrada (TLS), el agente de usuario del navegador y la clave del sitio con su origen. Al enviar el formulario, Punsel le transmite el código de un solo uso que genera la verificación y la dirección IP. | Transmisión, para la verificación que Cloudflare presta a Punsel. Transferencia, para mejorar la detección de robots de Turnstile, que es una finalidad propia de Cloudflare. | Transmisión: artículo 25 del Decreto 1377 de 2013. Transferencia: artículo 26 de la Ley 1581 de 2012, con el nivel adecuado de la sección 3. Cloudflare se declara encargado de las señales que trata para prestar el servicio y responsable de las que trata para mejorarlo (Anexo de Privacidad de Turnstile, actualizado el 18 de junio de 2025). Cloudflare no publica por cuánto tiempo conserva esas señales, y Punsel no tiene constancia de ese plazo. |
| Postmark (Wildbit, LLC) | Estados Unidos | Único proveedor de correo electrónico del Servicio. Procesa la totalidad de los correos: tanto los transaccionales (alta del titular, entrega del pase, notificaciones operacionales) como los de campañas de marketing, enviados por canales (streams) separados. | Recibe la dirección de correo del destinatario, el asunto y el contenido del mensaje. En los correos transaccionales ese contenido incluye el nombre con el que se saluda al titular; las campañas de marketing no se personalizan con su nombre. Junto con cada envío se transmiten identificadores internos de correlación del envío. El pase digital no viaja como archivo adjunto: el correo de entrega transporta un enlace de descarga personal, de modo que ese enlace forma parte del contenido que Postmark procesa. | Transmisión, con reserva | Artículo 25 del Decreto 1377 de 2013. La reserva es real y se declara: la calificación depende de que el proveedor no use esos datos para finalidades propias, y Punsel no tiene constancia de por cuánto tiempo el proveedor conserva los registros de entrega ni de qué uso propio hace de ellos. |
| Google LLC | Estados Unidos | Google Wallet. Punsel crea en los servidores de Google un objeto de fidelidad por cada tarjeta emitida y lo actualiza cuando cambia el saldo de puntos o el estado de la tarjeta y, si el negocio activó la geolocalización de la tarjeta, cuando cambia esa configuración o la ubicación de sus sucursales. | Esa creación ocurre en el momento del registro del titular y no está condicionada al dispositivo: se realiza igualmente cuando el titular declara un dispositivo Apple o no declara ninguno. El contenido transmitido está deliberadamente minimizado: el identificador de la tarjeta, el saldo y los contadores del programa, su estado, el código QR, los textos e imágenes que configura el negocio y, si el negocio activó la geolocalización de la tarjeta, coordenadas geográficas (latitud y longitud) de sus sucursales; los datos de marca y, si el negocio los publica en la tarjeta, sus datos de contacto, una vez por programa. No se transmiten a Google el nombre, el correo electrónico ni el teléfono del titular. | Transferencia | Artículo 26 de la Ley 1581 de 2012, con el nivel adecuado de la sección 3. No es una transmisión: el destinatario conserva el objeto de fidelidad en su propia billetera, con sus términos y su retención, y no actúa bajo instrucciones de Punsel. |
| Apple Inc. | Estados Unidos | Servicio de notificaciones push (APNs) del pase de Apple Wallet. | El archivo .pkpass se genera y se firma en la infraestructura de Punsel; a Apple se transmite únicamente el token push del dispositivo que registró el pase, con el fin de avisarle que debe solicitar una versión actualizada. El contenido del pase no viaja por este canal. | Transferencia | Artículo 26 de la Ley 1581 de 2012, con el nivel adecuado de la sección 3. Misma razón que la fila anterior: el destinatario opera su propia billetera con finalidades y retención propias. |
| Wompi — Bancolombia S.A. | Colombia | Pasarela de pagos utilizada exclusivamente para el cobro de la suscripción al Cliente B2B; no trata datos de los clientes finales. | Recibe la referencia del pago, el importe, la moneda y el correo electrónico del usuario del Cliente B2B que inicia la transacción. El botón de pago se carga como un componente de Wompi dentro del panel, de modo que el navegador de ese usuario se conecta directamente a los dominios de Wompi y esta recibe además su dirección IP y la información técnica de su navegador. Los datos del medio de pago se capturan directamente en el entorno de Wompi y no transitan por los sistemas de Punsel: del instrumento con el que se pagó —número de tarjeta, cuenta o credenciales— Punsel no conserva ningún dato. De la transacción sí registra la referencia, el identificador que Wompi le asigna, el estado, el importe, la moneda, las fechas, el plan y el período de suscripción que el pago cubre, y el tipo de medio de pago que Wompi informa (por ejemplo, tarjeta, PSE o Nequi), que se usa para la conciliación contable. Al operar en Colombia, este tratamiento no constituye una transferencia internacional y se incluye en este listado por completitud. | Responsable independiente | Tratamiento en Colombia: no hay operación internacional y no se ampara en la Circular citada en la sección 3. El destinatario decide por sí mismo sobre los datos del medio de pago y responde de ellos. |
| Sentry (Functional Software, Inc.) | Estados Unidos | Registro de errores de la aplicación. | El componente está configurado para no adjuntar de forma automática los datos personales que puede recolectar del contexto de la petición (entre ellos la dirección IP y las cookies del visitante), y un filtro propio suprime, antes del envío, el cuerpo de la petición, las cabeceras Authorization, Cookie y Set-Cookie, la cadena de consulta y el segmento secreto de las rutas que transportan un token (descarga del pase y baja de comunicaciones); ese mismo filtro descarta las excepciones de negocio esperadas, que no se transmiten. Los eventos que sí se envían pueden incluir identificadores internos (del negocio, del usuario del Cliente B2B y de correlación), la ruta solicitada, el texto y el rastro de ejecución de la excepción, y un número limitado de líneas de registro previas al error, incorporadas como contexto. | Transmisión | Artículo 25 del Decreto 1377 de 2013: recibe los eventos por cuenta de Punsel y para diagnosticar el Servicio. |
Punsel no utiliza ningún otro proveedor para el tratamiento de datos personales de los titulares. En particular, no se emplean servicios de terceros para analítica web ni para publicidad, conforme se detalla en la Política de Cookies.
3. Ubicación de la infraestructura y transferencia internacional
La infraestructura principal de Punsel —cómputo y base de datos operacional— está alojada en servidores ubicados en los Estados Unidos (centro de datos operado por Hetzner Online GmbH, sociedad alemana). El resto de los componentes del Servicio se ejecuta en la infraestructura de los subencargados descritos en la sección anterior.
De acuerdo con la Circular Externa 005 de 2017 de la Superintendencia de Industria y Comercio, los Estados Unidos son considerados país con nivel adecuado de protección de datos, conforme al artículo 26 de la Ley 1581 de 2012.
No todos los subencargados de esta lista implican una operación internacional.Wompi — Bancolombia S.A. es una entidad colombiana y el tratamiento que realiza ocurre en Colombia: por lo tanto no constituye una transferencia internacional y no se ampara en la Circular citada. Figura en la relación por completitud, para que el listado describa la totalidad de los terceros que reciben datos y no sólo los que están en el exterior.
Y los envíos al exterior no siguen todos la misma vía. Los calificados como transmisión en la tabla de la sección anterior se realizan en el marco de la relación de encargo descrita en el Acuerdo de Tratamiento de Datos (DPA): esos destinatarios tratan los datos por cuenta de Punsel y bajo sus instrucciones.
Los calificados como transferencia —las dos billeteras digitales y la parte de los datos de red y de las señales de la verificación anti-robot que Cloudflare, Inc. usa, como responsable, para proteger su red y mejorar sus servicios— no se amparan en esa relación, y decirlo importa: esos destinatarios tratan los datos con sus propias finalidades y su propia retención, y no actúan bajo instrucciones de Punsel. Se amparan en el nivel adecuado declarado más arriba, conforme al artículo 26 de la Ley 1581 de 2012.
Qué significa esto para el titular, y las dos billeteras no se comportan igual. Cuando el titular pide a Punsel que elimine sus datos, en la billetera de Google Punsel marca la tarjeta como inactiva en los servidores del proveedor; en la de Apple, en cambio, el archivo del pase ya está en el dispositivo del titular y Punsel no puede retirarlo de ahí: lo que hace es borrar la copia que conserva y dejar de enviarle actualizaciones, de modo que la tarjeta queda en el teléfono, congelada, hasta que su dueño la elimine. En ninguno de los dos casos Punsel controla lo que el proveedor de la billetera haya guardado por su cuenta ni por cuánto tiempo. El alcance exacto de lo que sí se elimina está publicado en la Política de Retención y Supresión de Datos.
4. Historial de versiones de este anexo
Toda modificación de la relación de subencargados queda registrada acá, con la fecha y el motivo del cambio.
| Versión | Fecha | Qué cambió y por qué |
|---|---|---|
| 2.5 | 2026-11-05 | La tarjeta de Google Wallet puede incluir la ubicación de sucursales del negocio, sin proveedor nuevo ni otra calificación. |
| 2.4 | 2026-10-26 | La verificación anti-robot se extiende al registro de negocios. El formulario público de registro de negocios pasa a usar la verificación anti-robot de Cloudflare (Turnstile), que este anexo ya listaba para el formulario de registro de clientes finales, con las mismas señales, la misma calificación y el mismo fundamento. No se agrega ningún proveedor. |
| 2.3 | 2026-10-24 | Corrección de la calificación de Cloudflare. Este anexo decía que Cloudflare trata por cuenta de Punsel, sin finalidades propias, los datos de red y, con una reserva, las señales de Turnstile. La propia Cloudflare declara que es responsable de la parte que usa para su seguridad y para mejorar sus servicios. Esa parte se califica ahora como transferencia, con su finalidad. Los flujos no son nuevos: desde su publicación inicial (versión 2.0), este anexo ya nombraba a Cloudflare como proveedor de la red y de la verificación anti-robot (Turnstile). El 21 de octubre de 2026 se envió un aviso a los dueños de las cuentas. Además, se retira la mención del Web Application Firewall; se retira la ciudad del centro de datos y se conservan el país, el operador y el fundamento; el dato que recibe cada proveedor se publica en categorías que lo siguen nombrando; y se reparan las dos filas anteriores de este historial. |
| 2.2 | 2026-09-01 | La fila del almacenamiento de objetos (R2) nombra, entre las imágenes de marca, la cabecera del correo de bienvenida del negocio. Se ensancha el género que ya estaba, sin fila nueva ni calificación distinta. |
| 2.1 | 2026-08-20 | Calificación jurídica de cada envío. La relación deja de colgar entera de una sola vía: cada envío lleva ahora su calificación y su fundamento. Las dos billeteras digitales pasan de tratarse como encargo a declararse transferencia —conservan la tarjeta con sus propios términos y su propia retención—, y la pasarela de pagos queda como Responsable independiente. El proveedor de red se separa en sus cinco funciones, porque cada una expone los datos de una forma distinta y una de ellas —las copias de respaldo— viaja cifrada sin que el proveedor tenga la clave. Entre ellas se publica un flujo nuevo: el almacenamiento de la copia de la factura electrónica de venta que Punsel expide al Cliente, en un contenedor privado y por cuenta de Punsel. Es el único de estos envíos cuyo contenido sobrevive a la eliminación de la cuenta. Se declara además, con esas palabras, que Punsel no conserva constancia de la versión ni de la fecha del instrumento suscrito con cada proveedor, y por eso este anexo no publica ese dato. Los proveedores no cambian; sí se suma ese flujo y el dato nuevo que lleva. En todo lo demás, lo que cambia es la calificación del envío. |
| 2.0 | 2026-08-08 | Publicación inicial del anexo como fuente única. Se retira Microsoft Corporation, que figuraba como proveedor de correo electrónico transaccional (Office 365 SMTP) y había dejado de serlo: desde el 4 de julio de 2026 el único proveedor de correo del Servicio es Postmark. Se incorporan cuatro subencargados que recibían datos y no estaban declarados: Google LLC (Google Wallet), Apple Inc. (notificaciones del pase), Wompi — Bancolombia S.A. (cobro de la suscripción) y Sentry (Functional Software, Inc.) (registro de errores). Se precisa además qué dato concreto recibe cada proveedor, y se aclara que el tratamiento de Wompi no es una transferencia internacional. |