Política de Tratamiento de Datos Personales

v2.7 Actualizado: 26 de octubre de 2026Bucaramanga · Colombia

1. Marco normativo

La presente política de tratamiento de datos personales se rige por la Ley 1581 de 2012 (Régimen General de Protección de Datos Personales de Colombia), su Decreto Reglamentario 1377 de 2013 y el artículo 15 de la Constitución Política de Colombia (derecho fundamental al Habeas Data).

Para transferencias internacionales aplica la Circular Externa 005 de 2017 de la Superintendencia de Industria y Comercio (SIC), que declara a los Estados Unidos como país con nivel adecuado de protección de datos.

2. Responsable del tratamiento

El responsable del tratamiento de los datos personales de los clientes finales inscritos en un programa de fidelidad es el negocio que opera ese programa, quien determina las finalidades y los medios del tratamiento y mantiene la relación directa con el titular.

Inversiones RM S.A.S. (en adelante "Punsel"), identificada con NIT 901778029-0, con domicilio en Bucaramanga, Santander, Colombia, actúa como encargado del tratamiento y opera la plataforma web Punsel por cuenta de dicho negocio. Cuando la autorización del titular se recoge a través de la plataforma, Punsel la recoge en nombre y por cuenta del negocio asociado (sección 8).

Sin perjuicio de lo anterior, para el ejercicio de los derechos del titular, consultas o reclamos, Punsel pone a disposición el correo electrónico del Delegado de Protección de Datos (DPO): [email protected], conforme al procedimiento de la sección 7.

3. Principios rectores

Conforme al artículo 4 de la Ley 1581 de 2012, el tratamiento de datos personales por parte de Punsel se rige por los siguientes principios:

Legalidad — sujeto a las disposiciones legales vigentes.
Finalidad — acorde a una finalidad legítima informada al titular.
Libertad — previo consentimiento expreso e informado del titular.
Veracidad o calidad — datos veraces, completos y actualizados.
Transparencia — derecho del titular a obtener información del tratamiento.
Acceso y circulación restringida — tratamiento limitado a personas autorizadas.
Seguridad — medidas técnicas y administrativas para evitar adulteración, pérdida o acceso no autorizado.
Confidencialidad — reserva sobre los datos por parte de quienes intervienen en el tratamiento.

4. Tipos de datos tratados

Punsel recolecta y trata las siguientes categorías de datos personales de los clientes finales que se vinculan a un programa de fidelidad operado a través de la plataforma:

Datos de identificación: nombre completo y, opcionalmente, el día y el mes de su cumpleaños. No se recolecta el año de nacimiento.
Datos de contacto: correo electrónico y, opcionalmente, número telefónico.
Datos del programa de fidelidad: historial de puntos acumulados, redenciones realizadas, fecha de vinculación, negocio asociado.
Datos técnicos: dirección IP, agente de usuario (el identificador de su navegador), el tipo de dispositivo (iOS o Android), identificador del dispositivo Apple Wallet o Google Wallet, registros de acceso (logs).
Registro de consentimientos: fecha y hora de la aceptación de esta política, de la declaración de mayoría de edad (sección 12) y, cuando se haya otorgado, de la autorización separada para comunicaciones comerciales (sección 5). De las dos primeras se conserva además la versión y la huella del texto mostrado; de la autorización comercial sólo la fecha y la hora.

Punsel no recolecta datos sensibles (categoría definida en el artículo 5 de la Ley 1581/2012) salvo consentimiento expreso y escrito del titular para una finalidad específica.

5. Finalidades del tratamiento

Los datos personales se tratan para las siguientes finalidades:

Gestión de la participación del titular en el programa de fidelidad operado por el negocio asociado (alta, acumulación de puntos, redención de premios).
Emisión y entrega de la tarjeta digital de fidelidad en Apple Wallet (archivo .pkpass) y Google Wallet. Con el agente de usuario del navegador desde el que el titular se inscribe se identifica el tipo de dispositivo (iOS o Android). Ese dato se guarda en su registro, se actualiza si vuelve a inscribirse y se usa para mostrar el botón de la billetera que corresponde y para que el negocio vea, en la ficha del cliente, el estado de la tarjeta en la billetera.
Envío de comunicaciones transaccionales relacionadas con el programa (confirmación de registro, notificación de acumulación o redención, recordatorios de vencimiento).
Envío de comunicaciones comerciales y promocionales del negocio asociado (campañas de marketing, novedades y promociones del programa), únicamente cuando el titular otorgó una autorización separada y específica para esta finalidad. Esta autorización es opcional, no condiciona el registro ni la participación en el programa, se recoge mediante una casilla independiente y desmarcada por defecto (sección 8) y puede revocarse en cualquier momento. Si el titular no la otorga, no se le envían estas comunicaciones.
Para elegir a quién se envía una comunicación comercial, el negocio asociado puede aplicar, en el momento del envío, criterios sobre los datos del programa: el saldo de puntos, los puntos acumulados en total, la fecha de la última acumulación, la fecha de la última actividad o, si no la hubo, la de la vinculación al programa, haber realizado una redención, el programa al que pertenece la tarjeta y el día y el mes del cumpleaños. Estos criterios no asignan al titular un puntaje, un nivel ni una categoría. Para no repetir un envío se lleva un registro de cada uno, y no se envía a las direcciones cuyo titular pidió no ser contactado ni a las que el proveedor de correo reportó como rechazadas o como correo no deseado.
Generación de analítica agregada para el negocio asociado.
Cumplimiento de obligaciones legales, contables y contractuales.
Seguridad y prevención del abuso: control de la frecuencia de las peticiones, verificación anti-robot en el formulario público de registro de titulares y registro de auditoría de las operaciones sensibles. Para ello se tratan la dirección IP y el agente de usuario descritos en la sección 4.

No se construyen perfiles, puntajes ni categorías inferidas sobre los titulares. El negocio accede al historial de transacciones de sus clientes como parte de la operación del programa.

Punsel actúa como encargado del tratamiento para los negocios que operan programas de fidelidad sobre la plataforma; el responsable del tratamiento frente a los clientes finales es el negocio que recolectó la autorización inicial.

6. Derechos del titular

Conforme al artículo 8 de la Ley 1581 de 2012, el titular de los datos personales tiene los siguientes derechos:

Conocer, actualizar y rectificar sus datos personales.
Solicitar prueba de la autorización otorgada.
Ser informado, previa solicitud, respecto del uso que se le ha dado a sus datos personales.
Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la Ley 1581 de 2012.
Revocar la autorización y/o solicitar la supresión del dato cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.
Acceder en forma gratuita a sus datos personales que hayan sido objeto de tratamiento.

7. Procedimiento para el ejercicio de derechos

Para ejercer cualquiera de los derechos descritos, el titular debe remitir una solicitud al canal oficial [email protected], indicando: (i) nombre completo y documento de identificación; (ii) negocio al que pertenece su tarjeta de fidelidad; (iii) descripción clara y precisa de los hechos y la solicitud específica; (iv) dirección de notificación.

Plazos legales (Ley 1581 de 2012):

Consulta (Art. 14): atendida en un término máximo de 10 días hábiles contados a partir de la fecha de recibo, prorrogables hasta por cinco (5) días hábiles adicionales informando al interesado los motivos.
Reclamo (Art. 15): atendido en un término máximo de 15 días hábiles contados a partir del día siguiente a la fecha de su recibo, prorrogables hasta por ocho (8) días hábiles adicionales notificando al interesado los motivos.

8. Autorización del titular

La autorización para el tratamiento de datos personales por parte de Punsel se recolecta mediante alguno de los siguientes mecanismos:

Formulario de registro (signup) en la plataforma, con una casilla de aceptación expresa de la presente política. La autorización queda registrada con su fecha y hora en el momento del registro; no existe un paso posterior de confirmación por correo electrónico ni de doble verificación.
En ese mismo formulario, una casilla separada, opcional y desmarcada por defecto para autorizar el envío de comunicaciones comerciales (sección 5). No marcarla no impide el registro ni la participación en el programa de fidelidad.
Una tercera casilla, propia, desmarcada por defecto y obligatoria, en la que la persona declara ser mayor de edad: sin marcarla el registro no se completa. Su régimen está en la sección 12.
Mecanismo de revocación: los correos comerciales incluyen un enlace de baja que el titular puede utilizar en cualquier momento. Los correos estrictamente transaccionales del programa —como la entrega de la tarjeta de fidelidad— no incluyen ese enlace, por no ser comunicaciones comerciales y ser necesarios para la prestación del servicio solicitado. En todos los casos, el titular puede solicitar la revocación de su autorización al canal indicado en la sección 7.

El formulario de registro lo opera Punsel y su casilla remite a la presente política porque Punsel recoge la autorización en nombre y por cuenta del negocio que opera el programa, en su calidad de encargado del tratamiento (sección 2). El responsable del tratamiento de los datos así recolectados es ese negocio; la presente política describe las condiciones bajo las cuales Punsel los trata por encargo suyo.

9. Transferencia y transmisión internacional

La infraestructura de Punsel está alojada en servidores ubicados en los Estados Unidos (centro de datos operado por Hetzner Online GmbH). De acuerdo con la Circular Externa 005 de 2017 de la Superintendencia de Industria y Comercio, los Estados Unidos son considerados país con nivel adecuado de protección de datos, conforme al artículo 26 de la Ley 1581 de 2012.

No todos los terceros que reciben datos tienen el mismo rol: la mayoría los trata por cuenta de Punsel, como subencargados; las billeteras digitales los reciben por transferencia —con finalidades y retención propias, sin actuar bajo instrucciones de Punsel—; la pasarela de pagos es un Responsable independiente; y Cloudflare, Inc. recibe por transferencia, como responsable, la parte de los datos de red y de las señales de la verificación anti-robot que usa para proteger su red y mejorar sus servicios. La calificación de cada envío, con su fundamento, está en el anexo.

La relación vigente de esos terceros se publica en el Anexo de Subencargados, que indica para cada uno el país, el rol y el dato concreto que recibe. Ese anexo es la única fuente de la relación: esta política no la transcribe, para que una corrección no pueda quedar publicada a medias en unos documentos y no en otros.

No todos los subencargados de esa relación son internacionales. La pasarela de pagos Wompi — Bancolombia S.A. es una entidad colombiana, interviene únicamente en el cobro de la suscripción del negocio asociado y no trata datos de los clientes finales; su tratamiento no constituye una transferencia internacional ni se ampara en la Circular citada. Figura en el anexo por completitud, para que el listado describa la totalidad de los terceros que reciben datos y no sólo los que están en el exterior.

Cualquier modificación al listado de subprocesadores se notifica a los negocios responsables con un preaviso mínimo de treinta (30) días calendario, conforme a las cláusulas del Acuerdo de Procesamiento de Datos (DPA) suscrito.

10. Vigencia de la política y de la base de datos

Período de vigencia de la base de datos. En cumplimiento del numeral 6 del artículo 13 del Decreto 1377 de 2013, se informa que las bases de datos administradas por Inversiones RM S.A.S. tienen un período de vigencia escalonado por categoría de dato, y no un plazo único:

Datos personales operativos —los de los clientes finales inscritos en los programas de fidelidad y los de la cuenta del cliente empresarial—: se conservan mientras la cuenta esté vigente y, cuando deja de estarlo, hasta la ejecución de su eliminación, que ocurre a partir del día 135 calendario contados desde ese hecho —esa fecha es el primer día en que puede ejecutarse, no una fecha máxima comprometida—. La ejecución admite dos causas de suspensión, en los términos de la Política de Retención y Supresión de Datos: una solicitud en trámite cuyo plazo legal de respuesta vence después de esa fecha, con un tope de 45 días calendario contados desde esa misma fecha, y una factura pendiente de cargar de un cobro efectivo del negocio, sin tope de días, que depende de un acto de Punsel y no del negocio.
Registro de auditoría de cumplimiento: mínimo dos (2) años, por finalidad de seguridad propia.
Soportes contables y tributarios: durante los plazos que la ley exige (artículo 60 del Código de Comercio, artículo 28 de la Ley 962 de 2005 y artículo 632 del Estatuto Tributario).
Correspondencia de una petición, queja o reclamo —incluidos los documentos que el titular adjunte para acreditar su identidad—: cinco (5) años desde la respuesta. Vive en el correo corporativo y no dentro del Servicio; el detalle está en el Procedimiento PQRS.

El régimen completo —el hecho que hace correr el plazo, qué se elimina, qué subsiste y por qué, y cómo solicitar una copia o la supresión anticipada— se publica en la Política de Retención y Supresión de Datos, que forma parte integrante de la presente política.

Vigencia de esta política. La presente política se encuentra vigente a partir de su fecha de publicación (indicada en el encabezado de este documento). Cualquier modificación material será notificada a los titulares con un preaviso mínimo de quince (15) días calendario previo a su entrada en vigor, a la dirección de correo electrónico registrada.

El titular podrá, en cualquier momento, revocar la autorización otorgada y solicitar la supresión de sus datos cuando no se ajusten a los principios, derechos y garantías constitucionales y legales.

11. Quejas ante la Superintendencia de Industria y Comercio

Sin perjuicio del trámite directo de consultas y reclamos ante Punsel, el titular puede presentar quejas ante la Superintendencia de Industria y Comercio (SIC) cuando considere que se han infringido las disposiciones de la Ley 1581 de 2012 o el Decreto 1377 de 2013.

Canales SIC:

Dirección oficina principal: Carrera 13 # 27 – 00, Bogotá D.C., Colombia.
Conmutador: +57 (601) 587 0000.
Sitio web: www.sic.gov.co.
Página de protección de datos: sic.gov.co — protección de datos personales.

12. Menores de edad

El artículo 7 de la Ley 1581 de 2012 asegura el respeto de los derechos prevalentes de los niños, niñas y adolescentes y proscribe el tratamiento de sus datos personales, salvo los de naturaleza pública. El artículo 12 del Decreto 1377 de 2013 admite ese tratamiento cuando responde al interés superior del menor y respeta sus derechos fundamentales, y exige que la autorización la otorgue su representante legal, previo ejercicio del derecho del menor a ser escuchado.

Los programas de fidelidad operados a través de Punsel no están dirigidos a menores de edad. Para completar el registro, la persona debe marcar una casilla propia, desmarcada por defecto y separada de las demás, con el texto «Declaro que soy mayor de dieciocho (18) años.» Sin esa casilla el registro no se completa. De cada declaración queda una constancia —fecha y hora, versión y huella del texto declarado, identificador del titular— que sobrevive a la eliminación de la cuenta, en los términos de la sección 5 de la Política de Retención y Eliminación.

Esa declaración no verifica la edad de nadie. Punsel no solicita documento de identidad ni comprueba la edad por ningún otro medio, y tampoco recolecta el año de nacimiento (sección 4), de modo que el sistema no puede deducirla. La declaración es el único control de edad que existe, y es una manifestación de la propia persona.

Si un menor de edad quedó registrado, quien lo advierta puede informarlo al Delegado de Protección de Datos, [email protected], por el procedimiento de la sección 7: verificada la situación, sus datos se suprimen sin necesidad de reclamo previo. Punsel no ofrece hoy ningún mecanismo para recoger la autorización del representante legal del artículo 12 citado, de modo que la única forma de completar el registro es la declaración de mayoría de edad. Queda escrito para que esa ausencia sea una limitación declarada y no un supuesto del lector.