Política de Tratamiento de Datos Personales

1. Marco normativo

La presente política de tratamiento de datos personales se rige por la Ley 1581 de 2012 (Régimen General de Protección de Datos Personales de Colombia), su Decreto Reglamentario 1377 de 2013 y el artículo 15 de la Constitución Política de Colombia (derecho fundamental al Habeas Data).

Para transferencias internacionales aplica la Circular Externa 005 de 2017 de la Superintendencia de Industria y Comercio (SIC), que declara a los Estados Unidos como país con nivel adecuado de protección de datos.

2. Responsable del tratamiento

El responsable del tratamiento de los datos personales de los clientes finales inscritos en un programa de fidelidad es el negocio que opera ese programa, quien determina las finalidades y los medios del tratamiento y mantiene la relación directa con el titular.

Inversiones RM S.A.S. (en adelante "Punsel"), identificada con NIT 901778029-0, con domicilio en Bucaramanga, Santander, Colombia, actúa como encargado del tratamiento y opera la plataforma web Punsel por cuenta de dicho negocio. Cuando la autorización del titular se recoge a través de la plataforma, Punsel la recoge en nombre y por cuenta del negocio asociado (sección 8).

Sin perjuicio de lo anterior, para el ejercicio de los derechos del titular, consultas o reclamos, Punsel pone a disposición el correo electrónico del Delegado de Protección de Datos (DPO): [email protected], conforme al procedimiento de la sección 7.

3. Principios rectores

Conforme al artículo 4 de la Ley 1581 de 2012, el tratamiento de datos personales por parte de Punsel se rige por los siguientes principios:

• Legalidad — sujeto a las disposiciones legales vigentes.
• Finalidad — acorde a una finalidad legítima informada al titular.
• Libertad — previo consentimiento expreso e informado del titular.
• Veracidad o calidad — datos veraces, completos y actualizados.
• Transparencia — derecho del titular a obtener información del tratamiento.
• Acceso y circulación restringida — tratamiento limitado a personas autorizadas.
• Seguridad — medidas técnicas y administrativas para evitar adulteración, pérdida o acceso no autorizado.
• Confidencialidad — reserva sobre los datos por parte de quienes intervienen en el tratamiento.

4. Tipos de datos tratados

Punsel recolecta y trata las siguientes categorías de datos personales de los clientes finales que se vinculan a un programa de fidelidad operado a través de la plataforma:

• Datos de identificación: nombre completo y, opcionalmente, fecha de nacimiento.
• Datos de contacto: correo electrónico y, opcionalmente, número telefónico.
• Datos del programa de fidelidad: historial de puntos acumulados, redenciones realizadas, fecha de vinculación, negocio asociado.
• Datos técnicos: dirección IP, identificador del dispositivo Apple Wallet o Google Wallet, registros de acceso (logs).
• Registro de consentimientos: fecha y hora en que el titular aceptó la presente política y, cuando la haya otorgado, fecha y hora de la autorización separada para recibir comunicaciones comerciales (sección 5).

Punsel no recolecta datos sensibles (categoría definida en el artículo 5 de la Ley 1581/2012) salvo consentimiento expreso y escrito del titular para una finalidad específica.

5. Finalidades del tratamiento

Los datos personales se tratan para las siguientes finalidades:

• Gestión de la participación del titular en el programa de fidelidad operado por el negocio asociado (alta, acumulación de puntos, redención de premios).
• Emisión y entrega de la tarjeta digital de fidelidad en Apple Wallet (archivo .pkpass) y Google Wallet.
• Envío de comunicaciones transaccionales relacionadas con el programa (confirmación de registro, notificación de acumulación o redención, recordatorios de vencimiento).
• Envío de comunicaciones comerciales y promocionales del negocio asociado (campañas de marketing, novedades y promociones del programa), únicamente cuando el titular otorgó una autorización separada y específica para esta finalidad. Esta autorización es opcional, no condiciona el registro ni la participación en el programa, se recoge mediante una casilla independiente y desmarcada por defecto (sección 8) y puede revocarse en cualquier momento. Si el titular no la otorga, no se le envían estas comunicaciones.
• Generación de analítica agregada y anonimizada para el negocio asociado, sin perfilamiento individual.
• Cumplimiento de obligaciones legales, contables, contractuales y de seguridad de la información.

Punsel actúa como encargado del tratamiento para los negocios que operan programas de fidelidad sobre la plataforma; el responsable del tratamiento frente a los clientes finales es el negocio que recolectó la autorización inicial.

6. Derechos del titular

Conforme al artículo 8 de la Ley 1581 de 2012, el titular de los datos personales tiene los siguientes derechos:

• Conocer, actualizar y rectificar sus datos personales.
• Solicitar prueba de la autorización otorgada.
• Ser informado, previa solicitud, respecto del uso que se le ha dado a sus datos personales.
• Presentar quejas ante la Superintendencia de Industria y Comercio por infracciones a la Ley 1581 de 2012.
• Revocar la autorización y/o solicitar la supresión del dato cuando en el tratamiento no se respeten los principios, derechos y garantías constitucionales y legales.
• Acceder en forma gratuita a sus datos personales que hayan sido objeto de tratamiento.

7. Procedimiento para el ejercicio de derechos

Para ejercer cualquiera de los derechos descritos, el titular debe remitir una solicitud al canal oficial [email protected], indicando: (i) nombre completo y documento de identificación; (ii) negocio al que pertenece su tarjeta de fidelidad; (iii) descripción clara y precisa de los hechos y la solicitud específica; (iv) dirección de notificación.

Plazos legales (Ley 1581 de 2012):

• Consulta (Art. 14): atendida en un término máximo de 10 días hábiles contados a partir de la fecha de recibo, prorrogables hasta por cinco (5) días hábiles adicionales informando al interesado los motivos.
• Reclamo (Art. 15): atendido en un término máximo de 15 días hábiles contados a partir del día siguiente a la fecha de su recibo, prorrogables hasta por ocho (8) días hábiles adicionales notificando al interesado los motivos.

8. Autorización del titular

La autorización para el tratamiento de datos personales por parte de Punsel se recolecta mediante alguno de los siguientes mecanismos:

• Formulario de registro (signup) en la plataforma, con una casilla de aceptación expresa de la presente política. La autorización queda registrada con su fecha y hora en el momento del registro; no existe un paso posterior de confirmación por correo electrónico ni de doble verificación.
• En ese mismo formulario, una casilla separada, opcional y desmarcada por defecto para autorizar el envío de comunicaciones comerciales (sección 5). No marcarla no impide el registro ni la participación en el programa de fidelidad.
• Mecanismo de revocación: las comunicaciones comerciales incluyen un enlace de baja que el titular puede utilizar en cualquier momento. Los correos estrictamente transaccionales del programa —como la entrega de la tarjeta de fidelidad— no incluyen ese enlace, por no ser comunicaciones comerciales y ser necesarios para la prestación del servicio solicitado. En todos los casos, el titular puede solicitar la revocación de su autorización al canal indicado en la sección 7.

El formulario de registro lo opera Punsel y su casilla remite a la presente política porque Punsel recoge la autorización en nombre y por cuenta del negocio que opera el programa, en su calidad de encargado del tratamiento (sección 2). El responsable del tratamiento de los datos así recolectados es ese negocio; la presente política describe las condiciones bajo las cuales Punsel los trata por encargo suyo.

9. Transferencia y transmisión internacional

La infraestructura de Punsel está alojada en servidores ubicados en los Estados Unidos (Virginia, Ashburn — datacenter operado por Hetzner Online GmbH). De acuerdo con la Circular Externa 005 de 2017 de la Superintendencia de Industria y Comercio, los Estados Unidos son considerados país con nivel adecuado de protección de datos, conforme al artículo 26 de la Ley 1581 de 2012.

La relación vigente de encargados / subencargados se publica en el Anexo de Subencargados, que indica para cada uno el país, el rol y el dato concreto que recibe. Ese anexo es la única fuente de la relación: esta política no la transcribe, para que una corrección no pueda quedar publicada a medias en unos documentos y no en otros.

No todos los subencargados de esa relación son internacionales. La pasarela de pagos Wompi — Bancolombia S.A. es una entidad colombiana, interviene únicamente en el cobro de la suscripción del negocio asociado y no trata datos de los clientes finales; su tratamiento no constituye una transferencia internacional ni se ampara en la Circular citada. Figura en el anexo por completitud, para que el listado describa la totalidad de los terceros que reciben datos y no sólo los que están en el exterior.

Cualquier modificación al listado de subprocesadores se notifica a los negocios responsables con un preaviso mínimo de treinta (30) días calendario, conforme a las cláusulas del Acuerdo de Procesamiento de Datos (DPA) suscrito.

10. Vigencia de la política y de la base de datos

Período de vigencia de la base de datos. En cumplimiento del numeral 6 del artículo 13 del Decreto 1377 de 2013, se informa que las bases de datos administradas por Inversiones RM S.A.S. tienen un período de vigencia escalonado por categoría de dato, y no un plazo único:

• Datos personales operativos —los de los clientes finales inscritos en los programas de fidelidad y los de la cuenta del cliente empresarial—: se conservan mientras la cuenta esté vigente y, cuando deja de estarlo, hasta la ejecución de su eliminación, que ocurre entre el día 90 y el día 107 calendario contados desde ese hecho. Esa ventana admite una única causa de suspensión —una solicitud en trámite cuyo plazo legal de respuesta vence después de su cierre—, acotada y con un tope máximo, en los términos de la Política de Retención y Supresión de Datos.
• Registro de auditoría de cumplimiento: mínimo dos (2) años, conforme al literal b del artículo 17 de la Ley 1581 de 2012.
• Soportes contables y tributarios: durante los plazos que la ley exige (artículo 60 del Código de Comercio, artículo 28 de la Ley 962 de 2005 y artículo 632 del Estatuto Tributario).

El régimen completo —el hecho que hace correr el plazo, qué se elimina, qué subsiste y por qué, y cómo solicitar una copia o la supresión anticipada— se publica en la Política de Retención y Supresión de Datos, que forma parte integrante de la presente política.

Vigencia de esta política. La presente política se encuentra vigente a partir de su fecha de publicación (indicada en el encabezado de este documento). Cualquier modificación material será notificada a los titulares con un preaviso mínimo de quince (15) días calendario previo a su entrada en vigor, a través del correo electrónico registrado o de un aviso destacado en la plataforma.

El titular podrá, en cualquier momento, revocar la autorización otorgada y solicitar la supresión de sus datos cuando no se ajusten a los principios, derechos y garantías constitucionales y legales.

11. Quejas ante la Superintendencia de Industria y Comercio

Sin perjuicio del trámite directo de consultas y reclamos ante Punsel, el titular puede presentar quejas ante la Superintendencia de Industria y Comercio (SIC) cuando considere que se han infringido las disposiciones de la Ley 1581 de 2012 o el Decreto 1377 de 2013.

Canales SIC:

• Dirección oficina principal: Carrera 13 # 27 – 00, Bogotá D.C., Colombia.
• Conmutador: +57 (601) 587 0000.
• Sitio web: www.sic.gov.co.
• Página de protección de datos: sic.gov.co — protección de datos personales.