Tarjeta de fidelización y RGPD: lo que un comercio debe saber

La escena llega siempre en el mismo momento. El cliente ha escaneado el QR, tiene delante la pantalla para añadir la tarjeta y levanta la cabeza. «Y tú qué guardas, exactamente?» Si dudas, no la añade. La buena noticia es que la respuesta cabe en una frase, siempre que la lleves preparada.

En Digikart, una tarjeta de fidelización contiene un identificador de tarjeta, que no dice nada de quien la lleva, un saldo de sellos o de puntos y las fechas de cada visita. Si cuentas puntos según el importe gastado, el importe de cada visita se guarda con ella y aparece en tus estadísticas y en tu exportación. A eso se suma el monedero utilizado, Apple o Google, y, una vez instalada la tarjeta, el registro del dispositivo en el servicio de notificaciones. Pueden añadirse tres campos más, y solo si el cliente los rellena él mismo: su nombre, su teléfono (para que lo reconozcan en caja sin escanear) y su fecha de nacimiento, que solo aparece si has activado la recompensa de cumpleaños. Cada uno figura como opcional en la pantalla de alta. No se recoge ningún dato bancario y nunca se registra el detalle de los artículos comprados: incluso conectada al TPV, solo suben la referencia del tique y su importe.

La comparación con la tarjeta de un supermercado aclara el asunto. Allí, el código de barras de cada producto de la cesta queda unido a la ficha del cliente, y por eso esos programas acaban mandando ofertas de las marcas que realmente compras. Todo lo que va unido a una persona identificable es dato personal, así que todo eso es información que el cliente puede reclamar. Una tarjeta de sellos no llega tan lejos: cuenta visitas y, como mucho, lo que valían, nunca el contenido de la cesta. Cuanto menos recoges, menos tienes que explicar, conservar y proteger.

El RGPD exige que cada tratamiento de datos se apoye en una base legal, elegida entre las que él mismo prevé. La palabra asusta, la realidad mucho menos: para una tarjeta de fidelización, la base más natural es la ejecución del contrato. Vale siempre que el tratamiento sea objetivamente necesario para cumplirlo, y aquí lo es: el cliente ha pedido la tarjeta, tú le prometes una recompensa a las diez visitas, contar esas visitas es necesario para mantener la promesa. No hay casilla que marcar para eso. Los campos opcionales quedan fuera de ese marco: el teléfono y la fecha de nacimiento no sirven para contar, se apoyan en lo que el cliente acepta dar, y puede pedirte que los quites sin perder su tarjeta.

Lo que cambia de naturaleza es todo lo que sale del programa. Enviar un mensaje comercial que no tiene nada que ver con la tarjeta es publicidad, y ahí entra en juego un segundo bloque de normas: el artículo 21 de la LSSI, la ley de servicios de la sociedad de la información. La regla general es que las comunicaciones comerciales por correo electrónico o medio equivalente necesitan consentimiento previo, y hay que conservar la prueba. La excepción es estrecha: si ya existía una relación contractual y obtuviste los datos lícitamente en ella, puedes enviar publicidad de productos o servicios tuyos similares a los contratados, siempre que ofrezcas una forma sencilla y gratuita de oponerse, tanto al recoger los datos como en cada comunicación. Alquilar o compartir tu fichero con un socio sigue la misma lógica, y todavía más en serio.

La regla práctica cabe en una línea. Todo lo que sirve a la tarjeta (contar, avisar de que una recompensa está lista, recordar un saldo) viaja con la tarjeta. Todo lo que habla de otra cosa merece una pregunta hecha al cliente, por separado, y un rastro de su respuesta.

Es la obligación más fácil de cumplir y la más olvidada. Hay que informar en el mismo momento y en el mismo medio en que se recogen los datos, no después y no solo si preguntan. La AEPD lo resuelve con un modelo por capas: una información básica, corta, allí donde se recogen los datos, y el resto en un medio más cómodo de leer.

La primera capa dice quién eres, para qué tratas los datos, con qué base legal, si va a haber cesiones y cómo ejercer los derechos. La segunda, en tu web o en un enlace, desarrolla lo demás: datos de contacto, plazos de conservación, destinatarios, cómo ejercer acceso, rectificación, supresión y portabilidad, cómo retirar el consentimiento y el derecho a reclamar ante la AEPD. Con una tarjeta Wallet, ese mostrador es la página de alta que se abre tras escanear el QR, y esa página no muestra tu aviso en tu lugar: sigue siendo cosa tuya, en el cartel junto a la caja y en tu web.

En concreto: unas líneas en el cartel de mostrador, lo mismo en tu web si la tienes, y una frase que tu personal sepa decir. No es un contrato de abogado, es un texto que el cliente debe poder leer en diez segundos con el móvil en una mano.

El RGPD no fija ninguna duración universal. El principio de limitación del plazo de conservación dice otra cosa: los datos se guardan mientras sirven a la finalidad para la que se recogieron, y cuando esa finalidad se agota hay que suprimirlos o anonimizarlos. Te toca a ti fijar el plazo, escribirlo y contarlo a tus clientes.

Para una tarjeta de fidelización, el final de la relación comercial es la última visita. Tres años sin volver es una línea defendible en un comercio de barrio, y nada te impide elegir dos o cinco. Lo que cuenta es que el número esté escrito y se aplique de verdad. Un plazo respetado vale más que un fichero que nunca se vacía.

Hacerlo lleva cinco minutos una vez al año. En Digikart, la lista de clientes muestra la fecha de la última visita: localizas a los inactivos y los eliminas. La eliminación borra la ficha, el saldo y el historial de visitas, y retira el registro del dispositivo del servicio de notificaciones. Dos precisiones útiles. La tarjeta ya instalada sigue visible en el móvil del cliente, porque ni Apple ni Google permiten retirarla a distancia, pero ya no se escanea ni se actualiza. Y si estás conectado al TPV, las líneas de cobro se conservan por contabilidad: el artículo 30 del Código de Comercio obliga a guardar libros y justificantes seis años, y las facturas hay que conservarlas durante el plazo de prescripción tributaria, cuatro años. La LOPDGDD llama a esto bloqueo: los datos quedan reservados y fuera de uso, solo disponibles para exigir responsabilidades, hasta que prescriben y se destruyen.

Dos derechos destacan porque son los que los clientes usan de verdad. El derecho de acceso: saber qué tienes sobre ellos. El derecho de supresión: pedir que desaparezca. Hay que responder sin dilación indebida y como máximo en un mes desde la solicitud. Ese plazo puede ampliarse en dos meses más si la solicitud es compleja o si llegan varias, siempre que avises a la persona, y le expliques por qué, dentro del primer mes.

Responder no es copiar el contenido de la ficha. La respuesta debe recoger los fines del tratamiento, las categorías de datos, los destinatarios, el plazo de conservación, los demás derechos de la persona y su derecho a reclamar ante la AEPD. Y decirle al cliente que ya lo sabe, porque los datos se los dio él, no es una respuesta.

Queda una confusión que conviene conocer, porque aparece a menudo. Un cliente que borra la tarjeta de su Wallet ha quitado la tarjeta de su móvil, no su línea de tu fichero. Si quiere la supresión tiene que pedírtela, y eres tú quien borra. Más vale decírselo en el momento en que añade la tarjeta.

Una tarjeta Wallet puede mostrar un mensaje en el móvil de quien la lleva. Ni SMS, ni correo, ni número que haya que conocer: el mensaje pasa por la propia tarjeta. Es muy práctico, y es justo ahí donde se patina.

El canal no es la cuestión, el contenido sí. «Tu recompensa está lista» habla de la tarjeta que el cliente pidió. «Gran liquidación el sábado» es publicidad. La LSSI habla de correo electrónico y de otros medios de comunicación electrónica equivalentes, así que un aviso promocional se acerca bastante a esa frontera como para tratarlo igual. Y en la práctica, una notificación de más rara vez acaba en denuncia: acaba en tarjeta borrada, que para ti es mucho peor.

El cliente mantiene el control por su lado: puede cortar las notificaciones de esa tarjeta en los ajustes de su móvil, o quitar la tarjeta. Díselo, tranquiliza más de lo que espanta. Por el lado de la herramienta, nuestras condiciones lo dejan claro: el comercio es el único responsable del contenido de las notificaciones que envía.

Es la obligación que más sorprende a los comercios pequeños. Llevar un registro de actividades de tratamiento afecta a cualquier organización, pública o privada, sea cual sea su tamaño, en cuanto trata datos personales. Una tienda de barrio con tarjeta de fidelización está dentro.

Existe un alivio por debajo de 250 empleados: solo hay que incluir los tratamientos que no son ocasionales, los que pueden suponer un riesgo para las personas y los que afectan a categorías especiales de datos. Gestionar una lista de clientes no es ocasional, así que tu fichero de fidelización entra igualmente.

En la práctica es una tabla. Una línea por tratamiento, con su finalidad, las personas afectadas, las categorías de datos, los destinatarios, el plazo de conservación y las medidas de seguridad. La AEPD ofrece Facilita RGPD, una herramienta gratuita pensada para pymes y autónomos con tratamientos de bajo riesgo: un cuestionario de unos veinte minutos que te devuelve el registro de actividades, las cláusulas informativas y los demás documentos mínimos. Nadie te lo va a pedir, hasta el día en que alguien te lo pide.

El reparto es fácil de recordar. La herramienta aloja, cifra y protege. Tú decides qué recoges, qué cuentas a tus clientes, qué envías y qué conservas. Un programa no puede cumplir en tu lugar, porque la mitad de las decisiones son tuyas.

Lo que hace Digikart por su parte está escrito en la página de privacidad: servidores alojados en Francia con OVH, ningún dato vendido a terceros, ninguna cookie publicitaria ni de rastreo de terceros, contraseñas nunca guardadas en claro, comunicaciones cifradas, copias de seguridad diarias. Un comercio puede eliminar su cuenta y sus datos desde su propio panel. Francia está en la Unión Europea, así que no hay transferencia internacional que justificar.

Lo que te corresponde está en nuestras condiciones, cláusula 8: informar a tus clientes finales del tratamiento de sus datos y recabar los consentimientos necesarios. No es una forma de escurrir el bulto, es la realidad del mostrador. Eres tú quien está delante del cliente, quien elige la recompensa, el mensaje y el plazo. El resto de preguntas prácticas se responden en las preguntas frecuentes.