Tarjeta de fidelización y RGPD: lo que un comerciante debe saber

La escena llega siempre en el mismo momento: el cliente ha escaneado el QR, tiene delante la pantalla para añadir la tarjeta y levanta la vista. «¿Qué guardas exactamente?» Si dudas, no añade la tarjeta. La buena noticia es que la respuesta cabe en una frase, siempre que la tengas preparada.

En Digikart, una tarjeta de fidelización contiene un identificador de tarjeta, que no dice nada de su titular, un saldo de sellos o de puntos, y las fechas de las visitas. Si cuentas en puntos según el importe gastado, el importe de cada visita se registra con ella, y aparece en tus estadísticas y en tu exportación. A eso se suman la cartera utilizada, Apple o Google, y, una vez instalada la tarjeta, el registro del dispositivo en el servicio de notificaciones. Pueden añadirse tres campos, y solo si el cliente los rellena él mismo: su nombre, su teléfono (para que lo reconozcan en una caja sin escáner) y su fecha de nacimiento, que solo aparece si has activado la recompensa de cumpleaños. Cada uno figura como «opcional» en la pantalla de alta. No se recoge ningún dato bancario, y el detalle de los artículos comprados nunca se registra: incluso con una caja conectada, solo llegan la referencia del tique y su importe.

La comparación con la gran distribución aclara el tema. La CNIL (la autoridad francesa de protección de datos) recuerda que, en un programa de fidelización, el código de barras de un producto comprado, asociado a los datos de identificación del cliente, se convierte en un dato personal que el cliente puede reclamar. Una tarjeta de sellos no llega tan lejos: cuenta visitas y, como mucho, su importe, nunca el contenido de la cesta. Cuanto menos recoges, menos tienes que explicar, conservar y proteger.

El RGPD exige que todo tratamiento de datos se apoye en una base legal, elegida entre las que prevé. La expresión asusta, la realidad mucho menos: para una tarjeta de fidelización, la base más natural es la ejecución del contrato. La CNIL admite el contrato siempre que el tratamiento sea objetivamente necesario para su ejecución, y aquí es el caso: el cliente ha pedido la tarjeta, le prometes una recompensa al cabo de diez visitas, y contar sus visitas es necesario para cumplir esa promesa. No hay ninguna casilla que marcar para eso. Los campos opcionales quedan fuera de ese marco: el teléfono y la fecha de nacimiento no sirven para contar, se apoyan en lo que el cliente acepta dar, y puede pedirte que los retires sin perder su tarjeta.

Lo que cambia de naturaleza es todo lo que sale del programa. Enviar un mensaje comercial que no tiene nada que ver con la tarjeta es prospección. La CNIL es tajante en este punto para los datos de contacto electrónicos: hay que recabar el consentimiento del cliente y guardar la prueba. Alquilar o compartir tu fichero con un socio sigue la misma lógica, y es todavía más serio.

La regla práctica cabe en una línea. Todo lo que sirve a la tarjeta (contar, avisar de que una recompensa está lista, recordar un saldo) viaja con la tarjeta. Todo lo que habla de otra cosa merece una pregunta al cliente, por separado, y un registro de su respuesta.

Es la obligación más fácil de cumplir y la que más a menudo se olvida. La CNIL escribe negro sobre blanco que hay que prever «una mención informativa en cada formulario de recogida», y el ejemplo que da es exactamente el nuestro: el boletín de solicitud de la tarjeta de fidelización que está sobre el mostrador de la tienda.

Con una tarjeta Wallet, ese mostrador se ha convertido en la página de alta que se abre tras escanear el QR. Esa página no muestra tu mención por ti: sigue siendo cosa tuya, en el cartel junto a la caja y en tu web. La mención debe decir quién eres, por qué recoges esos datos, con qué base, quién tiene acceso a ellos, cuánto tiempo los conservas, que los campos son opcionales, cómo puede el cliente ejercer sus derechos, con una dirección de contacto, y que puede presentar una reclamación ante la CNIL. Nueve líneas, no nueve páginas.

En concreto: unas líneas en tu cartel de mostrador, lo mismo en tu web si tienes una, y una frase que tus empleados sepan decir. No es un contrato de abogado, es un texto que el cliente debe poder leer en diez segundos con el móvil en una mano.

El RGPD no fija ningún plazo universal. La CNIL recuerda que corresponde al responsable del fichero determinarlo en función de la finalidad del tratamiento, es decir, de para qué sirven los datos. Aun así, da una referencia. Para los datos de un cliente utilizados con fines de prospección comercial, su marco de referencia establece una conservación durante la relación comercial y, después, durante tres años a partir del final de esa relación. Y su ficha dirigida a los comerciantes recoge el mismo plazo para la relación con el cliente: prever la supresión de los datos en caso de inactividad prolongada de tus clientes, tres años a partir del final de la relación comercial.

Para una tarjeta de fidelización, el final de la relación comercial es la última visita. Un cliente que no ha vuelto en tres años ya no tiene motivo para figurar en tu panel. El plazo lo decides tú, pero hay que fijar uno y cumplirlo: un plazo escrito y respetado vale más que un fichero que nunca se vacía.

Hacerlo lleva cinco minutos una vez al año. En Digikart, la lista de tus clientes muestra la fecha de la última visita: localizas a los inactivos y los eliminas. La eliminación borra la ficha, el saldo y el historial de visitas, y retira el registro del dispositivo en el servicio de notificaciones. Dos precisiones útiles: la tarjeta ya instalada sigue visible en el móvil del cliente, porque ni Apple ni Google permiten retirarla a distancia, pero ya no se puede escanear ni se actualiza; y si estás conectado a una caja, las líneas de cobro se conservan para la contabilidad, sin remitir ya a nadie una vez eliminada la ficha.

Dos derechos destacan porque son los que los clientes usan de verdad. El derecho de acceso: saber qué tienes sobre ellos. El derecho de supresión: pedir que desaparezca. La CNIL indica que hay que responder lo antes posible y, como máximo, en un mes, un plazo que puede ampliarse a tres meses para una solicitud compleja, siempre que avises a la persona dentro del primer mes.

Responder no se limita a copiar el contenido de la ficha. La CNIL enumera lo que debe contener la respuesta: las finalidades del tratamiento, las categorías de datos afectados, los destinatarios, el plazo de conservación, los demás derechos de la persona y su derecho a presentar una reclamación ante la CNIL. También precisa que no basta con decirle al cliente que tienes los datos que él mismo facilitó.

Por último, hay una confusión que conviene conocer, porque ocurre a menudo. Un cliente que borra la tarjeta de su Wallet ha quitado la tarjeta de su móvil, no su línea de tu fichero. Si quiere la supresión, tiene que pedírtela, y eres tú quien la elimina. Más vale decírselo en el momento en que añade la tarjeta.

Una tarjeta Wallet puede mostrar un mensaje en el móvil de su titular. Sin SMS, sin correo, sin número que conocer: el mensaje pasa por la propia tarjeta. Es muy práctico, y es precisamente ahí donde es fácil pasarse de la raya.

El canal no es la cuestión, el contenido sí. «Tu recompensa está lista» tiene que ver con la tarjeta que pidió el cliente. «Gran liquidación el sábado» es publicidad. Entre ambos, el margen de tolerancia es estrecho, y una notificación de más no acaba en una queja: acaba en una tarjeta borrada, lo que es mucho peor para ti.

El cliente mantiene el control por su lado: puede desactivar las notificaciones de esa tarjeta en los ajustes de su móvil, o quitar la tarjeta. Díselo, tranquiliza más de lo que ahuyenta. Por el lado de la herramienta, nuestras condiciones generales lo dejan claro: el comerciante es el único responsable del contenido de las notificaciones que envía.

Es la obligación que más sorprende a los pequeños comercios. La CNIL es explícita: llevar un registro de actividades de tratamiento concierne a todos los organismos, públicos o privados, sea cual sea su tamaño, desde el momento en que tratan datos personales. Un comercio de barrio con una tarjeta de fidelización está incluido.

Existe un régimen aligerado por debajo de 250 empleados: solo tienen que figurar en él los tratamientos no ocasionales, los que pueden suponer un riesgo para las personas y los que afectan a datos sensibles. La CNIL cita precisamente la gestión de clientes como ejemplo de tratamiento no ocasional. Tu fichero de fidelidad entra, por tanto.

En la práctica, es una tabla. Una línea por tratamiento, con su finalidad, las personas afectadas, las categorías de datos, los destinatarios, el plazo de conservación y las medidas de seguridad. La CNIL pone a disposición un modelo pensado para microempresas y pymes. Nadie te lo pedirá, hasta el día en que alguien te lo pida.

El reparto es fácil de recordar. La herramienta aloja, cifra y protege. Tú decides lo que recoges, lo que dices a tus clientes, lo que envías y lo que conservas. Un software no puede cumplir la normativa en tu lugar, porque la mitad de las decisiones te corresponden a ti.

Lo que Digikart hace por su parte está escrito en la página de política de privacidad: servidores alojados en Francia en OVH, ningún dato vendido a terceros, ninguna cookie publicitaria ni de seguimiento de terceros, contraseñas nunca almacenadas en claro, comunicaciones cifradas, copias de seguridad diarias. Un comerciante puede eliminar su cuenta y sus datos desde su espacio.

Lo que te corresponde a ti está en nuestras condiciones generales, artículo 8: informar a tus clientes finales del tratamiento de sus datos y recabar los consentimientos necesarios. No es una forma de escurrir el bulto, es la realidad del terreno. Eres tú quien está frente al cliente, eres tú quien elige la recompensa, el mensaje y el plazo. El resto de las cuestiones prácticas se trata en las FAQ.