بطاقة الولاء وحماية البيانات GDPR: ما الذي يطلبه قانون حماية البيانات من المحل الصغير

بطاقة الولاء وGDPR: من المسؤول عن بيانات العملاء؟

في مسائل بطاقة الولاء وGDPR، الخطوة الأولى هي تحديد من يقرر مصير البيانات. في الأصل تكون الجهة التي تقدّم البطاقة هي مراقب البيانات (data controller)، وعليها احترام المبادئ الواردة في المادة 5 من اللائحة (EU) 2016/679، أي GDPR، وأن تكون قادرة على إثبات ذلك. أما مزوّد البرنامج الذي يستضيف البطاقات فيعمل عادةً بصفة معالِج للبيانات (processor) بموجب عقد يجب، كما تشير الهيئة الإيطالية (Garante)، أن يستوفي المادة 28.

في Iterum، يذكر الإشعار الذي يفتحه العملاء من بطاقتهم أن المحل هو مراقب البيانات وأن FIDUS S.R.L. هي المعالِج الذي يوفّر المنصة. ولا يحتاج العملاء إلى تأشير أي خانة للحصول على البطاقة: فبإضافتها أو إنشائها يقبلون شروط البطاقة ويؤكدون أنهم اطلعوا على الإشعار، أما المكافآت الإضافية والعروض فهي خيار منفصل واختياري، «Sì, li voglio» (نعم، أريدها) أو «No, grazie» (لا، شكرًا). ولا تكون Fidus مراقبًا مستقلًا إلا فيما يخص الموافقات على أخبار Iterum المعطاة سابقًا: فلم يعد Iterum يجمعها.

يلخّص هذا الدليل مصادر رسمية لأصحاب الأعمال الصغيرة، وهي مصادر إيطالية لأن Iterum تخدم المحلات الإيطالية. وهو ليس استشارة قانونية: لحالتك الخاصة اسأل مستشار خصوصية أو محاسبك. وخارج إيطاليا، راجع القواعد والجهة الوطنية في بلدك.

ما البيانات التي ينبغي أن تطلبها بطاقة الولاء؟

يقتضي مبدأ تقليل البيانات في المادة 5 من GDPR أن تكون البيانات كافية وذات صلة ومقتصرة على ما هو ضروري. وبالنسبة إلى بطاقات الولاء، كانت Garante قد أوضحت ذلك في قرارها العام الصادر في 24 فبراير 2005: لأغراض الولاء وحدها، يجوز معالجة البيانات اللازمة لمنح مزايا البطاقة فقط، أي البيانات التي تحدد هوية حامل البطاقة، وعند الحاجة الفعلية إجمالي المبلغ المنفق، دون تفاصيل المنتجات الفردية.

في بطاقة الأختام، كثيرًا ما تكون البيانات الأساسية معلومة واحدة: أن هذه البطاقة جمعت هذه الزيارات، مثل وجبات الفطور في بطاقة ولاء للكافيهات أو قصّات الشعر في بطاقة ولاء لصالونات الحلاقة. قد يساعد الاسم أو البريد الإلكتروني أو رقم الهاتف الموظفين على التعرف على العميل أو استعادة البطاقة بعد تغيير الهاتف؛ أما تاريخ الميلاد فلا معنى لطلبه إلا إذا كنت تقدّم فعلًا مكافأة عيد ميلاد. أفكار اختيار المكافأة في دليل أفكار مكافآت بطاقة الولاء.

هل يحتاج العملاء إلى الموافقة على بطاقة الولاء؟

بالنسبة إلى البطاقة نفسها، عادةً لا. فالمادة 6 من GDPR تتيح عدة أسس قانونية إلى جانب الموافقة، منها تنفيذ عقد والمصالح المشروعة. وفي عام 2005 كتبت Garante أن المعالجة لأغراض الولاء بالمعنى الضيق ضرورية لتنفيذ العقد مع العميل، وأنه في هذه الحالة لا يصح طلب الموافقة.

أما الموافقة فتلزم لما يتجاوز البطاقة: التحليل (التوصيف) والتسويق. ويشترط قرار 2005 موافقة محددة ومستنيرة ومنفصلة لكل غرض من هذه الأغراض، وينص على أنه لا يجوز جعل الانضمام إلى البرنامج مشروطًا بتلك الموافقة. وتضيف خلاصة Garante لواجبات المراقبين، استنادًا إلى المادة 7 من GDPR، أن الموافقة يجب أن تتميز عن الطلبات الأخرى، وأن يمكن سحبها، وألا تكون ضمنية أبدًا: فلا خانات محددة مسبقًا.

في إشعار بطاقة Iterum، يستند تشغيل البطاقة إلى تنفيذ عقد البطاقة، ويقبل العميل شروطه بإضافة البطاقة أو إنشائها دون أي خانة للتأشير، بينما تُعدّ عروض المحل موافقة منفصلة واختيارية: تسأل البطاقة «Vuoi premi extra e offerte da …?» (هل تريد مكافآت إضافية وعروضًا من …؟) فيجيب العميل «Sì, li voglio» (نعم، أريدها) أو «No, grazie» (لا، شكرًا)، دون أي خيار محدد مسبقًا. ولا يمنع الرفض أحدًا من استخدام البطاقة، ولا يُطرح السؤال أبدًا على من هم دون 14 عامًا. ولم يعد Iterum يجمع الموافقة على أخباره الخاصة. ومنذ 17 أكتوبر 2026 يذكر الإشعار أيضًا مصدر وصول العميل، أي دعوة صديق («Bring a friend») أو رمز QR خاص بمروّج من المحل، ويدرج مكافآت الإحالة ضمن الأغراض، على الأسس القانونية نفسها الخاصة بالبطاقة؛ وعندما يقرأ الموظفون البطاقة لا يرون سوى الاسم المختصر لمن دعا العميل.

ماذا يُكتب في إشعار خصوصية بطاقة الولاء

يجب تقديم الإشعار قبل جمع البيانات، بلغة واضحة وبسيطة. ووفق خلاصة Garante لواجبات المراقبين، التي تشمل المادتين 12 و13 من GDPR، يجب أن يتضمن على الأقل النقاط الواردة في القائمة أدناه.

ويضيف قرار 2005 تفصيلًا عمليًا جدًا لمن يعمل عند الكاشير: لا يصح دفع العملاء إلى الانضمام دون وقت لقراءة الإشعار، كأن يُطلب منهم توقيع سريع وهم ينتظرون في الطابور عند الصندوق. ويفيد هنا رمز QR يفتحه العملاء على مهلهم، على الطاولة أو في المنزل: نصائح حول مكان عرضه في دليل بطاقة الولاء برمز QR.

• من هو مراقب البيانات وكيفية التواصل معه، إضافةً إلى مسؤول حماية البيانات إن وُجد
• الأغراض والأساس القانوني لكل منها، مع فصل البطاقة عن التسويق
• من يتلقى البيانات، مثل مزوّد البرنامج بصفته معالِجًا
• مدة حفظها، أو المعايير المعتمدة لتحديدها
• حقوق العميل وحقه في تقديم شكوى إلى الجهة الرقابية
• أي نقل للبيانات إلى دول خارج الاتحاد الأوروبي والضمانات المعتمدة

كم ينبغي حفظ بيانات بطاقة الولاء؟

لا يحدد GDPR عددًا من الأشهر: فمبدأ تحديد مدة التخزين يقتضي ألا تحتفظ بالبيانات إلا بالقدر الذي يتطلبه الغرض. وفي بطاقات الولاء يظل المرجع الأكثر تحديدًا هو قرار Garante لعام 2005: يجوز الاحتفاظ بتفاصيل مشتريات العملاء الممكن تحديد هويتهم لمدة أقصاها 12 شهرًا لأغراض التحليل (التوصيف) و24 شهرًا لأغراض التسويق؛ وعند سحب البطاقة أو انتهاء صلاحيتها أو إعادتها، لا ينبغي الاحتفاظ بالبيانات المحفوظة لأغراض إدارية أكثر من ثلاثة أشهر، ما لم يوجب القانون ذلك.

اقرأه مع تحفظين: القرار يتناول عمومًا بطاقات كبار تجار التجزئة، وقد صدر قبل GDPR، إذ يشير إلى قانون الخصوصية الإيطالي القديم. ومع ذلك يبقى أكثر إرشادات Garante تحديدًا بشأن بطاقات الولاء، ويحسن وضعه في الاعتبار عند اختيار المدة التي تكتبها في إشعارك.

في إشعار بطاقة Iterum، المدة هي 24 شهرًا من آخر استخدام للبطاقة؛ وبعد ذلك تُحذف البيانات أو تُجهَّل هويتها تلقائيًا، وتُعطَّل البطاقة، وتحتفظ إجماليات المحل بالزيارات والنقاط والمكافآت دون اسم العميل.

عميل يطلب بياناته أو حذفها: ما العمل؟

الاطلاع والتصحيح والمحو والتقييد وقابلية النقل والاعتراض حقوق منصوص عليها في المواد 15–22 من GDPR. ووفق خلاصة Garante، على المراقب أن ييسّر ممارستها وأن يردّ خلال شهر واحد، يمكن تمديده إلى ثلاثة أشهر في الحالات المعقدة، مع تقديم جواب دائمًا خلال الشهر الأول، حتى عند الرفض.

عمليًا، حدّد مسبقًا من في المحل يتولى الطلبات وأين توجد البيانات. في كل خطط Iterum، يعرض مسار التفعيل أدوات الخصوصية لطلبات العملاء وتصدير البيانات والحفظ، إضافةً إلى ملف كل عميل وموافقاته. ويستطيع العملاء من جانبهم إزالة اسمهم وتاريخ ميلادهم وبريدهم الإلكتروني وهاتفهم من بطاقتهم.

عروض لعملاء بطاقة الولاء: متى يمكنك إرسالها؟

بطاقة الولاء لا تمنحك بحد ذاتها الحق في إرسال العروض. فالتسويق يتطلب الموافقة المحددة الموضحة أعلاه، تُجمع بمعزل عن البطاقة ويمكن سحبها في أي وقت؛ أما البريد الإلكتروني والرسائل النصية وسائر الرسائل الآلية، فقد أشار قرار 2005 أيضًا إلى القواعد الخاصة بالاتصالات غير المرغوب فيها.

مع Iterum، لا تصل رسائل المحل إلا إلى العملاء الذين أجابوا «Sì, li voglio» (نعم، أريدها) عن المكافآت الإضافية والعروض، ضمن الحدود الشهرية للخطة، ويستطيع العملاء إيقافها بلمسة واحدة من بطاقتهم. وإذا أردت التواصل مع العملاء مجددًا، فاذكر في الإشعار ما سترسله وعدد مرات إرساله، ليعرف العملاء على ماذا يوافقون.

لترى الإشعار والتسجيل والاختيار الخاص بالمكافآت الإضافية والعروض من جانب العميل قبل دعوة أي أحد، يمكنك إعداد البطاقة وبدء تجربة مجانية لمدة 7 أيام: لا تدفع اليوم سوى 0 €، ويلزم إدخال بطاقة دفع، وما لم تلغِ تستمر الخطة المختارة بعد التجربة.

قائمة تحقق الخصوصية لبطاقة الولاء قبل الإطلاق

ست خطوات للأعمال الصغيرة، للبطاقات الورقية والرقمية على السواء. وشروط البرنامج ومسألة المسابقات والجوائز مغطاة في دليل قواعد برامج الولاء في إيطاليا.

1. أدرج البيانات التي تطلبها وسبب طلبها

   احتفظ بما تحتاجه البطاقة فقط؛ واجعل الاسم وبيانات الاتصال اختيارية إذا أمكن منح المكافأة بدونها.

2. أعدّ إشعار الخصوصية

   المراقب والأغراض والأسس القانونية والمستلمون ومدة الحفظ والحقوق وحق الشكوى، مقروءًا قبل الانضمام.

3. افصل الموافقات

   خانة لكل غرض تسويقي أو تحليلي، غير محددة مسبقًا أبدًا، وتعمل البطاقة دون أي تحديد.

4. اختر مدة الحفظ وأعلنها

   اذكر المدة التي تحتفظ فيها بالبيانات وما يحدث عندما يتوقف العميل عن استخدام البطاقة.

5. راجع العقد مع مزوّدك

   إذا كان برنامج ما يشغّل البطاقات لك، فيجب تنظيم العلاقة وفق ما تقتضيه المادة 28 من GDPR.

6. حدّد من يجيب عن الطلبات

   اسم وبريد إلكتروني لطلبات الاطلاع والحذف، مع الرد خلال شهر واحد.

المصادر والمنهجية

المصادر التي روجعت في 11 أكتوبر 2026: Garante per la protezione dei dati personali, «Fidelity card e garanzie per i consumatori. Le regole del Garante per i programmi di fidelizzazione», general provision of 24 February 2005, doc. web 1103045؛ Garante, «Doveri - Come trattare correttamente i dati», doc. web 8981258، للمواد 5 و6 و7 و12 و13 و15–22 و28 من GDPR (كلاهما بالإيطالية؛ والترجمات الواردة من إعدادنا). أما النص الرسمي للائحة (EU) 2016/679 على EUR-Lex فلم نتمكن من الوصول إليه من نظامنا يوم المراجعة؛ وتتبع الإحالات إلى المواد خلاصة Garante.

تستند المعلومات عن Iterum إلى الإشعار الذي يفتحه العملاء من بطاقتهم (النسخة informativa_cliente_v4 بتاريخ 4 نوفمبر 2026، وهي معلَّمة كنسخة مؤقتة)، وإلى صفحة التسجيل وملف البطاقة بتاريخ 4 نوفمبر 2026، وصفحة نظرة عامة على Iterum ومسار التفعيل؛ انظر أيضًا إشعار خصوصية Iterum. هذا الدليل ليس استشارة قانونية، ولا يشهد بأن أي برنامج مطابق للقانون.