Guida · privacy e GDPR per la carta fedeltà
Carta fedeltà e privacy: che cosa chiede il GDPR a un negozio
La privacy di una carta fedeltà si regge su tre regole pratiche. Chiedi solo i dati che servono a dare il premio; consegna l’informativa prima dell’iscrizione; tieni separati e facoltativi i consensi a marketing e profilazione, perché l’adesione alla carta non può dipendere da quelli. Lo indicava già il Garante nel 2005 e i principi del GDPR vanno nella stessa direzione.
Aggiornato il di Radman Sattari, Fondatore di Iterum
Carta fedeltà e privacy: chi risponde dei dati dei clienti?
Per la privacy di una carta fedeltà il primo punto è capire chi decide che cosa fare dei dati. Di regola è l’attività che offre la carta: è il titolare del trattamento e deve rispettare i principi dell’articolo 5 del Regolamento (UE) 2016/679, il GDPR, ed essere in grado di dimostrarlo. Il fornitore del software che ospita le carte agisce di solito come responsabile del trattamento, con un contratto che, come ricorda il Garante, deve rispettare l’articolo 28.
Con Iterum l’informativa che il cliente apre dalla propria carta indica come titolare il locale e come responsabile FIDUS S.R.L., che fornisce la piattaforma. Il cliente non deve spuntare nessuna casella per avere la carta: aggiungendola o creandola accetta i Termini della carta e conferma di aver letto l’informativa, mentre premi extra e offerte sono una scelta a parte e facoltativa, «Sì, li voglio» o «No, grazie». Fidus è titolare autonomo solo per i consensi alle novità su Iterum dati in passato: Iterum non ne raccoglie più.
Questa guida riassume le fonti ufficiali per chi gestisce una piccola attività. Non è consulenza legale: per il tuo caso chiedi a un consulente privacy o al tuo commercialista.
Quali dati chiedere per una carta fedeltà?
Il principio di minimizzazione dell’articolo 5 del GDPR chiede dati adeguati, pertinenti e limitati a quanto serve. Per le carte fedeltà il Garante lo aveva già declinato nel provvedimento generale del 24 febbraio 2005: per la sola fidelizzazione si possono trattare esclusivamente i dati necessari ad attribuire i vantaggi della carta, cioè quelli che identificano l’intestatario e, se davvero serve, il volume di spesa complessivo, senza il dettaglio dei singoli prodotti.
Per una carta a timbri il dato indispensabile è spesso uno solo: sapere che quella carta ha raccolto quelle visite, come le colazioni di una carta fedeltà per bar o i tagli di una carta fedeltà per barbiere. Nome, email o telefono possono servire a riconoscere il cliente o a recuperare la carta se cambia telefono; la data di nascita ha senso solo se offri davvero un premio di compleanno. Le idee per scegliere il premio sono nella guida alle idee premi per la carta fedeltà.
| Dato | Serve alla carta? | Nota |
|---|---|---|
| Codice o QR della carta | Sì | Permette allo staff di riconoscere la carta e registrare la visita |
| Visite, timbri e premi riscattati | Sì | Sono il programma stesso |
| Nome | Facoltativo | Utile per riconoscere il cliente al banco, non per dare il timbro |
| Email o telefono | Facoltativo | Utile per recuperare la carta; per inviare offerte serve un consenso distinto |
| Data di nascita | Solo se c’è un premio di compleanno | Chiedila come dato facoltativo e spiega perché |
| Dettaglio dei prodotti acquistati | Di regola no | Per la sola fidelizzazione il Garante 2005 lo considera di regola non necessario |
| Dati sensibili | No | Il Garante 2005 non li ammette, di regola, per nessuna delle finalità delle carte |
Serve il consenso del cliente per la carta fedeltà?
Per la carta in sé, di norma no. Il GDPR, all’articolo 6, prevede più basi giuridiche oltre al consenso, tra cui l’esecuzione di un contratto e l’interesse legittimo. Il Garante, nel 2005, scriveva che il trattamento per la fidelizzazione in senso stretto è necessario per eseguire il contratto con il cliente e che, in questo caso, non è corretto sollecitarne il consenso.
Il consenso serve invece per ciò che va oltre la carta: profilazione e marketing. Il provvedimento del 2005 chiede un consenso specifico, informato e distinto per ciascuna di queste finalità e precisa che l’adesione al programma non può essere condizionata a quel consenso. La scheda del Garante sui doveri del titolare aggiunge, in base all’articolo 7 del GDPR, che il consenso deve essere distinguibile dalle altre richieste, revocabile e mai tacito: niente caselle già spuntate.
Nell’informativa della carta Iterum la gestione della tessera si basa sull’esecuzione del contratto della carta, i cui Termini il cliente accetta aggiungendo o creando la carta, senza caselle da spuntare, mentre le offerte del locale sono un consenso a parte e facoltativo: la carta chiede «Vuoi premi extra e offerte da …?» e il cliente risponde «Sì, li voglio» o «No, grazie», senza nulla di preselezionato. Il rifiuto non impedisce di usare la carta e sotto i 14 anni la domanda non viene mai posta. Iterum non raccoglie più consensi per le proprie novità. Dal 17 ottobre 2026 l’informativa indica anche da dove arriva il cliente, cioè l’invito di un amico («Porta un amico») o il QR di un promotore del locale, e tra le finalità i premi del passaparola, con le stesse basi giuridiche della tessera; allo staff, quando legge la carta, compare solo il nome breve di chi ha invitato il cliente.
Cosa scrivere nell’informativa privacy della carta fedeltà
L’informativa va data prima di raccogliere i dati, in un linguaggio chiaro e semplice. Secondo la scheda del Garante sui doveri del titolare, che riassume gli articoli 12 e 13 del GDPR, deve indicare almeno le voci della lista qui sotto.
Il provvedimento del 2005 aggiunge un dettaglio molto concreto per chi lavora al banco: non è corretto spingere il cliente ad aderire senza il tempo di leggere l’informativa, per esempio sollecitando una firma rapida mentre è in fila alla cassa. Un QR che il cliente apre con calma, al tavolo o a casa, aiuta: le indicazioni su dove esporlo sono nella guida alla carta fedeltà con QR code.
- Chi è il titolare e come contattarlo, ed eventualmente il responsabile della protezione dei dati
- Per quali finalità usi i dati e su quale base giuridica, distinguendo la carta dal marketing
- Chi riceve i dati, per esempio il fornitore del software come responsabile del trattamento
- Per quanto tempo li conservi, o con quale criterio decidi la durata
- I diritti del cliente e il diritto di presentare reclamo al Garante
- Se ci sono trasferimenti verso Paesi fuori dall’Unione e con quali garanzie
Per quanto tempo conservare i dati della carta fedeltà?
Il GDPR non fissa un numero di mesi: il principio di limitazione della conservazione chiede di tenere i dati per il tempo necessario allo scopo. Per le carte fedeltà il riferimento più specifico resta il provvedimento del Garante del 2005: i dati sul dettaglio degli acquisti di clienti identificabili possono essere conservati al massimo 12 mesi per la profilazione e 24 mesi per il marketing; quando la carta viene ritirata, scade o è restituita, i dati per fini amministrativi non vanno tenuti oltre un trimestre, salvo obblighi di legge.
Va letto con due cautele: il provvedimento riguarda in termini generali le carte della grande distribuzione ed è anteriore al GDPR, perché richiama il vecchio Codice privacy. Resta però l’indicazione più concreta che il Garante abbia dato sulle carte fedeltà, e conviene tenerla presente quando scegli la durata da scrivere nell’informativa.
Nell’informativa della carta Iterum la durata è di 24 mesi dall’ultimo utilizzo; poi i dati vengono cancellati o anonimizzati automaticamente, la carta viene disattivata e nei totali del locale restano visite, punti e premi senza il nome del cliente.
| Dato e finalità | Tempo massimo indicato | Nota |
|---|---|---|
| Dettaglio degli acquisti, per la profilazione | 12 mesi dalla registrazione | Salvo reale anonimizzazione |
| Dettaglio degli acquisti, per il marketing | 24 mesi dalla registrazione | Salvo reale anonimizzazione |
| Dati dopo ritiro, scadenza o restituzione della carta, per fini amministrativi | Un trimestre | Fatti salvi obblighi di legge sulla documentazione contabile |
Il cliente chiede i suoi dati o la cancellazione: che cosa fare
Accesso, rettifica, cancellazione, limitazione, portabilità e opposizione sono diritti previsti dagli articoli 15-22 del GDPR. Secondo la scheda del Garante il titolare deve agevolarne l’esercizio e rispondere entro un mese, prorogabile fino a tre mesi nei casi complessi, dando comunque un riscontro entro il primo mese anche in caso di diniego.
In pratica conviene decidere prima chi, nel locale, riceve le richieste e dove si trovano i dati. In ogni piano Iterum il percorso di attivazione elenca gli strumenti privacy per richieste dei clienti, esportazione e conservazione dei dati, insieme al profilo di ogni cliente con i suoi consensi. Il cliente, dal canto suo, può togliere da solo nome, data di nascita, email e telefono dalla propria carta.
Offerte ai clienti della carta: quando si possono inviare
Una carta fedeltà non dà, da sola, il diritto di inviare offerte. Per il marketing serve il consenso specifico di cui sopra, raccolto in modo separato dalla carta e revocabile in ogni momento; per email, SMS e altri messaggi automatizzati il provvedimento del 2005 ricordava anche le regole specifiche sulle comunicazioni indesiderate.
Con Iterum i messaggi del locale arrivano soltanto ai clienti che hanno risposto «Sì, li voglio» a premi extra e offerte, nei limiti mensili del piano, e il cliente può disattivarli con un tocco dalla propria carta. Se vuoi ricontattare i clienti, scrivi nell’informativa che cosa invierai e con quale frequenza, così il cliente sa a che cosa acconsente.
Per vedere informativa, iscrizione e scelta su premi extra e offerte dal lato del cliente prima di invitarlo, puoi preparare la carta e attivare la prova gratuita di 7 giorni: oggi paghi 0 €, serve una carta di pagamento e, se non disdici, il piano scelto continua dopo la prova.
Checklist privacy prima di lanciare la carta fedeltà
Sei passaggi per una piccola attività, validi per carte di carta e digitali. Le regole del programma e il tema delle operazioni a premio sono nella guida al regolamento della carta fedeltà.
Elenca i dati che chiedi e perché
Tieni solo quelli che servono alla carta; rendi facoltativi nome e contatti se il premio si dà anche senza.
Prepara l’informativa
Titolare, finalità, basi giuridiche, destinatari, conservazione, diritti e reclamo al Garante, leggibile prima dell’iscrizione.
Separa i consensi
Una casella per ogni finalità di marketing o profilazione, mai preselezionata, e la carta funziona anche senza spunta.
Scegli e scrivi la durata
Indica per quanto tempo tieni i dati e che cosa succede quando il cliente smette di usare la carta.
Verifica il contratto con il fornitore
Se un software gestisce le carte per te, il rapporto va regolato come prevede l’articolo 28 del GDPR.
Decidi chi risponde alle richieste
Un nome e un indirizzo email per accesso e cancellazione, con la risposta entro un mese.
Fonti e metodo
Fonti consultate l’11 ottobre 2026: Garante per la protezione dei dati personali, «Fidelity card e garanzie per i consumatori. Le regole del Garante per i programmi di fidelizzazione», provvedimento generale del 24 febbraio 2005, doc. web 1103045; Garante, scheda «Doveri - Come trattare correttamente i dati», doc. web 8981258, per gli articoli 5, 6, 7, 12, 13, 15-22 e 28 del GDPR. Il testo ufficiale del Regolamento (UE) 2016/679 su EUR-Lex non era raggiungibile dal nostro sistema il giorno del controllo; i riferimenti agli articoli seguono la scheda del Garante.
Le informazioni su Iterum vengono dall’informativa che il cliente apre dalla propria carta (versione informativa_cliente_v4 al 4 novembre 2026, indicata come provvisoria) e, al 4 novembre 2026, dalla pagina di iscrizione e dal profilo carta, dalla pagina di presentazione di Iterum e dal percorso di attivazione; leggi anche l’informativa privacy di Iterum. Questa guida non è una consulenza legale e non attesta la conformità di alcun programma.
Domande frequenti
- Il cliente deve dare il consenso per avere la carta fedeltà?
- Per la carta in sé, di norma no: il Garante nel 2005 riteneva non corretto sollecitare il consenso per la sola fidelizzazione. Il consenso serve per marketing e profilazione, separato e facoltativo, e l’adesione alla carta non può dipendere da esso.
- Posso chiedere la data di nascita sulla carta fedeltà?
- Solo se ti serve davvero, per esempio per un premio di compleanno, e come dato facoltativo spiegato nell’informativa. La minimizzazione del GDPR chiede di raccogliere solo ciò che è necessario allo scopo.
- Per quanto tempo posso tenere i dati della carta fedeltà?
- Per il tempo necessario allo scopo, scritto nell’informativa. Il Garante nel 2005 indicava al massimo 12 mesi per il dettaglio degli acquisti usato per la profilazione e 24 mesi per il marketing, e un trimestre dopo la chiusura della carta.
- Devo tenere un registro dei trattamenti per la carta fedeltà?
- Secondo la scheda del Garante il registro è obbligatorio per quasi tutti i titolari, con un’esenzione per chi ha meno di 250 dipendenti solo se non effettua trattamenti a rischio. Verifica il tuo caso con un consulente.
- Iterum vende i dati dei clienti della carta?
- No. L’informativa della carta Iterum dichiara che i dati non vengono venduti né ceduti ad altri soggetti per il marketing di terzi; Apple e Google ricevono solo i dati tecnici necessari a mostrare la carta nel Wallet.