Tarjeta de fidelidad GDPR: qué exige la ley de protección de datos a un negocio pequeño

Tarjeta de fidelidad GDPR: ¿quién es responsable de los datos de los clientes?

En cualquier duda sobre el GDPR y las tarjetas de fidelidad, el primer paso es determinar quién decide qué se hace con los datos. Por regla general es el negocio que ofrece la tarjeta: es el responsable del tratamiento, debe respetar los principios del artículo 5 del Reglamento (UE) 2016/679, el GDPR, y debe poder demostrar que lo hace. El proveedor del software que aloja las tarjetas suele actuar como encargado del tratamiento, con un contrato que, como señala la autoridad italiana (el Garante), debe cumplir el artículo 28.

Con Iterum, el aviso que el cliente abre desde su propia tarjeta indica al negocio como responsable y a FIDUS S.R.L. como encargado, al proporcionar la plataforma. El cliente no tiene que marcar ninguna casilla para obtener la tarjeta: al añadirla o crearla acepta las condiciones de la tarjeta y confirma que ha leído el aviso, mientras que los premios extra y las ofertas son una elección aparte y opcional, «Sì, li voglio» (sí, los quiero) o «No, grazie» (no, gracias). Fidus es responsable independiente únicamente para los consentimientos a las novedades de Iterum dados en el pasado: Iterum ya no los recoge.

Esta guía resume fuentes oficiales para quienes dirigen un pequeño negocio, con fuentes italianas porque Iterum atiende a comercios italianos. No es asesoramiento jurídico: para su caso concreto, consulte a un asesor de privacidad o a su contable. Fuera de Italia, compruebe la normativa y la autoridad de su país.

¿Qué datos debe pedir una tarjeta de fidelidad?

El principio de minimización de datos del artículo 5 del GDPR exige datos adecuados, pertinentes y limitados a lo necesario. Para las tarjetas de fidelidad, el Garante ya lo había concretado en su disposición general del 24 de febrero de 2005: con fines exclusivamente de fidelización, solo pueden tratarse los datos necesarios para conceder las ventajas de la tarjeta, es decir, los que identifican al titular y, si realmente hace falta, el importe total gastado, sin el detalle de cada producto.

En una tarjeta de sellos, el dato esencial suele ser uno solo: que esta tarjeta ha acumulado estas visitas, como los desayunos en una tarjeta de fidelidad para cafeterías o los cortes de pelo en una tarjeta de fidelidad para barberías. Un nombre, un correo o un teléfono pueden ayudar al equipo a reconocer al cliente o a recuperar la tarjeta tras un cambio de móvil; la fecha de nacimiento solo tiene sentido si realmente ofrece un premio de cumpleaños. Encontrará ideas para elegir el premio en la guía de ideas de premios para tarjetas de fidelidad.

¿Deben los clientes dar su consentimiento para una tarjeta de fidelidad?

Para la tarjeta en sí, normalmente no. El artículo 6 del GDPR prevé varias bases jurídicas además del consentimiento, entre ellas la ejecución de un contrato y el interés legítimo. En 2005 el Garante escribió que el tratamiento con fines de fidelización en sentido estricto es necesario para ejecutar el contrato con el cliente y que, en ese caso, no es correcto pedir el consentimiento.

En cambio, el consentimiento es necesario para lo que va más allá de la tarjeta: el perfilado y el marketing. La disposición de 2005 exige un consentimiento específico, informado y separado para cada una de estas finalidades, y establece que adherirse al programa no puede condicionarse a ese consentimiento. El resumen del Garante sobre los deberes de los responsables añade, conforme al artículo 7 del GDPR, que el consentimiento debe distinguirse de otras solicitudes, puede retirarse y nunca se presume: nada de casillas premarcadas.

En el aviso de la tarjeta Iterum, el funcionamiento de la tarjeta se basa en la ejecución del contrato de la tarjeta, cuyas condiciones el cliente acepta al añadirla o crearla, sin casilla que marcar, mientras que las ofertas del negocio son un consentimiento aparte y opcional: la tarjeta pregunta «Vuoi premi extra e offerte da …?» (¿Quiere premios extra y ofertas de …?) y el cliente responde «Sì, li voglio» (sí, los quiero) o «No, grazie» (no, gracias), sin nada preseleccionado. Rechazar no impide a nadie usar la tarjeta y a los menores de 14 años la pregunta nunca se les hace. Iterum ya no recoge el consentimiento para sus propias novedades. Desde el 17 de octubre de 2026, el aviso también indica de dónde viene el cliente, es decir, la invitación de un amigo («Traiga a un amigo») o el QR de un promotor del negocio, y enumera los premios por recomendación entre las finalidades, con las mismas bases jurídicas que la tarjeta; cuando el equipo lee la tarjeta, solo ve el nombre corto de quien invitó al cliente.

Qué escribir en el aviso de privacidad de una tarjeta de fidelidad

El aviso debe entregarse antes de recoger los datos, con un lenguaje claro y sencillo. Según el resumen del Garante sobre los deberes de los responsables, que abarca los artículos 12 y 13 del GDPR, debe indicar como mínimo los puntos de la lista siguiente.

La disposición de 2005 añade un detalle muy práctico para quien atiende un mostrador: no es correcto presionar a los clientes para que se adhieran sin tiempo para leer el aviso, por ejemplo pidiéndoles una firma rápida mientras hacen cola en la caja. Ayuda un código QR que el cliente pueda abrir a su ritmo, en la mesa o en casa: encontrará consejos sobre dónde colocarlo en la guía de la tarjeta de fidelidad con código QR.

• Quién es el responsable y cómo contactarlo, además del delegado de protección de datos si lo hay
• Las finalidades y la base jurídica de cada una, manteniendo la tarjeta separada del marketing
• Quién recibe los datos, por ejemplo el proveedor del software como encargado del tratamiento
• Cuánto tiempo los conserva, o los criterios que usa para decidirlo
• Los derechos del cliente y el derecho a presentar una reclamación ante la autoridad de control
• Las posibles transferencias a países fuera de la UE y las garantías aplicadas

¿Cuánto tiempo deben conservarse los datos de una tarjeta de fidelidad?

El GDPR no fija un número de meses: el principio de limitación del plazo de conservación exige conservar los datos solo el tiempo que requiera la finalidad. Para las tarjetas de fidelidad, la referencia más específica sigue siendo la disposición del Garante de 2005: el detalle de las compras de clientes identificables puede conservarse como máximo 12 meses para el perfilado y 24 meses para el marketing; cuando la tarjeta se retira, caduca o se devuelve, los datos conservados con fines administrativos no deberían mantenerse más de tres meses, salvo que la ley lo exija.

Léala con dos salvedades: la disposición abarca, en términos generales, las tarjetas de los grandes comercios minoristas y es anterior al GDPR, pues se refiere al antiguo código italiano de privacidad. Sigue siendo, sin embargo, la orientación más concreta que el Garante ha dado sobre las tarjetas de fidelidad, y conviene tenerla presente al elegir el plazo que escribirá en su aviso.

En el aviso de la tarjeta Iterum, el plazo es de 24 meses desde el último uso de la tarjeta; pasado ese tiempo, los datos se eliminan o se anonimizan automáticamente, la tarjeta se desactiva y los totales del negocio conservan visitas, puntos y premios sin el nombre del cliente.

Un cliente pide sus datos o su supresión: qué hacer

El acceso, la rectificación, la supresión, la limitación, la portabilidad y la oposición son derechos recogidos en los artículos 15–22 del GDPR. Según el resumen del Garante, el responsable debe facilitar su ejercicio y responder en el plazo de un mes, ampliable a tres meses en casos complejos, dando siempre una respuesta dentro del primer mes, incluso cuando la deniega.

En la práctica, decida de antemano quién se encarga de las solicitudes en el negocio y dónde se encuentran los datos. En todos los planes de Iterum, el flujo de activación enumera herramientas de privacidad para las solicitudes de los clientes, la exportación de datos y la conservación, junto con el perfil de cada cliente y sus consentimientos. Los clientes, por su parte, pueden eliminar de su propia tarjeta su nombre, fecha de nacimiento, correo y teléfono.

Ofertas a los clientes de la tarjeta de fidelidad: ¿cuándo puede enviarlas?

Una tarjeta de fidelidad no le da, por sí sola, derecho a enviar ofertas. El marketing requiere el consentimiento específico descrito antes, recogido por separado de la tarjeta y revocable en cualquier momento; para el correo electrónico, los SMS y otros mensajes automatizados, la disposición de 2005 remitía además a las normas específicas sobre comunicaciones no solicitadas.

Con Iterum, los mensajes del negocio llegan solo a los clientes que han respondido «Sì, li voglio» (sí, los quiero) a los premios extra y ofertas, dentro de los límites mensuales del plan, y los clientes pueden desactivarlos con un toque en su propia tarjeta. Si quiere volver a contactar con los clientes, indique en el aviso qué enviará y con qué frecuencia, para que sepan a qué están accediendo.

Para ver el aviso, el registro y la elección sobre premios extra y ofertas desde el lado del cliente antes de invitar a nadie, puede configurar la tarjeta e iniciar la prueba gratuita de 7 días: hoy paga 0 €, se requiere una tarjeta de pago y, si no cancela, el plan elegido continúa tras la prueba.

Lista de verificación de privacidad de la tarjeta de fidelidad antes del lanzamiento

Seis pasos para un pequeño negocio, tanto para tarjetas de papel como digitales. Las condiciones del programa y la cuestión de las operaciones a premio se tratan en la guía de las reglas de los programas de fidelización en Italia.

1. Enumere los datos que pide y para qué

   Conserve solo lo que la tarjeta necesita; haga opcionales el nombre y los datos de contacto si el premio puede entregarse sin ellos.

2. Prepare el aviso de privacidad

   Responsable, finalidades, bases jurídicas, destinatarios, conservación, derechos y derecho a reclamar, legible antes de adherirse.

3. Separe los consentimientos

   Una casilla por cada finalidad de marketing o perfilado, nunca premarcada, y la tarjeta funciona sin marcar ninguna.

4. Elija e indique el plazo de conservación

   Explique cuánto tiempo conserva los datos y qué ocurre cuando un cliente deja de usar la tarjeta.

5. Revise el contrato con su proveedor

   Si un software gestiona las tarjetas por usted, la relación debe establecerse como exige el artículo 28 del GDPR.

6. Decida quién responde a las solicitudes

   Un nombre y una dirección de correo para las solicitudes de acceso y supresión, con respuesta en el plazo de un mes.

Fuentes y método

Fuentes consultadas el 11 de octubre de 2026: Garante per la protezione dei dati personali, «Fidelity card e garanzie per i consumatori. Le regole del Garante per i programmi di fidelizzazione», disposición general del 24 de febrero de 2005, doc. web 1103045; Garante, «Doveri - Come trattare correttamente i dati», doc. web 8981258, para los artículos 5, 6, 7, 12, 13, 15–22 y 28 del GDPR (ambas en italiano; las traducciones son nuestras). El texto oficial del Reglamento (UE) 2016/679 en EUR-Lex no pudo consultarse desde nuestro sistema el día de la comprobación; las referencias a los artículos siguen el resumen del Garante.

La información sobre Iterum procede del aviso que el cliente abre desde su propia tarjeta (versión informativa_cliente_v4 a fecha de 4 de noviembre de 2026, marcada como provisional) y, a fecha de 4 de noviembre de 2026, de la página de registro y del perfil de la tarjeta, de la página de presentación de Iterum y del flujo de activación; consulte también el aviso de privacidad de Iterum. Esta guía no es asesoramiento jurídico ni certifica que ningún programa cumpla la normativa.