Cartão fidelidade e GDPR: o que a lei de proteção de dados exige de um pequeno negócio

Cartão fidelidade e GDPR: quem é responsável pelos dados dos clientes?

Em qualquer dúvida sobre cartão fidelidade e GDPR, o primeiro passo é descobrir quem decide o que acontece com os dados. Em regra, é o negócio que oferece o cartão: ele é o controlador dos dados, deve respeitar os princípios do artigo 5 do Regulamento (UE) 2016/679, o GDPR, e precisa conseguir demonstrar que o faz. O fornecedor do software que hospeda os cartões costuma atuar como operador, com base em um contrato que, como lembra a autoridade italiana (o Garante), deve atender ao artigo 28.

Com o Iterum, o aviso que o cliente abre a partir do próprio cartão indica o negócio como controlador e a FIDUS S.R.L. como operador, responsável por fornecer a plataforma. O cliente não precisa marcar nenhuma caixa para ter o cartão: ao adicioná-lo ou criá-lo, aceita os Termos do cartão e confirma ter lido o aviso, enquanto prêmios extras e ofertas são uma escolha separada e opcional, «Sì, li voglio» ou «No, grazie». A Fidus é controladora independente apenas no caso de consentimentos para novidades sobre o Iterum dados no passado: o Iterum não os coleta mais.

Este guia resume fontes oficiais para quem toca um pequeno negócio, com fontes italianas porque o Iterum atende lojas na Itália. Não é aconselhamento jurídico: para o seu caso, consulte um especialista em privacidade ou o seu contador. Fora da Itália, verifique as regras e a autoridade do seu país.

Quais dados um cartão fidelidade deve pedir?

O princípio da minimização de dados, no artigo 5 do GDPR, exige dados adequados, pertinentes e limitados ao necessário. Para cartões fidelidade, o Garante já havia detalhado isso em seu provimento geral de 24 de fevereiro de 2005: para fins exclusivamente de fidelização, só podem ser tratados os dados necessários para conceder os benefícios do cartão, ou seja, os que identificam o titular e, quando realmente necessário, o valor total gasto, sem o detalhe dos produtos individuais.

Em um cartão de carimbos, o dado essencial costuma ser um só: que este cartão acumulou estas visitas, como os cafés da manhã em um cartão fidelidade para cafeterias ou os cortes de cabelo em um cartão fidelidade para barbearias. Nome, e-mail ou telefone podem ajudar a equipe a reconhecer o cliente ou a recuperar o cartão após a troca de celular; a data de nascimento só faz sentido se você realmente oferecer um prêmio de aniversário. Ideias para escolher o prêmio estão no guia de ideias de prêmios para cartão fidelidade.

Os clientes precisam dar consentimento para ter um cartão fidelidade?

Para o cartão em si, normalmente não. O artigo 6 do GDPR prevê várias bases legais além do consentimento, entre elas a execução de um contrato e o legítimo interesse. Em 2005, o Garante escreveu que o tratamento para fins de fidelização em sentido estrito é necessário para executar o contrato com o cliente e que, nesse caso, não é correto pedir consentimento.

O consentimento é necessário, em vez disso, para o que vai além do cartão: perfilamento e marketing. O provimento de 2005 exige consentimento específico, informado e separado para cada uma dessas finalidades, e afirma que a adesão ao programa não pode ficar condicionada a esse consentimento. O resumo dos deveres dos controladores feito pelo Garante acrescenta, com base no artigo 7 do GDPR, que o consentimento deve ser distinguível de outros pedidos, pode ser retirado e nunca é presumido: nada de caixas pré-marcadas.

No aviso do cartão Iterum, o funcionamento do cartão se apoia na execução do contrato do cartão, cujos Termos o cliente aceita ao adicionar ou criar o cartão, sem nenhuma caixa para marcar, enquanto as ofertas do negócio são um consentimento separado e opcional: o cartão pergunta «Vuoi premi extra e offerte da …?» (Quer prêmios extras e ofertas de …?) e o cliente responde «Sì, li voglio» ou «No, grazie», sem nada pré-selecionado. Recusar não impede ninguém de usar o cartão e, para menores de 14 anos, a pergunta nunca é feita. O Iterum não coleta mais consentimento para as próprias novidades. Desde 17 de outubro de 2026, o aviso também informa de onde o cliente veio, isto é, de um convite de um amigo («Traga um amigo») ou do QR code de um divulgador do negócio, e inclui os prêmios por indicação entre as finalidades, com as mesmas bases legais do cartão; quando a equipe lê o cartão, vê apenas o nome curto de quem convidou o cliente.

O que escrever no aviso de privacidade do cartão fidelidade

O aviso deve ser entregue antes da coleta dos dados, em linguagem clara e simples. Segundo o resumo do Garante sobre os deveres dos controladores, que abrange os artigos 12 e 13 do GDPR, ele deve indicar pelo menos os pontos da lista abaixo.

O provimento de 2005 acrescenta um detalhe muito prático para quem trabalha no balcão: não é correto pressionar o cliente a aderir sem tempo para ler o aviso, por exemplo pedindo uma assinatura rápida enquanto ele espera na fila do caixa. Ajuda um QR code que o cliente possa abrir no próprio ritmo, à mesa ou em casa: dicas de onde exibi-lo estão no guia do cartão fidelidade com QR code.

• Quem é o controlador e como contatá-lo, além do encarregado de proteção de dados, se houver
• As finalidades e a base legal de cada uma, mantendo o cartão separado do marketing
• Quem recebe os dados, por exemplo o fornecedor do software como operador
• Por quanto tempo você os guarda, ou os critérios usados para decidir
• Os direitos do cliente e o direito de reclamar à autoridade de controle
• Eventuais transferências para países fora da UE e as garantias adotadas

Por quanto tempo guardar os dados do cartão fidelidade?

O GDPR não fixa um número de meses: o princípio da limitação da conservação pede que você guarde os dados apenas pelo tempo que a finalidade exigir. Para cartões fidelidade, a referência mais específica continua sendo o provimento do Garante de 2005: os detalhes de compras de clientes identificáveis podem ser guardados por no máximo 12 meses para perfilamento e 24 meses para marketing; quando o cartão é retirado, expira ou é devolvido, os dados mantidos para fins administrativos não devem ser conservados por mais de três meses, salvo exigência legal.

Leia com duas ressalvas: o provimento trata, em termos gerais, dos cartões das grandes redes varejistas e é anterior ao GDPR, já que remete ao antigo código de privacidade italiano. Continua sendo, porém, a orientação mais concreta que o Garante já deu sobre cartões fidelidade, e vale levá-lo em conta ao escolher o prazo a escrever no seu aviso.

No aviso do cartão Iterum, o prazo é de 24 meses a partir do último uso do cartão; depois disso, os dados são excluídos ou anonimizados automaticamente, o cartão é desativado e os totais do negócio mantêm visitas, pontos e prêmios sem o nome do cliente.

Um cliente pede seus dados ou a exclusão: o que fazer

Acesso, retificação, apagamento, limitação, portabilidade e oposição são direitos previstos nos artigos 15 a 22 do GDPR. Segundo o resumo do Garante, o controlador deve facilitar o exercício desses direitos e responder em um mês, prorrogável para três meses em casos complexos, sempre dando uma resposta dentro do primeiro mês, mesmo quando for para recusar.

Na prática, decida de antemão quem no negócio cuida dos pedidos e onde os dados estão. Em todos os planos do Iterum, o fluxo de ativação lista ferramentas de privacidade para pedidos de clientes, exportação de dados e retenção, junto com o perfil de cada cliente e seus consentimentos. Os clientes, por sua vez, podem remover nome, data de nascimento, e-mail e telefone do próprio cartão.

Ofertas para clientes do cartão fidelidade: quando você pode enviá-las?

Um cartão fidelidade, por si só, não dá o direito de enviar ofertas. O marketing exige o consentimento específico descrito acima, coletado separadamente do cartão e revogável a qualquer momento; para e-mail, SMS e outras mensagens automatizadas, o provimento de 2005 também remetia às regras específicas sobre comunicações não solicitadas.

Com o Iterum, as mensagens do negócio chegam apenas aos clientes que responderam «Sì, li voglio» para prêmios extras e ofertas, dentro dos limites mensais do plano, e os clientes podem desativá-las com um toque no próprio cartão. Se você quiser voltar a contatar os clientes, diga no aviso o que vai enviar e com que frequência, para que saibam com o que estão concordando.

Para ver o aviso, o cadastro e a escolha sobre prêmios extras e ofertas do ponto de vista do cliente antes de convidar alguém, você pode configurar o cartão e iniciar o teste grátis de 7 dias: você paga € 0 hoje, é preciso um cartão de pagamento e, a menos que cancele, o plano escolhido continua após o teste.

Checklist de privacidade do cartão fidelidade antes do lançamento

Seis passos para um pequeno negócio, valem tanto para cartões de papel quanto digitais. Os termos do programa e a questão das operações a prêmio estão no guia sobre as regras de programas de fidelidade na Itália.

1. Liste os dados que você pede e por quê

   Mantenha só o que o cartão precisa; deixe nome e contatos como opcionais se o prêmio puder ser entregue sem eles.

2. Prepare o aviso de privacidade

   Controlador, finalidades, bases legais, destinatários, retenção, direitos e direito de reclamação, legível antes da adesão.

3. Separe os consentimentos

   Uma caixa para cada finalidade de marketing ou perfilamento, nunca pré-marcada, e o cartão funciona sem nenhuma marcação.

4. Escolha e informe o prazo de retenção

   Diga por quanto tempo você guarda os dados e o que acontece quando um cliente deixa de usar o cartão.

5. Confira o contrato com o seu fornecedor

   Se um software gerencia os cartões para você, a relação deve ser estruturada como exige o artigo 28 do GDPR.

6. Defina quem responde aos pedidos

   Um nome e um endereço de e-mail para pedidos de acesso e exclusão, com resposta em até um mês.

Fontes e método

Fontes consultadas em 11 de outubro de 2026: Garante per la protezione dei dati personali, «Fidelity card e garanzie per i consumatori. Le regole del Garante per i programmi di fidelizzazione» (Cartões fidelidade e garantias para os consumidores), provimento geral de 24 de fevereiro de 2005, doc. web 1103045; Garante, «Doveri - Come trattare correttamente i dati» (Deveres - Como tratar corretamente os dados), doc. web 8981258, para os artigos 5, 6, 7, 12, 13, 15 a 22 e 28 do GDPR (ambas em italiano; as traduções para o português são nossas). O texto oficial do Regulamento (UE) 2016/679 no EUR-Lex não pôde ser acessado pelo nosso sistema no dia da verificação; as referências aos artigos seguem o resumo do Garante.

As informações sobre o Iterum vêm do aviso que o cliente abre a partir do próprio cartão (versão informativa_cliente_v4 em 4 de novembro de 2026, marcada como provisória) e, em 4 de novembro de 2026, da página de cadastro e do perfil do cartão, da página de apresentação do Iterum e do fluxo de ativação; veja também o aviso de privacidade do Iterum. Este guia não é aconselhamento jurídico e não certifica que nenhum programa esteja em conformidade.