Карта лояльности, GDPR и персональные данные: что закон требует от небольшого магазина

Карта лояльности и GDPR: кто отвечает за данные клиентов?

Когда речь о карте лояльности и GDPR, сначала нужно определить, кто решает, что происходит с данными. Как правило, это компания, которая предлагает карту: она является контролёром данных, обязана соблюдать принципы статьи 5 Регламента (ЕС) 2016/679 (GDPR) и уметь это подтвердить. Поставщик программного обеспечения, на котором работают карты, обычно выступает обработчиком по договору, который, как указывает итальянский орган (Garante), должен соответствовать статье 28.

В Iterum уведомление, которое клиент открывает со своей карты, называет контролёром магазин, а обработчиком, предоставляющим платформу, — FIDUS S.R.L. Клиентам не нужно ставить флажок, чтобы получить карту: добавляя или создавая её, они принимают Условия карты и подтверждают, что ознакомились с уведомлением, а дополнительные награды и предложения — отдельный необязательный выбор: «Sì, li voglio» (да, хочу) или «No, grazie» (нет, спасибо). Fidus остаётся самостоятельным контролёром только для согласий на новости Iterum, данных в прошлом: Iterum больше их не собирает.

В руководстве кратко изложены официальные источники для владельцев небольшого бизнеса; источники итальянские, потому что Iterum работает с итальянскими магазинами. Это не юридическая консультация: по вашему случаю обратитесь к консультанту по защите данных или к бухгалтеру. За пределами Италии проверьте национальные правила и орган вашей страны.

Какие данные должна запрашивать карта лояльности?

Принцип минимизации данных из статьи 5 GDPR требует, чтобы данные были достаточными, относились к делу и ограничивались необходимым. Для карт лояльности Garante сформулировал это ещё в общем постановлении от 24 февраля 2005 года: только для целей лояльности можно обрабатывать лишь данные, нужные для предоставления преимуществ карты, то есть данные, идентифицирующие владельца карты, и, если это действительно необходимо, общую сумму покупок без сведений об отдельных товарах.

Для карты со штампами существенные данные часто сводятся к одному факту: на этой карте накоплены такие-то визиты, например завтраки по карте лояльности для кафе или стрижки по карте лояльности для барбершопов. Имя, адрес электронной почты или телефон могут помочь сотрудникам узнать клиента или восстановить карту после смены телефона; дата рождения имеет смысл, только если вы действительно предлагаете награду ко дню рождения. Идеи для выбора награды — в руководстве идеи наград для карты лояльности.

Нужно ли согласие клиента на карту лояльности?

Для самой карты, как правило, нет. Статья 6 GDPR предусматривает, помимо согласия, несколько правовых оснований, среди которых исполнение договора и законные интересы. В 2005 году Garante написал, что обработка в целях лояльности в строгом смысле необходима для исполнения договора с клиентом и что в этом случае запрашивать согласие неправильно.

Согласие нужно для того, что выходит за рамки карты: профилирования и маркетинга. Постановление 2005 года требует конкретного, информированного и отдельного согласия для каждой из этих целей и указывает, что участие в программе нельзя ставить в зависимость от такого согласия. Резюме обязанностей контролёров от Garante добавляет, со ссылкой на статью 7 GDPR, что согласие должно быть отличимо от других запросов, его можно отозвать, и оно никогда не подразумевается: никаких заранее отмеченных полей.

В уведомлении карты Iterum работа карты опирается на исполнение договора по карте, Условия которого клиент принимает, добавляя или создавая карту, без флажка, а предложения магазина — отдельное необязательное согласие: карта спрашивает «Vuoi premi extra e offerte da …?» (Хотите дополнительные награды и предложения от …?), и клиент отвечает «Sì, li voglio» (да, хочу) или «No, grazie» (нет, спасибо), при этом ничего не выбрано заранее. Отказ никому не мешает пользоваться картой, а клиентам младше 14 лет этот вопрос не задаётся никогда. Согласие на собственные новости Iterum больше не собирает. С 17 октября 2026 года уведомление также указывает, откуда пришёл клиент, то есть по приглашению друга («Bring a friend») или по QR-коду промоутера магазина, и включает реферальные награды в список целей на тех же правовых основаниях, что и карта; когда сотрудники считывают карту, они видят только краткое имя пригласившего клиента.

Что написать в уведомлении о конфиденциальности для карты лояльности

Уведомление нужно предоставить до сбора данных, ясным и простым языком. Согласно резюме обязанностей контролёров от Garante, которое охватывает статьи 12 и 13 GDPR, оно должно содержать как минимум пункты из списка ниже.

Постановление 2005 года добавляет очень практичную деталь для тех, кто работает за стойкой: подталкивать клиентов к вступлению, не оставляя времени прочитать уведомление, например просить быструю подпись, пока они стоят в очереди у кассы, неправильно. Помогает QR-код, который клиент может открыть в удобное время, за столиком или дома; советы, где его разместить, — в руководстве по карте лояльности с QR-кодом.

• Кто является контролёром и как с ним связаться, а также ответственное лицо за защиту данных, если оно есть
• Цели и правовое основание для каждой, с отделением карты от маркетинга
• Кто получает данные, например поставщик программного обеспечения как обработчик
• Как долго вы храните данные или по каким критериям определяете срок
• Права клиента и право подать жалобу в надзорный орган
• Передача данных в страны за пределами ЕС и применяемые гарантии

Как долго хранить данные карты лояльности?

GDPR не называет число месяцев: принцип ограничения хранения требует хранить данные не дольше, чем нужно для цели. Для карт лояльности наиболее конкретным ориентиром по-прежнему остаётся постановление Garante 2005 года: сведения о покупках идентифицируемых клиентов можно хранить не более 12 месяцев для профилирования и 24 месяцев для маркетинга; когда карта аннулирована, истекла или возвращена, данные, хранимые в административных целях, не следует хранить более трёх месяцев, если закон не требует иного.

Читайте его с двумя оговорками: постановление в общих чертах касается карт крупных торговых сетей и появилось до GDPR, поскольку ссылается на прежний итальянский кодекс о конфиденциальности. Тем не менее это самое конкретное руководство по картам лояльности, которое дал Garante, и о нём стоит помнить, выбирая срок для вашего уведомления.

В уведомлении карты Iterum срок составляет 24 месяца с момента последнего использования карты; после этого данные автоматически удаляются или обезличиваются, карта деактивируется, а итоги магазина сохраняют визиты, баллы и награды без имени клиента.

Клиент просит свои данные или удаление: что делать

Доступ, исправление, удаление, ограничение обработки, переносимость и возражение — это права, закреплённые в статьях 15–22 GDPR. Согласно резюме Garante, контролёр должен облегчать их осуществление и отвечать в течение одного месяца, с продлением до трёх месяцев в сложных случаях, при этом ответ всегда нужно дать в первый месяц, даже если это отказ.

На практике заранее решите, кто в магазине обрабатывает запросы и где хранятся данные. На каждом тарифе Iterum в процессе активации перечислены инструменты конфиденциальности для запросов клиентов, экспорта данных и сроков хранения, а также профиль каждого клиента и его согласия. Сами клиенты могут удалить со своей карты имя, дату рождения, адрес электронной почты и телефон.

Предложения клиентам с картой лояльности: когда их можно отправлять?

Карта лояльности сама по себе не даёт права рассылать предложения. Для маркетинга нужно описанное выше конкретное согласие, полученное отдельно от карты и отзываемое в любой момент; для электронной почты, SMS и других автоматических сообщений постановление 2005 года также отсылало к специальным правилам о нежелательных сообщениях.

В Iterum сообщения магазина доходят только до клиентов, ответивших «Sì, li voglio» (да, хочу) на предложение о дополнительных наградах и предложениях, в рамках месячных лимитов тарифа, а клиенты могут отключить их одним касанием на своей карте. Если вы хотите снова связаться с клиентами, укажите в уведомлении, что вы будете отправлять и как часто, чтобы клиенты понимали, с чем соглашаются.

Чтобы увидеть уведомление, регистрацию и выбор о дополнительных наградах и предложениях глазами клиента до приглашения кого-либо, вы можете настроить карту и начать бесплатный пробный период 7 дней: сегодня вы платите €0, нужна платёжная карта, и, если вы не отмените подписку, выбранный тариф продолжится после пробного периода.

Чек-лист по конфиденциальности карты лояльности перед запуском

Шесть шагов для небольшого бизнеса, одинаково подходящих для бумажных и электронных карт. Условия программы и вопрос призовых акций разобраны в руководстве по правилам программ лояльности в Италии.

1. Составьте список запрашиваемых данных и причин

   Оставьте только то, что нужно карте; сделайте имя и контактные данные необязательными, если награду можно выдать без них.

2. Подготовьте уведомление о конфиденциальности

   Контролёр, цели, правовые основания, получатели, срок хранения, права и право на жалобу; уведомление должно быть доступно для прочтения до вступления в программу.

3. Разделите согласия

   Одно поле на каждую цель маркетинга или профилирования, никогда не отмеченное заранее, а карта работает и без единой отметки.

4. Выберите и укажите срок хранения

   Напишите, как долго вы храните данные и что происходит, когда клиент перестаёт пользоваться картой.

5. Проверьте договор с поставщиком

   Если картами для вас управляет программное обеспечение, отношения должны быть оформлены так, как требует статья 28 GDPR.

6. Решите, кто отвечает на запросы

   Имя и адрес электронной почты для запросов на доступ и удаление, с ответом в течение одного месяца.

Источники и метод

Источники, изученные 11 октября 2026 года: Garante per la protezione dei dati personali, «Fidelity card e garanzie per i consumatori. Le regole del Garante per i programmi di fidelizzazione», общее постановление от 24 февраля 2005 года, doc. web 1103045 (итальянский орган по защите персональных данных); Garante, «Doveri - Come trattare correttamente i dati», doc. web 8981258, для статей 5, 6, 7, 12, 13, 15–22 и 28 GDPR (оба источника на итальянском; русский перевод наш). Официальный текст Регламента (ЕС) 2016/679 на EUR-Lex в день проверки не удалось открыть из нашей системы; ссылки на статьи соответствуют резюме Garante.

Сведения об Iterum взяты из уведомления, которое клиенты открывают со своей карты (версия informativa_cliente_v4 на 4 ноября 2026 года, помечена как предварительная), а также, по состоянию на 4 ноября 2026 года, из страницы регистрации и профиля карты, обзорной страницы Iterum и процесса активации; см. также уведомление о конфиденциальности Iterum. Это руководство не является юридической консультацией и не подтверждает соответствие какой-либо программы требованиям закона.