会员卡隐私与GDPR:数据保护法对小店有哪些要求

会员卡与GDPR:谁对顾客数据负责?

处理会员卡的GDPR问题,第一步是弄清谁来决定数据如何处理。通常是发行会员卡的商家:它是数据控制者,必须遵守第(EU) 2016/679号条例(即GDPR)第5条规定的原则,并且能够证明自己做到了。提供卡片托管软件的服务商通常是数据处理者,双方的合同必须符合第28条,意大利监管机构(Garante)也指出了这一点。

使用Iterum时,顾客从自己的会员卡中打开的声明会写明:店铺是数据控制者,FIDUS S.R.L.是提供平台的数据处理者。顾客获得会员卡无需勾选任何选项框:添加或创建会员卡即表示接受会员卡条款,并确认已阅读该声明;额外奖励和优惠则是单独的可选项,即«Sì, li voglio»或«No, grazie»。Fidus仅对过去已给出的Iterum资讯同意而言是独立的数据控制者:Iterum已不再收集这类同意。

本指南为经营小店的人汇总了官方资料,并采用意大利的资料来源,因为Iterum服务于意大利的店铺。本文不构成法律意见:涉及您自己的情况,请咨询隐私顾问或会计师。在意大利以外,请查阅您所在国家的规定和监管机构的要求。

会员卡应该收集哪些数据?

GDPR第5条的数据最小化原则要求数据充分、相关,并限于必要范围。对于会员卡,Garante在2005年2月24日的一般性决定中已经明确:仅出于会员忠诚度目的,只能处理发放会员卡权益所需的数据,即识别持卡人的数据,以及确有必要时的消费总额,而不应包含单个商品的明细。

对集章卡来说,必要的数据往往只有一项:这张卡累计了多少次到店消费,比如咖啡馆会员卡上的早餐,或理发店会员卡上的理发。姓名、邮箱或手机号可以帮助店员认出顾客,或在换手机后找回会员卡;出生日期只有在确实提供生日奖励时才有意义。选择奖励的思路见会员卡奖励创意指南。

办理会员卡需要顾客同意吗?

就会员卡本身而言,通常不需要。GDPR第6条在同意之外还规定了多种法律依据,包括履行合同和合法利益。2005年Garante写明:严格意义上出于会员忠诚度目的的处理,是履行与顾客合同所必需的,此时要求同意并不恰当。

需要同意的,是超出会员卡范围的事项:用户画像和营销。2005年的决定要求,每一项这类目的都要取得具体、知情且单独的同意,并明确规定不得把加入会员计划设为以该同意为条件。Garante对控制者义务的概述还补充说,根据GDPR第7条,同意必须与其他请求区分开来,可以撤回,且绝不能默认视为已同意:不得预先勾选选项框。

在Iterum会员卡声明中,会员卡的运行依据的是会员卡合同的履行,顾客添加或创建会员卡即表示接受其条款,无需勾选任何框;而店铺的优惠信息则是单独的可选同意:卡片会询问是否希望收到来自……的额外奖励和优惠,顾客回答「Sì, li voglio」(是的,我想要)或「No, grazie」(不用了,谢谢),默认不预选任何一项。拒绝不会妨碍任何人使用会员卡,14岁以下的顾客也不会被问到这个问题。Iterum 不再征求对其自身资讯的同意。自2026年10月17日起,声明还会写明顾客的来源,即朋友的邀请(«Bring a friend»)或店铺推广员的二维码,并把推荐奖励列入处理目的,法律依据与会员卡相同;店员读取会员卡时,只能看到邀请该顾客的人的简称。

会员卡隐私声明应该写什么

声明必须在收集数据之前提供,语言要清楚易懂。根据Garante对控制者义务的概述(涉及GDPR第12条和第13条),声明至少要写明下面列出的各项。

2005年的决定还补充了一个对收银台工作很实际的细节:在顾客没有时间阅读声明的情况下催促其加入并不恰当,比如在顾客排队结账时让他们匆忙签字。顾客可以在桌边或在家按自己的节奏打开的二维码会有帮助:展示位置的建议见二维码会员卡指南。

• 数据控制者是谁、如何联系,如有数据保护官,也要写明
• 各项处理目的及其对应的法律依据,会员卡与营销要分开
• 数据的接收方,例如作为数据处理者的软件服务商
• 数据保存多久,或确定保存期限所采用的标准
• 顾客的权利,以及向监管机构投诉的权利
• 向欧盟以外国家的任何数据传输,以及所采取的保障措施

会员卡数据应该保存多久?

GDPR并未规定具体的月数:存储限制原则要求,数据只在目的所需的期限内保存。对会员卡而言,最具体的参照依然是Garante 2005年的决定:可识别顾客的购买明细,用于用户画像最多保存12个月,用于营销最多保存24个月;会员卡被撤销、到期或退还后,为行政目的保存的数据,除非法律另有要求,保存不应超过三个月。

阅读时要注意两点:该决定泛指大型零售商的会员卡,而且早于GDPR,引用的是意大利旧的隐私法典。不过,它仍是Garante就会员卡给出的最具体的指引,在确定声明中要写的保存期限时值得参考。

在Iterum会员卡声明中,保存期限是自会员卡最后一次使用起24个月;之后数据会被自动删除或匿名化,会员卡被停用,店铺的汇总数据保留到店消费、积分和奖励,但不再包含顾客姓名。

顾客要求查看或删除数据:该怎么办

访问、更正、删除、限制处理、数据可携带和反对,是GDPR第15至22条规定的权利。根据Garante的概述,控制者必须让顾客方便地行使这些权利,并在一个月内答复;复杂情况可延长至三个月,但无论是否拒绝,都要在第一个月内给出答复。

实际操作中,要事先确定店里由谁处理这类请求,以及数据存放在哪里。在Iterum的每个方案中,激活流程都会列出用于处理顾客请求、数据导出和保存期限的隐私工具,以及每位顾客的资料和他们的同意情况。顾客自己也可以在自己的会员卡上删除姓名、出生日期、邮箱和手机号。

向会员卡顾客发送优惠:什么情况下可以?

会员卡本身并不赋予您发送优惠信息的权利。营销需要上文所述的具体同意,该同意要与会员卡分开收集,并且可随时撤回;对于邮件、短信等自动发送的信息,2005年的决定还提到了关于未经请求的通信的专门规定。

使用Iterum时,店铺的消息只会发给对额外奖励和优惠回答了«Sì, li voglio»的顾客,并受方案每月上限的约束,顾客也可以在自己的会员卡上一键关闭。如果您想再次联系顾客,请在声明中写明会发送什么内容、多久发送一次,让顾客清楚自己同意了什么。

如果想在邀请顾客之前,从顾客的角度看看声明、注册流程以及关于额外奖励和优惠的选择,您可以先设置会员卡并开始7天免费试用:今天支付€0,需要绑定支付卡,除非您取消,试用结束后所选方案会继续。

上线前的会员卡隐私检查清单

适用于小店的六个步骤,纸质卡和电子卡都适用。会员计划的条款以及奖品活动的问题,见意大利会员计划规则指南。

1. 列出您收集的数据及原因

   只保留会员卡所需的数据;如果不提供姓名和联系方式也能发放奖励,就把它们设为可选。

2. 准备隐私声明

   写明数据控制者、目的、法律依据、接收方、保存期限、权利以及投诉权,并确保顾客加入前就能读到。

3. 把各项同意分开

   每一项营销或用户画像目的各设一个选项框,绝不预先勾选,不勾选任何选项,会员卡同样可以使用。

4. 确定并写明保存期限

   说明数据保存多久,以及顾客不再使用会员卡后会如何处理。

5. 核对与服务商的合同

   如果由软件为您运行会员卡,双方关系必须按GDPR第28条的要求来安排。

6. 确定由谁答复请求

   为访问和删除请求指定一位负责人和一个邮箱,并在一个月内答复。

资料来源与方法

2026年10月11日查阅的资料:Garante per la protezione dei dati personali(意大利个人数据保护机构),«Fidelity card e garanzie per i consumatori. Le regole del Garante per i programmi di fidelizzazione»,2005年2月24日一般性决定,doc. web 1103045;Garante,«Doveri - Come trattare correttamente i dati»,doc. web 8981258,涉及GDPR第5、6、7、12、13、15至22和28条(两份均为意大利语;中文译文为我们自行翻译)。核查当天,我们的系统无法访问EUR-Lex上的第(EU) 2016/679号条例官方文本;相关条款引用以Garante的概述为准。

有关Iterum的信息来自顾客从自己会员卡中打开的声明(截至2026年11月4日为informativa_cliente_v4版本,标注为临时版本),以及截至2026年11月4日的注册页面和会员卡资料、Iterum概览页面和激活流程;另见Iterum隐私声明。本指南不构成法律意见,也不证明任何会员计划合规。