Quina base jurídica utilitza un programa de fidelització per tractar les dades dels clients?

Un programa de fidelització combina diverses bases jurídiques en funció del tractament concret. La gestió pròpia del programa (alta del client, acumulació i bescanvi de punts, emissió de la targeta, atenció al client) s'empara habitualment en l'execució de la relació contractual derivada de la subscripció al programa (art. 6.1.b RGPD), perquè en adherir-se el client accepta un conjunt de condicions recíproques. Els tractaments addicionals que el comerç vulgui realitzar requereixen consentiment exprés, específic i informat: enviament de comunicacions comercials personalitzades per email/SMS, elaboració de perfils de consum, cessió a empreses del grup o partners, segmentació amb finalitats de màrqueting analític. Cada finalitat es presenta amb la seva casella separada i desmarcada per defecte. L'obligació legal (6.1.c) s'aplica només a aspectes puntuals com la facturació. L'interès legítim pot entrar en joc per a tractaments accessoris com l'anàlisi estadística agregada, sempre que superi el triple test.

Pot el comerç enviar ofertes comercials per email als clients del programa de fidelització?

Sí, sempre que el client hagi consentit específicament rebre comunicacions comercials electròniques. L'art. 21 de la LSSICE exigeix consentiment previ i exprés per enviar comunicacions comercials per email, SMS o canals electrònics equivalents, amb dos matisos: l'art. 21.2 LSSICE permet enviar comunicacions comercials electròniques a clients amb relació contractual prèvia quan es refereixin a productes o serveis similars als inicialment contractats, sempre que en la primera comunicació i en cada enviament posterior s'ofereixi un mecanisme senzill i gratuït d'oposició. El programa de fidelització en si mateix no autoritza per defecte l'enviament de comunicacions comercials, llevat que la subscripció al programa ho inclogui com a prestació inherent; però fins i tot llavors és recomanable presentar el consentiment de manera diferenciada per evitar dubtes sobre la qualitat del consentiment (lliure, específic, informat, inequívoc).

Com s'exerceix el dret d'oposició a les comunicacions comercials del programa?

Cada comunicació comercial enviada al client ha d'incloure un mecanisme d'oposició senzill i gratuït conforme a l'art. 22 LSSICE. Al correu electrònic això es tradueix en un enllaç de baixa visible i operatiu que doni de baixa el destinatari sense haver de justificar-se, identificar-se de manera reforçada ni accedir a cap panell. En SMS, una paraula clau (p. ex. BAIXA) a un número gratuït o, alternativament, un enllaç a una landing de baixa. La baixa s'ha de processar de manera immediata i l'exclusió s'ha de propagar a totes les eines implicades (CRM, plataforma d'email màrqueting, eina de SMS). El client conserva, a més, els drets del RGPD: oposició al perfilat del programa (art. 21 RGPD), supressió, rectificació. La baixa en l'enviament comercial no implica baixa al programa: són tractaments diferents que el client pot separar.

Pot el comerç cedir les dades del programa a empreses del grup o partners comercials?

Només amb consentiment exprés, específic i independent del client per a aquesta cessió concreta. Una cessió a tercers amb finalitats diferents del propi programa (enviament d'ofertes de partners, intercanvi de bases per a campanyes creuades, cessió a empreses del grup amb personalitat jurídica diferent) és un tractament autònom que requereix la seva pròpia casella de consentiment, separada de la del propi programa i de la de l'enviament comercial del comerç. És inadmissible la cessió genèrica emparada en un consentiment global o en la subscripció al programa. El comerç ha d'identificar prèviament les categories de destinataris i informar el client. Quan la cessió sigui entre responsables del tractament independents, cadascun assumeix les seves pròpies obligacions. Quan es tracti d'un encarregat del tractament (processador en nom del comerç), es requereix contracte de l'art. 28 RGPD i no és pròpiament cessió, sinó accés per compte del responsable.

Programes de fidelització i targetes de client: RGPD aplicat al comerç

El programa de fidelització és un dels actius comercials més valuosos del comerç físic i, alhora, una de les àrees on es concentren més errors de compliment: consentiments genèrics, comunicacions comercials sense base clara, cessions a partners sense informació adequada i baixes que triguen dies a processar-se.

Aquesta guia explica com dissenyar i operar un programa de fidelització amb targeta de client conforme al RGPD (Reglament UE 2016/679), la LOPDGDD (Llei Orgànica 3/2018) i l'art. 21 de la LSSICE (Llei 34/2002) en matèria de comunicacions comercials electròniques.

Anatomia del programa: tractaments diferenciats

Un programa de fidelització rarament és un únic tractament. Habitualment hi conviuen un nucli i diverses capes opcionals, cadascuna amb la seva pròpia base jurídica:

Tractament	Dades típiques	Base jurídica
Alta i gestió del programa	Identificatives, contacte, número de targeta, punts.	Execució de la relació contractual (6.1.b)
Acumulació i bescanvi de punts	Historial de compres vinculades a la targeta.	Execució de la relació contractual (6.1.b)
Comunicacions comercials electròniques	Email, telèfon mòbil; segment bàsic.	Consentiment (6.1.a) + art. 21 LSSICE
Perfilat i oferta personalitzada	Historial detallat, freqüència, tiquet mitjà.	Consentiment exprés (6.1.a)
Cessió a partners o empreses del grup	Dades identificatives i de segment.	Consentiment exprés i específic (6.1.a)
Anàlisi estadística agregada	Dades anonimitzades o pseudonimitzades.	Interès legítim (6.1.f) amb triple test

Consentiment exprés per finalitat

La regla operativa fonamental del programa és la granularitat del consentiment. No serveix una única casella "accepto la política de privacitat" per cobrir-ho tot. Cada finalitat addicional al nucli contractual del programa es presenta amb la seva pròpia casella, desmarcada per defecte, amb un text clar i específic:

Consentiment al programa (alta, punts, bescanvi, atenció al client): no requereix casella a part si s'executa com a part del contracte del programa. Sí que requereix informació clara i acceptació de les condicions generals.
Consentiment a comunicacions comercials electròniques: casella separada, desmarcada per defecte. Text del tipus "Vull rebre ofertes, descomptes i novetats del programa per email/SMS".
Consentiment a perfilat per a oferta personalitzada: casella separada quan el perfilat va més enllà de l'anàlisi estadística bàsica i es tradueix en ofertes individualitzades rellevants.
Consentiment a cessió a partners o empreses del grup: casella separada i identificació prèvia, almenys per categories, dels destinataris.
Consentiment d'imatge si el programa inclou sortejos, esdeveniments o publicació de guanyadors: casella separada.

Cada consentiment és revocable en qualsevol moment sense condicionar la pertinença al programa principal. El client pot mantenir-se al programa (acumular punts, bescanviar-los) i haver retirat el consentiment a comunicacions comercials.

Comunicacions comercials i LSSICE

L'art. 21 LSSICE exigeix consentiment previ i exprés per enviar comunicacions comercials per email, SMS i canals electrònics equivalents. Hi ha una via complementària a l'art. 21.2 LSSICE: a clients amb relació contractual prèvia, el comerç pot enviar comunicacions comercials sobre productes o serveis similars als ja contractats, sempre que cada comunicació ofereixi un mecanisme simple i gratuït d'oposició.

Aplicat al programa de fidelització:

Quan es vol anar més enllà del producte/servei similar i enviar ofertes més àmplies del comerç o creuades amb partners, cal consentiment exprés del client diferenciat.
Cada email comercial inclou al peu la identitat del remitent, el mecanisme de baixa (enllaç operatiu) i, quan s'apliqui, menció al canal alternatiu d'oposició.
Cada SMS comercial inclou una paraula clau gratuïta de baixa o enllaç operatiu.
El comerç manté un registre de consentiments amb data, canal i text exacte que es va mostrar al client en sol·licitar-lo.
Les trucades comercials amb finalitats de prospecció a particulars es regulen per l'art. 66.1.b de la Llei General de Telecomunicacions espanyola (Llei 11/2022): el client ha d'haver consentit expressament la recepció de trucades comercials.

Dret d'oposició i mecanisme de baixa

El dret d'oposició (art. 21 RGPD) és un dels més rellevants en màrqueting i fidelització. Operativament:

Cada comunicació comercial inclou un canal de baixa senzill i gratuït que no requereix accés a àrea privada.
La baixa es processa de manera immediata. És habitual que l'AEPD (Agència Espanyola de Protecció de Dades) valori amb quina rapidesa s'efectua: una baixa que triga diversos dies a fer-se efectiva genera problemes si en aquest interval se segueixen produint enviaments.
La baixa es propaga a tots els sistemes: CRM, plataforma d'email màrqueting, plataforma de SMS, eina de notificacions push de l'app si n'hi ha.
El client es pot oposar al perfilat del programa mantenint-se donat d'alta: el programa ha de continuar funcionant en la seva modalitat bàsica (punts, bescanvi) si el client així ho desitja.
Es conserva la prova de la baixa (data, canal) durant el temps necessari per acreditar-la.

"En un programa de fidelització, gairebé tot el compliment es juga en el moment de l'alta i en el moment de la baixa. Un formulari d'alta amb caselles separades, un sistema de baixes que funcioni el mateix dia i un registre net de qui va consentir què i quan és, a la pràctica, el 80% de la feina."

Mario P. Talamillo · Soci director, Certix®

Informació de l'art. 13 RGPD a l'alta

En el moment de l'alta al programa, el client rep la clàusula informativa de l'art. 13 RGPD, integrada al formulari (paper o digital) i conservada com a prova del seu lliurament. Contingut mínim:

Identitat del responsable (la societat titular del comerç, CIF, domicili) i dades del DPD si se n'ha designat.
Finalitats concretes: gestió del programa, acumulació i bescanvi de punts, si escau comunicacions comercials, perfilat, cessions.
Bases jurídiques: execució de la relació contractual del programa per al nucli; consentiment per a les finalitats addicionals.
Categories de destinataris: gestoria, encarregats del tractament (plataforma del programa, email màrqueting, atenció al client), i partners o empreses del grup si s'ha consentit.
Transferències internacionals si s'aplica (proveïdors SaaS als EUA o altres: indicar Data Privacy Framework o un altre instrument adequat).
Terminis de conservació diferenciats.
Drets del client i via per exercir-los.
Dret a reclamar davant l'AEPD.

Plataforma del programa, CRM i encarregats

El programa de fidelització sol recolzar-se en diverses eines tecnològiques que actuen com a encarregats del tractament:

Plataforma específica de fidelització (gestor de targetes, punts, bescanvi).
CRM on resideixen les dades del client i el seu historial.
Plataforma d'email màrqueting.
Plataforma de SMS o notificacions push.
Passarel·la de pagament si el programa inclou descomptes aplicats a la transacció.
Centre d'atenció al client extern si existeix.

Per a cadascun: contracte de l'art. 28 RGPD amb totes les clàusules exigides (finalitat, durada, naturalesa, tipus de dades, categories d'interessats, mesures de seguretat, subencarregats, procediment de devolució de les dades en finalitzar el servei). Verificar transferències internacionals i, quan escaigui, mecanisme vàlid (Data Privacy Framework, clàusules contractuals tipus).

Conservació de les dades del programa

La política de conservació es diferencia per bloc:

Dades bàsiques del programa: durant la vigència de la relació i posteriorment bloquejades durant els terminis de prescripció d'accions civils aplicables (art. 1964 CC) i, si escau, fiscals.
Historial de compres vinculat a la targeta: durant la vigència del programa més els terminis de prescripció aplicables.
Comunicacions comercials: mentre el consentiment estigui vigent. Després de la revocació, la dada es manté únicament a la llista d'exclusió.
Baixes i revocacions: durant el temps necessari per acreditar-les davant d'una eventual reclamació.
El programa professional documenta terminis diferenciats i procedeix a la destrucció segura quan vencen.

Checklist mínim del programa de fidelització

Clàusula de l'art. 13 RGPD lliurada a l'alta i conservada com a prova.
Caselles separades i desmarcades per defecte per a cada finalitat addicional.
Registre de consentiments amb data, canal i text mostrat.
Mecanisme de baixa simple, gratuït i operatiu a cada enviament comercial.
Propagació de la baixa a tots els sistemes implicats.
Contractes de l'art. 28 RGPD amb plataforma del programa, CRM, email màrqueting, SMS i altres encarregats.
Verificació de transferències internacionals amb instrument adequat.
Política de conservació diferenciada per bloc.
Tractaments inscrits al RAT.

Preguntes freqüents

Quina base jurídica utilitza un programa de fidelització?

La gestió del programa (alta, punts, bescanvi) s'empara en l'execució de la relació contractual (6.1.b RGPD). Les finalitats addicionals (comunicacions comercials, perfilat, cessió a partners) requereixen consentiment exprés (6.1.a). L'obligació legal cobreix només aspectes puntuals com la facturació.

Pot el comerç enviar ofertes per email als clients del programa?

Sí, amb consentiment exprés (art. 21 LSSICE) o, en relació contractual prèvia, sobre productes o serveis similars amb mecanisme de baixa simple i gratuït a cada enviament (art. 21.2 LSSICE). El programa per si sol no autoritza per defecte l'enviament comercial.

Com s'exerceix el dret d'oposició a les comunicacions?

Mitjançant l'enllaç de baixa simple i gratuït a cada email, o paraula clau/enllaç a cada SMS. La baixa es processa immediatament i es propaga a tots els sistemes. El client es pot oposar a les comunicacions sense perdre la seva pertinença al programa.

Pot el comerç cedir les dades a partners o empreses del grup?

Només amb consentiment exprés, específic i independent per a aquesta cessió. No serveix un consentiment global. El comerç identifica les categories de destinataris i informa prèviament el client. Quan és un encarregat del tractament, en lloc de cessió hi ha contracte de l'art. 28 RGPD.

Aquest contingut és merament orientatiu i divulgatiu; no constitueix en cap cas assessorament jurídic especialitzat. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada. La normativa autonòmica sectorial pot ampliar o modificar terminis i requisits.

Vols revisar el programa de fidelització del teu comerç?

A Certix t'assignem un expert en compliment del sector comerç. Sense intermediaris comercials, sense plantilles genèriques.

Parlar amb un expert

Programes de fidelització i targetes de client: com complir el RGPD al comerç