Que base xurídica utiliza un programa de fidelización para tratar os datos dos clientes?

Un programa de fidelización combina varias bases xurídicas en función do tratamento concreto. A xestión propia do programa (alta do cliente, acumulación e canxe de puntos, emisión da tarxeta, atención ao cliente) ampárase habitualmente na execución da relación contractual derivada da subscrición ao programa (art. 6.1.b RGPD (Regulamento UE 2016/679)), porque ao adherirse o cliente acepta un conxunto de condicións recíprocas. Os tratamentos adicionais que o comercio queira realizar requiren consentimento expreso, específico e informado: envío de comunicacións comerciais personalizadas por email/SMS, elaboración de perfís de consumo, cesión a empresas do grupo ou partners, segmentación con fins de marketing analítico. Cada finalidade preséntase coa súa caixiña separada e desmarcada por defecto. A obriga legal (6.1.c) aplica só a aspectos puntuais como a facturación. O interese lexítimo pode entrar en xogo para tratamentos accesorios como análise estatística agregada, sempre superando o triple test.

Pode o comercio enviar ofertas comerciais por email aos clientes do programa de fidelización?

Si, sempre que o cliente consentise especificamente recibir comunicacións comerciais electrónicas. O art. 21 da LSSICE (Lei española 34/2002) esixe consentimento previo e expreso para enviar comunicacións comerciais por email, SMS ou canles electrónicas equivalentes, con dous matices: o art. 21.2 LSSICE permite enviar comunicacións comerciais electrónicas a clientes con relación contractual previa cando se refiran a produtos ou servizos similares aos inicialmente contratados, sempre que na primeira comunicación e en cada envío posterior se ofreza un mecanismo sinxelo e gratuíto de oposición. O programa de fidelización en si mesmo non autoriza por defecto o envío de comunicacións comerciais, agás que a subscrición ao programa o inclúa como prestación inherente; pero mesmo entón é recomendable presentar o consentimento de forma diferenciada para evitar dúbidas sobre a calidade do consentimento (libre, específico, informado, inequívoco).

Como se exerce o dereito de oposición ás comunicacións comerciais do programa?

Cada comunicación comercial enviada ao cliente debe incluír un mecanismo de oposición sinxelo e gratuíto conforme ao art. 22 LSSICE (Lei española 34/2002). No correo electrónico isto tradúcese nun enlace de baixa visible e operativo que dea de baixa ao destinatario sen ter que xustificarse, identificarse de forma reforzada nin acceder a ningún panel. En SMS, unha palabra clave (ex. BAIXA) a un número gratuíto ou, alternativamente, un enlace a unha landing de baixa. A baixa debe procesarse de forma inmediata e a exclusión debe propagarse a todas as ferramentas implicadas (CRM, plataforma de email marketing, ferramenta de SMS). O cliente conserva ademais os dereitos do RGPD: oposición ao perfilado do programa (art. 21 RGPD), supresión, rectificación. A baixa no envío comercial non implica baixa no programa: son tratamentos distintos que o cliente pode separar.

Pode o comercio ceder os datos do programa a empresas do grupo ou partners comerciais?

Só con consentimento expreso, específico e independente do cliente para esa cesión concreta. Unha cesión a terceiros con finalidades distintas do propio programa (envío de ofertas de partners, intercambio de bases para campañas cruzadas, cesión a empresas do grupo con personalidade xurídica distinta) é un tratamento autónomo que require a súa propia caixiña de consentimento, separada da do propio programa e da do envío comercial do comercio. É inadmisible a cesión xenérica amparada nun consentimento global ou na subscrición ao programa. O comercio debe identificar previamente as categorías de destinatarios e informar ao cliente. Cando a cesión sexa entre responsables do tratamento independentes, cada un asume as súas propias obrigas. Cando se trate dun encargado do tratamento (procesador en nome do comercio), require contrato do art. 28 RGPD e non é propiamente cesión, senón acceso por conta do responsable.

Programas de fidelización e tarxetas de cliente: RGPD aplicado ao comercio

O programa de fidelización é un dos activos comerciais máis valiosos do comercio físico e, á vez, unha das áreas onde se concentran máis erros de cumprimento: consentimentos xenéricos, comunicacións comerciais sen base clara, cesións a partners sen información adecuada e baixas que tardan días en procesarse.

Esta guía explica como deseñar e operar un programa de fidelización con tarxeta de cliente conforme ao RGPD (Regulamento UE 2016/679), a LOPDGDD (Lei Orgánica española 3/2018) e o art. 21 da LSSICE (Lei española 34/2002) en materia de comunicacións comerciais electrónicas.

Anatomía do programa: tratamentos diferenciados

Un programa de fidelización rara vez é un único tratamento. Habitualmente convive un núcleo e varias capas opcionais, cada unha coa súa propia base xurídica:

Tratamento	Datos típicos	Base xurídica
Alta e xestión do programa	Identificativos, contacto, número de tarxeta, puntos.	Execución da relación contractual (6.1.b)
Acumulación e canxe de puntos	Historial de compras vinculadas á tarxeta.	Execución da relación contractual (6.1.b)
Comunicacións comerciais electrónicas	Email, teléfono móbil; segmento básico.	Consentimento (6.1.a) + art. 21 LSSICE
Perfilado e oferta personalizada	Historial detallado, frecuencia, ticket medio.	Consentimento expreso (6.1.a)
Cesión a partners ou empresas do grupo	Datos identificativos e de segmento.	Consentimento expreso e específico (6.1.a)
Análise estatística agregada	Datos anonimizados ou seudonimizados.	Interese lexítimo (6.1.f) con triple test

Consentimento expreso por finalidade

A regra operativa fundamental do programa é a granularidade do consentimento. Non vale unha única caixiña "acepto a política de privacidade" para cubrilo todo. Cada finalidade adicional ao núcleo contractual do programa preséntase coa súa propia caixiña, desmarcada por defecto, cun texto claro e específico:

Consentimento ao programa (alta, puntos, canxe, atención ao cliente): non require caixiña aparte se se executa como parte do contrato do programa. Si require información clara e aceptación das condicións xerais.
Consentimento a comunicacións comerciais electrónicas: caixiña separada, desmarcada por defecto. Texto do tipo "Quero recibir ofertas, descontos e novidades do programa por email/SMS".
Consentimento a perfilado para oferta personalizada: caixiña separada cando o perfilado vai máis aló da análise estatística básica e se traduce en ofertas individualizadas relevantes.
Consentimento a cesión a partners ou empresas do grupo: caixiña separada e identificación previa, polo menos por categorías, dos destinatarios.
Consentimento de imaxe se o programa inclúe sorteos, eventos ou publicación de gañadores: caixiña separada.

Cada consentimento é revogable en calquera momento sen condicionar a pertenza ao programa principal. O cliente pode manterse no programa (acumular puntos, canxealos) e ter retirado o consentimento a comunicacións comerciais.

Comunicacións comerciais e LSSICE

O art. 21 LSSICE esixe consentimento previo e expreso para enviar comunicacións comerciais por email, SMS e canles electrónicas equivalentes. Hai unha vía complementaria no art. 21.2 LSSICE: a clientes con relación contractual previa, o comercio pode enviar comunicacións comerciais sobre produtos ou servizos similares aos xa contratados, sempre que cada comunicación ofreza un mecanismo simple e gratuíto de oposición.

Aplicado ao programa de fidelización:

Cando se quere ir máis aló do produto/servizo similar e enviar ofertas máis amplas do comercio ou cruzadas con partners, fai falla consentimento expreso do cliente diferenciado.
Cada email comercial inclúe no pé a identidade do remitente, o mecanismo de baixa (enlace operativo) e, cando aplique, mención á canle alternativa de oposición.
Cada SMS comercial inclúe unha palabra clave gratuíta de baixa ou enlace operativo.
O comercio mantén un rexistro de consentimentos con data, canle e texto exacto que se mostrou ao cliente ao solicitalo.
As chamadas comerciais con fins de prospección a particulares regúlanse polo art. 66.1.b da Lei Xeral de Telecomunicacións (Lei 11/2022): o cliente debe consentir expresamente a recepción de chamadas comerciais.

Dereito de oposición e mecanismo de baixa

O dereito de oposición (art. 21 RGPD) é un dos máis relevantes en marketing e fidelización. Operativamente:

Cada comunicación comercial inclúe unha canle de baixa sinxela e gratuíta que non require acceso a área privada.
A baixa procésase de forma inmediata. É habitual que a AEPD valore canto rápido se efectúa: unha baixa que tarda varios días en facerse efectiva xera problemas se nese intervalo se seguen producindo envíos.
A baixa propágase a todos os sistemas: CRM, plataforma de email marketing, plataforma de SMS, ferramenta de notificacións push da app se a hai.
O cliente pode opoñerse ao perfilado do programa manténdose dado de alta: o programa debe seguir funcionando na súa modalidade básica (puntos, canxe) se o cliente así o desexa.
Consérvase a proba da baixa (data, canle) durante o tempo necesario para acreditala.

"Nun programa de fidelización, case todo o cumprimento se xoga no momento da alta e no momento da baixa. Un formulario de alta con caixiñas separadas, un sistema de baixas que funcione o mesmo día e un rexistro limpo de quen consentiu que e cando é, na práctica, o 80% do traballo."

Mario P. Talamillo · Socio director, Certix®

Información do art. 13 RGPD na alta

No momento da alta ao programa, o cliente recibe a cláusula informativa do art. 13 RGPD, integrada no formulario (papel ou dixital) e conservada como proba da súa entrega. Contido mínimo:

Identidade do responsable (a sociedade titular do comercio, CIF, domicilio) e datos do DPD se foi designado.
Finalidades concretas: xestión do programa, acumulación e canxe de puntos, no seu caso comunicacións comerciais, perfilado, cesións.
Bases xurídicas: execución da relación contractual do programa para o núcleo; consentimento para as finalidades adicionais.
Categorías de destinatarios: xestoría, encargados do tratamento (plataforma do programa, email marketing, atención ao cliente), e partners ou empresas do grupo se se consentiu.
Transferencias internacionais se aplica (provedores SaaS en EEUU ou outros: indicar Data Privacy Framework ou outro instrumento adecuado).
Prazos de conservación diferenciados.
Dereitos do cliente e vía para exercelos.
Dereito a reclamar ante a AEPD (Axencia Española de Protección de Datos).

Plataforma do programa, CRM e encargados

O programa de fidelización adoita apoiarse en varias ferramentas tecnolóxicas que actúan como encargados do tratamento:

Plataforma específica de fidelización (xestor de tarxetas, puntos, canxe).
CRM onde residen os datos do cliente e o seu historial.
Plataforma de email marketing.
Plataforma de SMS ou notificacións push.
Pasarela de pago se o programa inclúe descontos aplicados na transacción.
Centro de atención ao cliente externo se existe.

Para cada un: contrato do art. 28 RGPD con todas as cláusulas esixidas (finalidade, duración, natureza, tipo de datos, categorías de interesados, medidas de seguridade, subencargados, procedemento de devolución dos datos ao finalizar o servizo). Verificar transferencias internacionais e, cando proceda, mecanismo válido (Data Privacy Framework, cláusulas contractuais tipo).

Conservación dos datos do programa

A política de conservación diferénciase por bloque:

Datos básicos do programa: durante a vixencia da relación e posteriormente bloqueados durante os prazos de prescrición de accións civís aplicables (art. 1964 CC) e, no seu caso, fiscais.
Historial de compras vinculado á tarxeta: durante a vixencia do programa máis os prazos de prescrición aplicables.
Comunicacións comerciais: mentres o consentimento estea vixente. Tras a revogación, o dato mantense unicamente na lista de exclusión.
Baixas e revogacións: durante o tempo necesario para acreditalas fronte a unha eventual reclamación.
O programa profesional documenta prazos diferenciados e procede á destrución segura cando vencen.

Checklist mínimo do programa de fidelización

Cláusula do art. 13 RGPD entregada na alta e conservada como proba.
Caixiñas separadas e desmarcadas por defecto para cada finalidade adicional.
Rexistro de consentimentos con data, canle e texto mostrado.
Mecanismo de baixa simple, gratuíto e operativo en cada envío comercial.
Propagación da baixa a todos os sistemas implicados.
Contratos do art. 28 RGPD con plataforma do programa, CRM, email marketing, SMS e outros encargados.
Verificación de transferencias internacionais con instrumento adecuado.
Política de conservación diferenciada por bloque.
Tratamentos inscritos no RAT.

Preguntas frecuentes

Que base xurídica utiliza un programa de fidelización?

A xestión do programa (alta, puntos, canxe) ampárase na execución da relación contractual (6.1.b RGPD). As finalidades adicionais (comunicacións comerciais, perfilado, cesión a partners) requiren consentimento expreso (6.1.a). A obriga legal cobre só aspectos puntuais como facturación.

Pode o comercio enviar ofertas por email aos clientes do programa?

Si, con consentimento expreso (art. 21 LSSICE) ou, en relación contractual previa, sobre produtos ou servizos similares con mecanismo de baixa simple e gratuíto en cada envío (art. 21.2 LSSICE). O programa por si só non autoriza por defecto o envío comercial.

Como se exerce o dereito de oposición ás comunicacións?

Mediante o enlace de baixa simple e gratuíto en cada email, ou palabra clave/enlace en cada SMS. A baixa procésase inmediatamente e propágase a todos os sistemas. O cliente pode opoñerse ás comunicacións sen perder a súa pertenza ao programa.

Pode o comercio ceder os datos a partners ou empresas do grupo?

Só con consentimento expreso, específico e independente para esa cesión. Non vale un consentimento global. O comercio identifica as categorías de destinatarios e informa previamente ao cliente. Cando é un encargado do tratamento, en lugar de cesión hai contrato do art. 28 RGPD.

Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizada. A normativa autonómica sectorial pode ampliar ou modificar prazos e requisitos.

Queres revisar o programa de fidelización do teu comercio?

En Certix asignámosche un experto en cumprimento do sector comercio. Sen intermediarios comerciais, sen modelos xenéricos.

Falar cun experto

Programas de fidelización e tarxetas de cliente: como cumprir o RGPD no comercio