El programa de fidelización es un tratamiento de datos, no una promoción
Nextica Law & Tax pone en regla los datos que una cadena de tiendas acumula sin darse cuenta. El programa de fidelización no guarda un nombre: guarda el historial de compra, y cruzarlo para decidir qué oferta recibe cada persona es una elaboración de perfiles con las garantías del art. 22 del Reglamento General de Protección de Datos. La central y el franquiciado que comparten la base de clientes suelen ser corresponsables del art. 26 y necesitan el acuerdo que reparta quién responde de qué. El envío de comunicaciones comerciales tiene su propia norma en el art. 21 de la Ley 34/2002. Y la videovigilancia de sala de ventas y almacén tiene la suya en el art. 22 de la Ley Orgánica 3/2018, con el cartel informativo y el plazo de conservación que casi nadie cumple.
Sabe qué compra cada cliente desde hace seis años y nunca decidió durante cuánto tiempo iba a saberlo.
Qué incluye
1. Inventario de lo que la cadena guarda de verdad
alta de la tarjeta, historial de compra por ticket, devoluciones, garantías, cámaras de sala y almacén y datos que llegan del canal online.
2. Separación de finalidades en el alta del programa
gestionar la tarjeta es una cosa y segmentar el historial para mandar ofertas personalizadas es otra, con su propia base e información.
3. Análisis del perfilado
qué decisiones se toman automáticamente sobre la persona, qué efecto tienen y qué garantías hay que ofrecerle.
4. Acuerdo de corresponsabilidad entre central y franquiciados cuando comparten la base de clientes, repartiendo quién informa, quién atiende derechos y quién notifica una brecha.
5. Plazos de conservación decididos y aplicados
cuánto tiempo se guarda el historial de compra de alguien que no vuelve, que es la pregunta que nadie se ha hecho.
6. Comunicaciones comerciales por correo y mensajería con la regla que les corresponde, y una baja que funcione a la primera.
7. Videovigilancia de tienda y almacén con el cartel informativo, la ubicación de las cámaras y el plazo de conservación, y su uso laboral tratado aparte.
LA CADENA SABE MÁS DE SUS CLIENTES DE LO QUE HA DECIDIDO SABER
El historial de compra se acumula solo. Lo que no se acumula solo es la decisión de para qué sirve y hasta cuándo se guarda.
Cruzar el historial de compra para decidir automáticamente qué oferta, qué precio o qué condición recibe cada persona sin las garantías previstas: la elaboración de perfiles con efectos sobre el interesado tiene su propio régimen, con información previa, derecho a intervención humana y a impugnar la decisión.
art. 22 del Reglamento General de Protección de DatosCentral y franquiciados compartiendo la base de clientes sin acuerdo de corresponsabilidad: cuando los fines y medios se deciden conjuntamente hace falta un acuerdo que reparta las funciones con transparencia, y el acuerdo no libra a ninguno: el cliente puede ejercer sus derechos frente a cualquiera de los dos.
art. 26 del Reglamento General de Protección de DatosCámaras en sala y almacén sin cartel informativo, sin ubicación justificada y sin plazo de conservación: el tratamiento con fines de seguridad tiene requisitos propios, y el uso de esas imágenes para controlar a la plantilla es un tratamiento distinto que exige informar antes, no después del incidente.
art. 22 de la Ley Orgánica 3/2018 de Protección de Datos y garantía de los derechos digitalesPreguntas frecuentes
¿La tarjeta de fidelización necesita consentimiento o basta con el contrato?
Hay que separar dos cosas que suelen ir en la misma casilla. Gestionar la tarjeta —acumular puntos, canjearlos, atender al socio— es ejecución de la relación con esa persona. Usar su historial de compra para segmentarla y mandarle ofertas personalizadas es otra finalidad distinta y necesita su propia base de licitud e información previa. Meterlo todo en una sola casilla de «acepto las condiciones» es lo que convierte una inspección rutinaria en un expediente: el problema no es tener los datos, es no poder demostrar para qué se dijo que se iban a usar.
Compartimos la base de clientes con los franquiciados. ¿Quién responde si hay una brecha?
Depende de quién decida los fines y los medios, y si eso se decide entre los dos son corresponsables. El art. 26 del Reglamento exige entonces un acuerdo que reparta las funciones con transparencia —quién informa al cliente, quién atiende los derechos de acceso o supresión, quién notifica una brecha y en qué plazo— y que ponga a disposición del interesado lo esencial de ese reparto. Lo importante para la red es que el acuerdo no libra a nadie: el cliente puede ejercer sus derechos frente a cualquiera de los dos, así que el franquiciado tiene que estar preparado para responder aunque el sistema lo lleve la central.
Hablemos de tu empresa.
Cuéntanos tu situación y te respondemos en menos de 24 h laborables.