¿De quién son los datos de clientes de tu programa de fidelidad?

La lista de clientes de tu programa de fidelidad es tuya. Con el RGPD, el negocio que emite la tarjeta es el responsable del tratamiento (quien decide para qué se recogen los datos), y la herramienta de fidelidad es solo un encargado (el software que los guarda y los maneja por ti, siguiendo tus instrucciones). Ese reparto decide quién puede exportar, borrar o reutilizar los datos de tus clientes. El problema está en el contrato: las condiciones de una herramienta pueden, aun así, meter a tus clientes en su propia app, mezclarlos con los de otros negocios o quedarse con la lista cuando te vas. Así que revisa los tres puntos de abajo antes de firmar.

Casi todo lo que hay escrito sobre esto va dirigido a los equipos de datos de las grandes marcas: modelos de propiedad, comités de gobernanza, auditorías de IA. Este artículo es para quien tiene unos cuantos locales, está a punto de firmar un plan anual y acaba de oír a su socio preguntar: «¿y la lista de clientes de quién es, nuestra o de ellos?». Tus datos de clientes solo sirven de algo si la lista que hay detrás es tuya y te la puedes llevar, así que por ahí empezamos. Nada de esto es asesoramiento legal; cada artículo de la ley va con su número para que puedas leer el texto tú mismo.

#¿De quién son los datos de clientes en un programa de fidelidad?

Tuyos, en el sentido que importa. El RGPD no usa la palabra «dueño». Lo que pregunta es quién decide por qué y cómo se usan los datos personales. Ese es el responsable del tratamiento, y cuando emites una tarjeta de fidelidad, ese eres tú. La empresa que opera el software es un encargado: solo puede manejar los datos siguiendo tus instrucciones documentadas (artículo 28). El mismo artículo dice que el encargado tiene que tener un contrato contigo que detalle qué hace con los datos, y que cuando termina el servicio los borra o te los devuelve, según tú elijas.

Así que la pregunta para una herramienta de fidelidad no es «¿de quién son los datos?». Es «¿dónde está su acuerdo de tratamiento de datos y qué dice?». Ese acuerdo (el DPA, por sus siglas en inglés) es el contrato que pide el artículo 28. Pídelo antes de firmar, no después, y busca en él las tres frases de abajo.

Esto es lo que dice el acuerdo de tratamiento de datos de Passtastic, para que tengas algo con qué comparar (última actualización: 1 de octubre de 2026): «Tratamos los datos de tus clientes únicamente siguiendo tus instrucciones». «No usaremos los datos de tus clientes para nuestros propios fines». «No los vendemos ni los compartimos con otros comercios». Se aplica a todas las cuentas de forma automática, y la política de privacidad en passtastic.io/privacy-policy detalla qué se recoge y quién lo trata. A cualquier proveedor le puedes pedir esas mismas tres frases por escrito: mándale las dos páginas a tu socio y pídeles a los demás proveedores las suyas.

Una advertencia antes de seguir. Un contrato de encargo nunca te quita de encima la obligación legal. El artículo 5 dice que el responsable «será responsable del cumplimiento [...] y capaz de demostrarlo». La herramienta guarda los datos de forma segura; tú sigues siendo quien decidió recogerlos, y a quien un cliente le va a escribir.

#¿Qué puede hacer una herramienta de fidelidad con tu lista? Tres cosas que revisar

Sobre el papel, la propiedad la resuelve el contrato. En la práctica, la deciden tres cosas que es fácil pasar por alto en una página de condiciones.

1. 1Una app o un directorio para consumidores. Si la herramienta tiene su propia app o web para los compradores, revisa si a tus clientes les muestran otros negocios ahí, y si puedes desactivarlo. Lo último que quieres es que un cliente de toda la vida se apunte a tu tarjeta y se encuentre el café de enfrente en la siguiente pantalla. Con Passtastic no hay ninguna app nuestra que abrir: la tarjeta va en Apple Wallet o Google Wallet, y no hace falta instalar ninguna app, ni tú ni el cliente.
2. 2Datos compartidos o mezclados. Los programas de coalición, donde varias marcas comparten una sola tarjeta, son los que dan menos control, porque los socios son de la red. Incluso fuera de las coaliciones, lee si el proveedor puede «agregar» los datos de tus clientes, analizarlos junto con los de otros negocios o entrenar modelos de IA con ellos. Esas palabras significan que tu lista alimenta algo que no es tu tarjeta.
3. 3Qué pasa cuando te vas. ¿Puedes exportarlo todo, en cualquier momento, sin pedir permiso? Y cuando cancelas, ¿los datos se borran, se guardan, o se guardan y se usan? Passtastic, por ejemplo, no borra los datos de tus clientes automáticamente cuando termina una suscripción; puedes exportarlos mientras la cuenta esté activa, y si quieres que se eliminen, mandas un correo y se eliminan sin demora indebida. Su DPA no fija un número concreto de días para eso, así que si el plazo te importa, pídelo por escrito. Sea cual sea la respuesta, tenla por escrito antes de tener 2,000 personas en una tarjeta.

Tres preguntas para mandarle a un proveedor, tal cual:

“

1. ¿Puedo exportar yo mismo todos los datos de mis clientes, en cualquier momento, sin tener que contactarlos?

2. ¿Usan, comparten o muestran los datos de mis clientes para algo que no sea operar mi tarjeta? Por favor, indíquenme la cláusula.

3. Cuando cancelo, ¿qué pasa con los datos, cómo pido que se borren y en cuántos días?

“

Si un proveedor responde a las tres con un par de líneas cada una, es uno con el que se puede trabajar.

Si estás comparando una tarjeta con crear tu propia app de fidelidad, ten en cuenta que una app no cambia esta pregunta. Tu desarrollador o tu plataforma de apps también es un encargado, con el mismo contrato que firmar.

#¿Qué recoge en realidad una tarjeta de fidelidad en el wallet?

Menos de lo que la gente teme, y solo lo que tú pidas. Cuando creas una tarjeta de fidelidad para el wallet, eliges qué datos pide el formulario de alta: nombre, apellido, correo, teléfono, cumpleaños y dirección, más tus propias preguntas desde Multi-Location en adelante. Cualquier campo que actives es obligatorio; si desactivas la recogida de datos, no hay formulario y el cliente pasa directamente a añadir la tarjeta. Los clientes aceptan tu política de privacidad al darse de alta.

A partir de ahí, la tarjeta registra la actividad propia de la tarjeta: visitas, sellos o puntos, el avance hacia una recompensa, qué tarjeta tienen y si está en su wallet. Apple o Google también emiten un token push del wallet por cada tarjeta instalada (el identificador técnico que permite que la tarjeta se actualice en ese teléfono), que según la política de privacidad de Passtastic se usa únicamente para enviar actualizaciones de la tarjeta.

¿Cuántos datos vas a tener entre manos? En los últimos 12 meses, entre 265 negocios de Passtastic con al menos 10 socios, la mediana fue de 30 clientes dados de alta en el primer mes. Así que al cabo de cuatro semanas lo normal es que tengas unos treinta registros de clientes. Es poco, y aun así son datos personales desde el primer día.

La regla de minimización de datos, en palabras sencillas: pide solo lo que vayas a usar. Si nunca vas a mandar un detalle de cumpleaños, no pidas el cumpleaños. Un grupo de cafeterías no necesita la dirección postal. Cuanto más dice un campo sobre una persona (un cumpleaños, la dirección de su casa), mejor motivo tienes que tener para pedirlo.

Para qué sirve la lista, una vez que es tuya: para saber quién es nuevo, quién viene seguido y quién ha dejado de venir. La página Customers (Clientes) de Passtastic te crea esos grupos en todos los planes, incluidos los socios nuevos y todos los que no han vuelto en 30 días, y desde la misma página puedes mandarle un mensaje a un grupo, sumar un sello o puntos, o dejar una nota. Los números que vale la pena vigilar son los sencillos: cuánta gente volvió, cuántos siguen activos y cuántas tarjetas están listas para canjear. Si ese último número se queda cerca de cero, casi siempre significa que la tarjeta es demasiado difícil de llenar, no que a los clientes les dé pereza.

Un texto para el alta que puedes adaptar para tu política de privacidad o para el cartel del mostrador, escrita para un café llamado Bean & Bridge (es un ejemplo, no un texto legal): «Usamos tu nombre y tu número de teléfono para operar tu tarjeta de Bean & Bridge y para avisarte de recompensas y ofertas aquí. No los compartimos con nadie más. Pídenos en cualquier momento verlos, cambiarlos o borrarlos».

#Lo básico del RGPD para un negocio pequeño, en cinco líneas

La ley es larga. Para una tarjeta de fidelidad, cinco líneas cubren casi todo lo que tienes que hacer, cada una con el artículo que la respalda:

¿Esto se aplica también a un café con un solo local? Sí. El artículo 3 define el alcance según dónde está establecido el negocio, y no fija ningún umbral de tamaño ni de facturación. En el Reino Unido las mismas reglas siguen vigentes como UK GDPR, y la ICO publica guías escritas para organizaciones pequeñas y autónomos. En Estados Unidos, la CCPA de California se aplica a negocios con más de 25 millones de dólares de ingresos, o que compran, venden o comparten la información personal de 100,000 o más residentes u hogares de California, entre otros umbrales, así que la mayoría de los negocios independientes quedan fuera; revisa la regla de tu propio estado. Estés donde estés, trata el «bórrame» como una petición que atiendes sin discutir: no te cuesta nada y mantiene la buena relación.

Las multas existen (hasta 20 millones de euros o el 4 % de la facturación mundial en el tramo grave), pero para un negocio pequeño el riesgo real no es una multa. Es un cliente de siempre que se siente engañado, y lo cuenta.

#Cómo exportar tu lista de clientes

En Passtastic la exportación son dos clics, y está en todos los planes, Single Location incluido. Necesitas el rol de Editor o superior.

1. 1Abre Customers (Clientes) en el menú lateral.
2. 2Si quieres solo una parte de la lista, filtra por tarjeta o por estado (solo clientes activos, por ejemplo).
3. 3Haz clic en Download customers (Descargar clientes), arriba a la derecha, junto a la barra de búsqueda.

El archivo se descarga como passusers_YYYY-MM-DD.csv y se abre en Excel, Google Sheets o Numbers. Cada fila es una tarjeta: nombre completo, nombre, apellido, correo, teléfono, nombre y tipo de tarjeta, estado, fecha de alta, fecha de vencimiento y cualquier campo personalizado, como el cumpleaños. Un cliente con dos tarjetas aparece en dos filas; la columna Person Key (clave de persona) lleva el mismo valor en las dos, así que ordena la hoja por esa columna para ver juntas las tarjetas de cada persona.

Ese CSV es también lo que el artículo 20 llama «un formato estructurado, de uso común y lectura mecánica». Si te cambias a otra herramienta, este es el archivo. Si un cliente te pide sus propios datos, nunca le mandes la exportación completa, porque contiene a todos los de la tarjeta: abre su registro en la página Customers y mándale lo que aparece ahí, o deja solo sus filas (las que llevan su Person Key) en una copia del CSV antes de enviarlo.

Dos formas de saltarte el archivo. Desde Multi-Location en adelante, Zapier puede mandar cada alta, sello o recompensa nueva a las herramientas que ya usas, y la API y los webhooks hacen lo mismo para una configuración a medida. En Single Location exportas a mano. En cualquier caso, piénsalo antes de pegar la lista en una herramienta de newsletters: tu política de alta le dijo a la gente para qué usarías sus datos, y puede que un correo semanal no estuviera ahí. Si no estaba, pregunta primero. El canal al que sí se apuntaron es la notificación del wallet; aquí tienes qué puedes enviar en una notificación del wallet.

#Qué hacer cuando un cliente dice «borra mis datos»

Bórralo, sin demora indebida, y como máximo en un mes (la ley permite dos meses más para peticiones complicadas, y la tuya no lo será). Lo dicen el artículo 17 y el artículo 12(3). Para un negocio pequeño, esto rara vez pasa de una conversación, unos cuantos clics y escribir DELETE.

En Passtastic la petición puede empezar por parte del cliente. Desde su página «Mis datos» introduce un código de seis dígitos que le llega por correo y pide el borrado. Todavía no se borra nada; queda marcado como «Deletion requested» (borrado solicitado) en tu lista de Customers, y tú eliges:

• Erase (Borrar): abre Delete permanently (Borrar permanentemente) para ese cliente y cierra sus sesiones. Solo los Admins y los Owners pueden hacerlo.
• Dismiss (Descartar): quita la marca sin borrar nada, para una petición hecha por error o resuelta de otra forma. Pueden hacerlo los Editors y superiores.

Para borrar a mano: abre Customers, abre el cliente, elige Delete permanently en el menú ⋯, decide si solo esta tarjeta o la persona con todas sus tarjetas, escribe DELETE y haz clic en Delete forever (Borrar para siempre). Para borrar varios de una vez, un Admin u Owner marca las filas en Customers y hace clic en Delete permanently en la barra que aparece. En ningún caso hay vuelta atrás. Se borran el perfil, las visitas, los puntos y el historial de escaneos; quedan unos pocos registros sin datos personales (registros de mensajes sin el texto, registros de pago sin el correo).

Algo que la ley no puede cambiar: la tarjeta se queda en el teléfono del cliente. Apple y Google no permiten que un proveedor quite un pase de un dispositivo, así que deja de funcionar y pasa a la sección de vencidos. Si te preguntan, diles que ya no sirve y que pueden deslizarla para quitarla.

Para duplicados y socios que quizá vuelvan, usa mejor Mark inactive (Marcar inactivo). Bloquea los beneficios en el escáner, conserva el historial y el saldo, y se puede revertir. Reserva Delete permanently para la petición de verdad y para los socios a los que nunca vas a volver a escribir.

#¿Quién de tu equipo puede ver y exportar la lista?

Una lista es tan privada como la última persona que entró en tu equipo. Passtastic tiene cuatro roles y, para los datos, lo que importa son dos cosas: quién puede exportar y quién puede borrar:

El plan que tengas decide hasta dónde llega cada rol. Single Location (un local) incluye 2 miembros del equipo y Multi-Location (hasta 3 locales), 5; en los dos, cada Editor ve y puede exportar toda la lista, con todos los locales incluidos, así que dale el rol de Editor solo a gente a la que le entregarías la lista en mano. Groups & Brands (hasta 10 locales, 20 miembros del equipo) es el plan que puede limitar a un Viewer o un Editor a ciertos locales; un Viewer restringido no ve los correos ni los teléfonos de los clientes y no puede exportar. Así que tres cafés caben en Multi-Location, con una sola lista compartida por todos los Editors; si tienes una sola tarjeta en todos tus locales y quieres que cada encargado vea solo su local, eso es Groups & Brands, con el rol de Admin reservado para la oficina central.

Los Admins y los Owners también ven el registro de cambios (Changes): cada sello, punto, nota o cambio de saldo hecho desde el panel, con el nombre de quien lo hizo. Los Editors y los Viewers ven las entradas sin nombres. Es la respuesta a «¿quién le sumó 40 puntos a la tarjeta de Tom el martes?».

#¿Qué pasa con los datos cuando te vas o cambias de herramienta?

Exporta primero y decide después. Con el artículo 28, cuando termina el servicio el encargado borra o devuelve los datos según tú elijas, así que las dos cosas que tienes que acordar son cuál de las dos quieres y para cuándo. Ni el artículo 28 ni el DPA de Passtastic fijan un número de días, así que la fecha es algo que acuerdas con el proveedor.

Con Passtastic, si cancelas la suscripción, la cuenta y los datos se conservan; no se borra nada automáticamente, puedes volver cuando quieras, y una petición por correo hace que se eliminen sin demora indebida. Borrar la cuenta es el otro camino: elimina la organización, las tarjetas, los mensajes y los registros de clientes, los pases en los wallets dejan de funcionar, y solo el Owner puede hacerlo. Lo primero que dice la guía de ayuda es que exportes la lista de clientes antes de hacerlo.

El camino de vuelta, hacia una herramienta nueva, también pasa por un archivo. Passtastic importa un CSV o una hoja de Excel de hasta 10,000 filas, empareja nombre, apellido, correo, teléfono y una columna de saldo, y te pide confirmar que tienes una relación real con esas personas y que puedes escribirles sobre su tarjeta. Importar no pone ninguna tarjeta en el teléfono de nadie: cada cliente toca su propio enlace de invitación, y a quien coincida por correo o teléfono se le actualiza, no se le duplica.

Los planes empiezan en €39 al mes para un local y €99 al mes para hasta tres, gratis para empezar durante 14 días y sin pedir tarjeta de crédito; lo que cuesta cada plan está en la página de precios, y la exportación está en todos.

#Tres negocios, tres preguntas

• Niamh tiene tres cafés en Dublín. La duda de su socio era de quién es la lista. La respuesta está en el DPA: encargado, ningún otro uso, borrado a petición. Les manda las tres preguntas a dos proveedores y firma con el que responde.
• El salón de uñas de Ines, Lacquer Lane, pide el cumpleaños. Ella manda un detalle de cumpleaños, así que el campo se gana su lugar. Desactiva el campo de dirección, que nunca usó, y el formulario queda una línea más corto.
• Pedal Post, una tienda de bicis, recibe su primer correo de «borra mis datos». El cliente ya lo había pedido desde la tarjeta; el dueño hace clic en Erase, contesta «listo», y en total le lleva cuatro minutos, no un mes.

Los datos son un efecto secundario de una tarjeta que funciona. Tus clientes te los prestaron para la tarjeta; guárdalos donde puedas llevártelos, y la pregunta de quién es el dueño queda resuelta antes de que alguien la haga.

“

Cuando vieron que no tienen que instalar una app ni aceptar capas y capas de seguridad y permisos, que simplemente está conectada con mi cuenta y nada más, recibimos muy buenos comentarios en ese sentido.

(Traducido del inglés)

“

Alex, dueño de Rewind

Read their story →