De quem são os dados dos clientes do cartão fidelidade? Como exportar

A lista de clientes do seu programa de fidelidade é sua. Pelo GDPR (a lei europeia de proteção de dados), o negócio que emite o cartão é o controlador dos dados (quem decide por que os dados são coletados), e a ferramenta de fidelidade é só o operador (o software que guarda e trata esses dados para você, seguindo as suas instruções). É essa divisão que define quem pode exportar, apagar ou reaproveitar os dados dos seus clientes. O que pega é o contrato: os termos de uma ferramenta ainda podem colocar os seus clientes dentro do app dela, misturá-los com os de outras lojas ou ficar com a lista quando você sair. Por isso, faça as três checagens abaixo antes de assinar.

A maioria das páginas sobre esse assunto é escrita para equipes de dados de grandes marcas: modelos de propriedade, comitês de governança, auditorias de IA. Esta aqui é para quem tem algumas lojas, está prestes a assinar um plano anual e acabou de ouvir do sócio: "e a lista de clientes, é nossa ou deles?". Os relatórios sobre os seus clientes só valem alguma coisa se a lista por trás deles for sua de verdade, então é por aí que começamos. Nada aqui é orientação jurídica; os artigos da lei estão citados para você conferir o texto por conta própria.

#De quem são os dados dos clientes num programa de fidelidade?

Seus, no sentido que importa. O GDPR não usa a palavra "dono". Ele pergunta quem decide por que e como os dados pessoais são usados. Esse é o controlador, e quando você emite um cartão fidelidade, o controlador é você. A empresa que roda o software é o operador: ela só pode tratar os dados seguindo as suas instruções documentadas (artigo 28). O mesmo artigo diz que o operador precisa ter um contrato com você definindo o que faz com os dados e que, quando o serviço termina, ele apaga ou devolve os dados, à sua escolha.

Então a pergunta para fazer a uma ferramenta de fidelidade não é "de quem são os dados". É "onde está o seu contrato de tratamento de dados, e o que ele diz?". Esse contrato (o DPA, de data processing agreement) é o que o artigo 28 exige. Peça antes de assinar, não depois, e procure nele as três frases abaixo.

Veja o que diz o contrato de tratamento de dados da Passtastic, para você ter com o que comparar (última atualização em 1º de outubro de 2026): "Tratamos os dados dos seus clientes apenas sob as suas instruções." "Não usamos os dados dos seus clientes para fins próprios." "Não vendemos esses dados, nem os compartilhamos com outros comerciantes." Ele vale automaticamente para todas as contas, e a política de privacidade em passtastic.io/privacy-policy lista o que é coletado e quem trata cada dado. Você pode cobrar essas mesmas três frases, por escrito, de qualquer fornecedor: mande essas duas páginas (o DPA e a política de privacidade) para o seu sócio e peça aos outros fornecedores as deles.

Uma ressalva antes de seguir. Um contrato com o operador nunca tira a responsabilidade legal das suas costas. O artigo 5 diz que o controlador "é responsável pelo cumprimento e deve poder demonstrá-lo". A ferramenta mantém os dados seguros; você continua sendo quem decidiu coletá-los, e quem vai receber a mensagem do cliente.

#O que uma ferramenta de fidelidade pode fazer com a sua lista? Três coisas para checar

No papel, a propriedade é resolvida pelo contrato. Na prática, ela é resolvida por três coisas que passam batido fácil numa página de termos.

1. 1Um app ou diretório para consumidores. Se a ferramenta tem app ou site próprio para os clientes, confira se os seus clientes veem outros negócios nele, e se dá para desligar isso. Você não quer que o seu cliente de sempre entre no seu cartão e encontre o café do outro lado da rua na tela seguinte. Com a Passtastic, não existe app nosso para o cliente abrir: o cartão fica no Apple Wallet ou no Google Wallet, e não precisa de app em nenhum dos dois lados.
2. 2Dados agrupados ou compartilhados. Programas de coalizão, em que várias marcas dividem um mesmo cartão, dão a propriedade mais fraca de todas, porque é a rede que fica com os membros. Mesmo fora das coalizões, leia se o fornecedor pode "agregar" os dados dos seus clientes, analisá-los junto com os de outros negócios ou treinar modelos de IA com eles. Essas palavras significam que a sua lista alimenta algo que não é o seu cartão.
3. 3O que acontece quando você sai. Dá para exportar tudo, a qualquer hora, sem pedir? E quando você cancela, os dados são apagados, mantidos, ou mantidos e usados? A Passtastic, por exemplo, não apaga os dados dos seus clientes automaticamente quando a assinatura termina; você pode exportar enquanto a conta estiver ativa, e, se quiser que sejam removidos, manda um e-mail e eles são removidos sem demora injustificada. O DPA dela não fixa um número de dias para isso, então, se um prazo é importante para você, peça um por escrito. Seja qual for a resposta, consiga tudo por escrito antes de ter 2.000 pessoas num cartão.

Três perguntas para mandar a um fornecedor, é só copiar e colar:

“

1. Eu consigo exportar todos os dados dos meus clientes sozinho, a qualquer hora, sem falar com vocês?

2. Vocês usam, compartilham ou mostram os dados dos meus clientes para alguma coisa além de rodar o meu cartão? Por favor, me indiquem a cláusula.

3. Quando eu cancelar, o que acontece com os dados, como eu faço para apagá-los e em quantos dias?

“

Um fornecedor que responde às três em duas linhas cada é um fornecedor com quem dá para trabalhar.

Se você está comparando um cartão com desenvolver o seu próprio app de fidelidade, saiba que um app não muda essa questão. O seu desenvolvedor ou a plataforma do app também é um operador, com o mesmo contrato para assinar.

#O que um cartão fidelidade no Wallet realmente coleta?

Menos do que se imagina, e só o que você pedir. Quando você cria um cartão fidelidade para o Wallet, você escolhe quais dados o formulário de cadastro pede: nome, sobrenome, e-mail, telefone, aniversário e endereço, além de perguntas suas a partir do plano Multi-Location. Todo campo que você liga passa a ser obrigatório; com a coleta de dados desligada, não há formulário nenhum, e o cliente vai direto adicionar o cartão. Os clientes aceitam a sua política de privacidade durante o cadastro.

Dali em diante, o cartão registra a atividade do próprio programa: visitas, carimbos ou pontos, o progresso até a recompensa, qual cartão a pessoa tem e se ele está no Wallet dela. A Apple ou o Google também emite um token de push do Wallet para cada cartão instalado (o identificador técnico que permite atualizar o cartão naquele celular), e a política de privacidade da Passtastic diz que ele é usado só para entregar as atualizações do cartão.

Quanto disso você vai ter em mãos? Entre 265 negócios da Passtastic que tiveram pelo menos 10 membros nos últimos 12 meses, o negócio mediano cadastrou 30 clientes no primeiro mês. Ou seja, depois de quatro semanas, você normalmente terá uns trinta registros de clientes. É pouco, e mesmo assim são dados pessoais desde o primeiro dia.

A regra da minimização de dados, em palavras simples: peça só o que você vai usar. Se nunca vai mandar um mimo de aniversário, não peça a data de aniversário. Um grupo de cafés não precisa de endereço residencial. Quanto mais um campo diz sobre a pessoa (um aniversário, um endereço de casa), mais forte precisa ser o seu motivo para pedir.

Para que serve a lista, depois que ela é sua: saber quem é novo, quem é cliente de sempre e quem sumiu. A página Customers (Clientes) da Passtastic monta esses grupos para você em todos os planos, incluindo os novos membros e todo mundo que não volta há 30 dias, e dali mesmo você pode mandar mensagem para um grupo, adicionar um carimbo ou pontos, ou deixar uma anotação. Os números que valem a pena acompanhar são os simples: quantas pessoas voltaram, quantas continuam ativas e quantos cartões estão prontos para resgatar. Se esse último número fica perto de zero, normalmente é sinal de que o cartão é difícil demais de completar, não de que os clientes são preguiçosos.

Uma frase de cadastro que você pode adaptar para a sua política de privacidade ou para a placa do balcão, escrita para um café chamado Bean & Bridge (é um exemplo, não um texto jurídico): "Usamos o seu nome e o seu telefone para rodar o seu cartão Bean & Bridge e para avisar você sobre recompensas e ofertas aqui. Não compartilhamos esses dados com mais ninguém. Peça a qualquer momento para ver, alterar ou apagar os seus dados."

#O básico do GDPR para uma loja pequena, em cinco linhas

A lei é longa. Para um cartão fidelidade, cinco linhas cobrem a maior parte do que você precisa fazer, cada uma com o artigo por trás:

Isso vale para um café de uma loja só? Vale. O artigo 3 define o alcance da lei pelo lugar onde o negócio está estabelecido, e não cita nenhum limite de tamanho ou faturamento. No Reino Unido, as mesmas regras continuam valendo como UK GDPR, e o ICO (a autoridade de proteção de dados de lá) publica orientações escritas para pequenas organizações e autônomos. Nos Estados Unidos, a CCPA da Califórnia vale para negócios com mais de 25 milhões de dólares de faturamento, ou que compram, vendem ou compartilham dados pessoais de 100.000 ou mais moradores ou domicílios da Califórnia, entre outros critérios, então a maioria das lojas independentes fica de fora; confira a regra do seu estado. Onde quer que você esteja, trate o "apague meus dados" como um pedido que você atende: não custa nada e mantém o cliente do seu lado.

As multas existem (até 20 milhões de euros ou 4% do faturamento mundial na faixa mais grave), mas, para uma loja, o risco realista não é a multa. É um cliente de sempre que se sente enganado e conta para os outros.

#Como exportar a sua lista de clientes

Na Passtastic, exportar é coisa de dois cliques, e dá para fazer em todos os planos, Single Location incluído. Você precisa do nível Editor ou superior.

1. 1Abra Customers (Clientes) na barra lateral.
2. 2Se quiser só uma parte da lista, filtre por cartão ou por status (só clientes ativos, por exemplo).
3. 3Clique em Download customers (Baixar clientes), no canto superior direito, ao lado da barra de busca.

O arquivo é baixado como passusers_YYYY-MM-DD.csv e abre no Excel, no Google Planilhas ou no Numbers. Cada linha é um cartão: nome completo, nome, sobrenome, e-mail, telefone, nome e tipo do cartão, status, data de criação, data de validade e os campos personalizados, como aniversário. Um cliente com dois cartões aparece em duas linhas; a coluna Person Key (a chave da pessoa) traz o mesmo valor nas duas, então ordene a planilha por essa coluna para ver os cartões de cada pessoa juntos.

Esse CSV é também o que o artigo 20 chama de "formato estruturado, de uso corrente e de leitura automática". Se você mudar para outra ferramenta, o arquivo é esse. Se um cliente pedir os próprios dados, nunca mande a exportação completa, porque ela traz todo mundo que tem o cartão: abra o registro dele na página Customers e mande o que está lá, ou deixe só as linhas dele (as que têm o Person Key dele) numa cópia do CSV antes de enviar.

Dois jeitos de dispensar o arquivo. No Multi-Location e acima, o Zapier pode mandar cada novo cadastro, carimbo ou recompensa para as ferramentas que você já usa, e a API e os webhooks fazem o mesmo numa integração sob medida. No Single Location, a exportação é na mão. De qualquer jeito, pense antes de colar a lista numa ferramenta de newsletter: na hora do cadastro, a sua política disse às pessoas para que você usaria os dados delas, e um e-mail semanal talvez não estivesse lá. Se não estava, pergunte primeiro. A notificação do Wallet, sim, é o canal que elas aceitaram ao se cadastrar; veja aqui o que uma notificação do Wallet pode enviar.

#O que fazer quando um cliente diz "apague meus dados"

Apague, sem demora injustificada, e no máximo em um mês (a lei permite mais dois meses para pedidos complicados, o que não será o caso do seu). São os artigos 17 e 12(3). Para uma loja, isso raramente passa de uma conversa, alguns cliques e digitar DELETE.

Na Passtastic, o pedido pode começar do lado do cliente. Na página "Meus dados" dele, ele confirma um código de seis dígitos recebido por e-mail e pede a exclusão. Nada é apagado ainda; ele aparece marcado como "Deletion requested" (exclusão solicitada) na sua lista de Customers, e você escolhe:

• Erase (Apagar): abre o Delete permanently (Excluir permanentemente) daquele cliente e encerra as sessões dele. Só Admins e Owners podem fazer isso.
• Dismiss (Descartar): tira a marcação sem apagar nada, para um pedido feito por engano ou resolvido de outro jeito. Editors e acima podem fazer isso.

Para apagar na mão: abra Customers, abra o cliente, escolha Delete permanently no menu ⋯, escolha entre só este cartão ou a pessoa com todos os cartões dela, digite DELETE e clique em Delete forever (Excluir para sempre). Para apagar vários de uma vez, um Admin ou Owner marca as linhas em Customers e clica em Delete permanently na barra que aparece. Não dá para desfazer em nenhum dos dois casos. A exclusão apaga o perfil, as visitas, os pontos e o histórico de leituras; alguns registros ficam, mas sem dados pessoais (logs de mensagens sem o texto, registros de pagamento sem o e-mail).

Uma coisa que a lei não muda: o cartão continua no celular do cliente. A Apple e o Google não deixam o emissor remover um passe do aparelho, então ele para de funcionar e vai para a seção de expirados. Se o cliente perguntar, diga que o cartão não funciona mais e que ele mesmo pode removê-lo.

Para duplicados e membros que podem voltar, use Mark inactive (Marcar como inativo). Isso bloqueia as vantagens no leitor, mantém o histórico e o saldo, e pode ser revertido. Guarde o Delete permanently para o pedido de verdade e para os membros para quem você nunca mais vai mandar mensagem.

#Quem na sua equipe pode ver e exportar a lista?

Uma lista só é tão privada quanto o funcionário mais novo da equipe. A Passtastic tem quatro níveis de acesso, e, quando o assunto é dados, as duas perguntas que importam são: quem pode exportar e quem pode apagar?

O plano define até onde cada nível alcança. O Single Location (uma loja) inclui 2 membros de equipe, e o Multi-Location (até 3 lojas), 5; nos dois, todo Editor vê e pode exportar a lista inteira, com todas as lojas, então dê o nível Editor só para quem você entregaria a lista. O Groups & Brands (até 10 lojas, 20 membros de equipe) é o plano que consegue limitar um Viewer ou Editor a lojas específicas; um Viewer restrito não vê e-mails nem telefones dos clientes e não exporta. Então três cafés cabem no Multi-Location, com uma lista compartilhada por todos os Editors; se você roda um cartão em todas as unidades e quer que cada gerente veja só a própria loja, isso é Groups & Brands, com o nível Admin reservado para a matriz.

Admins e Owners também veem o registro de alterações (Changes): cada carimbo, ponto, anotação ou mudança de saldo feita pelo painel, com o nome de quem fez. Editors e Viewers veem as entradas sem os nomes. É a resposta para "quem colocou 40 pontos no cartão do Tom na terça-feira?".

#O que acontece com os dados quando você sai ou troca de ferramenta?

Exporte primeiro, decida depois. Pelo artigo 28, o operador apaga ou devolve os dados, à sua escolha, quando o serviço termina, então as duas coisas para combinar são qual das duas opções você quer e até quando. Nem o artigo 28 nem o DPA da Passtastic fixam um número de dias, então a data é algo que você combina com o fornecedor.

Na Passtastic, cancelar a assinatura mantém a conta e os dados; nada é apagado automaticamente, você pode voltar, e um pedido por e-mail faz os dados serem removidos sem demora injustificada. Excluir a conta é o outro caminho: remove a organização, os cartões, as mensagens e os registros de clientes, os passes nos Wallets param de funcionar, e só o Owner pode fazer isso. A primeira instrução do guia de ajuda é exportar a lista de clientes antes.

O caminho inverso, para dentro de uma ferramenta nova, também é um arquivo. A Passtastic importa uma planilha CSV ou Excel de até 10.000 linhas, reconhece as colunas de nome, sobrenome, e-mail, telefone e saldo, e pede que você confirme que tem uma relação real com essas pessoas e que pode mandar mensagem para elas sobre o cartão. Importar não coloca cartão no celular de ninguém: cada cliente toca no próprio link de convite, e quem já existe na base, pelo e-mail ou telefone, é atualizado, não duplicado.

Os planos começam em €39 por mês para uma loja e €99 por mês para até três, grátis para começar por 14 dias e sem precisar de cartão de crédito; o preço de cada plano está na página de preços, e a exportação está em todos eles.

#Três lojas, três perguntas

• A Niamh tem três cafés em Dublin. A pergunta do sócio dela era sobre a propriedade dos dados. A resposta dela é o DPA: operador, nenhum outro uso, remoção a pedido. Ela manda as três perguntas para dois fornecedores e assina com o que responde.
• O salão de unhas da Ines, o Lacquer Lane, pede a data de aniversário. Ela manda um mimo de aniversário, então o campo se justifica. Ela desliga o campo de endereço, que nunca usou, e o formulário fica uma linha mais curto.
• A Pedal Post, uma loja de bicicletas, recebe o primeiro e-mail de "apague meus dados". O cliente já tinha feito o pedido pelo cartão; o dono clica em Erase, responde "feito", e a coisa toda levou quatro minutos, não um mês.

Os dados são um efeito colateral de um cartão que funciona. Seus clientes emprestaram esses dados a você por causa do cartão; guarde a lista onde você possa pegar e levar quando quiser, e a questão da propriedade fica resolvida antes que alguém pergunte.

“

Quando eles viram que não precisam instalar um app nem aceitar camadas de segurança e permissões, que é só uma conexão com a minha conta e nada mais, recebemos um retorno muito bom desse ponto de vista.

(Traduzido do inglês)

“

Alex, dono do Rewind

Read their story →