GDPR Programma fedeltà: cosa devi sapere sui dati clienti
Ogni settimana senza regole GDPR chiare rischi diffide – eppure i requisiti sono gestibili.
GDPR e programma fedeltà vanno insieme meglio di quanto molti proprietari temono. Una stempelkarte digitale elabora dati personali, ma le regole sono gestibili. Devi prestare attenzione a cinque punti: base legale, consenso pubblicitario separato, informazione dei clienti, cancellazione e un contratto con il fornitore. Questo articolo li spiega in modo comprensibile. Non è una consulenza legale – in caso di dubbio, fai verificare la tua implementazione.
Quali dati vengono raccolti con una stempelkarte?
Prima di pensare alle basi legali, guarda cosa viene effettivamente raccolto. Con una tipica stempelkarte Wallet sono:
- Identificativo della carta: un ID casuale a cui vengono assegnati i timbri della carta
- Nome o cognome opzionale: per l'indirizzo sulla carta e nei messaggi
- Compleanno opzionale: solo se offri un'offerta di compleanno
- Cronologia timbri e riscatti: quando è stato scansionato, quando è stato riscattato
- Dati tecnici: registrazione Wallet del dispositivo, timestamp, eventualmente un riconoscimento del dispositivo contro le frodi
Il principio della minimizzazione dei dati (Art. 5 comma 1 lett. c GDPR) dice: raccogli solo ciò che ti serve per lo scopo. Se non pianifichi un'azione di compleanno, non chiedere il compleanno. Se un nome è sufficiente, non richiedere il cognome.
Base legale: contratto, consenso o interesse legittimo
Ogni elaborazione ha bisogno di una base legale dall'Art. 6 comma 1 GDPR. Per i programmi fedeltà ne sono rilevanti tre:
| Elaborazione | Base legale | Cosa significa |
|---|---|---|
| Raccogliere timbri, gestire la carta, riscattare il premio | Art. 6 comma 1 lett. b (Contratto) | Il cliente partecipa al programma, l'elaborazione è necessaria per l'esecuzione. Non è richiesto un consenso separato. |
| Messaggi pubblicitari, azioni, offerte | Art. 6 comma 1 lett. a (Consenso) | Richiede un'adesione volontaria, informata e attiva. Si applica anche la normativa sulla pubblicità. |
| Protezione dalle frodi, sicurezza tecnica | Art. 6 comma 1 lett. f (Interesse legittimo) | Ad esempio un riconoscimento del dispositivo in modo che nessuno possa timbrare se stesso illimitatamente. Deve essere proporzionato. |
Il punto più importante: timbro e pubblicità sono due cose diverse. Chi crea la carta può essere timbrato. Chi vuole ricevere pubblicità deve acconsentire separatamente.
Consenso pubblicitario: separato, volontario, non preselezionato
Qui avvengono la maggior parte degli errori. Affinché un consenso per la pubblicità sia valido, deve essere:
- separato dalla partecipazione al programma (nessun obbligo di accoppiamento, Art. 7 comma 4 GDPR)
- attivo, cioè tramite una casella di controllo che il cliente seleziona personalmente (una casella preselezionata non è un consenso – la Corte di giustizia europea lo ha deciso nel caso Planet49)
- informato: il cliente deve sapere cosa riceverà (ad esempio offerte tramite messaggio Wallet)
- revocabile in qualsiasi momento, con la stessa facilità con cui è stato dato
Concretamente significa: al momento della creazione della carta c'è una casella obbligatoria per l'informativa privacy e una casella separata, vuota per impostazione predefinita, per offerte e azioni. Il cliente riceve la sua carta anche se non seleziona la seconda casella.
I messaggi che fanno parte dell'esecuzione del programma (ad esempio "Hai ora 5 di 10 timbri" o "Il tuo premio è pronto") non sono pubblicità e non richiedono consenso. Un "Solo oggi 2 per 1" è invece pubblicità. Come funzionano tecnicamente questi messaggi è descritto in Inviare notifiche push ai clienti.
Obblighi informativi secondo l'Art. 13 GDPR
Al momento della raccolta dati devi informare i clienti. Le informazioni devono essere facilmente accessibili – un link sulla pagina di registrazione è sufficiente. I contenuti obbligatori includono tra l'altro:
- Nome e dati di contatto del responsabile (sei tu come negozio)
- Scopi dell'elaborazione e la rispettiva base legale
- Destinatari o categorie di destinatari (ad esempio il fornitore di software come responsabile del trattamento, Apple e Google per la funzione Wallet)
- Durata della conservazione o i criteri per essa
- Diritti degli interessati: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione
- Diritto di revoca per i consensi
- Diritto di reclamo presso un'autorità di controllo
Un negozio senza sito web proprio spesso affronta un problema qui: dove dovrebbe stare l'informativa? Alcuni fornitori generano automaticamente un'informativa privacy modificabile per negozio e la ospitano. Il cliente la vede al momento della creazione della carta e tu non devi scrivere nulla.
Diritti degli interessati: accesso e cancellazione
I clienti possono richiedere in qualsiasi momento di sapere quali dati hai su di loro (Art. 15) e richiedere la loro cancellazione (Art. 17). Per questo hai bisogno di due cose:
- Un modo per trovare il cliente: con una carta digitale solitamente tramite nome o ID della carta nel dashboard.
- Una funzione di cancellazione: il cliente cancella la carta dal Wallet da solo, oppure la rimuovi tu dal dashboard. La cancellazione deve essere completa, anche da cronologie e rapporti, a meno che non ci siano obblighi di conservazione.
Inoltre: i dati non possono rimanere per sempre. Un approccio sensato è cancellare o anonimizzare le carte che non sono state utilizzate per molto tempo dopo un termine stabilito. Specifica il termine nella tua informativa privacy.
Trattamento dei dati: il contratto con il fornitore
Se usi un software per il tuo programma fedeltà, il fornitore elabora i dati dei clienti su tuo incarico. Legalmente sei tu il responsabile, il fornitore è il responsabile del trattamento. L'Art. 28 GDPR richiede un contratto scritto per questo – il contratto di trattamento dei dati (contratto di trattamento).
Specifica tra l'altro quali dati vengono elaborati, che il fornitore agisce solo su tua istruzione, come protegge i dati e quali sub-responsabili utilizza (ad esempio provider di hosting). I fornitori seri presentano il contratto di trattamento per l'accettazione al momento della registrazione. Presta anche attenzione alla posizione del server: l'hosting nell'UE semplifica notevolmente la valutazione.
Fai l'autotest: il tuo programma fedeltà è conforme al GDPR?
- Raccolgo solo i dati di cui ho veramente bisogno
- La casella di consenso pubblicitario è separata, vuota e volontaria
- L'informativa privacy è collegata al momento della creazione della carta
- I clienti possono richiedere informazioni e cancellazione
- Ho concluso un contratto di trattamento con il fornitore
- Il mio team sa che i dati dei clienti sono confidenziali
Se non riesci a spuntare più di due caselle, dovresti apportare miglioramenti.
Cosa succede se non cambi nulla
Senza regole GDPR chiare rischi diffide da concorrenti o reclami presso l'autorità di protezione dei dati. Le sanzioni possono essere significative, anche per piccoli negozi. Ancora più importante: i clienti perdono fiducia se sentono che i loro dati non sono protetti. Per confronto: con le carte cartacee la maggior parte dei punti scompare finché non annoti nulla sulla persona. Non appena un nome è sulla carta, valgono le stesse regole, ma senza funzione di cancellazione e senza informativa ospitata. Il confronto tra entrambi i modelli lo trovi in Stempelkarte cartacea vs. stempelkarte digitale.
Conclusione
GDPR e programma fedeltà non sono una contraddizione: il timbro funziona tramite il contratto, la pubblicità ha bisogno di una casella separata, i clienti vengono informati e possono richiedere la cancellazione, e c'è un contratto di trattamento con il fornitore. Rimane importante: questo articolo non sostituisce una consulenza legale – verifica la tua implementazione specifica. stampa ti toglie la parte tecnica, con consenso pubblicitario separato, informativa privacy generata automaticamente per negozio e contratto di trattamento al momento della registrazione. Puoi iniziare gratuitamente, fino a 100 clienti attivi e senza carta di credito.