Quién es responsable
Tú eres el responsable del tratamiento (controller): decides tener un programa y qué datos recoger. StoreWallet es tu encargado del tratamiento (processor): actuamos según tus instrucciones, y los ajustes del panel son esas instrucciones. Apple y Google son responsables independientes de sus propias apps Wallet. Este reparto está recogido en nuestro acuerdo de tratamiento de datos, que forma parte de tus condiciones.
Como responsable, tienes que pagar la tasa de protección de datos del ICO (£52 al año para la mayoría de los pequeños negocios) salvo que estés exento, y mostrar a los clientes un aviso de privacidad. Nosotros te damos el aviso; la tasa corre de tu cuenta.
Qué puedes recoger
Un nombre y un email bastan para gestionar una tarjeta, y la base legal es el propio contrato de fidelidad: el cliente se une a un programa con condiciones. El teléfono y el cumpleaños son campos opcionales que puedes activar, y se recogen con el acuerdo del cliente. El diseñador rechaza campos que no debería tener, como salud u origen étnico, y el programa no admite a menores de 16 años.
Los pushes necesitan consentimiento
Un mensaje a la tarjeta es marketing. Los miembros marcan una casilla aparte, que viene sin marcar, cuando se unen; la tarjeta no depende de esa casilla. Lo retiran desde el reverso de la tarjeta sin iniciar sesión, y el sistema no envía campañas a nadie que lo haya hecho. El horario de apertura es obligatorio: los mensajes solo salen con la tienda abierta, y nunca entre las 22:00 y las 7:00.
Guárdalos solo el tiempo necesario
Tú fijas un plazo de conservación: nunca, o 12, 24 o 36 meses después de la última visita. Un proceso automático lo aplica cada noche. Los recuentos de visitas se conservan como totales sin nombres, para que tu historial no desaparezca con las personas.
Derechos, integrados en la tarjeta
El reverso de cada tarjeta tiene enlaces para ver y descargar los datos, cambiar el consentimiento y borrar la cuenta. Al borrarla, la tarjeta desaparece de los dos Wallets en menos de una hora, sin iniciar sesión y sin que te llegue ningún email. Si un cliente te lo pide directamente, pulsas Borrar en su perfil y ocurre lo mismo. Nuestra página de derechos sobre tus datos se lo explica a los clientes.
Si algo sale mal
Te avisamos en las 48 horas siguientes a tener conocimiento de una brecha, con lo que sabemos. Tienes 72 horas para avisar al ICO si es probable que la brecha suponga un riesgo para los derechos de las personas, y te ayudamos con la notificación.
Un cumplimiento que puedes demostrar
Un DPA firmado, un aviso de privacidad a tu nombre y un registro de tratamientos generado a partir del código.
Preguntas
¿Necesito un Delegado de Protección de Datos?+
Casi seguro que no; un DPO solo es obligatorio para la vigilancia a gran escala o para categorías especiales de datos a gran escala. Designa a una persona responsable e indícalo en tu aviso.
¿Puedo importar mi lista de correo actual?+
Puedes importar nombres y emails, pero cada persona recibe una invitación para añadir la tarjeta en lugar de que se le imponga una, y ningún push hasta que marque la casilla.