GDPR e app fedeltà: chi è davvero responsabile quando l'app scarica semplicemente la responsabilità su di te
Se usi un programma fedeltà per i clienti, o stai pensando di adottarlo, è molto probabile che tu abbia firmato — senza accorgertene — qualcosa che ti rende personalmente responsabile della conformità al GDPR. Non il fornitore del software. Tu.
Cosa significa «titolare del trattamento» e perché ti riguarda
Il Regolamento generale sulla protezione dei dati (GDPR) distingue due ruoli: il titolare del trattamento — chi decide perché e come vengono trattati i dati — e il responsabile del trattamento — chi si limita a eseguire il trattamento per conto del titolare. Nei programmi fedeltà, l'attività che raccoglie i dati dei clienti (telefono, email, storico acquisti, data di nascita) è quasi sempre il titolare del trattamento. Questo significa che la responsabilità — e il rischio di sanzioni in caso di violazione — ricade legalmente sull'attività, non sull'app che usa.
La clausola nascosta nei termini di servizio
Leggi con attenzione i termini di servizio di qualsiasi app fedeltà che usi o stai valutando. Quasi sempre troverai una clausola del tipo: «Il Cliente (l'attività) è l'unico responsabile del rispetto della normativa vigente in materia di protezione dei dati.» Dal punto di vista legale spesso è corretto: di per sé non è necessariamente una clausola «cattiva». Il problema non è la clausola, ma ciò che non la accompagna: se la piattaforma non ti dà alcun meccanismo di consenso, nessuna esportazione automatica dei dati e nessun modo per cancellare i dati di un cliente su richiesta, porti la responsabilità senza gli strumenti per adempierla.
Cosa può andare storto davvero
Pensa a questo scenario molto comune: un cliente ti scrive chiedendo la cancellazione di tutti i suoi dati personali (un diritto espressamente garantito dal GDPR, articolo 17). Se l'app che usi non ha un meccanismo di cancellazione, o la procedura ti obbliga a scrivere al fornitore e aspettare, il termine previsto dalla legge (di solito un mese) sta già scorrendo contro di te. Se il cliente non riceve una risposta in tempo, ha il diritto di presentare un reclamo all'autorità di protezione dei dati competente — e quel reclamo riguarderà la tua attività, non il fornitore del software.
Cosa dovresti pretendere da una piattaforma fedeltà
Se la responsabilità è di fatto tua, il minimo che una piattaforma che paghi dovrebbe darti sono gli strumenti per adempierla, senza dover assumere un avvocato o uno sviluppatore:
- Consenso esplicito e registrato — con storico delle versioni, non solo una casella che nessuno ricorda di aver spuntato.
- Esportazione dei dati in autonomia — così un cliente può richiedere i propri dati senza un processo manuale che crea ritardi.
- Cancellazione dell'account e dei dati in autonomia — così puoi rispondere alle richieste di cancellazione in tempi ragionevoli, senza aspettare il fornitore.
- 2FA (autenticazione a due fattori) per gli account amministratore — perché anche un account amministratore compromesso è una violazione dei dati.
- Un accordo sul trattamento dei dati (DPA) con il fornitore — che definisca esplicitamente chi fa cosa.
Come lo gestisce 4Rewards / 4Loyalty
L'abbiamo progettato fin dal primo giorno proprio con questo in mente: la tua responsabilità non deve restare senza strumenti. Ogni attività su 4Loyalty ha un sistema di consenso integrato con storico completo delle versioni, esportazione e cancellazione dei dati in autonomia — sia per il consumatore sia per l'attività stessa — e 2FA opzionale per gli account amministratore. Non devi sviluppare nulla da solo, e non devi aspettare noi per rispondere alla richiesta di un cliente.
Se non sei sicuro di cosa ti offra davvero la tua attuale app fedeltà, il primo passo è semplice: apri i suoi termini di servizio e cerca «GDPR». Se trovi solo la clausola di responsabilità e nient'altro, forse è il momento di riconsiderare le tue opzioni.