Compliance y datos del cliente: cómo manejar la información en tu programa de puntos
Un programa de fidelización es, en el fondo, una base de datos de personas. Nombres, emails, fechas de cumpleaños, historial de compras, frecuencia de visita. Esa información es el activo más valioso de tu negocio. También es la responsabilidad legal más grande que la mayoría de los comercios argentinos ignora por completo.
En Argentina, el manejo de datos personales no es opcional: está regulado por la Ley 25.326 de Protección de Datos Personales desde el año 2000. La Agencia de Acceso a la Información Pública (AAIP) es el organismo que fiscaliza y puede aplicar sanciones que van desde apercibimientos hasta multas de varios millones de pesos por infracciones graves. Y en 2026 el tema está más caliente que nunca: con el avance del proyecto de reforma alineado a estándares internacionales, los controles se endurecen.
La buena noticia: cumplir no es difícil ni caro. La mayoría de las obligaciones se resuelven con sentido común, un par de textos bien redactados y elegir una plataforma que guarde los datos de forma seria. El problema no es la complejidad — es que casi nadie le presta atención hasta que llega un reclamo.
Esta guía te muestra, en castellano de dueño de negocio y no de abogado, qué datos podés recolectar, cómo pedir el consentimiento bien, cómo guardar todo seguro y qué derechos tienen tus clientes sobre su información.
Disclaimer importante: este artículo es informativo y orientativo, no asesoramiento legal. Ante dudas concretas o un reclamo formal, consultá con un abogado especializado en protección de datos.
Por qué esto te importa (aunque seas un comercio chico)
Existe el mito de que la Ley 25.326 es “cosa de bancos y empresas grandes”. Falso. La ley aplica a cualquier persona física o jurídica que tenga una base de datos personales con fines de tratamiento. Una cafetería con 800 clientes registrados en su programa de puntos tiene una base de datos personales. Punto.
Las consecuencias de hacer las cosas mal no son solo legales: las multas de la AAIP existen y para infracciones graves no son simbólicas. Pero el costo más caro suele ser otro: que se filtre o se use mal la base destruye la confianza que tardaste años en construir, y un cliente que se siente “spameado” no vuelve.
Y al revés: un negocio que maneja los datos con prolijidad transmite seriedad. Cuando le pedís el email a un cliente y le explicás para qué lo vas a usar y que se puede dar de baja cuando quiera, te lo da con más confianza. El compliance bien hecho es también una herramienta de conversión.
La Ley 25.326 explicada en cinco principios
No hace falta que te leas los 49 artículos. La ley se resume en cinco principios que tenés que tener grabados:
1. Finalidad
Solo podés usar los datos para el fin que declaraste al recolectarlos. Si pediste el email “para enviarte tus puntos y novedades del programa”, no podés venderle esa base a un tercero ni usarla para algo distinto.
2. Consentimiento
El titular tiene que prestar consentimiento libre, expreso e informado. “Informado” significa que sabe qué datos da, para qué y quién los maneja. Más abajo vemos cómo se hace bien.
3. Calidad de los datos
Los datos tienen que ser ciertos, adecuados y no excesivos respecto del fin. Traducido: pedí solo lo que realmente necesitás. No le pidas el DNI y el estado civil a alguien para darle puntos por un café.
4. Seguridad y confidencialidad
Estás obligado a tomar medidas técnicas y organizativas para que los datos no se pierdan, no se filtren ni los toque quien no debe.
5. Derechos del titular
La persona es siempre dueña de sus datos: puede acceder a ellos, corregirlos y pedir que los borres. Vos sos un custodio, no el propietario.
Qué datos podés recolectar (y cuáles no deberías)
El principio rector es la minimización: pedí lo mínimo indispensable para que el programa funcione.
Datos que tienen sentido en un programa de puntos
- Nombre y apellido: para personalizar la comunicación.
- Email: canal principal de contacto y para enviar el catálogo y las recompensas.
- Fecha de cumpleaños (día y mes): para campañas de cumpleaños. No necesitás el año.
- Historial de compras / puntos: se genera solo con el uso del programa.
Con eso ya tenés un programa de fidelización completo.
Datos que casi nunca necesitás
- DNI: salvo razón legal concreta (validar mayoría de edad en venta de alcohol). Para sumar puntos, no.
- Dirección postal completa: solo si hacés envíos a domicilio.
- Datos sensibles (salud, religión, ideología, biométricos): la ley les da protección reforzada y casi ningún programa los necesita. Si no los pedís, te ahorrás el 90% de los dolores de cabeza.
Regla de oro: antes de agregar un campo al formulario, preguntate “¿qué hago con este dato?”. Si no tenés una respuesta clara, no lo pidas.
El consentimiento, bien hecho
Acá es donde se cae la mayoría de los comercios. Pedir el email y nada más no alcanza: el cliente tiene que saber a qué dice que sí.
Cómo funciona
Al registrar al cliente —en el mostrador, en una tablet o en el formulario online— tiene que quedar claro qué datos estás recolectando, para qué los vas a usar (gestionar el programa y enviar comunicaciones), quién los maneja (tu negocio, como responsable de la base) y que puede darse de baja cuando quiera y ejercer sus derechos.
Por qué funciona
Un consentimiento bien tomado es tu mejor defensa ante un reclamo. Si mañana un cliente dice “yo nunca acepté recibir mails de ustedes”, tu respaldo es haberlo registrado claramente. Además baja la fricción: quien entiende para qué da el dato lo da con menos resistencia.
Ejemplo concreto
Una frase tan simple como esta, debajo del formulario, cumple con lo esencial:
“Al registrarte aceptás que [Nombre del negocio] use tus datos para gestionar tu cuenta de puntos y enviarte novedades del programa. Podés darte de baja en cualquier momento. Consultá nuestra política de privacidad.”
Dos cosas más: el consentimiento tiene que ser una acción positiva —una casilla pre-tildada no vale—, y darle siempre al cliente la salida fácil para dejar de recibir las comunicaciones.
Almacenamiento seguro: dónde y cómo guardás los datos
El peor lugar para guardar tu base de clientes es un Excel compartido por chat entre el dueño y los empleados. Sin contraseña, sin control de quién accede, sin respaldo y multiplicado en cinco celulares. Eso es un incumplimiento de seguridad de manual.
Cómo funciona un almacenamiento serio
- Datos centralizados en una sola plataforma, no en planillas y chats.
- Acceso con usuario y contraseña, idealmente con permisos según el rol.
- Cifrado de la información en tránsito y en reposo.
- Respaldos automáticos para no perder la base ante una falla.
- Registro de quién accede y qué hace, para rastrear cualquier problema.
Por qué funciona
Si la información vive en una plataforma seria, la mayor parte de tu obligación de seguridad ya está cubierta por la infraestructura del proveedor. Vos te ocupás de lo organizativo —quién tiene acceso, contraseñas fuertes, dar de baja a empleados que se van— y la técnica pesada la resuelve el sistema.
Ejemplo concreto
Una panadería en Belgrano con 1.500 clientes en una planilla compartida está a un celular robado de un problema serio. La misma base en una plataforma con login y permisos por rol tiene el riesgo controlado: si un empleado se va, le sacás el acceso y listo. La diferencia de esfuerzo es mínima; la de exposición, enorme.
Los derechos del titular: acceso, rectificación y supresión
La ley le da a cada persona cuatro derechos sobre sus datos que estás obligado a respetar, conocidos como derechos ARCO (Acceso, Rectificación, Cancelación/Supresión y Oposición).
Derecho de acceso
El cliente puede pedirte saber qué datos tenés sobre él, y estás obligado a informárselo gratis en intervalos razonables. Si alguien te pregunta “¿qué datos míos tienen?”, tenés que poder responderle.
Derecho de rectificación
Si un dato está mal —el email cambió, el nombre quedó mal escrito— el cliente puede pedir que lo corrijas, y tenés que hacerlo.
Derecho de supresión
El cliente puede pedir que borres sus datos. Salvo obligación legal de conservarlos (datos vinculados a facturación, por ejemplo), tenés que eliminarlos.
Derecho de oposición
Puede oponerse a que uses sus datos para determinados fines, típicamente marketing. Es el “no quiero recibir más promociones” sin borrar la cuenta.
En la práctica para vos: necesitás un canal claro para que el cliente ejerza estos derechos —un email de contacto sirve— y poder buscar, editar y borrar registros. Con una planilla caótica es una pesadilla; con una plataforma ordenada, cuestión de minutos.
Buenas prácticas que te ponen del lado correcto
Más allá de la letra de la ley, hay un puñado de hábitos que separan a un negocio prolijo de uno problemático:
- No spamees. Tener el email no significa escribir todos los días. La sobrecomunicación es la primera causa de bajas y bloqueos. Mandá cuando tenés algo que vale la pena.
- Dá siempre la opción de baja, de forma simple y visible. No la escondas.
- No compartas ni vendas la base. Pasársela a un tercero sin consentimiento específico es de las infracciones más graves.
- Limitá el acceso interno. No todo el equipo necesita ver la base completa.
- Tené una política de privacidad publicada: un texto simple que explique qué datos pedís, para qué y cómo se ejercen los derechos.
Cómo Novity te ayuda a cumplir
Novity no da asesoramiento legal —eso lo da un abogado— pero sí resuelve la parte técnica que hace que cumplir sea viable en el día a día.
- Datos centralizados en la plataforma, no en planillas sueltas ni en chats. Una sola base, ordenada y buscable.
- Acceso por usuario y contraseña para tu equipo. Cuando un empleado se va, le sacás el acceso.
- Comunicaciones desde un solo lugar: email, push al catálogo, in-app y wallet pass, sin exportar la base a herramientas externas.
- Baja de comunicaciones gestionable: el cliente puede dejar de recibir las comunicaciones del programa, y vos gestionás sus datos desde el dashboard.
- Acceso, edición y borrado de registros desde el panel, para responder pedidos de acceso, rectificación o supresión sin pelearte con un Excel.
- Minimización por diseño: el registro pide lo justo (nombre, email, cumpleaños).
Importante: tener la herramienta no te exime de hacer tu parte —tomar el consentimiento bien, no spamear, tener tu política de privacidad—. Pero te saca de encima lo más difícil: guardar y gestionar todo de forma seria.
Errores típicos de compliance en programas de fidelización
Error 1: Guardar todo en un Excel compartido
La planilla sin contraseña, copiada en varios celulares y pasada por chat es el incumplimiento de seguridad más común y más fácil de evitar. Centralizá en una plataforma.
Error 2: No pedir consentimiento o pedirlo mal
Anotar el email “para mandarle promos” sin que el cliente sepa para qué ni que se puede dar de baja es un consentimiento inválido. Una frase clara al registrar lo resuelve.
Error 3: Pedir datos de más
Pedir DNI, dirección y datos que no usás aumenta tu riesgo y tu responsabilidad sin sumar nada al programa. Pedí lo mínimo.
Error 4: Compartir o vender la base
Pasarle tus datos de clientes a otro negocio o a un “socio comercial” sin consentimiento específico es de las infracciones más graves.
Error 5: Ignorar un pedido de acceso o supresión
Cuando un titular ejerce sus derechos, tenés un plazo legal para responder. Ignorarlo no hace que el problema desaparezca: lo agrava y puede terminar en una denuncia ante la AAIP.
Métricas y señales para medir tu cumplimiento
El compliance no se mide en facturación, pero tiene indicadores que conviene mirar:
Señales de consentimiento:
- % de clientes registrados con consentimiento explícito documentado.
- Política de privacidad publicada y accesible.
Señales de seguridad:
- Cantidad de personas con acceso a la base (cuanto más acotado, mejor).
- Si los datos están centralizados o desparramados en planillas y chats.
- Empleados que se fueron y siguen teniendo acceso (debería ser cero).
Señales de respeto al titular:
- Tasa de bajas atendidas correctamente y tiempo de respuesta a pedidos de acceso, rectificación o supresión.
- Reclamos por uso de datos (objetivo: cero).
Un dato para tener en cuenta
La mayoría de las multas y reclamos por datos personales en comercios no nacen de un hackeo sofisticado: nacen de prácticas básicas mal hechas. Bases en planillas sin protección, falta de consentimiento, comunicaciones sin opción de baja. El riesgo real no está en un ataque externo improbable, sino en el desorden interno cotidiano.
Eso es una excelente noticia: la mayor parte del riesgo lo controlás vos con decisiones simples —centralizar la base, tomar bien el consentimiento y dar siempre la opción de baja—. No necesitás un departamento legal: necesitás orden.
Checklist de cumplimiento
Repasá estos puntos y marcá los que ya tenés resueltos:
- Los datos de clientes están en una plataforma centralizada y segura, no en Excel ni chats.
- El acceso a la base está protegido con usuario y contraseña, y limitado a quien lo necesita.
- Al registrar a un cliente queda claro qué datos pedís, para qué y quién los maneja.
- El consentimiento es una acción positiva del cliente (no una casilla pre-tildada).
- Solo pedís los datos mínimos que el programa realmente necesita.
- Toda comunicación de marketing tiene una opción de baja simple y visible.
- Tenés una política de privacidad publicada y accesible.
- Podés buscar, corregir y borrar los datos de un cliente cuando lo pide.
- No compartís ni vendés la base a terceros.
- Cuando un empleado deja el negocio, le sacás el acceso a los datos.
Si tildaste todos, estás en muy buena forma. Si faltan varios, empezá por centralizar la base y arreglar el consentimiento: son los que más bajan el riesgo.
Resumen accionable
Para manejar los datos de tu programa de puntos de forma seria en Argentina:
- Conocé los cinco principios de la Ley 25.326: finalidad, consentimiento, calidad, seguridad y derechos del titular.
- Pedí solo los datos mínimos: nombre, email y cumpleaños alcanzan.
- Tomá el consentimiento bien: clarito, con acción positiva y siempre con opción de baja.
- Centralizá y asegurá la base en una plataforma seria, no en planillas ni chats.
- Respetá los derechos del titular: acceso, rectificación y supresión, con un canal claro para ejercerlos.
- No spamees, no compartas la base y limitá el acceso interno.
- Tené tu política de privacidad publicada y el checklist al día.
- Apoyate en la herramienta: una plataforma como Novity resuelve el almacenamiento, el acceso y las comunicaciones por vos.
El compliance no es un costo ni una traba burocrática: es parte de tratar bien a tus clientes. Y un cliente que confía en cómo manejás sus datos es un cliente que vuelve.
¿Tenés tu base de clientes desparramada en planillas y querés ordenarla de una vez? Hablá con el equipo de Novity y te mostramos cómo centralizar y proteger la información de tu programa.