En cuanto un TPV guarda el nombre, teléfono, email o DNI de un cliente —para un ticket, una ficha o un programa de fidelización— empieza a tratar datos personales, y eso activa el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD). Esto no es solo cosa de grandes empresas: una peluquería, una frutería o una tienda de barrio están igual de obligadas. Esto es lo que debería cumplir el TPV que uses.

1. Base jurídica para tratar los datos

No puedes guardar datos de un cliente “porque sí”. Necesitas una base jurídica: normalmente el consentimiento del cliente (por ejemplo, al pedir el envío del ticket por WhatsApp) o la ejecución de una relación comercial. El TPV debería dejarte identificar para qué finalidad concreta se guarda cada dato.

2. Cifrado de datos personales

DNI, email y teléfono son datos que, si se filtran, pueden usarse para suplantación o spam dirigido. El RGPD no exige un algoritmo concreto, pero sí exige medidas técnicas adecuadas. Un TPV que guarda estos campos en texto plano en una base de datos no está aplicando esas medidas; uno que los cifra (por ejemplo, con AES-256) y permite buscarlos sin exponer el dato original, sí.

3. Registro de quién accede y modifica

Si un cliente ejerce su derecho de acceso y pregunta “¿quién ha visto o modificado mis datos?”, necesitas poder contestar. Esto se resuelve con un log de auditoría: un registro interno de cada creación, modificación o borrado de datos personales, con fecha y usuario responsable.

4. Plazos de conservación definidos

No se pueden guardar los datos de un cliente para siempre “por si acaso”. El RGPD exige que definas cuánto tiempo conservas cada categoría de dato y que los elimines o anonimices pasado ese plazo, salvo obligación legal de conservarlos más tiempo (por ejemplo, facturas).

5. Los derechos del cliente, resueltos de verdad

Acceso, rectificación, supresión, oposición, portabilidad y limitación no son solo una lista para la política de privacidad: tienes que poder ejecutarlos. Si un cliente pide que se borren sus datos, el TPV debería permitir hacerlo sin tener que rebuscar en varias tablas o exportaciones sueltas.

6. Transferencias internacionales, si las hay

Si usas herramientas de terceros (analítica, mensajería) que envían datos fuera del Espacio Económico Europeo, necesitas que esas transferencias estén amparadas por una decisión de adecuación o por cláusulas contractuales tipo. Esto no depende solo del TPV, pero sí de todo el conjunto de herramientas conectadas a él.

Lo que debería preguntar cualquier pyme a su proveedor de TPV

  • ¿Los datos personales (DNI, email, teléfono) están cifrados en la base de datos?
  • ¿Hay un log de auditoría de accesos y cambios sobre esos datos?
  • ¿Puedo definir plazos de conservación y borrar datos de un cliente concreto?
  • ¿Qué terceros (analítica, mensajería) reciben datos, y dónde los alojan?

Nuestro TPV cifra DNI, email y teléfono con AES-256, mantiene un log de auditoría de cada cambio y define plazos de conservación claros — todo esto está detallado en nuestra política de privacidad. Si tienes dudas sobre cómo aplica esto a tu negocio, puedes solicitar una demo guiada y preguntarlo directamente.